PS-00102-2022

1/14  Expediente N.º: EXP202100283 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A., en nombre y representación de Dña. B.B.B.(en adelante, la parte reclamante) con fecha 4 de junio de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ORANGE ESPAGNE, S.A.U. con NIF A82009812 (en adelante, la parte reclamada o Orange). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que se formalizó una contratación con Orange sin su consentimiento ni conocimiento, y se incluyeron sus datos personales en los sistemas comunes de información crediticia a raíz del impago de estos servicios contratados fraudulentamente. Junto a la reclamación se aporta, entre otra, la siguiente documentación: Denuncia ante la Dirección General de la Policía dependencia ***LOCALIDAD.1Centro. Atestado nº ***ATESTADO.1 de fecha 24 de julio de 2019, en la misma se manifiesta: “Que recibió el 22/07/2019 una llamada del departamento Jurídico de Jazztel, notificándole el impago de varias cuotas por contratación de varias líneas de teléfono por un total de XXX euros. Que comunicó a dicho departamento que ella no tenía ni había contratado nunca estas líneas y que por tanto alguien había usurpado su identidad. Que le han facilitado las facturas que comprenden a los meses de Mayo a Julio

1. Que en ellas figuran su nombre y DNI, pero las líneas fueron instaladas en otro domicilio. Que las líneas contratadas son la ***TELÉFONO.1 y la línea móvil ***TELÉFONO.2”. Facturas emitidas por Jazztel de fechas: 12/07/2018 por un importe XXX,XX euros; de 12/06/2018 de XXX,XX euros; de 12/04/2018 de XX,XX euros y de 12/05/2018 de XX,XX euros. Correo electrónico de fecha 25 de julio de 2019, remitido por ***EMAIL.1 para ***EMAIL.
2. Adjunta denuncia (Atestado: 5919/19) efectuada en relación a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 cantidades atrasadas que le reclama Jazztel (Orange), indicando que no ha sido titular nunca de las líneas de Jazztel (Orange) y podría ser una suplantación de identidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada o Orange, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 12 de julio de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 9 de agosto de 2021 se recibe en esta Agencia escrito de respuesta indicando que: “En marzo de 2018 se contrató con Jazztel (Orange) a nombre de la reclamante una línea fija y fibra asociada a la numeración ***TELÉFONO.1 así como tarifa para la línea móvil ***TELÉFONO.2 junto con un terminal móvil. En fecha 22 de julio de 2019, se recibe una llamada por la que la titular de la línea indica no reconocer los servicios contratados alegando haber sufrido una usurpación de identidad, explicándole la necesidad de remitir la denuncia ante los Cuerpos y Fuerzas de Seguridad de Estado que exponga los hechos objeto de la usurpación para poder catalogar la contratación como irregular y efectuar los ajustes necesarios, protocolo instaurado para detectar los casos de contrataciones irregulares. Sin perjuicio de lo expuesto, y, si bien es cierto que las contrataciones de los servicios tanto en marca JAZZTEL como ORANGE revestían total apariencia de legalidad, como se evidencia de los documentos acreditativos de las contrataciones adjuntas al presente, es también el hecho de que, tras manifestaciones expuestas por la reclamante, se procedió a catalogar como irregular las contrataciones en ambas mercantiles (JAZZTEL y ORANGE), ordenando los correspondientes ajustes económicos a favor de la reclamante, anulando la deuda que presentaban los servicios contratados irregularmente. A mayor abundamiento, se informa a esta Agencia que, tan pronto como se ha recibido el presente requerimiento de información, se ha paralizado todas las acciones de recobro que se pudieran estar efectuando hasta la fecha, así como se ha constatado por parte de esta mercantil que los datos de la reclamante no constan inscritos en ficheros de solvencia patrimonial, prueba de ello se adjunta como Documento nº3 y Documento nº4, certificados de no inclusión en ficheros de solvencia. Todo lo anterior manifestado, se ha puesto en conocimiento de la reclamante por medio de comunicación cuya copia se adjunta como Documento nº5”. TERCERO: Con fecha 13 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 25 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba: que se reitera en las alegaciones previamente presentadas y expone que ha de señalarse que todas las contrataciones a nombre de la reclamante han sido realizadas a través de un procedimiento de portabilidad. El 25 de marzo de 2018 tiene lugar la contratación a nombre de la reclamante de los siguientes servicios en la marca JAZZTEL: - Línea fija y fibra asociada a la numeración ***TELÉFONO.
3. - Tarifa para la línea móvil ***TELÉFONO.2 junto con un terminal móvil. La contratación en Jazztel se realiza en el canal TELEVENTA, utilizando un SMS Certificado que incluye adjunto el comprobante de venta y la grabación de la contratación o VPT. Dicha contratación constó de dos portabilidades provenientes de la empresa de telecomunicaciones Vodafone: la línea fija (***TELÉFONO.1) y la línea móvil (***TELÉFONO.2). Se adjunta como Documento nº1 el certificado emitido por DIGITEL ON TRUST SERVICES SL como tercero verificador de la contratación. Asimismo, el 25 de mayo de 2018 tiene lugar la contratación, a nombre de la reclamante, de los siguientes servicios en la marca ORANGE: - Tarifa asociada a la numeración ***TELÉFONO.
4. - Línea fija y fibra asociada a ***TELÉFONO.
5. Se trata, de nuevo, de una contratación en el canal TELEVENTA, en este caso de Orange. Esta contratación consta también de dos portabilidades provenientes de Jazztel. Consta igualmente el comprobante de venta y la grabación de la contratación (VPT), ya remitidos como documentación anexa a las alegaciones de esta parte al requerimiento de información. Por tanto, ambas contrataciones derivan de portabilidades, por lo que el procedimiento, como ya se ha mencionado, se encuentra estipulado por la normativa sectorial. En los dos supuestos se cotejaron los datos personales con la persona contratante y la verificación de identidad se llevó a cabo a través de terceros (VPT), cumpliéndose escrupulosamente con la Circular 1/2009, interesando a esta parte concretar que: - Se confirmó expresamente con la reclamante: la fecha de la contratación; nombre y apellidos; domicilio; Documento Nacional de Identidad (en adelante, DNI); y producto contratado. - Se indica que la llamada está siendo grabada. - La grabación la realizó DIGITEL ON TRUST SERVICES SL en calidad de tercero verificador independiente. La llamada dispone de la suficiente calidad para permitir entender a la verificadora y las respuestas afirmativas de la parte contratante. - Se aporta como Documento nº2 la grabación donde la propia parte contratante es la que indica su nombre completo y DNI, tal y como figuran en la documentación contractual y en los certificados emitidos por DIGITEL ON TRUST SERVICES SL. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Por ello, resulta posible afirmar que se siguió escrupulosamente con el procedimiento descrito en la referenciada Circular 1/
6. En los registros internos de esta mercantil consta, en fecha 22 de julio de 2019, la recepción de una llamada por la que la titular de la línea indica no reconocer los servicios contratados alegando haber sufrido una usurpación de identidad. Ante esto, Orange le explica la necesidad de recibir copia de la denuncia previamente presentada por la reclamante ante los Cuerpos y Fuerzas de Seguridad del Estado, en la que exponga los hechos objeto de la supuesta usurpación para poder catalogar la contratación como irregular y efectuar los ajustes necesarios, protocolo instaurado en Orange para detectar los casos de contrataciones irregulares. Dicha denuncia no se aporta. La reclamante no contacta de nuevo ni atiende a las indicaciones que se le solicitan para poder proceder a catalogar las contrataciones como irregulares. Este hecho, que Orange aplique un procedimiento de seguridad previamente establecido que exige la acreditación documental de un posible ilícito – a través de una denuncia – previo a proceder a la resolución y baja de un contrato, es el que la Agencia incluye en el Acuerdo de Inicio como un agravante. Como la Agencia comprenderá, previo a proceder a una resolución contractual con un consumidor, de un servicio considerado básico en muchos aspectos, Orange debe contar con una mínima garantía documental de que existe un motivo válido y suficiente como la comisión de un fraude. Es precisamente por esta obligación de diligencia que Orange no puede cancelar los servicios contratados por la reclamante por una mera manifestación particular que no viene acompañada de evidencia o documento alguno. La utilización de unas manifestaciones de parte sin acreditar como agravante de una sanción por la Agencia contradice la lógica jurídica y carece de fundamentación, debiendo ser dicho argumento desestimado. Lo anteriormente manifestado se ha puesto en conocimiento de la reclamante por medio de comunicación cuya copia se ha adjuntado como documento anexo en las alegaciones de esta parte al requerimiento de información. Consta aportada denuncia ante la Dirección General de la Policía dependencia ***LOCALIDAD.1 Centro, con atestado nº ***ATESTADO.1 de fecha 24 de julio de
7. Dicha denuncia no se remite a Orange por la reclamante en ningún momento. La reclamante no ha aportado prueba documental alguna que acredite la remisión a esta parte de la referida denuncia. No se ha acreditado por la reclamante, por tanto, la remisión de la denuncia a esta parte: Orange tiene conocimiento de la misma con el requerimiento de información de la AEPD de fecha 12 de julio de
8. La reclamante, interpone, con fecha 4 de junio de 2021, reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ORANGE ESPAGNE, S.A.U. 9º.- Orange recibe el requerimiento de información de la AEPD previamente mencionado en fecha de 12 de julio de 2021, teniendo conocimiento de la comisión de fraude en ese mismo instante y no antes, tal y como se extrae de la documentación aportada en el presente procedimiento. En ese momento, al cumplirse con el requisito de tener conocimiento de la denuncia interpuesta, se toman las medidas pertinentes para calificar la contratación como fraudulenta, de conformidad con los protocolos internos que habían sido informados a la denunciante, y no por el hecho de que se hubieran puesto los hechos en conocimiento de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Es por ello que se activa el protocolo y se solicita información al departamento de Fraude respecto a los contratos denunciados, se confirma la irregularidad de las contrataciones y se catalogan las mismas como fraudulentas, procediendo a realizar los ajustes económicos y ejecutar la baja por fraude. Se ha constatado por Orange que los datos de la reclamante no constan inscritos en ficheros de solvencia patrimonial, tal y como se ha acreditado mediante los certificados de no inclusión en ficheros de solvencia aportados con las alegaciones de esta parte al requerimiento de información. El relato fáctico permite concluir que Orange llevó a cabo un tratamiento de datos personales lícito, acorde al protocolo establecido y al procedimiento – de obligado cumplimiento- estipulado por la Circular 1/2009 para las portabilidades; así como que, en cuanto tuvo conocimiento de la existencia de fraude (con el anexo de la denuncia en el requerimiento de información de la AEPD de 12 de julio de 2021), actuó conforme a ello diligentemente. En el presente supuesto, no sólo se ha acreditado el cumplimiento del protocolo establecido y la normativa aplicable, sino que se evidencia la existencia de un estricto control, previo y posterior a la contratación, el establecimiento de medidas previas y a posteriori, así como la existencia de medidas concretas encaminadas a evitar de forma previa estas prácticas (ya indicadas por esta parte en las alegaciones al requerimiento de información de la AEPD): - Controles en solicitudes de alta/portabilidad/migración en vuelo: reglas aplicadas en Scoring. Por lo tanto, si antes de la activación se rechaza, no tendría lugar el alta. - Controles diarios en pedidos tramitados desde CCNNPPP (televenta y eshop). Al igual que en el anterior supuesto, si antes de la activación se rechaza, no hay alta. - Auditorías en plataformas de proveedores de FIDE, por analistas del proveedor, que reportan en el momento de la detección y semanalmente. - Controles periódicos de clientes impagados o concentración de cuentas bancarias. - Gestión de los CRMs (sistemas de la compañía) de reclamaciones, escaladas por distintos grupos funcionales por líneas/pedidos no reconocidos. - Controles diarios de validación de altas y portabilidades de identidades, verificando en el censo si el NIE o NIF coincide con el nombre y apellidos que constan en la solicitud. - Gestión de reclamaciones por inclusión en ficheros de solvencia patrimonial. Es por ello que no resulta posible apreciar culpabilidad de Orange en el presente supuesto de hecho, no siendo jurídicamente válida la apreciación que realiza la Agencia de comisión de infracción por esta mercantil. Orange ha realizado un tratamiento de datos lícito, en tanto ha evidenciado mediante el cumplimiento del protocolo previsto por la Circular 1/2009 un tratamiento de datos correctamente legitimado de conformidad con el artículo 6.1 RGPD. Por todo lo anterior, Orange: SOLICITA a la Agencia Española de Protección de Datos que tenga por presentado el presente escrito, sirva admitirlo, tenga por formuladas las anteriores alegaciones y, previos los trámites oportunos, dicte resolución por medio de la cuál señale el archivo del Procedimiento o culmine el procedimiento mediante un apercibimiento y, en última instancia, si considera que procede la imposición de una sanción, modere o module su propuesta recogida en el Acuerdo de Inicio notificado a Orange, atendiendo a los argumentos manifestados en el cuerpo del presente escrito de alegaciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 SEXTO: Con fecha 26 de mayo de 2022, el instructor del procedimiento acordó practicar las siguientes pruebas: Se dan por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación.
9. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por Orange, y la documentación que a ellas acompaña. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La reclamante manifiesta que con fecha 22 de julio de 2019 recibió una llamada del departamento jurídico de la parte reclamada notificándole el impago de varias facturas por contratación de varias líneas de teléfono por un total de XXX euros, que comunico a dicho departamento que ella no tenía ni había contratado nunca estas líneas y que por tanto alguien había usurpado su identidad. SEGUNDO: La reclamante ha aportado la copia de la denuncia que presentó en la Comisaría de Policía por estos hechos Denuncia ante la Dirección General de la Policía dependencia ***LOCALIDAD.1Centro. Atestado nº ***ATESTADO.1 de fecha 24 de julio de 2019, en la misma se manifiesta: “Que recibió el 22/07/2019 una llamada del departamento Jurídico de Jazztel, notificándole el impago de varias cuotas por contratación de varias líneas de teléfono por un total de XXX euros. Que comunicó a dicho departamento que ella no tenía ni había contratado nunca estas líneas y que por tanto alguien había usurpado su identidad. Que le han facilitado las facturas que comprenden a los meses de Mayo a Julio
10. Que en ellas figuran su nombre y DNI, pero las líneas fueron instaladas en otro domicilio. Que las líneas contratadas son ***TELÉFONO.1 y línea móvil ***TELÉFONO.2”. TERCERO: La reclamante ha aportado el correo electrónico de fecha 25 de julio de 2019, remitido por ***EMAIL.1 para `***EMAIL.2´. Adjunta denuncia (Atestado: 5919/19) efectuada en relación a las cantidades atrasadas que le reclama Jazztel, indicando que no ha sido titular nunca de las líneas de Jazztel y podría ser una suplantación de identidad. CUARTO: Orange manifiesta que el 25 de marzo de 2018 tiene lugar la contratación a nombre de la reclamante de los siguientes servicios en la marca JAZZTEL: - Línea fija C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 y fibra asociada a la numeración ***TELÉFONO.
11. - Tarifa para la línea móvil ***TELÉFONO.2 junto con un terminal móvil. La contratación en Jazztel se realiza en el canal TELEVENTA, utilizando un SMS Certificado que incluye adjunto el comprobante de venta y la grabación de la contratación o VPT. Dicha contratación constó de dos portabilidades provenientes de la empresa de telecomunicaciones Vodafone: la línea fija (***TELÉFONO.1) y la línea móvil (***TELÉFONO.2). Se adjunta como Documento nº1 el certificado emitido por DIGITEL ON TRUST SERVICES SL como tercero verificador de la contratación. Asimismo, el 25 de mayo de 2018 tiene lugar la contratación, a nombre de la reclamante, de los siguientes servicios en la marca ORANGE: - Tarifa asociada a la numeración ***TELÉFONO.
12. - Línea fija y fibra asociada a ***TELÉFONO.
13. Se trata, de nuevo, de una contratación en el canal TELEVENTA, en este caso de Orange. Esta contratación consta también de dos portabilidades provenientes de Jazztel. Consta igualmente el comprobante de venta y la grabación de la contratación (VPT), ya remitidos como documentación anexa a las alegaciones de esta parte al requerimiento de información. QUINTO: Orange reconoció en el escrito de respuesta que en fecha 22 de julio de 2019, la recepción de una llamada por la que la titular de la línea indica no reconocer los servicios contratados alegando haber sufrido una usurpación de identidad de información. SEXTO: Orange manifiesta que no tiene conocimiento de la denuncia interpuesta por la reclamante ante la policía, hasta que no recibe el requerimiento de información de esta Agencia el 12 de julio de
14. SÉPTIMO: Con fecha 27 de junio de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U. con NIF A82009812, por la presunta infracción del artículo 6.1) tipificada en el artículo 83.5.a) del citado RGPD. con una multa de 70.000 euros (setenta mil euros). OCTAVO: Con fecha 30 de junio de 2022 solicitaron ampliación de plazo y el día 5 del mismo mes y año requirieron copia del expediente y en fecha 21 de julio de 2022 se formularon alegaciones a la propuesta de resolución en el que, en síntesis, manifestaba que se reitera en las alegaciones previamente presentadas, que no se acredita que Orange tuviera conocimiento de la denuncia antes del requerimiento de información de la AEPD y que Orange ha actuado con la diligencia exigible, tratando los datos de la parte contratante de forma legítima y conforme al procedimiento establecido, el cuál cumple con todas las exigencias requeridas por la Circular 1/2009, suponiendo por tanto un tratamiento de datos correctamente legitimado de conformidad con el artículo 6.1 del RGPD. Por otra parte, que la sanción incluida en la Propuesta de Resolución resulta, en todo caso, desproporcionada, atendiendo a las circunstancias y contenido de las supuestas infracciones, que Orange niega rotundamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
15. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 “
16. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “
17. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…) a) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” III En respuesta a las alegaciones presentadas por la entidad reclamada, debe reiterarse, tal como se manifestó en la propuesta de resolución que la documentación que obra en el expediente ofrece evidencias de que la parte reclamada, vulneró el artículo 6.1 del RGPD, toda vez que trató los datos personales de la parte reclamante sin que tuviese ninguna legitimación para ello. Los datos personales fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese lícito el tratamiento efectuado. Pues bien, respecto de los hechos que son objeto de la presente reclamación, debemos destacar que la parte reclamada en sus alegaciones manifiesta que <<se solicita información al departamento de Fraude respecto a los contratos denunciados, se confirma la irregularidad de las contrataciones y se catalogan las mismas como fraudulentas, procediendo a realizar los ajustes económicos y ejecutar la baja por fraude>>. De aquí que Orange llegue a la conclusión que el alta fue fraudulenta que las líneas denunciadas han sido clasificadas como contrataciones fraudulentas, y las deudas asociadas a ellas han sido condonadas. En este caso, la reclamada aunque dice que se grabó la portabilidad y que esta se realizó a través de un tercero verificador, no aporta la grabación ni elementos que permitan constatar que la línea fue portada y que en la portabilidad intervino un tercero verificador. Por lo tanto, en el presente caso, resulta acreditado que un tercero contrató a nombre de la reclamante un paquete de servicios con la parte reclamada, figurando en las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 facturas aportadas por la reclamante una dirección distinta a la suya. Así pues, la reclamada, no verificó la personalidad del que contrató, no tomó las cautelas necesarias para que estos hechos no se produjeran. Hay que destacar, que no fue hasta la recepción de la reclamación trasladada por esta Agencia cuando la parte reclamada reaccionó y procedió a catalogar la contratación como irregular, efectuando los ajustes económicos necesarios para que no constase ningún tipo de deuda asociada al impago de los servicios contratados de forma irregular a nombre de la reclamante y constató que sus datos no constan inscritos en ficheros de solvencia patrimonial. La falta de diligencia desplegada por la entidad en el cumplimiento de las obligaciones impuestas por la normativa de protección de datos de carácter personal es, pues, evidente. Un cumplimiento diligente del principio de licitud en el tratamiento de datos de terceros requiere que la responsable del tratamiento esté en condiciones de probarlo (principio de responsabilidad proactiva). De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.a) del citado Reglamento 2016/
18. En ese sentido el Considerando 40 del RGPD señala: “