1/16 Procedimiento Nº PS/00133/2015 RESOLUCIÓN: R/01923/2015 En el procedimiento sancionador PS/00133/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 28/02/2014 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo la denunciante), en el que declara que el martes 25/02/2014 recibió la llamada de un señor de Málaga al que no conoce que le comunica que tiene un teléfono móvil a su nombre. Este descubrimiento lo hizo al entrar en la página de ORANGE ESPAGNE S.A.U. (en lo sucesivo ORANGE), en el espacio reservado para clientes donde los datos personales están asociados a tu número de teléfono. Este señor consiguió su número de teléfono al entrar en la página ya que allí están todos sus datos personales. Se ha dirigido a Orange para que solucionen el problema pero el día en que pone la denuncia ante la Agencia todavía no se ha resuelto y la tercera persona sigue accediendo a sus datos personales. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ORANGE, - Con 18 y 20/02/2015 de febrero se realiza una visita de inspección a ORANGE y se recaba la siguiente información que queda plasmada en el Acta de Inspección correspondiente: 1. Los inspectores comunican al representante de ORANGE que su visita tiene relación con la denuncia presentada por la denunciante, cliente de ORANGE a quien se le ha asociado una línea telefónica que no reconoce. La línea telefónica objeto de la denuncia y que manifiesta no reconocer es la ***TEL.1. 2. Los inspectores de la Agencia solicitan al representante de ORANGE que les permita el acceso a los sistemas de información. Se realizan las siguientes comprobaciones en el sistema que gestiona los datos personales de los clientes: a. Se realiza una búsqueda por el número de teléfono ***TEL.1. Se comprueba que este número que es una línea de prepago y que ha tenido 4 titulares, los dos primeros no están identificados y los otros dos, un período a nombre de la denunciante y otro a nombre de B.B.B.(en lo sucesivo MB) en dos cuentas diferentes. b. Se realiza una búsqueda por número de cuenta ***CTA.1 y se comprueba que corresponde al DNI de la denunciante, dirección (C/............1), de Madrid, correo electrónico ......@hotmail.com y se comprueba que tiene dos contratos en esa cuenta: ***CONTRATO.1, con dos servicios activos, uno de prepago ***TEL.2, activado el día 15/08/2010 y desactivado el 19/12/2014 y otro de telefonía fija C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 ***CONTRATO.2, con un servicio de prepago asociado al número de teléfono ***TEL.1, fue activado el día 06/08/2008 y desactivado por takeover el día 05/3/2014 Los representantes de ORANGE manifiestan que “takeover” significa que el número pasó a otra cuenta de facturación. Se verifica que el contrato ***CONTRATO.2 asociado a la denunciante pasó al número de contrato ***TEL.3 el día 05/03/2014 por takeover. c. Se realiza una búsqueda por número de contrato ***TEL.3. Se comprueba que el titular es MB con dirección en Málaga y que el servicio fue activado el 13/01/2015 por reemplazo. Se verifica que el contrato ***TEL.3 está desactivado por takeover el 13/01/2015, fecha que coincide con la activación en el contrato actual, ***TEL.4 d. Se realiza una búsqueda por número de contrato ***TEL.4 y se verifica que consta un reemplazo asociado a la línea ***TEL.1 con fecha 13/01/2015. e. Se accede a la historia de los cambios que han ocurrido en la cuenta ***CTA.1 y se comprueba que constan dos takeover, uno de fecha 05/03/2014, pasa del contrato ***CONTRATO.2 al ***TEL.3 (según consta en el documento 1) y otra de fecha 13/01/2015. f. Se solicita acceso al histórico de la cuenta ***CTA.1 obtenida en el documento 1 asociada a la denunciante y para número de teléfono ***TEL.1 y se verifica lo siguiente: con fecha 30/12/2008, la línea de prepago que estaba sin identificar se asocia a C.C.C.. Según manifiestan los representantes de Orange esta identificación se realizó en un punto de venta ya que en el campo “creado por” aparece el valor SID. con fecha 29/01/2011, la línea pasa a nombre de la denunciante, constando en el cambio el domicilio y DNI de la misma. En el campo “creado por” también aparece el valor SID. según consta en el documento 2, se hace takeover el 05/03/2014 de la denunciante a MB. Los representantes de ORANGE manifiestan que la denunciante, que los datos que facilitó en el momento de identificarse como titular de esta línea el día 29/01/2011 coinciden con los que tiene asociados a las dos líneas de las que es titular g. Se solicita acceder a los contactos mantenidos por la denunciante con ORANGE. Se verifica que consta entre otras, una llamada entrante del 23/01/2012 solicitando cambio de tarifa para el número que no reconoce C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 Los representantes de ORANGE manifiestan que para solicitar el cambio de tarifa en una tarjeta prepago es necesario que se identifique la persona que consta en sus sistemas como titular de la misma y en ese momento, la tarjeta consta a nombre de ella. 3. Los inspectores solicitan a los representantes de ORANGE acceso a la página web de ORANGE que permite a los clientes visualizar los datos personales asociados a una línea telefónica. Se accede a la web de ORANGE y se comprueba que el sistema permite teclear un número de teléfono y solicita una clave para acceder. En caso de no acordarse de la misma, el sistema de ORANGE facilita al número de teléfono una nueva clave de acceso. A partir de ese momento ya puede conectarse a la web y ver los datos personales. Los representantes de ORANGE manifiestan que la persona que estuviese en posesión del número de teléfono ***TEL.1, pudo obtener una clave y así acceder a los datos personales de la denunciante, ya que ese número de teléfono estaba adjudicado a ella como titular del mismo. 4. Los inspectores solicitan información sobre la solución al problema planteado por la denunciante ante ORANGE, mostrando la documentación aportada por la denunciante que acredita que contacto con la empresa. Aportan copia de un documento que acredita que con fecha 05/03/2014 comunican a la denunciante que la línea ***TEL.1 ya no consta activada a su nombre. La solución fue hablar con el distribuidor y se detectó que es un distribuidor con varias tiendas y que tiene centralizada la actualización de datos de clientes de todas ellas en los sistemas de ORANGE. En este caso todavía no se había producido la actualización de los datos del nuevo usuario de la tarjeta en los sistemas de ORANGE. Es en el momento de solucionar la incidencia cuando se actualizan, realizando el takeover a nombre de MB. Los representantes de ORANGE manifiestan que el teléfono estuvo activo todo el tiempo ya que si no hubiese habido recargas en la línea durante 13 meses seguidos, en los sistemas constaría que la misma ha expirado, circunstancia que no se ha producido en este número de teléfono. TERCERO: Con fecha 25/02/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE por presuntas infracciones de los artículos 10 y 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en los artículos 44.3.
- d)y 44.3.
- c)de dicha norma, pudiendo ser sancionadas cada una de ellas con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de ORANGE mediante email de 04/03/2015 solicito copia del expediente administrativo; mediante escrito del instructor de 11/03/2015 fueron remitidas copias de la documentación solicitada. La representación de ORANGE mediante escrito de 17/03/2015 formuló, en síntesis las siguientes alegaciones: infracción del principio de tipicidad, inexistencia de infracción y ausencia de prueba que justifique la incoación del presente procedimiento sancionador, infracción del principio de presunción de inocencia y el archivo del expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 QUINTO: Con fecha 23/03/2015 se inició un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/04766/2014. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por ORANGE y la documentación que a ellas acompaña. Solicitar al denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. El 15/04/2015 la denunciante daba respuesta señalando que no tenía nada más que aportar. SEXTO: En fecha 24/06/2015, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a ORANGE por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, con multas de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de ORANGE el 30/06/2015 presentó escrito de alegaciones reiterando las realizadas a lo largo del procedimiento, que los hechos denunciados no son constitutivos de infracción y su disconformidad con la sanción propuesta, solicitando el archivo del expediente. HECHOS PROBADOS PRIMERO. Con fecha de 28/02/2014 tiene entrada en esta Agencia escrito de la afectada, en el que denuncia que el día 25/02/2014 recibió una llamada de un tercero que decía tener su teléfono móvil vinculado a sus datos personales; que lo había descubierto entrando en la web de ORANGE destinado a clientes, donde figuran los datos personales asociados a tu móvil; que puesto en contacto con la compañía le informaron que desconocían como era posible que el teléfono de dicho señor estuviera vinculado a sus datos personales y que a la vez tuviera acceso a los mismos; que había comprobado dicha situación y denunciado en el espacio destinado a ello si bien el tercero seguía compartiendo su teléfono con sus datos (folio 1 y 2). SEGUNDO. La denunciante aporta copia de su DNI nº ***DNI.1 (folio 2). TERCERO. La denunciante ha aportado, junto con el escrito de denuncia, la captura de las impresiones de pantalla de la web de ORANGE, área clientes; en la primera de ella aparece expandida al pulsar sobre su número de telefonía ***TEL.5 ventana donde figuran otros dos números de telefonía móvil, el asociado a la línea ***TEL.1 prepago y el ***TEL.2 prepago. Asimismo, en la segunda impresión de pantalla y vinculados al número de telefonía móvil ***TEL.1 figuran sus datos personales y bancarios. Además, se puede consultar: listados de llamadas, internacional y roaming, tarifas y promociones, servicios de tu línea, validez de mi tarjeta, etc. (folios 3 y 4). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 CUARTO. Constan copia de los e-mails remitidos por la denunciante a Atención al cliente de Orange Particulares, así como las respuestas obtenidas: El 26/02/2014, a las 12:23, la denunciante se dirige al citado servicio manifestando “hoy, he recibido una llamada de una persona de Málaga que dice que su línea de teléfono está a mi nombre y así es, no entiendo porque tiene mi número actual, he acudido a la tienda más cercana y luego me he metido en internet y he comprobado que tengo tres líneas a mi nombre y solo dos de ellas son mías realmente, y además ustedes han dado mis datos de contacto a un desconocido, algo ilegal” En la misma fecha, a las 09:58 el citado servicio responde a la denunciante, indicando: “Me ha llamado la atención que a otra persona que no tiene nada que ver contigo, se le hayan dado tus datos, así que tomaremos medias para que no vuelva a suceder. Necesito que me confirme las líneas que sí están a tu nombre para poder así solucionarlo todo…”. En la misma fecha, a las 07:00, la denunciante responde: “El teléfono móvil que no me corresponde es el siguiente ***TEL.1. Este usuario puede acceder a mis datos en internet. Deberían ponerse en contacto con este señor para solucionar su problema porque ustedes me dijeron que la solución era darlo de baja y el error ha sido suyo…” El 27/02/2014, Atención al cliente de Orange Particulares le responde: “Estoy trabajando en tu caso para poder resolverlo” (folios 7 y 8). QUINTO. En el Acta de Inspección E/04766/2014/I-01, llevada a cabo en la sede de la entidad denunciada, se señala lo siguiente: 1. Los inspectores comunican al representante de ORANGE que su visita tiene relación con la denuncia presentada por la denunciante, cliente de ORANGE a quien se le ha asociado una línea telefónica que no reconoce. La línea telefónica objeto de la denuncia y que manifiesta no reconocer es la ***TEL.1. 2. Los inspectores de la Agencia solicitan al representante de ORANGE, que les permita el acceso a los sistemas de información. Se realizan las siguientes comprobaciones en el sistema que gestiona los datos personales de los clientes: a. Se realiza una búsqueda por el número de teléfono ***TEL.1. Se comprueba que este número que es una línea de prepago y que ha tenido 4 titulares, los dos primeros no están identificados y los otros dos, un período a nombre de A.A.A. y otro a nombre de B.B.B.en dos cuentas diferentes. (…) b. Se realiza una búsqueda por número de cuenta ***CTA.1 y se comprueba que corresponde al DNI ***DNI.1 asociado a la denunciante, dirección (C/..........1) de Madrid, correo electrónico ......@hotmail.com. Asimismo se comprueba que tiene dos contratos en esa cuenta: - ***CONTRATO.1, con dos servicios activos, uno de prepago ***TEL.2, activado el día 15/8/2010 y desactivado el 19/12/2014 y otro de telefonía fija - ***CONTRATO.2, con un servicio de prepago asociado al número de teléfono ***TEL.1, fue activado el día 6/8/2008 y desactivado por takeover el día 5/3/2014 Los representantes de Orange manifiestan que “takeover” significa que el número pasó a otra cuenta de facturación. Se verifica que el contrato ***CONTRATO.2 asociado a la denunciante pasó al número de contrato ***TEL.3 el día 5/3/2014 por takeover. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 (…) c. Se realiza una búsqueda por número de contrato ***TEL.3. Se comprueba que el titular es B.B.B.con dirección en Málaga y que el servicio fue activado el 13/1/2015 por reemplazo. Se verifica que el contrato ***TEL.3 está desactivado por takeover el 13/1/2015, fecha que coincide con la activación en el contrato actual, ***TEL.4. Se realiza una búsqueda por número de contrato ***TEL.4 y se verifica que consta un reemplazo asociado a la línea ***TEL.1 con fecha 13/1/2015. (…) d. Se accede a la historia de los cambios que han ocurrido en la cuenta ***CTA.1 y se comprueba que constan dos takeover, uno de fecha 5/3/2014, pasa del contrato ***CONTRATO.2 al ***TEL.3 (según consta en el documento 1) y otra de fecha 13/01/2015. (…). e. Se solicita acceso al histórico de la cuenta ***CTA.1 obtenida en el documento 1 asociada a la denunciante y para número de teléfono ***TEL.1 y se verifica lo siguiente: • con fecha 30/12/2008, la línea de prepago que estaba sin identificar se asocia a C.C.C.. Según manifiestan los representantes de Orange esta identificación se realizó en un punto de venta ya que en el campo “creado por” aparece el valor SID. • con fecha 29/1/2011, la línea pasa a nombre de A.A.A., constando en el cambio el domicilio y DNI de la Sra. A.A.A.. En el campo “creado por” también aparece el valor SID. • según consta en el documento 2, se hace takeover el 5/3/2014 de la Sra. A.A.A. al Sr. C.C.C.. (…) Los representantes de ORANGE manifiestan que la denunciante que los datos que facilitó en el momento de identificarse como titular de esta línea el día 29/1/2011 coinciden con los que tiene asociados a las dos líneas de las que es titular. f. Se solicita acceder a los contactos mantenidos por la denunciante con ORANGE. Se verifica que consta entre otras, una llamada entrante del 23/1/2012 solicitando cambio de tarifa para el número que no reconoce. Los representantes de ORANGE manifiestan que para solicitar el cambio de tarifa en una tarjeta prepago es necesario que se identifique la persona que consta en sus sistemas como titular de la misma y en ese momento, la tarjeta consta a nombre de ella. (…) 3. Los inspectores solicitan a los representantes de ORANGE acceso a la página web de ORANGE que permite a los clientes visualizar los datos personales asociados a una línea telefónica. Se accede a la web de ORANGE y se comprueba que el sistema permite teclear un número de teléfono y solicita una clave para acceder. En caso de no acordarse de la misma, el sistema de ORANGE facilita al número de teléfono una nueva clave de acceso. A partir de ese momento ya puede conectarse a la web y ver los datos personales. Los representantes de ORANGE manifiestan que la persona que estuviese en posesión del número de teléfono ***TEL.1, pudo obtener una clave y así acceder a los datos personales de la denunciante, ya que ese número de teléfono estaba adjudicado a ella como titular del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 4. Los inspectores solicitan información sobre la solución al problema planteado por la denunciante ante ORANGE, mostrando la documentación aportada por la denunciante que acredita que contacto con la empresa. Aportan copia de un documento que acredita que con fecha 5/3/2014 comunican a la denunciante que la línea ***TEL.1 ya no consta activada a su nombre. La solución fue hablar con el distribuidor y se detectó que es un distribuidor con varias tiendas y que tiene centralizada la actualización de datos de clientes de todas ellas en los sistemas de ORANGE. En este caso todavía no se había producido la actualización de los datos del nuevo usuario de la tarjeta en los sistemas de ORANGE. Es en el momento de solucionar la incidencia cuando se actualizan, realizando el takeover a nombre del Sr. C.C.C.. (…) Los representantes de Orange manifiestan que el teléfono estuvo activo todo el tiempo ya que si no hubiese habido recargas en la línea durante 13 meses seguidos, en los sistemas constaría que la misma ha expirado, circunstancia que no se ha producido en este número de teléfono. (…) (folios 10 a 13) (el subrayado es de la AEPD). SEXTO. ORANGE no ha acreditado que hubiese obtenido el consentimiento o autorización del denunciante para la revelación de sus datos en relación con la vinculación con el nº de telefonía móvil ***TEL.1, ni que exista norma legal que justifique dicha revelación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a ORANGE en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III El artículo 9 de la LOPD establece en relación con la seguridad de los datos que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. El RD/1720/2007 establece un régimen específico de “seguridad” a implantar por el responsable del fichero para salvaguardar la tutela debida a un derecho fundamental ex artículo 18.4 de la Constitución Española, de conformidad con la doctrina sentada por la STC 292/2000. Así en su artículo 80 señala que “las medidas de seguridad exigibles a los ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto.” Así en los artículos 89 a 94 del citado reglamento se recogen las medidas a implantar para datos a los que son aplicables las medidas de nivel básico y en los artículos 95 a 100 las medidas a implantar para datos a los que son aplicables las medidas de nivel medio. Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y en un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y que encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho fundamental a la protección de los datos de carácter personal. IV En el presente caso, ha quedado acreditado que ORANGE vulneró el deber de confidencialidad en relación con los datos personales de la afectada, los cuales podían ser visualizados por un tercero accediendo a la página web de la operadora en su área de clientes, de manera tal que el titular del teléfono ***TEL.1 podía consultar sus datos de carácter personal; titularidad que en ese momento la ostentaba un tercero con residencia en Málaga. Esta información de carácter personal no podía ser facilitada a terceros, salvo con el consentimiento del afectado o existiendo una habilitación legal que permitiera su comunicación, que en el presente caso no concurre. La propia entidad denunciada tal y como consta en el punto 3 y 4 del Acta de Inspección E/04766/2014/I-1 (folio 12), ha reconocido que “la persona que estuviese en posesión del número de teléfono ***TEL.1, pudo obtener una clave y así acceder a los datos personales de la denunciante, ya que ese número de teléfono estaba adjudicado a ella como titular del mismo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 Asimismo, ORANGE señala que para solucionar el problema planteado por la denunciante tuvieron que “hablar con el distribuidor y se detectó que es un distribuidor con varias tiendas y que tiene centralizada la actualización de datos de clientes de todas ellas en los sistemas de ORANGE. En este caso, todavía no se había producido la actualización de los datos del nuevo usuario de la tarjeta en los sistemas de ORANGE. Es en el momento de solucionar la incidencia cuando se actualizan, realizando el takeover a nombre del Sr. C.C.C.”, es decir, el tercero con residencia en Málaga. Hay que señalar que tal y como consta en el Acta de Inspección, según ORANGE takeover significa que el número pasa a otra cuenta de facturación (folio 11), no que en ese momento se produzca la contratación. Además, ORANGE tampoco ha acreditado ni justificado la fecha en la que el tercero con residencia en Málaga se identifica ante el distribuidor como nuevo usuario dela tarjeta y que motivó que pudiese acceder a la web de la entidad y pudiendo consultar los datos personales de la denunciante. Por tanto, queda acreditado que por parte de ORANGE, se ha vulnerado el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que un tercero tuviese acceso a los datos personales de la denunciante a través de la clave asociada al número de teléfono ***TEL.1. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el caso analizado, se ha producido por ORANGE una vulneración del deber de secreto al vincular los datos de la denunciante al número de teléfono ***TEL.1 que en ese momento pertenecía a un tercero también cliente de la entidad y cuyos datos no se habían actualizado en los sistemas de la compañía, lo que le permitía visualizar cuando accedía al área de clientes de la entidad vía web los datos de carácter personal de la denunciante, además de otros relativos a llamadas, facturación, etc. Es por ello, que la conducta imputada a ORANGE, como responsable del fichero, supone la vulneración del artículo 10 de la LOPD, que encuentra su tipificación en el tipo del citado artículo 44.3.d). VI En segundo lugar, se imputa a ORANGE en el presente procedimiento la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo ut supra impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Y en el apartado 4 de dicho artículo determina que: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. VII En el presente caso, consta acreditado que ORANGE ha tratado los datos de la denunciante de manera inexacta y sin que respondiera con veracidad a su situación actual (en aquel momento), en relación con la línea de telefonía móvil asociada al número ***TEL.1 que permanecía vinculada a la cuenta de facturación de la denunciante; línea que no le correspondía y que había sido asignada a otro cliente de la entidad y cuyos datos no se había actualizado en los sistemas de ORANGE. La Audiencia Nacional, en Sentencia de fecha 16/01/2008, manifestaba: “Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso –artículo 44.3.
- d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos personales que iba a tratar no cumplían con los requisitos legalmente impuestos, si tenemos en cuenta que la actividad de la recurrente, por su propia naturaleza, ha de tener un cumplido conocimiento, y un escrupuloso respeto, de las normas en materia de protección de datos cuando en su actividad ordinaria se produce un manejo masivo de los mismos. Y es esta falta diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la naturaleza de los datos personales a los que se tiene acceso es una circunstancia que ha de hacerse previamente y de modo riguroso antes de proceder al tratamiento de los mismos, pues se trata de la salvaguarda de un derecho fundamental, el derecho a la protección de los datos previstos en l. Artículo 18.4 de la Constitución.” Por tanto, de conformidad con el artículo 4.3 de la LOPD, correspondía a ORANGE adoptar las medidas necesarias para que la situación acaecida no se produjera. Este comportamiento supone una vulneración del principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, de la que ORANGE debe responder por ser responsable de la veracidad y exactitud los datos que sujetos a su tratamiento. VIII El “tratamiento” de datos personales exige que se lleve a cabo de conformidad con los principios de “calidad de los datos”, es decir, que los datos tratados han de ser “exactos y puestos al día”, requisitos que no se han cumplido en el caso analizado. En este sentido, la Audiencia Nacional ha declarado en numerosas sentencias, entre otras la de fecha 13/03/2009, que señala: “El principio de calidad del dato, como esta Sala ha reiterado en numerosísimas ocasiones, se infringe no solo cuando se facilitan los datos erróneos a un fichero que presta información a terceros sobre el incumplimiento de obligaciones dinerarias (Art. 4.3 LOPD en relación con el artículo 29 de la misma) sino también cuando los datos existentes en los propios ficheros de la entidad acreedora son inexactos y no actuales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 La resolución de la Agencia impugnada, en su fundamentación jurídica, considera que ha quedado acreditado que Jazztel giró facturas correspondientes a un número de teléfono por unos servicios que, si bien se habían solicitado por el denunciante, no se habían prestado por la operadora. Los datos personales referidos al denunciante que figuraban en sus ficheros dejan de ser exactos en el momento en que figuran en ellos datos de servicios no prestados e importes no debidos realmente. Después de advertirlo, siguieron siendo inexactos los datos reclamándole el pago de facturas por ese servicio no prestado. Y esos datos inexactos son comunicados a la empresa de impagados para que realice su actuación”. Por lo tanto, ha quedado acreditado que el tratamiento de los datos inexactos de la denunciante realizado por parte del ORANGE, no respondía con veracidad a la situación de aquella, incurriendo por ello en una vulneración del principio de calidad de datos recogido en el artículo 4.3 de la LOPD, que encuentra su tipificación en el artículo 44.3.
- c)de la citada Ley Orgánica IX El artículo 44.3.
- c)de la LOPD considera infracción grave: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. ORANGE ha incurrido en la infracción grave descrita al tratar datos inexactos y no veraces de la denunciante en relación con la línea de telefonía móvil número ***TEL.1 que no le correspondía y cuyo titular en ese momento era un tercero con residencia en Málaga, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. X El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En tal caso, y siempre que no exista regulación específica para resolver dicho concurso ideal de infracciones, se aplicaría la técnica jurídica penal propia del concurso ideal de delitos. (STS de 9 de junio de 1999 y de 10 de marzo de 2003). El precepto anterior exige una necesaria derivación de una infracción/es respecto de otra/s y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que ha de conferirse a la expresión contenida en el precepto de que “una infracción derive necesariamente la comisión de otra u otras”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 Pues bien, en el caso estudiado ORANGE trato los datos de la denunciante de manera inexacta, datos de los que es responsable de conformidad con el artículo 3.
- d)de la LOPD, asociándolos a una línea prepago que no le correspondía y a su cuenta de facturación lo que provocaba que sus datos fueran desvelados a un tercero, lo que comporta una vulneración tanto del artículo 4.3 como del artículo 10 de la LOPD, siendo medio para cometer esta última infracción, la infracción del principio de calidad del dato. Es decir, no pueden disgregarse una infracción respecto de la otra, pues si los datos no hubieran sido tratados de manera inexacta no se habría producido la vulneración del deber de secreto. A falta de regulación específica, la solución dada por la jurisprudencia contencioso-administrativa, basándose en las previsiones del Código Penal, es la de imponer la sanción correspondiente a la infracción más grave. No obstante lo anterior, en atención a que ambas infracciones son tipificadas de igual gravedad, se impone la sanción por la comisión de una, en este caso, por la infracción del principio de calidad del dato, consagrado en el artículo 10 de la LOPD. XI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Hay que señalar que el apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso presente, de las actuaciones practicadas ha quedado acreditado que ORANGE vulneró el artículo 4.3 y 10 de la LOPD, en su condición de responsable del tratamiento, al asociar a la cuenta de facturación de la denunciante datos inexactos y que no respondían con veracidad a la situación de la misma, en relación con la línea de telefonía móvil ***TEL.1 asociada a la misma y cuyo titular en ese momento era un tercero con residencia en Málaga que le permitía mediante una clave de acceso acceder a la zona personal de la denunciante, área de clientes de la web de la compañía, visualizando su nombre y apellidos, NIF, domicilio, datos bancarios, historial de facturación, etc. La propia entidad ha reconocido que “la persona que estuviese en posesión del número de teléfono ***TEL.1, pudo obtener una clave y así acceder a los datos personales de la denunciante, ya que ese número de teléfono estaba adjudicado a ella como titular del mismo” y que para solucionar el problema planteado por la denunciante (folios 7 y 8), la solución hallada fue hablar con el distribuidor interviniente quien tenía varias tiendas y centralizada la actualización de los datos de su clientela en los sistemas de ORANGE; si bien, “En este caso, todavía no se había producido la actualización de los datos del nuevo usuario de la tarjeta en los sistemas de ORANGE. Es en el momento de solucionar la incidencia cuando se actualizan, realizando el takeover (que el número pasa a otra cuenta de facturación) a nombre del Sr. C.C.C.” (tercero con residencia en Málaga que se había puesto en contacto con la denunciante). A mayor abundamiento, la entidad denunciada no ha acreditado la fecha en la el Sr. C.C.C., tercero con residencia en Málaga, se identificó ante el distribuidor como nuevo usuario de la tarjeta, hecho que provocó que pudiese acceder a la web de la entidad, área de clientes, pudiendo consultar los datos personales de la denunciante, además de los relativos a llamadas, facturación, etc. al tener la línea asociada como titular de la misma. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido a la concurrencia de la circunstancia prevista en el apartado
- b)“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente” ya que ORANGE tan pronto como tuvo conocimiento de los hechos a través de los e-mails cruzados con la denunciante de fechas 26 y 27/02/2014 procedió con diligencia a solucionar la situación provocada muy por encima de los diez días que preconiza el artículo 8.5 del Reglamento de desarrollo de la LOPD, actualizando los datos y pasando el número en disputa a la cuenta de facturación del tercero con residencia en Málaga el 05/03/2014, procediendo establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 Por otra parte, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Entre ellas cabe citar el apartado
- c)“la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeñan las entidad denunciad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado
- d)“volumen de negocio o actividad del infractor”, toda vez que se trata de una de las mayores operadores de telefonía del país por volumen de negocio. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 6.000 €, por la infracción del artículo 10 de la LOPD, de la que ORANGE debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, una multa de 6.000 € (seis mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: ARCHIVAR a la entidad ORANGE ESPAGNE S.A.U., por una supuesta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma.. TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U. y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es