1/13 Procedimiento Nº PS/00168/2015 RESOLUCIÓN: R/01769/2015 En el procedimiento sancionador PS/00168/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U.., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 08/04/2014 se recibe en esta Agencia escrito de A.A.A. (en lo sucesivo el denunciante), en el que denuncia que, en el mes de septiembre de 2012 contrató una línea de telefonía fija con la entidad ORANGE ESPAÑA, S.A.U. (en lo sucesivo ORANGE), con el número J.J.J.; en el año 2013 solicitó la portabilidad a la operadora MOVISTAR, haciéndose efectivo el cambio con fecha 14/06/2013, según consta en la carta que se adjunta, enviada por la compañía MOVISTAR. En el mes de junio ORANGE le factura el mes completo, motivo por el que devuelve el recibo y realiza reclamación ante la compañía con fecha 10/07/2013. Con fecha 17/07/2013, recibe una llamada de ORANGE, en el que le comunican que no les consta la portabilidad y que debe abonar la factura. Por este motivo, presenta reclamación ante la SETSI, y ORANGE sigue facturando los meses de julio y agosto, adjunta facturas acreditativas. Con fecha 13/09/2013, la SETSI, le traslada escrito de ORANGE donde reconocen el error, se adjunta dicha comunicación. Días después recibe en su domicilio una factura rectificativa de ORANGE, anulando todas las facturas tras la portabilidad, se adjunta copia de la misma. Con fecha 10/10/2013, recibe en su domicilio una nueva factura correspondiente al mes de septiembre de 2013, y recibe en el teléfono móvil de contacto un SMS requiriéndole el pago. Con fecha 27/12/2013, ORANGE, le envía una carta a su domicilio requiriéndole dicho pago. Adjunta copia. Con fecha 28/03/2014, recibe en su domicilio carta de la SETSI, con la Resolución de la reclamación presentada, reconociendo que la baja de la línea se había realizado en la fecha indicada y anulando todos los cargos efectuados con posterioridad. Adju8nta copia de dicha Resolución. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ORANGE, - Con fecha 16/01/2015, se recibe en esta Agencia escrito de ORANGE con información relativa al denunciante y de la respuesta recibida se desprende lo siguiente: 1. La entidad ha mantenido de alta los datos del cliente hasta el mes de septiembre de 2013, tras recibir la comunicación de la SETSI de fecha 05/08/2013, No obstante según consta en la documentación remitida por el denunciante La entidad comunicó a la SETSI en su escrito de alegaciones, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 entre otros, que la portabilidad a otro operador se realizó en junio de 2013, por lo que procedió a la anulación de todas las facturas emitidas con posterioridad. 2. Con posterioridad a dicho escrito se genera una factura de fecha 05/10/2013, dicha factura es devuelta por el cliente lo que motiva los mensajes de comunicación de deuda recibidos en el mes de Diciembre de 2013 por el cliente. 3. Con fecha 22/01/2014, se recibe Resolución de la SETSI correspondiente al citado expediente estimando la reclamación, motivo por el que se realiza una factura rectificativa. TERCERO: Con fecha 17/03/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE, por presunta infracción de los artículos 4.3 y 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
- c)y 44.3.
- b)de dicha norma, pudiendo ser sancionada cada una con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE mediante escrito de fecha 09/04/2015, formuló, en síntesis, las siguientes alegaciones: - La inexistencia de vulneración del artículo 6.1 de la LOPD al existir contrato con el denunciante lo que justifica el tratamiento de sus datos personales. - La inexistencia de vulneración del artículo 4.3 de la LOPD y la ausencia de prueba sobre la concurrencia de culpabilidad, por lo que no se puede proceder a la imposición de sanción alguna por este motivo. - La aplicación subsidiaria del artículo 45.5 de la LOPD y graduación de la sanción a imponer. QUINTO: Con fecha 14/04/2015 se inició el período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por el afectado y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/04768/2014. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por ORANGE y la documentación que a ellas acompaña. - Solicitar al denunciante copia de toda la documentación que obrara en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia. En fecha 29/04/2015 el denunciante dió respuesta al citado escrito cuyo contenido obra en el expediente. SEXTO: En fecha 08/06/2015, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a ORANGE por infracción de los artículos 6.1 y 4.3 de la LOPD, tipificadas como grave en los artículos 44.3.
- b)y 44.3.
- c)de dicha norma, con multas de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 La representación de ORANGE el 30/06/2015 presentó escrito de alegaciones formulando y reiterando las realizadas a lo largo del procedimiento, la inexistencia de infracción y su disconformidad con la sanción propuesta, solicitando la resolución sin sanción alguna. HECHOS PROBADOS PRIMERO. Con fecha 08/04/2014, tiene entrada en la AEPD escrito del denunciante en el que manifiesta que en septiembre de 2012 contrató una línea de telefonía fija con ORANGE, número J.J.J.; posteriormente en el año 2013 solicitó la portabilidad a la operadora Movistar, haciéndose efectivo el cambio con fecha 14/06/2013; sin embargo, ORANGE le siguió facturando con posterioridad, por lo que decide reclamar a la SETSI y a pesar de recibir factura rectificativa de lo facturado con posterioridad a la portabilidad, la operadora continuo facturando en octubre y remitió mensajes sms y carta requiriendo su pago (folios 1 a 3). SEGUNDO. El denunciante aporta copia del DNI nº ***DNI.1, como dirección figura C.C.C., (Pontevedra), coincidente con el consignado en el escrito de denuncia (folios 4 y 5). TERCERO. El denunciante aporta copia de la carta enviada por TELEFONICA comunicándole que desde el 14/06/2013 vuelve a ser su operadora de telefonía fija, indicando a continuación “Tras este cambio, realizado de acuerdo con su solicitud telefónica del día 11 de Junio de 2013 a las 17:17 horas y que fue recibida y certificada por una entidad verificadora independiente, ya puede hacer sus llamadas con Movistar con las siguientes líneas: J.J.J.…” . También consta la factura I.I.I., emitida por TELEFONICA (periodo 23/05/2013 al 21/06/2013), de fecha 07/07/2013, por un importe de 77,26 euros (folios 5 y 6). CUARTO. El denunciante ha aportado capturas de impresiones de pantalla de 8 sms enviados por ORANGE entre el 8/11/2013 y el 28/12/2013, informando del impago de la última factura y requiriendo su pago (folios 16 a 19). Asimismo, consta que ORANGE remitió al denunciante en fecha 19/12/2013 requerimiento intimándole al pago de la factura D.D.D., por importe de 3,16 euros señalando que “Si esta situación no queda solucionada en el plazo improrrogable de 5 días nos veremos obligados a incluirle en el fichero nacional de impagados ASNEF-EQUIFAX, así como dar traslado del expediente da nuestro despacho de abogados” (folio 20). ORANGE en escrito de 19/01/2015 ha manifestado que “Esta factura es devuelta por el cliente, lo que motiva los mensajes de comunicación de deuda recibidos por el cliente en el mes de diciembre de 2013” (folio 39). QUINTO. Consta que el denunciante se dirigió a la SETSI presentado reclamación sobre telefonía móvil, L.L.L., que trasladada a ORANGE a efectos de alegaciones, en fecha 04/09/2013 respondía al citado organismo: “Segunda. Que esta mercantil, confirma que el servicio de ADSL consta activado desde la fecha 19/09/2012. Tercera.- Que en este sentido, les informamos de que tras confirmar que se encuentra con otro operador desde mes de Junio, procedemos a efectuar la baja sin cargo del producto con fecha 05/09/2013. Cuarto.- Que asimismo, les comunicamos que se procede a la anulación de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 facturas que mantiene pendientes de pago, por importe de 71,16 € (impuestos incluidos) correspondiente a las facturas de referencia E.E.E., F.F.F. y G.G.G., quedando así al corriente de pago con esta mercantil. Adjuntamos copia de las mismas para su conocimiento. Quinta.- Por último, les indicamos que hemos realizado las gestiones oportunas para excluir los datos personales del titular, de cualquier archivo de consulta de solvencia económica, en el que pudieran haber sido incluidos a petición de nuestra compañía” (folios 12 y 13). La SESTI el 08/01/2014 resolvía : ”Estimar la reclamación, reconociendo el derecho del reclamante a acceder a su facturación en la forma establecida en el artículo 21 del Real Decreto 899/2009, de 22 de mayo, por el que se aprueba la carta de derechos del usuario de los servicios de comunicaciones electrónicas” (folios 22 y 23). SEXTO. ORANGE emitió con posterioridad a la solicitud de portabilidad de la línea J.J.J. las siguientes facturas: G.G.G., de fecha 05/07/2013, por importe de 23,72 euros. F.F.F., de fecha 05/08/2013, por importe de 23,72 euros. E.E.E., de fecha 05/09/2013, por importe de 23,72 euros. Ninguna de las citadas facturas presenta consumo alguno. También consta copia de factura rectificativa H.H.H., de 20/09/2013, relativa a los ajustes de las facturas anteriores por importe de -71,16 euros (folios 41, 42, 43 y 44). SEPTIMO. Consta que ORANGE emitió la factura D.D.D. (periodo facturado 01/09/2013-30/09/2013), de fecha 05/10/2013, por importe de 3,16 euros. La factura no presenta consumo alguno. También consta copia de factura rectificativa ***FACTURA.1, de 19/02/2014, relativa al ajuste de la factura anterior por importe de -3,16 euros (folios 45 y 46). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II En primer lugar, se imputa a ORANGE la comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que: “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. Por otra parte, el artículo 6.2 de la LOPD establece las excepciones a la necesidad del consentimiento del afectado. Dicho artículo establece lo siguiente: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. ORANGE no ha acreditado en el procedimiento que cuente con el consentimiento del denunciante para el tratamiento de sus datos personales con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 posterioridad a la portabilidad a Movistar de la línea asociada al número J.J.J., que fue realizada con éxito a la luz de la comunicación enviada por citada compañia al denunciante informándole que desde el 14/06/2013 volvía a ser su operadora de telefonía fija, indicándole que “Tras este cambio, realizado de acuerdo con su solicitud telefónica del día 11 de Junio de 2013 a las 17:17 horas y que fue recibida y certificada por una entidad verificadora independiente, ya puede hacer sus llamadas con Movistar con las siguientes líneas: J.J.J.…”. Sin embargo, a pesar de que el denunciante ya no era cliente de ORANGE, continuó emitiéndole facturas en julio, agosto, septiembre y, a pesar de la respuesta dada a la SETSI confirmando la portabilidad y anulando las facturas pendientes de pago, volvía a emitir en octubre una nueva factura y ante su impago, requiriéndole para que abonara su importe. Dicho tratamiento de datos vulnera el principio del consentimiento recogido en el artículo 6.1 de la LOPD, por cuanto que el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a ORANGE tratar los datos del denunciante sin su consentimiento. III En segundo lugar, se imputa a ORANGE en el presente procedimiento la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo ut supra impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Y en el apartado 4 de dicho artículo determina que: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. IV En el presente caso, como señalábamos en el fundamento primero consta acreditado que ORANGE trató los datos del denunciante sin su consentimiento con posterioridad a la solicitud de la portabilidad de la línea de telefonía fija asociada al número J.J.J., materializado en la emisión de facturas donde constan sus datos personales y bancarios y, además, le envió mensajes sms y carta a su domicilio intimándole al pago de la factura D.D.D. de fecha 05/10/2013 (periodo facturado 01/09/2013-30/09/2013), por un importe de 3,16 euros; deuda que no era cierta, vencida ni exigible ni respondía con veracidad a la situación actual del denunciante (en aquel momento), pues éste ya no era cliente de la citada operadora. A mayor abundamiento, la citada actuación contradecía la respuesta ofrecida por ORANGE a la SETSI el 04/09/2013, como consta en el hecho probado quinto, ante la reclamación interpuesta por el denunciante y cuya resolución posterior sería estimatoria de sus pretensiones, al señalar: “Tercero.- Que en este sentido, les informamos que tras confirmar que se encuentra con otro operador desde mes de Junio, procedemos a efectuar la baja sin cargo del producto con fecha 05/09/2013. Cuarto.- Que asimismo, les comunicamos que se procede a la anulación de las facturas que mantiene pendientes de pago, por importe de 71,16 € (impuestos incluidos) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 correspondiente a las facturas de referencia E.E.E., F.F.F. y G.G.G., quedando así al corriente de pago con esta mercantil. Adjuntamos copia de las mismas para su conocimiento. Quinta.- Por último, les indicamos que hemos realizado las gestiones oportunas para excluir los datos personales del titular, de cualquier archivo de consulta de solvencia económica, en el que pudieran haber sido incluidos a petición de nuestra compañía”. La Audiencia Nacional, en Sentencia de fecha 16/01/2008, manifestaba: “Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso –artículo 44.3.
- d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos personales que iba a tratar no cumplían con los requisitos legalmente impuestos, si tenemos en cuenta que la actividad de la recurrente, por su propia naturaleza, ha de tener un cumplido conocimiento, y un escrupuloso respeto, de las normas en materia de protección de datos cuando en su actividad ordinaria se produce un manejo masivo de los mismos. Y es esta falta diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la naturaleza de los datos personales a los que se tiene acceso es una circunstancia que ha de hacerse previamente y de modo riguroso antes de proceder al tratamiento de los mismos, pues se trata de la salvaguarda de un derecho fundamental, el derecho a la protección de los datos previstos en l. Artículo 18.4 de la Constitución.” Por tanto, de conformidad con el artículo 4.3 de la LOPD, correspondía a ORANGE adoptar las medidas necesarias para que la situación acaecida no se produjera. Sin embargo, no solo siguió facturando cuando ya no era cliente de la entidad sino que además procedió a requerir de pago por una deuda que no le correspondía. Este comportamiento supone una vulneración del principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, de la que ORANGE debe responder por ser responsable de la veracidad y exactitud los datos que sujetos a su tratamiento. V El “tratamiento” de datos personales exige que se lleve a cabo de conformidad con los principios de “calidad de los datos”, es decir, que los datos tratados han de ser “exactos y puestos al día”, requisitos que no se han cumplido en el caso analizado. En este sentido, la Audiencia Nacional ha declarado en numerosas sentencias, entre otras la de fecha 13/03/2009, que señala: “El principio de calidad del dato, como esta Sala ha reiterado en numerosísimas ocasiones, se infringe no solo cuando se facilitan los datos erróneos a un fichero que presta información a terceros sobre el incumplimiento de obligaciones dinerarias (Art. 4.3 LOPD en relación con el artículo 29 de la misma) sino también cuando los datos existentes en los propios ficheros de la entidad acreedora son inexactos y no actuales. La resolución de la Agencia impugnada, en su fundamentación jurídica, considera que ha quedado acreditado que Jazztel giró facturas correspondientes a un número de teléfono por unos servicios que, si bien se habían solicitado por el denunciante, no se habían prestado por la operadora. Los datos personales referidos al denunciante que figuraban en sus ficheros dejan de ser exactos en el momento en que figuran en ellos datos de servicios no prestados e importes no debidos realmente. Después de advertirlo, siguieron siendo inexactos los datos reclamándole el pago de facturas por ese servicio no prestado. Y esos datos inexactos son comunicados a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 empresa de impagados para que realice su actuación”. Por lo tanto, ha quedado acreditado que el tratamiento de los datos inexactos del denunciante realizado por parte del ORANGE, no respondía con veracidad a la situación de aquél, incurriendo por ello en una vulneración del principio de calidad de datos recogido en el artículo 4.3 de la LOPD, que encuentra su tipificación en el artículo 44.3.
- c)de la citada Ley Orgánica VI Invoca la representación ORANGE la ausencia de culpabilidad indispensable para apreciar la comisión de una infracción administrativa, tanto del artículo 4.3 y 6.1, e imponer una sanción. Cabe señalar al respecto, entre otras, la Sentencia de la Audiencia Nacional dictada el 21/09/2005, Recurso 937/2003, que establece, “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
- d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este sentido la Sentencia de la Audiencia Nacional, de fecha 03/06/2010 señala que “Se aduce en segundo lugar, la falta de intencionalidad amparándose en que se trata de un hecho aislado originado por un error cometido por parte de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, que se subsanó en el momento en que se tuvo conocimiento del mismo. Se hace referencia al principio de culpabilidad y además se alega que se han implementado más medidas para evitar que vuelva a ocurrir otro hecho similar. En cuanto al principio de culpabilidad cabe reseñar que la responsabilidad objetiva está proscrita, ciertamente, en el ámbito administrativo sancionador, siendo preciso la existencia del elemento culpabilístico para que concurran los elementos de la infracción administrativa. Como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa. En el caso de autos la infracción apreciada se puede cometer tanto de forma dolosa como culposa, siendo atribuible en este caso a título de culpa por falta de diligencia, pues la conducta típica pudo haberse evitado atendidos los parámetros ordinarios de cuidado y precaución. Es más la propia parte reconoce que la no cancelación de los datos del denunciante se produjo por un error de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, error que no viene sino a traslucir esa falta de cuidado o diligencia que constituye la esencia de la culpa. Finalmente reseñar que este es el criterio seguido por la Sala en supuestos semejantes al presente”. Asimismo, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. Pues bien, en el presente caso ORANGE no ha actuado con la diligencia que le era exigible pues trató los datos del denunciante sin su consentimiento con posterioridad a la portabilidad de la línea de telefonía fija a Movistar, continuando en su facturación y, a pesar de la respuesta ofrecida a la SETSI el 04/09/2013 de que procedería a la anulación de las giradas, volvió a remitir al denunciante nueva factura en octubre y ante su impago enviarle requerimientos de pago de una deuda que no le correspondía, dato inexacto y que no respondía con veracidad a la situación del denunciante que ya no era cliente de la entidad. Hay que recordarle a la representación de la denunciada que corresponde a ORANGE como responsable del tratamiento adoptar las medidas adecuadas para el tratamiento de los datos personales y la perfecta identificación de sus clientes, sin que pueda constituir elemento alguno de atenuación de la responsabilidad, sino el cumplimiento de una obligación ordinaria exigible a las empresas, que como la denunciada, trabajan con grandes volúmenes de datos personales. VII El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En tal caso, y siempre que no exista regulación específica para resolver dicho concurso ideal de infracciones, se aplicaría la técnica jurídica penal propia del concurso ideal de delitos. (STS de 9 de junio de 1999 y de 10 de marzo de 2003). El precepto anterior exige una necesaria derivación de una infracción/es respecto de otra/s y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que ha de conferirse a la expresión contenida en el precepto de que “una infracción derive necesariamente la comisión de otra u otras”. Pues bien, en el caso estudiado procede la aplicación del precepto transcrito, dado que del tratamiento de los datos sin consentimiento del denunciante se deriva, necesariamente, la vulneración del principio de calidad de los datos tratados, dado que VODAFONE si bien se limitó en su actuación al tratamiento de los datos del denunciante, no se aseguró que los mismos eran exactos y veraces, puesto que a pesar de que el denunciante ya no era cliente de la entidad, continuo emitiéndole facturas, enviándole mensajes sms y carta a su domicilio intimándole al pago de la factura de fecha 05/10/2013, por un importe de 3,16 euros; deuda que no era cierta, ni respondía con veracidad a la situación actual del denunciante. Son, por tanto, dos infracciones, si bien de la comisión de una de ellas implica necesariamente la comisión de la otra. A falta de regulación específica, la solución dada por la jurisprudencia contencioso-administrativa, basándose en las previsiones del Código Penal, es la de imponer la sanción correspondiente a la infracción más grave. No obstante lo anterior, en atención a que ambas infracciones son tipificadas de igual gravedad, se impone la sanción por la comisión de una, en este caso, por la infracción del principio de calidad del dato, consagrado en el artículo 4.3 de la LOPD. VIII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
- c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el supuesto que nos ocupa, la conducta de ORANGE ha vulnerado el principio de calidad del dato, artículo 4.3 de la LOPD; infracción que, tras la reforma introducida por la Ley 21/2011, se encuentra tipificada el artículo 44.3.
- c)de la Ley Orgánica 15/1999. ORANGE ha incurrido en la infracción descrita cuando requirió al denunciante intimándole al pago de la factura D.D.D. de fecha 05/10/2013, deuda que no era cierta ni respondía con veracidad a la situación actual (en aquel momento) del denunciante, puesto que ya no era cliente de la entidad y no mantenía relación contractual con la citada operadora en relación con la línea de telefonía asociada al número J.J.J., que encuentra su tipificación en el artículo 44.3.
- c)de la citada Ley Orgánica. IX El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el supuesto examinado, ORANGE ha solicitado la aplicación subsidiaria del artículo 45.5 de la LOPD, al existir causas de disminución cualificada de la culpabilidad, al actuar con diligencia anulando las facturas. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, consta acreditado que ORANGE ha vulnerado el artículo 4.3 de la LOPD, ya que a pesar de que el denunciante ya no era cliente de ORANGE, la operadora continuó emitiéndole facturas en julio, agosto, septiembre y, a pesar de la respuesta ofrecida a la SETSI confirmando la portabilidad y anulando las facturas pendientes de pago, volvió a emitir en octubre una nueva factura lo que demuestra su falta de diligencia y, ante su impago, requerirle para que abonara su importe a través de mensajes sms y carta enviada a su domicilio; deuda que no era cierta ni respondía con veracidad a la situación del denunciante, por lo que la actuación de la entidad ha de ser objeto de sanción. Es por ello que las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
- d)y
- e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Por otra parte, se advierten otras circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Así, concurren la agravante prevista en el apartado
- c)La vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros y el apartado
- d)“volumen de negocio” toda vez que se trata de una de las grandes operadoras de telefonía del país, por cuota de mercado. Al tener la infracción imputada la consideración de grave, en aplicación de lo previsto en el apartado 2 del artículo 45 procede imponer multa cuyo importe se encuentre entre 40.001 € y 300.000 €. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal (apartado b), el volumen de negocio del infractor (apartado d), se propone la imposición de multas de 50.000 € por la infracción del artículo 4.3 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 LOPD de la que ORANGE debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U.., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: ARCHIVAR a la entidad ORANGE ESPAGNE S.A.U.., por una supuesta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U.. y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es