1/7 Procedimiento N.º: PS/00112/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 6 marzo de 2020, D. A.A.A. denuncia a ORANGE ESPAGNE, S.A.U. por los siguientes hechos: “Tras solicitar duplicados de tarjetas SIM, unos días después recibe un mensaje de WhatsApp de una tercera persona que le envía una foto de una documentación con sus datos personales. El reclamante manifiesta que ha recibido el envío de Jazztel, pero la otra persona ha recibido la documentación correspondiente al reclamante, que él no ha recibido. Manifiesta su preocupación por el hecho de que una tercera persona pueda tener sus datos personales: número de DNI, dirección, teléfono y código/IMEI.” Que según el reclamante los hechos tuvieron lugar en fecha 2 de enero de 2020. Adjunta copia de la conversación de WhatsApp que manifiesta mantuvo con la mencionada tercera persona, así como de la fotografía de la carta con datos personales recibida por esa tercera persona. Indica también que notifica los acontecimientos a la operadora y ésta le resta importancia. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia, se solicita información a la entidad ORANGE ESPAGNE, S.A.U., teniendo conocimiento de que: ENTIDAD INVESTIGADA ORANGE ESPAGNE, S.A.U. con NIF A82009812 con domicilio en Paseo Club Deportivo, 1, Edif. 8, - 28223 Pozuelo de Alarcón, Madrid. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Se verifica que el reclamante aporta copia de una conversación mantenida mediante WhatsApp en la que el interlocutor se pone en contacto con él con motivo de haber recibido un envío de tarjetas SIM con un documento adjunto que no le corresponde. En el documento aparecen los datos personales del reclamante junto con los datos de dos tarjetas SIM que el reclamante ha recibido. Determinan, durante la conversación, que cada uno ha recibido sus tarjetas SIM, pero el reclamante no ha recibido ninguna hoja adjunta, habiéndola recibido esa tercera persona, y cuya fotografía le remite por WhatsApp. Durante la conversación se pone de manifiesto que las SIM son sólo para acceso a Internet (datos) ya que son para estaciones meteorológicas. En el mencionado documento adjunto figuran los códigos de las tarjetas SIM para dichas estaciones. Sí figura su número de DNI, dirección y un número de teléfono. Realizado un requerimiento de información a la entidad reclamada sus representantes informan lo siguiente: -Sobre el procedimiento general de ensobrado y empaquetado de las tarjetas SIM: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 El servicio de envío, ensobrado y empaquetado de tarjetas SIM de Jazztel es prestado por el proveedor “Información Control y Planificación, S.A. (ICP)”. El procedimiento de gestión de los pedidos de tarjetas SIM realizados por los clientes de ORANGE se registra a través de un sistema informático, que genera una ficha por cada pedido que contiene los datos personales del solicitante y los asocia con el número de tarjeta o tarjetas asignadas a éste. Una vez generado el pedido, se lee por los agentes la información de la ficha y se genera automáticamente la emisión de la etiqueta de transporte. Dicha etiqueta de transporte generada por el sistema es revisada y se comprueba que la misma coincida con la información del solicitante, esto es, los datos y los números de tarjeta que le serán remitidos. Revisado lo anterior, se procede a la impresión de la carta que contiene los datos del solicitante y el número de tarjeta SIM asignada. Este proceso se realiza de forma automática y consecutiva, de tal forma que se hace coincidir la emisión de la carta con la tarjeta SIM asociada a la misma, y asegurar con ello que el pedido se completa y asocia correctamente. La carta referenciada es empaquetada junto a las tarjetas SIM que le corresponden, y se introducen ambas en el embalaje. En último lugar, se cierra la bolsa de embalaje, y sobre ella se pega la etiqueta de transporte que le corresponde, pasando a continuación a enviarse. -Sobre las causas de la incidencia: Realizadas averiguaciones por la reclamada, sus representantes han manifestado que se pudo comprobar que la incidencia ocasionada con la carta correspondiente al reclamante, que fue recibida por otro cliente, tiene como origen un error puntual ocasionado en el lector del dispositivo de la impresora encargada de emitir la carta del reclamante en el proceso de ensobrado: el lector del dispositivo de la impresora quedó bloqueado en el momento en que se imprimió la carta con los datos personales del reclamante, impidiendo con ello que se generase en la secuencia correcta y, por tanto, se adjuntara a las tarjetas SIM solicitadas. Las impresoras que emiten las cartas asociadas a las tarjetas SIM están programadas de manera tal que emiten las mismas en una secuencia ordenada para garantizar que la carta emitida coincide con la tarjeta SIM asociada al pedido. No obstante, el error del lector de la impresora al generar la carta del reclamante hizo que la misma perdiera la secuencia ordenada y, por ello, se asoció a un pedido distinto. En conclusión, el error acontecido fue la pérdida de la secuencia ordenada, por lo que la carta del reclamante fue ensobrada junto con el pedido de otro cliente, el cual se generó de forma consecutiva. -Sobre las medidas adoptadas para que evitar que la incidencia no vuelva a pasar: La impresora dañada que originó la incidencia fue sustituida por una nueva, para garantizar con ello que la secuencia del procedimiento de ensobrado y envío de tarjetas SIM se produzca correctamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Se realizó una revisión individualizada de todas las impresoras del centro de logística, corroborando que todas ellas funcionaban correctamente. Se ha requerido a la reclamada copia del contrato de prestación de servicios suscrito con el proveedor Información Control y Planificación, S.A. (ICP) para el servicio de envío, ensobrado y empaquetado de tarjetas SIM de Jazztel, incluyendo todas sus cláusulas o adendas de protección de datos. Los representantes de la entidad reclamada han aportado copia del contrato de prestación de servicios logísticos suscrito con ICP, incluyéndose entre los servicios prestados: -Recepción de Mercancías y almacenaje. -Ensamblaje de conjuntos. -Preparación de entregas. -Transporte y distribución de Mercancías. Los servicios de Transporte y distribución de Mercancías se prestarán habitualmente dentro del ámbito nacional. - Seguimiento de los Envíos. Se verifica que el contrato incluye una cláusula de Protección de datos (numerada como 25) que especifica entre otros: “25.1 En virtud del presente Contrato, el Proveedor, en su condición de Encargado de Tratamiento, llevará a cabo el tratamiento de datos personales necesario para la correcta prestación de los servicios objeto de este Contrato. 25.2 En este sentido, la prestación de los servicios objeto del presente Contrato implica la realización por el Proveedor de los siguientes tratamientos: Recogida, registro, consulta, conservación, difusión, modificación y supresión de datos personales. 25.3 Los datos personales serán tratados, únicamente, para llevar a cabo la prestación de los servicios contratados. Si el Proveedor considerase necesario llevar a cabo un tratamiento de los datos con una finalidad distinta, deberá solicitar previamente la autorización por escrito de OSP. A falta de dicha autorización, el Proveedor no podrá efectuar dicho tratamiento. […]” “25.6 En particular, el Proveedor se compromete a cumplir las siguientes obligaciones: a. Tratar los datos personales, únicamente, para llevar a cabo la prestación de los servicios contratados, ajustándose a las instrucciones que, en cada momento, le indique, por escrito, OSP (salvo que exista una normativa que obligue a tratamientos complementarios, en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público). En caso de que el Proveedor considere que alguna de las instrucciones de OSP infringe la normativa vigente de protección de datos, lo notificará de forma inmediata a OSP por el medio y a la persona de contacto indicados por ésta. b. Mantener el deber de secreto respecto a los datos de carácter personal a los que tenga acceso, incluso después de finalizada la relación contractual, así como a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 garantizar que las personas a su cargo se hayan comprometido por escrito a mantener la confidencialidad de los datos personales tratados. c. Garantizar la aplicación de las medidas técnicas y organizativas descritas en el Anexo de Seguridad de la Información adjuntas al presente Contrato, así como cualesquiera otras medidas de seguridad que OSP determine en cada momento y comunique al Proveedor. d. Guardar bajo su control y custodia los datos personales a los que acceda con motivo de la prestación del Servicio y a no divulgarlos, transferirlos, o de cualquier otra forma comunicarlos, ni siquiera para su conservación a otras personas ajenas al mismo y a la prestación del servicio objeto del presente Contrato. Con carácter general, queda prohibida la subcontratación con terceros de los servicios que impliquen el acceso y/o tratamiento, parcial o total, de datos personales, salvo que el Proveedor cuente con la autorización previa, expresa y por escrito de OSP. En ese caso, el Proveedor deberá comunicar a OSP los datos identificativos (nombre, domicilio social completo y NIF) del subcontratista o subencargado del tratamiento, así como los servicios subcontratados, con una antelación mínima de un
(1)mes al comienzo de prestación de los servicios. El Proveedor informará del mismo modo a OSP de cualquier cambio previsto en la incorporación o sustitución de los Subcontratistas, dando así a OSP la oportunidad de oponerse a dichos cambios. En tal caso, el Proveedor queda obligado a trasladar y comunicar al Subcontratista el conjunto de las obligaciones que para el Encargado del Tratamiento se derivan del presente Contrato y, en particular, la prestación de garantías suficientes de que aplicará medidas técnicas y organizativas apropiadas, de manera que el tratamiento se conforme con la normativa aplicable. e. A elección de OSP, suprimir o devolver todos los datos personales a los que haya tenido acceso para prestar el servicio. Asimismo, el Proveedor se obliga a suprimir las copias existentes, a menos que exista una norma jurídica que exija la conservación de los datos personales. No obstante, el Proveedor deberá conservar los datos debidamente bloqueados, en tanto pudieran derivarse responsabilidades de su relación con OSP. […]“ Se ha solicitado a la entidad reclamada el resultado de la llamada efectuada por la referida tercera persona, realizada el 2/01/2020 entre las 22:28 y las 22:31 horas al centro de atención de clientes de JAZZTEL y en la que le informan, según la conversación de WhatsApp, de cómo cotejar los números de las SIM con la hoja recibida. Se ha requerido analizar el registro de la llamada, e informar de la problemática comentada por el cliente y su resultado, así como la impresión de los comentarios consignados por el operador en los sistemas. Los representantes de la entidad reclamada aportan al respecto copia del registro en el sistema de información de la llamada y manifiestan que “del registro aportado, puede concluirse que todo apunta a que el cliente no se expresó con claridad a la hora de exponer la situación, o bien el agente que atendió la llamada no comprendió la misma, toda vez que asunto registrado fue la información que se proporcionó acerca del servicio MultiSiM”. TERCERO: En fecha 25 de marzo de 2021, la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador al reclamado, por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 presunta infracción del artículo 32 del RGPD y del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, en fecha 21 de abril de 2021, el reclamado presenta escrito de alegaciones, en el que, en síntesis, manifiesta que la incidencia tuvo su origen en un error aislado y de carácter puntual en el funcionamiento de una impresora de su proveedor, alega su falta de responsabilidad en los hechos reclamados puesto que la perdida de confidencialidad de los datos del reclamante se debe a la actuación imputable al proveedor, que aun cuando su colaborador hubiera sido negligente en su actuación, se requeriría una actuación culposa o dolosa por parte de ORANGE que bajo ningún concepto se habría producido en el presente caso, y que la consecuencia de la puntual disfunción de la impresora no fue un acceso a datos por terceros ajenos, sino que únicamente se produjo la remisión de una carta dirigida al denunciante a un tercero, existiendo por tanto un único tercero y un único afectado. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: En fecha 6 marzo de 2020, tiene entrada en la Agencia Española de Protección de Datos, escrito de la persona afectada en el que, en síntesis, reclama a la entidad, la ausencia de confidencialidad en el tratamiento de sus datos. SEGUNDO: Consta copia de la conversación mantenida mediante WhatsApp en la que el interlocutor se pone en contacto con él, con motivo de haber recibido un envío de tarjetas SIM con un documento adjunto que no le corresponde. En el documento aparece los datos personales del reclamante junto con los datos de dos tarjetas SIM que el reclamante ha recibido. Determinan, durante la conversación, que cada uno ha recibido sus tarjetas SIM, pero el reclamante no ha recibido ninguna hoja adjunta, habiéndola recibido esa tercera persona, y cuya fotografía le remite por WhatsApp. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. Artículo 28.1. Responsabilidad. “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Artículo 89.1.d). Propuesta de resolución en los procedimientos de carácter sancionador. “1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
- a)La inexistencia de los hechos que pudieran constituir la infracción.
- b)Cuando los hechos no resulten acreditados.
- c)Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa.
- d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad.
- e)Cuando se concluyera, en cualquier momento, que ha prescrito la infracción.” En el presente caso, los hechos acaecidos implicarían un resultado no perseguido, que fue motivado por un fallo de una impresora y, por tanto, la comisión de un error. Hemos de tener en cuenta que, como pone de manifiesto la Audiencia Nacional, y en la medida en que no concurre voluntariedad en el acto, que no se ha producido un resultado especialmente lesivo, y que no consta la falta de cuidado en la actuación de la empresa denunciada en sus actividades y funciones, sería contrario a la naturaleza del ámbito sancionador administrativo, sujeto a los principios de intervención mínima y proporcionalidad, imponer una sanción al respecto del hecho acaecido, no merecedor de actuación sancionadora al no concurrir el elemento de la culpabilidad. En este sentido, la Sentencia de la Audiencia Nacional de 14 de diciembre de 2006, recurso nº 1363/2005, señala en sus Fundamentos Jurídicos lo siguiente: “La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 130.1 de la Ley 30/1.992 de 26 de noviembre , que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia.” Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SsTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998 , "...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril , al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Por todo ello, teniendo en cuenta que todo se ha debido a una incidencia provocada por un fallo en el funcionamiento de una impresora de un proveedor, en armonía con el pronunciamiento jurisprudencial, debe acordarse el archivo de las actuaciones. No obstante, se recuerda a la entidad reclamada que habrá de extremar las precauciones y amonestar a su proveedor al objeto de evitar conductas como las descritas en la reclamación presentada. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionador. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. con NIF A82009812. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es