PS-00114-2017

1/8 Procedimiento Nº: PS/00114/2017 RESOLUCIÓN R/02148/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00114/2017, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 17/05/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ORANGE ESPAGNE, S.A.U., mediante el Acuerdo que se transcribe: <<Procedimiento Nº: PS/00114/2017 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE, S.A.U., en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes, HECHOS PRIMERO: Con fecha 18/05/2016 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que el 14/04/2016 recibió una carta de ALTAIA CAPITAL, S.A.R.L., (ALTAIA) reclamándole una deuda inexistente de 234,65 euros, cedida por ORANGE ESPAGNE, S.A.U., (en lo sucesivo, ORANGE o la denunciada) por la que ha resultado incluida en el fichero ASNEF. Indica que la AEPD sancionó en el pasado a ORANGE por atribuirle la deuda, a la que es ajena, y sobre la que versa su actual denuncia. Aporta, entre otros, los siguientes documentos: - Carta con los anagramas de ORANGE y ALTAIA, de fecha 05/04/2016, personalizada a nombre de la denunciante y referenciada, informándole de la venta de una cartera de deuda efectuada por la primera de las entidades a la segunda, en fecha 29/02/2016, entre las que consta un crédito frente a la denunciante por importe de 234,65€. - Carta de Asnef Equifax, Servicios de Información sobre Solvencia Patrimonial y Crédito, S.L., comunicando a la denunciante que sus datos, asociados a una deuda de 234,65 euros, serán visibles en el fichero ASNEF desde el 05/05/2016 si persiste en la situación de impago. - Carta certificada remitida por la denunciante a ALTAIA, que consta recibida por esa entidad el 20/04/2016, en la que explica que la deuda por la que ha sido incluida en ASNEF es inexistente y solicita que se rectifique el dato C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 inexacto y se cancelen sus datos del fichero de solvencia. - Carta certificada remitida por la denunciante a Asnef Equifax, S.L., en la que solicita la cancelación de sus datos del fichero ASNEF. - Escrito de Asnef Equifax, S.L., dirigido a la denunciante, de fecha 27/04/2016, comunicándole que procede a la baja cautelar de la incidencia informada por ALTAIA - Escrito de Asnef Equifax, S.L., dirigido a la denunciante, de 29/04/2016, comunicándole que sus datos personales se han dado de alta en el fichero ASNEF con fecha 28/04/2016 a instancia de ALTAIA. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones de investigación encaminadas a su esclarecimiento teniendo conocimiento de los siguientes extremos: 1. Antecedentes: Con fecha 24/07/2013 se recibió en la AEPD un escrito de la denunciante en el que ponía de manifiesto el tratamiento de sus datos por parte de ORANGE ESPAGNE S.A.U sin tener ningún producto contratado con ella. El escrito dio lugar al Procedimiento sancionador PS/00366/2014, en el que se impuso a ORANGE, en Resolución de fecha 07/11/2014, una sanción por infracción de los artículos 6.1 y 4.3, en relación con el 29.4 de la LOPD y 38.1.a, del RLOPD, tipificadas respectivamente en los artículos 44.3.

1. b)y 44.3.
2. c)de la LOPD. Cada una de las infracciones fue sancionada con una multa de 20.000 euros al estimarse la concurrencia de la atenuante cualificada del artículo 45.5.
3. a)LOPD. 2. Resultado de las actuaciones de investigación: A. Con fecha 08/08/2016 ALTAIA ha remitido a esta Agencia la siguiente información relativa a los hechos denunciados: 1. Que con fecha 29/02/2016 suscribió un contrato de cesión de créditos con ORANGE ESPAÑA S.A.U, del que aportan copia. 2. Que en virtud del contrato de cesión de créditos ORANGE facilitó a ALTAIA una base de datos en la que “se incluían los datos de contratación de los titulares de los créditos cedidos, tales como direcciones postales y electrónicas, y teléfonos de contacto, sin que se incluyese entre la documentación cedida el contrato de suscripción de servicios de telefonía entre la operadora y la reclamante, garantizando en el mismo que los créditos cedidos eran ciertos, vencidos y exigibles así como la veracidad de los datos recabados por la teleoperadora” 3. Que en la base de datos que les proporciono ORANGE sobre los titulares de los créditos cedidos se encontraban los datos de la denunciante, con domicilio en calle (C/...1), siendo el importe de la deuda cedida 234,65 euros. Aporta copia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 impresa de dichos datos. 4. Que entre la documentación facilitada por ORANGE relativa a los créditos cedidos no se incluían los contratos suscritos por los clientes con la operadora, si bien ésta garantizaba que los créditos objeto de la cesión eran ciertos, vencidos y exigibles. 5. ORANGE sí les ha facilitado las facturas emitidas a los clientes con indicación de las que se encontraban pendientes de pago. Aporta copia de las seis facturas impagadas, emitidas a nombre de la denunciante, que corresponden a la línea ***TEL.1, por un total de 234,65 euros La primera factura impagada es de noviembre de 2012 y la última de agosto de 2013. Respecto a las comunicaciones recibidas de la denunciante: 1. Con fecha 24/04/2016, la denunciante solicitó la cancelación de sus datos ante lo que la entidad le requirió que aportara copia de su DNI o de documentación identificativa equivalente. 2. Con fecha 28/06/2016 recibió una nueva reclamación de la denunciante que tampoco aportó documento identificativo, por lo que de nuevo le solicitaron que remitiera el D.N.I. o documento equivalente. Respecto a la inclusión de los datos de la denunciante en el fichero ASNEF: 1. En el escrito remitido a la denunciante, de fecha 05/04/2016 comunicándole la cesión de su deuda se le informaba de que en el caso de mantenerse la misma, en el plazo de 15 días, ALTAIA comunicaría sus datos al fichero ASNEF. B. ORANGE ESPAGNE S.A.U, en su escrito de 19/01/2017 manifiesta que “el requerimiento de información que han recibido de la AEPD se refiere a los mismos hechos que ya fueron objeto de las actuaciones con referencia E/6153/2013 del que resultó el Procedimiento PS/00366/2014. Así mismo, manifiestan que no tienen constancia de que por parte de la compañía se haya producido ningún tratamiento de los datos de la denunciante con posterioridad a la fecha de resolución del citado procedimiento.” FUNDAMENTOS DE DERECHO PRIMERO: Los hechos expuestos podrían suponer la comisión por ORANGE ESPAGNE, S.A.U., de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), precepto que dispone: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 44.3.
4. b)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Las infracciones graves pueden ser sancionadas con multa de 40.001 a 300.000 euros, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 SEGUNDO: De las actuaciones de investigación efectuadas por la Inspección de Datos consta acreditado que la AEPD sancionó a ORANGE en el marco del PS/366/2014, en resolución dictada el 07/11/2014, por haber tratado los datos personales de la actual denunciante sin su consentimiento –tratamiento materializado en haber dado de alta a su nombre una línea telefónica sin que la denunciada hubiera acreditado que la afectada otorgó el consentimiento a la contratación- y por vulneración del principio de calidad de los datos, pues informó sus datos, asociados a la deuda cuya existencia la denunciante niega, a un fichero de solvencia patrimonial. Pese a que ORANGE fue sancionada en el PS/366/2014 como responsable de una infracción del artículo 6.1 de la LOPD ha continuado tratando los datos personales de la afectada sin legitimación para ello. Así lo demuestra el hecho de que el 29/02/2016, en una operación de venta de créditos celebrada con ALTAIA, ORANGE incluyera una deuda a nombre de la denunciante, que supuestamente ostentaba frente a ella, vinculada a sus datos personales. Deuda que procedía de un pretendido contrato que la operadora habría suscrito en el pasado, asociado a los datos personales de la afectada, y del que no pudo acreditar el consentimiento de la titular de los datos que legitimara ese tratamiento (ex artículo 6.2 LOPD). Esta conducta de ORANGE dio lugar a la interposición de una denuncia de la afectada que desembocó en el expediente sancionador PS/3666/2014. Que ORANGE continuó tratando los datos personales de la denunciante con posterioridad a la resolución sancionadora dictada por la AEPD en noviembre de 2014 lo demuestra el hecho de que ALTAIA haya acreditado documentalmente que los datos personales de la denunciante, vinculados a la deuda que le reclama, habían sido cedidos por ORANGE con ocasión de la compra de una cartera de créditos de febrero de 2016. ORANGE, por su parte, no sólo no ha demostrado tener legitimación para tratar los datos personales de la denunciante sino que se ha limitado a responder al requerimiento informativo de la Inspección de Datos que “no tiene constancia de que se haya producido ningún tratamiento de los datos de la denunciante con carácter posterior al 14/11/2014”. Así las cosas, la conducta examinada es constitutiva de una infracción del artículo 6.1 de la LOPD, de la que se responsabiliza a ORANGE, concretada en el tratamiento de los datos personales de la afectada realizado con posterioridad a la resolución sancionadora de noviembre de 2014 y evidenciada en el hecho de haber incluido los datos de la denunciante, vinculados a una supuesta deuda, entre los créditos que ORANGE vendió a ALTAIA en febrero de 2016. Se pone de manifiesto así que durante el periodo de tiempo intermedio (entre 07/11/2014 y el 29/02/2016) los datos de la denunciante, vinculados a una deuda inexistente, estaban incorporados a sus ficheros. TERCERO: De las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, procede graduar la sanción a imponer de acuerdo con los siguientes criterios descritos en el artículo 45.4 de la LOPD que, en el asunto que nos ocupa, operan agravando la responsabilidad administrativa de la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 infractora: -“El carácter continuado de la infracción” (apartado a,), pues ORANGE trató los datos personales de la denunciante durante un largo periodo de tiempo sin estar legitimada para ese tratamiento. Desde noviembre de 2014, cuando se dicta la resolución sancionadora del PS/366/2014, hasta la fecha en la que cede los datos de la afectada a ALTAIA en el marco de la venta de una cartera de créditos, el 29/02/2016. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) ya que la actividad empresarial de ORANGE, por su propia naturaleza, exige un continuo tratamiento de datos de carácter personal. - “El volumen de negocio o actividad del infractor”, (apartado d), es un hecho notorio que no precisa prueba que estamos ante una de las grandes empresas del mercado nacional e internacional en materia de telecomunicaciones. - “El grado de intencionalidad” (apartado,
5. f)expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “(…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Estimamos que ORANGE obró con una grave falta de diligencia ya que a raíz de la resolución dictada por la AEPD en el PS 366/2014 debió haber procedido a cancelar la deuda atribuida a la afectada y sus datos personales de sus ficheros. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a ORANGE ESPAGNE, S.A.U. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
6. b)de la citada Ley. 2. NOMBRAR Instructora a B.B.B. y Secretario a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones, así como el informe de actuaciones previas de Inspección; documentos todos ellos que integran el expediente E/03427/2016. 4. QUE a los efectos previstos en el art. 64.2
7. b)de la Ley 39/2015, de 1 de octubre, del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y el artículo 127 letra
8. b)del RLOPD, la sanción que pudiera corresponder sería de 60.000 euros (cincuenta mil euros), sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a ORANGE ESPAGNE, S.A.U., indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
9. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
10. f)y 85 de la LPACAP, se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 12.000 euros. Con la aplicación de esta reducción la sanción quedaría establecida en 48.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá en cualquier momento anterior a la resolución del presente procedimiento llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 12.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 48.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 36.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (48.000 euros o 36.000 euros) de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00114/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
11. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos” SEGUNDO: En fecha 07/06/2017 la entidad ORANGE ESPAGNE, S.A.U. ha procedido al pago de la sanción en la cuantía de 36.000 euros (treinta y seis mil euros), haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 30/05/2017 tuvo entrada en esta Agencia un escrito de la entidad ORANGE ESPAGNE, S.A.U., de fecha 26/05/2017, en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00114/2017, de SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es