1/16 Procedimiento Nº PS/00161/2015 RESOLUCIÓN: R/02033/2015 En el procedimiento sancionador PS/00161/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por Don D.D.D. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 7 de abril de 2014, tuvo entrada en esta Agencia escrito de Don D.D.D. (en lo sucesivo el denunciante), en el que manifiesta que han suplantado su identidad y han utilizado sus datos personales para contratar numerosas líneas fijas y móviles de teléfono, hecho que ha denunciado ante la Ertzaintza. El 17 de septiembre de 2013 se puso en contacto telefónico con ORANGE ESPAGNE S.A.U., en adelante ORANGE, para cancelar las líneas. Le indicaron que abrían una reclamación pero no le informaron sobre su número. El 11 de octubre, al no tener noticias de su reclamación, volvió a llamar y se encontró con que las líneas no habían sido canceladas. Ha comprobado que JAZZ TELECOM SAU, en adelante JAZZTEL, le ha incluido en un fichero de solvencia patrimonial BADEXCUG sabiendo que es un caso denunciado y que actualmente está en los tribunales. El escrito de denuncia viene acompañado de la siguiente documentación:
- a)Copia de la reclamación presentada ante la Agencia Vasca de Protección de Datos por el uso no consentido de sus datos para el alta de líneas de teléfono realizado por “JAZZTEL, ORANGE, VODAFONE y MOVISTAR”.
- b)Copia de la resolución de la Agencia Vasca de Protección de Datos que inadmite su denuncia y la traslada a esta Agencia.
- c)Copia del acceso de 4 de marzo de 2014 al fichero BADEXCUG que muestra los datos del denunciante asociados a una deuda de 501,03 euros informada por JAZZTEL.
- d)Copia de la denuncia realizada ante la Ertzaintza el 14 de octubre de 2013 y de su ampliación en 17 de octubre de 2013.
- e)Copia de facturas emitidas a nombre del denunciante por ORANGE y JAZZTEL vinculadas a líneas de telefonía fija y móvil. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a la entidad ORANGE ESPAGNE, S.A.U., teniendo conocimiento de lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 1. Sobre la contratación Respecto de los productos que constan de alta a su nombre: - En los sistemas de información constan a nombre del denunciante los siguientes productos: Línea G.G.G. con fecha de alta 26 de septiembre de 2013, activa pero suspendida por impago. Línea I.I.I. con fecha de alta 22 de agosto de 2013 y fecha de baja por portabilidad el 17 de septiembre de 2013. La venta se formalizó a través de teléfono. Se aporta copia de dos grabaciones de las conversaciones telefónicas realizadas el 17 de agosto de 2013 mediante las que se verifica la contratación de una tarifa Canguro que incluye los servicios prestados a las líneas I.I.I. y L.L.L.. En una de las grabaciones quien se identifica como el denunciante proporciona algunos de los datos como su nombre y apellidos y dirección, en la otra únicamente responde sí a las manifestaciones del operador. Se aporta copia de la grabación de la conversación telefónica realizada el 20 de agosto de 2013 mediante la que se verifica la contratación de la misma tarifa sobre las mismas líneas descritas en la grabación anterior pero en este caso incluye la compra de un terminal iPhone 4 a plazos. En esta grabación quien se identifica como el denunciante no proporciona ningún dato sino que se limita a responder “sí” a las preguntas realizadas por el operador. Línea H.H.H. con fecha de alta 30 de agosto de 2013 y fecha de baja por portabilidad el 17 de septiembre de 2013. La venta se formalizó a través de teléfono. Se aporta copia de la grabación de la conversación telefónica realizada el 23 de agosto de 2014 mediante la que se contrata el alta de una nueva línea adicional al contrato Canguro del que ya es titular y de la que no se indica el número que en este caso incluye la compra de un terminal Nokia Lumia a plazos. ORANGE manifiesta que esta grabación corresponde al alta de la línea H.H.H.. En esta grabación quien se identifica como el denunciante no proporciona ningún dato sino que se limita a responder “sí” a las preguntas realizadas por el operador. Línea J.J.J. con fecha de alta 30 de agosto de 2013 y fecha de baja por fraude el 21 de enero de 2014. No se aporta ninguna documentación o grabación respecto a esta línea. Las contrataciones se realizaron a través de terceras entidades: UNISONO SOLUCIONES CEM SA y TRANSCOM WORLDWIDE SPAIN SL. La verificación de las llamadas las realizó DIGITEL DOCUMENTOS SL. 2. Sobre las comunicaciones con el afectado y acciones emprendidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 por la entidad. Contactos registrados en el sistema de información de la entidad: - Respecto de las comunicaciones y contactos que han existido entre esa entidad y el cliente, aportan la siguiente información: El 17 de septiembre de 2013 el denunciante manifiesta no reconocer la contratación de las líneas y en ese momento ORANGE bloquea la única línea que se encontraba activa en ese momento, la J.J.J.. El 20 de agosto de 2013 el denunciante manifiesta su deseo de cancelar el alta de ADSL por incidencias en la activación del servicio. El 11 de octubre de 2013 consta el registro de una llamada realizada por el denunciante en el que insiste en que no ha contratado las líneas. El resto de las interacciones de las que se aporta información tiene relación con llamadas de recobro o acciones destinadas al bloqueo y suspensión de las líneas. Expedientes en papel: - Los representantes de la entidad indican que no les consta existencia de expediente en papel de sobre reclamaciones efectuadas por el afectado. 3. Sobre los posibles impagos: - Se han emitido un total de siete facturas por los servicios de telefonía móvil entre 26 de agosto de 2013 y el 26 de febrero de 2014 y tres facturas por servicios de telefonía fija entre el 18 de octubre y el 18 de diciembre de 2013, todas ellas fueron devueltas y constan pendientes de pago. Aportan copia de las que se encuentran pendientes de pago. Actualmente, la deuda contraída no se encuentra condonada y asciende a 973,6 euros por los servicios de telefonía móvil y 39,86 euros por los servicios de telefonía fija. Los hechos denunciados en relación con JAZZ TELECOM SAU han sido investigados en el ámbito del expediente E/04714/2014. TERCERO: Con fecha 13 de marzo de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE S.A.U., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, con fecha 24 de marzo de 2015, el denunciante presentó escrito por el que solicitó personarse en el procedimiento. Por su parte, Orange mediante escrito de fecha 9 de abril de 2015, formuló alegaciones, en las que, básicamente, manifestó lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 1.- Que Orange cumplió con los requisitos legales establecidos de protección de datos en la LOPD, no infringiendo el artículo 6.1 de la LOPD, al ser un tratamiento de datos personales avalado por la relación contractual, ya que aunque el denunciante manifiesta no ser cliente de Orange ni ninguna relación con dicha entidad. Que dicha declaración no es cierta pues consta la contratación como cliente desde agosto de 2013 (aporta grabación de la contratación). Además, constan varios contactos con el denunciante en los que solicitó la cancelación del servicio de ADSL que había contratado y consta un registro de 7 de octubre de 2013 en el que solicitó la activación de un plan de descuento móvil. El denunciante, al tener numerosas interacciones con Orange, revela su consentimiento inequívoco para el tratamiento de sus datos personales. En este sentido aporta varias sentencias de la AN, entre la que destaca la de 24 de septiembre de 2013 (JUR 2013/323529) en la que señala que tal consentimiento se puede producir por actos reiterados del afectado que revelen que, efectivamente, se ha dado ese consentimiento. 2.- El denunciante prestó su consentimiento expreso y tácito para el tratamiento de sus datos por parte de Orange. 3.- Inexistencia de culpabilidad y derecho a la presunción de inocencia: “”En el presente caso, la activación del servicio causa del presente procedimiento sancionador se produjo conforme a la solicitud formulada telefónica por D. D.D.D. quien confirmó todos sus datos de carácter personal, por lo que, aparentemente, se cumplían todos los requisitos necesarios para proceder a dicha activación. Hasta en tres ocasiones distintas un empleado de la empresa contratada por ORANGE para la verificación de datos de terceros, DIGITEL DOCUMENTOS, S.L., siguiendo el protocolo establecido para la verificación de datos, hizo una llamada con el fin de confirmar los datos personales facilitados por el solicitante de la contratación. En cada una de las llamadas, el interlocutor confirmó los datos personales de D. D.D.D., por lo que nada hacía indicar, en un primer momento, que nos encontrásemos ante una persona distinta de D. D.D.D.. Se adjunta copia de las grabaciones…” 4.- Que, finalmente y de manera subsidiaria, en el caso hipotético de desestimación de lo alegado con anterioridad y en el caso de acreditarse que se produjo un fraude en la contratación de las líneas indicadas, se aplique lo estipulado para la graduación de la sanción a imponer, por aplicación del principio de proporcionalidad, el artículo 45.5 de la LOPD. QUINTO: Con fecha 14 de abril de 2015, se inició el período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por Don D.D.D. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE ESPAGNE S.A.U., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04715/2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00161/2015 presentadas por ORANGE ESPAGNE S.A.U., y la documentación que a ellas acompaña. SEXTO: Con fecha se formuló propuesta de resolución, proponiendo la imposición de una sanción de 50.000€ a la entidad ORANGE ESPAGNE, S.A.U., por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha Ley. SÉPTIMO: Con fecha 2 de julio de 2015, Orange realizó alegaciones frente a la citada propuesta de resolución en las que, básicamente, reiteró lo ya manifestado en el transcurso del procedimiento. HECHOS PROBADOS PRIMERO: Don D.D.D., con DNI K.K.K. y domicilio en Bulevar de C.C.C., (Áraba/Álava) denunció ante la AEPD que han suplantado su identidad y han utilizado sus datos personales (nombre, apellidos, DNI y cuenta bancaria) para contratar a su nombre numerosas líneas fijas y móviles en diferentes compañías, entre ellas con la entidad Orange. El denunciante manifiesta que el 17 de septiembre de 2013 se puso en contacto telefónico con Orange para cancelar las líneas. Le indicaron que abrían una reclamación pero no le informaron sobre su número. El 11 de octubre, al no tener noticias de su reclamación, volvió a llamar y se encontró con que las líneas no habían sido canceladas. (folios 1-36) SEGUNDO: Con fechas 14 y 17 de octubre de 2013, el denunciante presentó denuncias ante la Ertzaintza por usurpación de identidad contra las distintas compañías, entre ellas Orange, indicando no reconocer la contratación de las líneas (folios 10-11). Asimismo, con fecha 28 de marzo de 2014, presentó denuncia ante la Agencia Vasca de Protección de Datos que fue inadmitida por no ser competente y remitida a esta AEPD (folios 3-11) TERCERO: Orange registró los datos de carácter personal de Don D.D.D., con número de cliente F.F.F. en relación a servicios de telefonía asociados a las líneas: - G.G.G. con fecha de alta 26 de septiembre de 2013, activa pero suspendida por impago. - I.I.I. con fecha de alta 22 de agosto de 2013 y fecha de baja por portabilidad el 17 de septiembre de 2013. Los datos personales relativos a la contratación que constan en sus sistemas son los siguientes: - Nombre y apellidos: D.D.D.. - DNI: K.K.K. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 - Domicilio: Avda. B.B.B., Barcelona. - Domiciliación bancaria: E.E.E. Consta que ambas líneas fueron contratadas por teléfono. (folios 42-52, entre otros). CUARTO: Orange ha aportado grabación de la contratación de ambas líneas: - En la primera grabación constan tres llamadas (el 17, el 20 y el 23 de agosto de 2013): - El interlocutor que responde a la identificación como D.D.D. solicita la portabilidad desde Movistar para las líneas G.G.G. y I.I.I.. El contratante insiste en su domicilio en Avda. B.B.B., Barcelona. Se contrata el servicio Canguro 45, ADSL + Móvil, con terminal Nokia-Lumia - En la segunda grabación constan las mismas tres llamadas Respecto a las grabaciones, llama la atención que la persona contratante parece hablar con acento sudamericano, mientras que el denunciante y titular de los datos personales es vasco. (CDs que se corresponden con los números de folios 70 y 155) QUINTO: Orange emitió un total de siete facturas por los servicios de telefonía móvil entre 26 de agosto de 2013 y el 26 de febrero de 2014 y tres facturas por servicios de telefonía fija entre el 18 de octubre y el 18 de diciembre de 2013, todas ellas fueron devueltas y constan pendientes de pago. Las facturas fueron enviadas a nombre del denunciante y contra su cuenta bancaria pero al domicilio en Avda. B.B.B., Barcelona (folios 60-69) SEXTO: Con fecha 9 de enero de 2015, Orange manifiesta que la deuda contraída no se encuentra condonada y asciende a 973,6 euros por los servicios de telefonía móvil y 39,86 euros por los servicios de telefonía fija (folio 50) y en ningún momento en el transcurso del procedimiento ha manifestado que dicha deuda hubiera sido condonada. SÉPTIMO: En relación con los contactos mantenidos entre el denunciante (que aparecen mezcladas con las del supuesto usurpador de su identidad) y Orange, existen los registros siguientes en su sistema informático: - El 17 de septiembre de 2013 el denunciante manifiesta no reconocer la contratación de las líneas y en ese momento ORANGE bloquea la única línea que se encontraba activa en ese momento, la J.J.J.. - El 20 de agosto de 2013 el denunciante manifiesta su deseo de cancelar el alta de ADSL por incidencias en la activación del servicio. - El 11 de octubre de 2013 consta el registro de una llamada realizada por el denunciante en el que insiste en que no ha contratado las líneas. - El resto de las interacciones de las que se aporta información tiene relación con llamadas de recobro o acciones destinadas al bloqueo y suspensión de las líneas. - Los representantes de la entidad indican que no les consta existencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 expediente en papel de sobre reclamaciones efectuadas por el afectado. (folios 51-56). OCTAVO: Orange por otra parte no ha aportado a esta Agencia documentación que acredite que contara con el consentimiento de Don D.D.D. para el tratamiento de sus datos de carácter personal, en relación con líneas G.G.G. y I.I.I., que se ha detallado en los puntos anteriores. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a Orange la presunta vulneración del artículo 6.1 de la LOPD que dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. “Respecto al consentimiento – dice la sentencia de la Audiencia Nacional de 4 de marzo de 2009 - , es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. Orange en este caso no ha aportado prueba documental suficiente que acredite que contara con el consentimiento inequívoco del denunciante para poder llevar a cabo el tratamiento de datos personales realizado, antes bien, los documentos que obran en el procedimiento evidencian que no contaba con dicho consentimiento. En este sentido, Don D.D.D. manifestó a esta Agencia que Orange había tratado sus datos personales sin consentimiento, pues manifestaba que dicha entidad había utilizado sus datos sin su consentimiento para contratar los servicios de una línea de móvil y otra fija de forma fraudulenta y para pasar el cobro contra su cuenta bancaria la factura de las mismas (folios 1-5). En efecto, y como consta acreditado en el expediente, Orange registró los datos personales asociados al denunciante, como titular de las líneas G.G.G. (con fecha de alta 26 de septiembre de 2013 que, según ha manifestado la entidad, continúa activa pero suspendida por impago) y la I.I.I. (con fecha de alta 22 de agosto de 2013 y fecha de baja por portabilidad el 17 de septiembre de 2013). También consta acreditado que se produjo el impago de todas las facturas generadas en virtud de dicha contratación (folios 50, 42-52 y 60-69, entre otros). En el asunto que nos ocupa, los hechos probados acreditan que los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 personales del denunciante relativos a nombre y apellidos del denunciante, DNI y cuenta bancaria se incorporaron a los ficheros de Orange asociados a las líneas de teléfono G.G.G. y I.I.I. (folios 42-52, entre otros). Pues bien, en aras a verificar la existencia del contrato o contratos suscritos entre el denunciante y la operadora, se requirió a la denunciada, en las actuaciones previas de inspección para que aportara una copia del contrato suscrito en relación a la líneas telefónicas controvertidas cualquiera que fuera la forma de soporte, ya fuera por escrito, grabación o internet. Orange ha aportado grabaciones de verificación respecto de las líneas G.G.G. y I.I.I. en las que se comprueba que la persona que solicita la portabilidad de la línea realizada se identifica con el nombre y apellidos del denunciante y facilita entre otros datos, su número de D.N.I. Sin embargo, en dicha grabación se facilita (muy insistentemente) un domicilio en Hospitalet de Llobregat que no se corresponde con el del denunciante que reside en Vitoria-Gasteiz (Álava), tampoco se recoge el número de cuenta de domiciliación, dato que se supone que habrían de ser facilitados por cualquier contratante. En cuanto a los datos del denunciante que obran en los sistemas de la entidad, consta como dirección de envío de las facturas a A.A.A. Avda. B.B.B., Barcelona cuando resulta que el denunciante reside Bulevar de C.C.C., (Áraba/Álava) (folios 6069, entre otros). A la vista de la documentación que obra en el expediente y de los hechos declarados probados, se concluye que, en el presente caso, no existe ninguna prueba de que Orange hubiera articulado algún mecanismo para acreditar cuáles fueron los datos efectivamente suministrados por su cliente y cuál era la identidad de éste. Por otro lado la entidad denunciada alegó que respecto a la imputación de una infracción por el artículo 6.1 que no consta acreditado que se hubiera producido una contratación fraudulenta por lo que, con fecha 9 de enero de 2015, Orange manifestó que la deuda contraída no se encuentra condonada y asciende a 973,6 euros por los servicios de telefonía móvil y 39,86 euros por los servicios de telefonía fija (folio 50) y en ningún momento en el transcurso del procedimiento ha manifestado que dicha deuda hubiera sido condonada. Sin embargo, Orange no ha aportado ninguna prueba a tal fin, esto es, que recabó y obtuvo del afectado su consentimiento para la contratación de dichas líneas a la que se vinculan sus datos personales. III Tampoco ha probado que hubiera adoptado las medidas a las que le obliga la diligencia mínima que debe observar en el tratamiento de los datos de las personas en relación con los productos de telecomunicaciones que comercializa. Es esta falta de diligencia - materializada en el hecho de no haber recabado ningún tipo de documentación al objeto de acreditar tales extremos - lo que hace recaer sobre la denunciada la responsabilidad por los hechos enjuiciados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 Dado que la contratación de las líneas, según manifiesta la entidad denunciada, se realizó telefónicamente, resulta necesario examinar si la conducta de Orange se ajustó, en relación con el sector en el que opera, al deber de diligencia que la actividad que desarrolla le exige, lo que obliga, a su vez, a hacer una referencia al R.D. 1906/1999. El sistema de contratación telefónica es un método válido y admitido en derecho del que se ocupa el Real Decreto 1906/1999, por el que se regula la contratación telefónica o electrónica con condiciones generales en desarrollo del artículo 5.3 de la Ley 7/1998, de 13 de abril, de condiciones generales de la contratación. El artículo 5.3 de la citada Ley 7/1998 establece que “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma” (el subrayado es de la AEPD). El R.D. 1906/1999 que se ocupa del desarrollo reglamentario del artículo 5.3 de la Ley 7/1998, reitera la obligación de confirmar documentalmente la contratación efectuada por vía telefónica, electrónica o telemática y dispone en su artículo 5.1 y 2 lo siguiente: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y el momento de sus respectivos envíos, corresponde al predisponente. 2.A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aún cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable...” (El subrayado es de la AEPD). La STAN de 31 de mayo de 2006, Recurso 539/2004, en su Fundamento de Derecho Cuarto, indica a propósito de la contratación telefónica: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). A la vista de la documentación que obra en el expediente y de los hechos declarados probados, se concluye que, en el presente caso, no existe ninguna prueba de que Orange hubiera articulado un mecanismo fehaciente que sirva para acreditar cuáles fueron los datos efectivamente suministrados por el cliente y cuál era la identidad de éste. Mecanismos cuya implementación es una exigencia que está implícita en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 disposiciones reglamentarias anteriormente citadas y en la propia LOPD, que exige que el consentimiento del titular de los datos tratados sea inequívoco, y a cuya observancia se supedita la calificación del comportamiento desplegado por la entidad como diligente. Orange no ha aportado ninguna prueba a tal fin - esto es, que recabó y obtuvo de la afectada su consentimiento para la contratación de dichas líneas vinculado a sus datos personales -; tampoco que hubiera adoptado las medidas a las que le obliga la diligencia mínima que debe observar en el tratamiento de los datos de las personas en relación con los productos de telecomunicaciones que comercializa. Es esta falta de diligencia es lo que hace recaer sobre la denunciada la responsabilidad por los hechos enjuiciados. Hay que indicar, por otro lado, que esta Agencia es consciente de los fraudes realizados y de lo fácil que resulta acceder por distintos medios a los datos personales de los ciudadanos. Pero la responsabilidad que se exige a la denunciada no es una responsabilidad objetiva, porque como ella conoce bien, lo esencial es haber acreditado que actuó con la diligencia que corresponde a quien como ella, por razón de la actividad que desarrolla, se ve obligada a tratar continuamente datos personales. Por la misma razón, como también conoce, no se exige por la Agencia ninguna responsabilidad a las entidades que son –además del titular de los datos- víctimas de un fraude cuando han actuado diligentemente, con independencia de que exista finalmente una suplantación de personalidad del titular de los datos tratados, pero siempre que se acredite que la responsable del fichero adoptó las medidas encaminadas a asegurarse de que quien prestó el consentimiento era el verdadero titular de los datos que le fueron facilitados. En consecuencia, dado que la denunciada no ha aportado prueba alguna de la que pueda desprenderse el consentimiento del denunciante en aras a la contratación de las líneas G.G.G. y I.I.I. y, consiguientemente, para el tratamiento de sus datos personales, la conducta de ORANGE anteriormente descrita constituye una vulneración del principio del consentimiento que consagra el artículo 6.1 de la LOPD y se encuadra en el tipo sancionador previsto en el artículo 44.3.
- b)de la citada Ley Orgánica. IV El artículo 44.3.
- b)de la LOPD considera infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En función de lo expuesto cabe apreciar la existencia de la infracción denunciada por cuanto la entidad denunciada no ha aportado contrato válido respecto a una de las líneas ni la grabación aportada respecto de las líneas G.G.G. y I.I.I. resulta válida a fin de acreditar el consentimiento del denunciante para el tratamiento de sus datos. V Debemos analizar si concurre el elemento subjetivo de la culpabilidad cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. En STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la STAN anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Orange invoca en sus alegaciones al acuerdo de inicio que no concurre el elemento subjetivo de la culpabilidad. En el supuesto que nos ocupa el elemento subjetivo de la culpabilidad se concreta en la falta de diligencia observada por Orange al tratar sin su consentimiento los datos personales del denunciante que se materializó en dar de alta dos líneas telefónicas, sin haber contratado dichos servicios ni haber facilitado sus datos personales a dicha entidad. Asimismo, Orange ha mantenido en sus ficheros los datos del denunciante respecto de las citadas líneas, desde el 22 de agosto de 2013 hasta la actualidad dado que la deuda asociada al denunciante continúa activa sin que la entidad denunciada haya informado a esta AEPD que ha procedido a condonarla. Por otro lado, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
- d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate"; pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las circunstancias mencionadas no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a estimar la concurrencia de las circunstancias previstas en los apartados c),
- d)y
- e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar, siempre, por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos, como de forma reiterada sostiene la Audiencia Nacional, entre otras, en Sentencia de 26 de noviembre de 2008. En cuanto a las alegaciones del denunciado respecto a la conveniencia de apreciar la circunstancia prevista en el apartado
- b)del artículo 45.5 de la LOPD respecto de la infracción del artículo 6.1 de la LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. Sin embargo, consta acreditado que Orange no actuó con la diligencia debida para regularizar la situación del denunciante, toda vez que los datos personales del denunciante fueron objeto de tratamiento por parte de Orange desde el 22 de agosto de 2013 hasta la actualidad dado que la deuda asociada al denunciante continúa activa sin que la entidad denunciada haya informado a esta AEPD que ha procedido a condonarla. En cuanto a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, consideramos que concurren diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el importante volumen de negocio de Orange (apartado d, del artículo 45.4) hecho notorio sobre el que no es necesaria prueba. Están presente también otra circunstancia recogida en el artículo 45.4 ya citado: apartado c), que versa sobre la vinculación de la actividad de ORANGE con la realización de tratamientos de datos de carácter personal, pues el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales tanto de clientes como de terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 Respecto del incumplimiento del artículo 6.1 hay que señalar que, valoradas en conjunto las circunstancias previstas en el artículo 45.4 de la LOPD, cuya presencia ha quedado acreditada, y habida cuenta de que no concurre la contemplada en el artículo 45.5 de esta norma, se propone sancionar a ORANGE con una multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 6.1 de la LOPD, de la que esa entidad es responsable. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. y a Don D.D.D.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-00000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es