PS-00136-2015

1/8 Procedimiento Nº PS/00136/2015 RESOLUCIÓN: R/02196/2015 En el procedimiento sancionador PS/00136/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U., vista la denuncia presentada por Dª A.A.A. y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha de 5/3/14 tiene entrada en esta Agencia un escrito de Dª A.A.A. en el que declara que a pesar de existir una resolución de la Secretaría de Estado de las Telecomunicaciones que determina que no mantiene ninguna deuda con Orange, esta entidad le ha reclamado el pago de la deuda. La afectada aporta copia de un documento enviado por Orange de fecha 07/11/13 le confirman que han revisado la facturación de la línea ***TEL.1anulando la deuda de 90,57 € y quedando al corriente de pago. También aporta copia de un requerimiento de pago de 90,57 € emitido por I.S.G.F. Informes Comerciales en nombre de Orange y fecha 6/2/14. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/04775/2014. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 25/2/15 TERCERO: En fecha 27/02/15, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE, por presunta infracción del artículo 4 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.C) de dicha norma, CUARTO: Por parte del representante de la entidad denunciada se han remitido, con fecha de entrada en esta Agencia 20/03/15 escrito de alegaciones al Acuerdo de Inicio: Infracción del principio de culpabilidad. Inexistencia de hecho alguno tipificable. Que como consecuencia de un error involuntario la información relativa a la anulación de las facturas no fue procesada adecuadamente razón por la cual la Agencia externa ISGF llevó a cabo un intento de recuperación. Se trata de un error puntual y de carácter material que no supone infracción del principio de culpabilidad. Subsidiariamente, aplicación del art. 45.5 No se ha producido ningún tipo de daño de carácter económico a la denunciante, sus datos ni siquiera fueron incluidos en un fichero de morosidad. Y se procedió a subsanar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 la situación denunciada en cuanto se tuvo conocimiento de la reclamación ante la SETSI QUINTO: Con fecha 16/4/15 por el instructor del expediente se abrió periodo de prácticas de pruebas incorporando al expediente la denuncia interpuesta, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE ESPAGNE y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04775/2014 Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por la entidad denunciada y la documentación que a ellas acompaña. SEXTO: Por el instructor del procedimiento se dictó propuesta de resolución, con fecha 29/6/15 en el sentido de que por el Director de la Agencia se sancionara a Orange con una multa de 30.000 € por la infracción del art. 4 de la LOPD. SEPTIMO: Dicha propuesta fue notificada a la entidad denunciada que ha presentado, con fecha 20/7/15 escrito de alegaciones manifestando, en síntesis, lo siguiente: Infracción del principio de culpabilidad. Inexistencia de hecho alguno tipificable en el artículo 4.3 de la LOPD No habiendo existido voluntariedad ni intencionalidad en la actuación de Orange, y que la única gestión relativa al cobro de la deuda se debió a un error del agente encargado de tramitar la cancelación de la deuda, lo que conllevó su tratamiento por el sistema informático de Orange. Que en momento en que se solicitó la portabilidad y se detectó la improcedencia de dicha deuda, como en el momento en que se detectó que la misma había sido tramitada por circunstancias ajenas a Orange se procedió a su cancelación inmediata Subsidiariamente aplicación del art. 45.5 de la LOPD HECHOS PROBADOS 1º Consta denuncia presentada por Dª A.A.A. en el que declara que a pesar de existir una resolución de la Secretaría de Estado de las Telecomunicaciones que determina que no mantiene ninguna deuda con Orange, esta entidad le ha reclamado el pago de la deuda. La afectada aporta copia de un documento enviado por Orange en el que en fecha 07 de noviembre de 2013 le confirman que han revisado la facturación de la línea ***TEL.1anulando la deuda de 90,57 € y quedando al corriente de pago. También aporta copia de un requerimiento de pago de 90,57 € emitido por I.S.G.F. Informes Comerciales en nombre de Orange y fecha 6 de febrero de 2014 2º Constan manifestaciones de Orange en el sentido que la Sra. A.A.A. era titular de la línea ***TEL.1, cuyas facturas de julio, agosto y septiembre de 2013 resultaron impagadas ascendiendo el importe a 90,75€. 3º Que En relación con dicha deuda, fue recibida Reclamación Oficial interpuesta por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 denunciante ante la SETSI en la que solicitaba (

1. i)la anulación de la facturación asociada a la citada línea emitida tras el cambio de operador, que según su alegato, se había producido el 03/06/2013, (
2. ii)la exclusión de sus datos de los ficheros de solvencia patrimonial y (iii) la cancelación de sus datos de los ficheros de Orange. Para poder dar respuesta a este Reclamación, se llevó a cabo un estudio del caso, concluyendo lo siguiente. En mayo de 2013 la titular de la línea solicitó realizar la portabilidad de la misma con destino a otro operador, por lo que se inició los trámites necesarios para atender la petición de la cliente, el cual no pudo ser completado con éxito, por lo que se siguieron generando facturas vinculadas a la línea (julio, agosto y septiembre de 2013). 4º Que al recibir la reclamación procedente de la SETSI se procedió a ordenar la anulación de las facturas generadas y a dar de baja efectiva a la línea en fecha 08/11/2013, tal y como se manifestó en la contestación enviada al organismo. Sin embargo, la instrucción de anulación de la deuda no fue cursada correctamente por el agente encargado de ello, por lo que en la creencia de que la deuda reclamada era procedente Orange llevó a cabo un intento de recuperación de lo adeudado a través de la Agencia Externa ISGF. 5º Que Los ajustes necesarios para cancelar la deuda se realizaron finalmente en fecha 22/07/2014. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
4. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
5. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 III Se imputa en el presente procedimiento a la entidad ORANGE una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. El principio de veracidad o exactitud, consagrado en este apartado impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Tratando de esta manera de garantizar y proteger la calidad de la información sometida a tratamiento, por la que debe velar quien recoge y trata datos de carácter personal. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala: <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. Consta en este caso que la Sra. A.A.A. fue titular de la línea ***TEL.1, que en mayo de 2013 solicitó la portabilidad a otro operador. Se manifiesta por Orange que debido a un error dicha portabilidad no fue completada generándose facturación relativa a los meses de julio, agosto y septiembre. Al resultar dichos importes impagados los datos de la denunciante fueron objeto de un requerimiento previo por la entidad externa ISGN, con fecha 6/2/14 (sin que llegaran a ser incluidos en los ficheros de morosidad. Se manifiesta por Orange que tras recibir la reclamación de la denunciante, a través de la SETSI, se procedió a la anulación de la facturación, pero sin embargo dicha anulación de la deuda no fue cursada correctamente lo que provocó el intento de recuperación de lo adeudado a través de ISGF. En consecuencia procede apreciar la existencia de una vulneración del principio de calidad de datos, imputable a Orange, que trató los datos de la denunciada reclamándola unos importes adeudados por un error de propia entidad, que habiendo anulado la facturación la continuó reclamando Se deduce por consiguiente una falta de diligencia en la actuación de Orange en relación a la normativa de protección de datos. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, ORANGE incumplió el mandato legal de que los datos respondan con exactitud a la situación real del denunciante, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD, Tales hechos constituyen una vulneración de lo dispuesto en el artículo 4.3 Y 4 de la LOPD de la que ha de responder la entidad denunciada conforme a las circunstancias expresadas. IV La vulneración de lo dispuesto en el artículo 4 de la LOPD aparece tipificada en el artículo 44.3.
6. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
7. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
8. c)de la LOPD por parte de ORANGE, que trató datos inexactos del denunciante, pese a que por la misma se había presentado reclamación a través de la SETSI, que si bien fue atendida en un primer momento por la entidad denunciada, anulando las facturas, no se cursó dicha anulación por los que dichos importes supuestamente adeudados fueron de nuevo reclamados, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. Dicho principio exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Por tanto, la conducta de ORANGE vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de datos inexactos del denunciante, lo que encuentra su tipificación en el artículo 44.3.
9. c)de la LOPD. V El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
10. a)El carácter continuado de la infracción.
11. b)El volumen de los tratamientos efectuados.
12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
13. d)El volumen de negocio o actividad del infractor.
14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
15. f)El grado de intencionalidad.
16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos>>. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. Se solicita por la Orange, subsidiariamente la aplicación del art. 45.5 de la LOPD graduando la cuantía de la sanción en atención a las circunstancias concurrentes, Pues bien atendiendo a las mismas cabe valorar las siguientes: * Que se trata de un error puntual y que por parte de la entidad se actuó regularizando la situación, toda vez que recibida la reclamación de la denunciante, a través de la SETSI, formulada con fecha 3/4/14, procediéndose a anular las facturas reclamadas remitiendo a la Sra. A.A.A. factura rectificativa con fecha 22/7/14. Evitando todo tratamiento posterior de sus datos. En consecuencia en atención a dichas circunstancias se debe estimar la existencia de una cualificada disminución de la culpabilidad que permite la aplicación del art. 45.5.a); por consiguiente, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, el carácter continuado de la infracción, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal y el volumen de negocio de la misma, procede imponer una multa de 30.000 € por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma, una multa de 30.000 € (treinta mil euros) de conformidad con lo establecido en el artículo 44.5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U. y a Dª A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es