← España

PS-00169-2018

1/14 Procedimiento Nº PS/00169/2018 RESOLUCIÓN: R/01315/2018 En el procedimiento sancionador PS/00169/2018, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: El 20 de octubre de 2017 tiene entrada en la Agencia Española de Protección de Datos, escrito de denuncia de A.A.A. (en lo sucesivo la denunciante) contra ORANGE ESPAGNE S.A.U. por incluir sus datos personales en ficheros de solvencia patrimonial y de crédito, sin cumplir los requisitos legales para la inclusión. Junto a su escrito de denuncia, anexa la siguiente documentación:  Fotocopia del DNI de la denunciante.  Denuncia ante la policía local de Bustarviejo con fecha de 06/08/2012, en la que la denunciante manifiesta que le han sustraído el bolso, que contenía, entre otras pertenencias, su DNI.  Atestado de la Guardia Civil con fecha del 09/05/2017, en el que la denunciante declara que sobre el día 30/03/2017 recibió una llamada de la “ASESORÍA JURÍDICA I.S.F.G.” informándole de que se ponga en contacto con una empresa (no se indica cuál en la diligencia de comparecencia), por una deuda de 607 € correspondiente a una línea telefónica de la localidad de Yuncos (Toledo).  Carta certificada remitida por la denunciante al departamento de atención al cliente de TELEFONICA MOVILES ESPAÑA, S.A.U. con sello de correo del 11/05/2017. Y comprobante de recepción del 16/05/2017. En esta carta, la denunciante indica que aporta copia de la denuncia presentada ante la Guardia Civil por suplantación de su identidad; y solicita la anulación de las cantidades adeudadas, así como la cancelación de los datos personales de la denunciante incluidos en los ficheros de la propia compañía y en los ficheros de solvencia patrimonial y crédito a los que se hayan comunicado.  Carta remitida por la denunciante a ALTAIA CAPITAL, S.A.R.L., con sello de correos del 11/05/2017. Y comprobante de recepción del 25/05/2017. En dicha carta, la denunciante solicita que anulen las cantidades que le reclaman debidas a importes impagados a ONO-VODAFONE y MOVISTAR, y también solicita que cancelen los datos personales de la denunciante que tengan en sus ficheros y en aquellas empresas y ficheros de solvencia patrimonial y de crédito a los que se los hubieran cedido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14  Carta remitida por ALTAIA CAPITAL, S.A.R.L. a la denunciante, fechada el 01/06/2017, contestándole que están consultando a ORANGE ESPAGNE, S.A.U. la documentación referida a su reclamación.  Operaciones presentes en el fichero ASNEF a fecha de 05/10/2017 referidas al NIF de la denunciante, en la que se observa una operación informada por ALTAIA CAPITAL, S.A.R.L. con fecha de alta el 24/07/2014 y fecha de visualización el 08/05/2017 por un importe de 311,79. La dirección informada en esa operación es distinta a la que aparece en el DNI de la denunciante y en la denuncia. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las siguientes entidades:  ALTAIA CAPITAL, S.A.R.L.  ORANGE ESPAGNE, S.A.U. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En la fecha del 26/12/2017, tiene entrada un escrito presentado en nombre de ORANGE ESPAGNE, S.A.U. en respuesta al requerimiento de información señalando: 1. En el escrito, se manifiesta que las líneas contratadas a nombre de la denunciante presentes en sus sistemas de información son los siguientes (se aportan copias de pantallas de los sistemas de información y de tres llamadas realizadas por la empresa verificadora de las contrataciones: una llamada para contratar una línea móvil y otra fija, y otras dos llamadas para contratar una línea móvil):  Línea fija ***TLF.1: o Fecha de contratación: 24/01/2014 o Fecha de alta: 24/01/2014 o Fecha de baja: 25/09/2014  Línea móvil ***TLF.2: o Fecha de contratación: 24/01/2014 o Fecha de alta: 28/01/2014 o Fecha de baja (por portabilidad): 12/02/2014  Línea móvil ***TLF.3: o Fecha de contratación: 27/01/2014 o Fecha de alta: 29/01/2014 o Fecha de baja (por portabilidad): 12/02/2014  Línea móvil ***TLF.4: o Fecha de contratación: 07/02/2014 o Fecha de alta: 12/02/2014 o Fecha de baja (por impago): 01/08/2014 2. En el escrito, se manifiesta que para cada una de las 3 líneas móviles se realizaron 2 pedidos iguales:  IPHONE 5S 16GB ORO  WP PORTABILIDAD NANOSIM 4G C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 3. Copia de pantalla de los sistemas de información de ORANGE ESPAGNE, S.A.U., en la que se observa que hay una fecha de alta en ASNEF el día 23/07/2014, y una fecha de baja en ASNEF el día 09/03/2017; y se manifiesta que la baja fue solicitada debido a una cesión de deuda realizada el 09/03/2017 a la empresa ALTAIA CAPITAL, S.A.R.L. 4. Nueve facturas de líneas móviles por un total de 2.254,57 € con períodos de facturación que van desde el 01/01/2014 hasta el 25/09/2014. 5. En el escrito se manifiesta que, al recibir el requerimiento de información de la AEPD, relacionado con este expediente, se hizo un estudio de las contrataciones y se catalogaron como fraudulentas, procediendo a anular la deuda; aportando las facturas rectificadas: Nueve facturas rectificativas de las anteriores líneas móviles con fecha de facturación el 24/11/2017 y el 27/11/2017 a nombre de la denunciante, con períodos de facturación que van desde el 01/01/2014 hasta el 25/09/2014, todas con un total a pagar de 0,00 €. 6. Nueve facturas de “línea + servicios de internet + llamadas + TV” a nombre de la denunciante con períodos de facturación que van desde el 16/01/2014 hasta el 25/11/2014 por un valor total de 311,79 €. 7. En el escrito, se manifiesta que, al recibir el requerimiento, se comprobó la contratación, procediéndose a anular la facturación, aportando un duplicado de factura con fecha de factura el 16/12/2017 por valor de -311,77 €. 8. En el escrito, se manifiesta que no tienen constancia de haber recibido reclamaciones en ORANGE ESPAGNE, S.A.U. interpuestas por la denunciante ni por terceros a su nombre. En la fecha del 17/01/2018, tiene entrada un escrito presentado en nombre de ALTAIA CAPITAL, S.A.R.L. en respuesta a requerimiento de información aporta la siguiente información:  Escritura de compraventa y cesión de cartera de cartera entre ORANGE ESPAÑA S.A.U. y ALTAIA CAPITAL S.A.R.L. con fecha 01/03/2017 y elevada a escritura pública ante notario.  En el expositivo IV se puede leer que “…. El cedente ha permitido al Cesionario el análisis y estudio, entre otros, de los datos de los créditos a su satisfacción, …. . El Cesionario recabó toda la información incluida en la Cartera de Créditos y dispuso de un plazo para comprobarla, analizarla y estudiarla. A este respecto, ambas partes aceptan que la información incluida en la Cartera de Créditos, tal y como ha sido y es entregada, es adecuada y suficiente.  En el expositivo V se puede leer que. “Que el volumen de la Cartera de Créditos, la heterogeneidad de los Créditos que la componen y, en muchos casos, su antigüedad hace que éste no pueda garantizar al Cesionario, entre otros extremos, que acepta, que los Datos de los Créditos sean siempre correctos y completos. La documentación física relativa a los Créditos con la que cuenta el Cedente no necesariamente es completa ni exhaustiva, pudiendo no existir documentación física respecto de algunos de los Créditos. El Cesionario conoce y acepta todas estas circunstancias y características de los Créditos (…)  En el expositivo VII se puede leer que. “... el Cesionario afirma que ha podido informarse completamente y a su satisfacción sobre las características y contenido de la Cartera de Créditos, (…)  En el expositivo VIII se puede leer que. “Que, a la vista de lo anterior, el Cedente está interesado en vender y transmitir alzadamente y como dudosa la Cartera de Créditos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 no respondiendo de la solvencia de los deudores y/o resto de obligados al pago, circunstancias todas ellas que el Cesionario conoce y acepta.  En la cláusula 1.1 se puede leer que “(…) teniendo en cuenta, en especial, el carácter dudoso de todos y cada uno de los Créditos,(…) El CESIONARIO afirma conocer y aceptar que la Cartera de Créditos objeto del presente Contrato incorpora créditos cuyas acciones pueden haber prescrito. “Que se ha depurado la cartera objeto de cesión con el fin de eliminar aquellos deudores en los que se haya detectado algún tipo de fraude” En la cláusula 2 se puede leer que “(…) Sin perjuicio de que sólo a partir de la fecha del presente acuerdo corresponde al Cesionario, como titular de los Créditos, cualquier gestión para el cobro de éstos. En la cláusula 3 se puede leer que “(…) las partes manifiestan que procede notificar a los deudores de los créditos la cesión de éstos y de los Datos de los Créditos por el Cedente al Cesionario. A tal efecto, han acordado el envío de una comunicación efectuada por empresa distribuidora que acredite el envío de la comunicación firmada por un representante de cada Parte siguiendo los modelos que se adjuntan como Anexos 1 y 2 respectivamente, en el plazo de 60 días desde la fecha del presente acuerdo. El procedimiento de envío acordado por las partes será el coloquialmente conocido como procedimiento de ocultación o cambio de titularidad en el bureau. Así, se realizarán las siguientes actuaciones: - El cedente notificará al bureau las cuentas que se van a ceder. - A la fecha de la firma del contrato el bureau oculta esa información, es decir, no es visible para terceros que consulten el mismo. - El cesionario enviará la Hello-Goodbye Letter recogida en el Anexo 2 a través del bureau (como tercero de confianza) informando que en el caso que no abone su deuda en el plazo de los 15 días siguientes a la recepción de la carta, volverá a constar en bureau (…). Transcurridas tres semanas desde el envío, si el cliente no hubiera pagado, volverá a reaparecer en el Bureau pero ya reportado por la parte Cesionaria (…) El Cesionario se obliga a no realizar ninguna actuación encaminada al cobro de un Crédito mientras no se haya comunicado su cesión al correspondiente deudor conforme a lo previsto en esta cláusula (…).” Realiza además las siguientes manifestaciones: 1. Contrato de cesión de créditos suscrito el 01/03/2017 entre ALTAIA CAPITAL, S.A.R.L. y ORANGE ESPAGNE, S.A.U., que, según se manifiesta en el escrito, incluía el crédito objeto de esta denuncia. 2. En el escrito, ALTAIA manifiesta que se envió requerimiento de pago previo a la visualización de los datos en el fichero ASNEF, que se envió a la dirección que le facilitó ORANGE ESPAGNE, S.A.U. (que es distinta a la que aparece en el DNI de la denunciante), poniéndose en servicios postales el 31/03/2017, según certificación de SERVINFORM, S.A. En dicho escrito se informaba que los datos de la denunciante ya se encontraban incluidos en el fichero común ASNEF. 3. En el escrito se manifiesta que los datos de la denunciante en el fichero ASNEF fueron visibles a partir del día 27/04/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 4. Carta de EXPERIAN, aportada por la denunciante, en la que se indica que no existen datos de la denunciante presentes en el fichero BADEXCUG a fecha de 03/10/2017. 5. El día 25/05/2017, se recibió una carta de la denunciante en la que solicitaba la cancelación de sus datos personales. A lo cual, ALTAIA CAPITAL, S.A.R.L. contestó indicando que consultaría con ORANGE ESPAGNE, S.A.U. para conocer el estado de su expediente. 6. Comunicación firmada el 10/11/2017, enviada a ALTAIA CAPITAL, S.A.R.L. por la Dirección General de Comercio y Consumo de la Comunidad de Madrid, solicitando que le respondan a una reclamación formulada ante dicha Dirección General por la denunciante, en la que la denunciante solicita que cesen la reclamación de las cantidades que se le reclaman y que cancelen sus datos en los ficheros de su empresa y en el resto de empresas a las que se los hubieran cedido, así como en los ficheros de solvencia patrimonial y de crédito. 7. El día 27/11/2017, recibió la comunicación de la Dirección General de Comercio y Consumo de la Comunidad de Madrid citada anteriormente, y que, en ese momento se solicitó la exclusión de los datos de la denunciante del fichero ASNEF el día 29/11/2017. TERCERO: Con fecha 24 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE, S.A.U., por presunta infracción del artículo 4.3 de la LOPD, en relación con los artículos 38.1 a), 38.1 c), 39 y 43 del RLOPD, tipificada como GRAVE en el artículo 44.3

  1. c)de dicha norma, pudiendo ser sancionada cada una, con multa de 70.000 €, de acuerdo con el artículo 45 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE ESPAGNE, S.A.U. mediante escrito de fecha 18 de mayo de 2018, formuló alegaciones, significando lo siguiente: I En relación a la contratación de los servicios, se señala que “A.A.A., contrató servicios móviles en las líneas ***TLF.2, ***TLF.3 y ***TLF.4, asociadas al contrato nº 1.57817617. Con motivo del impago en la numeración ***TLF.2, la misma se da de baja en fecha 01 de agosto de 2014. En cuanto a las numeraciones ***TLF.3 y ***TLF.2, la baja se produjo ante la portabilidad de las líneas a otro operador, en fecha 12 de febrero de 2014. Por otro lado, constaba la contratación de los servicios de línea fija asociados a la numeración ***TLF.1, con fecha 24 de enero de 2014. Se incorporan las grabaciones de las contrataciones indicadas en las que se escucha al operador de la empresa ORANGE realizar el servicio de verificación de datos y pedir confirmación de los datos personales al cliente quien confirma que se trata de la Sra. A.A.A. con NIF ***NIF.1 y domicilio en ***DIRECCIÓN.1La baja se gestionó ante la portabilidad de la línea en fecha 25 de septiembre de 2014.” II En relación a la presunta infracción del artículo 4.3 LOPD, “debe tomarse en consideración que la obligación que del artículo 4.3 LOPD se deriva para los Responsables de los Ficheros, debe entenderse como un deber de proceder a la actualización de ficheros y bases de datos, en la medida en que los Responsables de los Ficheros tengan o hayan podido tener conocimiento o constancia de la desactualización o de la falta de veracidad de los datos, es decir, siempre que, o bien el propio interesado haya puesto de manifiesto la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 desactualización, o bien la entidad haya podido tener noticia de la desactualización por otros medios. Sin embargo, tal y como han manifestado tanto la AEPD como la Audiencia Nacional en diferentes pronunciamientos, no debe entenderse dicha obligación en el sentido de exigir que los Responsables de los Ficheros deban proceder, de motu propio, a la revisión de todos y cada uno de los registros que figuran en sus bases de datos, a los efectos de identificar posibles desactualizaciones, sino que dicha revisión debe tener lugar a instancia de parte o en caso de conocimiento efectivo por parte del Responsable del Fichero. Por lo tanto, la obligación que se deriva del art. 4.3 LOPD debe entenderse como una obligación de tipo reactivo, esto es, de actuación cuando el Responsable del Fichero tenga conocimiento de la desactualización, bien a instancia del propio interesado, bien por otra vía, pero no debe entenderse como una obligación de proactividad o de actuación de motu propio. Este criterio ha sido igualmente recogido en el art. 8.5 del Real Decreto 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece lo siguiente: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste”. En este sentido, debe ponerse de manifiesto que ORANGE tenía el pleno convencimiento de que los datos aportados en el proceso de contratación provenían de la ahora denunciante y que no cabe estimar la infracción del artículo 4.3 LOPD por cuanto procedió a la revisión y actualización de los ficheros tan pronto como tuvo conocimiento de la falta de veracidad de los datos relativos a la denunciante, que no tuvo lugar sino hasta el 21 de noviembre de 2017, fecha en la que se recibe requerimiento de información emitido por la Agencia a la que me dirijo, con nº de referencia E/06423/2017. Teniendo en cuenta lo manifestado, se procedió a la rectificación de la facturación anulando la totalidad de la misma. A tal efecto, se emitió factura negativa por importe de -2.254,57 € en los servicios de Orange Móvil, y por importe de -311,77 € en Orange fijo, correspondientes con las cantidades que se le reclamaba a la denunciante. Se aporta copia de la facturación emitida con importes negativos referentes a las citadas deudas en fijo y móvil.” III En relación a lo dispuesto en el artículo 38.1
  2. a)del RLOPD, “ORANGE no tenía conocimiento previo al requerimiento formulado por la Agencia, de que el carácter de la contratación fuese fraudulento, ya que no se puso en conocimiento de mi representada a través de ningún canal. Habida cuenta de la legalidad de la que se revestía la contratación, la deuda en ese momento podía considerarse cierta, vencida y exigible. De este modo, esta mercantil ha cumplido con los requisitos establecidos efectuando los correspondientes requerimientos previos a la titular de los servicios, para la inclusión de los datos en ficheros de solvencia patrimonial. (…) la deuda reclamada a la denunciante tiene su origen en los servicios de telecomunicaciones contratados con ORANGE asociados a la numeración ***TLF.1, contratada en fecha 24 de enero de 2014. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 En relación a lo dispuesto en el artículo 38.1
  3. b)del RLOPD, “las facturas fueron emitidas entre los periodos de febrero de 2014 y noviembre de 2014, por lo que no llegaron a transcurrir seis años ya que la deuda se canceló en el año 2017, momento en que se emite la factura negativa por importe de -311,77 euros, correspondientes al importe total reclamado.” V En relación a lo dispuesto en el artículo 38.1
  4. c)del RLOPD “ORANGE procedió a requerir el pago de las facturas a la persona que había contratado los servicios identificada como la señora A.A.A.. Estos requerimientos fueron dirigidos a la dirección ***DIRECCIÓN.1 Madrid, que es la que constaba en los sistemas de ORANGE. Se aporta comunicado emitido por SERVIFORM S.A., en el que se indica que con fecha 24 de abril, 20 de mayo y 23 de junio de 2014 y 21 de enero de 2015, fue puesta en el servicio de servicios postales la comunicación de referencia ***REF.2, ***REF.3, ***REF.4, ***REF.5, dirigida a A.A.A. , con dirección ***DIRECCIÓN.1 Madrid. En los requerimientos de pago enviados (…) se afirmó textualmente (…) sus datos podrán ser incluidos en ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias y en concreto en el fichero nacional de impagados ASNEF-EQUIFAX.” VI En relación a la graduación de la sanción, se manifiesta que “la infracción tiene su origen en la inclusión de los datos de una única persona en el fichero ASNEF limitándose tales datos a los imprescindibles para su identificación. Por tanto, no existe un gran volumen de datos que hayan resultado afectados. La inclusión de los datos de la denunciante en el fichero ASNEF, per se, no ha generado ningún beneficio a ORANGE, y no ha existido ninguna intencionalidad por parte de ORANGE de vulnerar la normativa de protección de datos.” QUINTO: Con fecha 22/05/2018 se inició el período de práctica de pruebas, dando por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00169/2018 presentadas por ORANGE ESPAGNE, S.A.U. Todo ello con su correspondiente documentación adjunta. SEXTO: Con fecha 14 de junio de 2018 se formuló propuesta de resolución, proponiendo la imposición de una sanción de "40.000" € (cuarenta mil euros) a ORANGE ESPAGNE, S.A.U., por la comisión de una infracción del artículo 4.3 de la LOPD, en relación con el art. 38.1 a), 38.1 c), 39 y 43 de RLOPD, tipificada como GRAVE en el artículo 44.3
  5. c)de dicha norma, y de conformidad con el art. 45.5
  6. b)LOPD, al constatarse que la entidad ORANGE llevó a cabo la regularización de la situación irregular objeto de este caso de forma diligente, ya que hay indicios razonables de diligencia debida al constatarse la regularización de los hechos denunciados el 15/11/2017, mediante facturas rectificativas y declaración de fraude, y además se acredita que los datos de la denunciante, fueron dados de baja en el fichero ASNEF el 29/11/2017 SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados:  Hay indicios razonables de diligencia debida en la contratación por ORANGE ESPAGNE, ya que se acredita la realización de las llamadas verificadoras de la contratación de las líneas objeto de este caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14  Hay indicios razonables de diligencia debida en la regularización de los hechos denunciados el 15/11/2017, mediante facturas rectificativas y declaración de fraude.  Se acredita que los datos de la denunciante, tienen una fecha de alta en el fichero ASNEF, el 23/07/2014 y una fecha de baja de 29/11/2017.  No consta que ORANGE ESPAGNE haya efectuado el debido requerimiento de pago, con carácter previo a la inclusión en ficheros de solvencia patrimonial.  En el contrato de cesión de créditos de 01/03/2017 firmado entre ORANGE y ALTAIA, aparecen entre otras las siguientes cláusulas: En el expositivo IV se puede leer que “…. El cedente ha permitido al Cesionario el análisis y estudio, entre otros, de los datos de los créditos a su satisfacción,…. . El Cesionario recabó toda la información incluida en la Cartera de Créditos y dispuso de un plazo para comprobarla, analizarla y estudiarla. A este respecto, ambas partes aceptan que la información incluida en la Cartera de Créditos, tal y como ha sido y es entregada, es adecuada y suficiente. En el expositivo V se puede leer que. “Que el volumen de la Cartera de Créditos, la heterogeneidad de los Créditos que la componen y, en muchos casos, su antigüedad hace que éste no pueda garantizar al Cesionario, entre otros extremos, que acepta, que los Datos de los Créditos sean siempre correctos y completos. La documentación física relativa a los Créditos con la que cuenta el Cedente no necesariamente es completa ni exhaustiva, pudiendo no existir documentación física respecto de algunos de los Créditos. El Cesionario conoce y acepta todas estas circunstancias y características de los Créditos (…) En el expositivo VII se puede leer que. “... el Cesionario afirma que ha podido informarse completamente y a su satisfacción sobre las características y contenido de la Cartera de Créditos, (…) En el expositivo VIII se puede leer que. “Que, a la vista de lo anterior, el Cedente está interesado en vender y transmitir alzadamente y como dudosa la Cartera de Créditos, no respondiendo de la solvencia de los deudores y/o resto de obligados al pago, circunstancias todas ellas que el Cesionario conoce y acepta. En la cláusula 1.1 se puede leer que “(…) teniendo en cuenta, en especial, el carácter dudoso de todos y cada uno de los Créditos,(…) El CESIONARIO afirma conocer y aceptar que la Cartera de Créditos objeto del presente Contrato incorpora créditos cuyas acciones pueden haber prescrito. “Que se ha depurado la cartera objeto de cesión con el fin de eliminar aquellos deudores en los que se haya detectado algún tipo de fraude” En la cláusula 2 se puede leer que “(…) Sin perjuicio de que sólo a partir de la fecha del presente acuerdo corresponde al Cesionario, como titular de los Créditos, cualquier gestión para el cobro de éstos. En la cláusula 3 se puede leer que “(…) las partes manifiestan que procede notificar a los deudores de los créditos la cesión de éstos y de los Datos de los Créditos por el Cedente al Cesionario. A tal efecto, han acordado el envío de una comunicación efectuada por empresa distribuidora que acredite el envío de la comunicación firmada por un representante de cada Parte siguiendo los modelos que se adjuntan como Anexos 1 y 2 respectivamente, en el plazo de 60 días desde la fecha del presente acuerdo. El procedimiento de envío acordado por las partes será el coloquialmente conocido como procedimiento de ocultación o cambio de titularidad en el bureau. Así, se realizarán las siguientes actuaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 - El cedente notificará al bureau las cuentas que se van a ceder. - A la fecha de la firma del contrato el bureau oculta esa información, es decir, no es visible para terceros que consulten el mismo. - El cesionario enviará la Hello-Goodbye Letter recogida en el Anexo 2 a través del bureau (como tercero de confianza) informando que en el caso que no abone su deuda en el plazo de los 15 días siguientes a la recepción de la carta, volverá a constar en bureau (…). Transcurridas tres semanas desde el envío, si el cliente no hubiera pagado, volverá a reaparecer en el Bureau pero ya reportado por la parte Cesionaria (…) El Cesionario se obliga a no realizar ninguna actuación encaminada al cobro de un Crédito mientras no se haya comunicado su cesión al correspondiente deudor conforme a lo previsto en esta cláusula (…).”  Consta que desde el 01/03/2017, (fecha de la contratación de cesión) los datos de la denunciante se encuentran informados por ALTAIA en ASNEF.  Consta que la notificación de cesión y requerimiento de pago se depositó en el servicio de correos el 31/03/2017.  Consta que en la carta de notificación de requerimiento de pago y/o cesión de crédito, se advierte a la denunciante que sus datos ya se encontraban incluidos en el fichero común ASNEF. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD II En el presente caso se denuncia a ORANGE ESPAGNE, S.A.U., por incluir los datos de la denunciante en el fichero ASNEF, por deudas producidas como consecuencia de una contratación fraudulenta. A través de las actuaciones de investigaciones llevadas a cabo por esta Agencia, se ha constatado que ha habido actuación diligente por parte de ORANGE ESPAGNE, S.A.U., ya que procede a cancelar las facturas de la denunciante el 16/12/2017, tras conocer la suplantación de identidad en la contratación de las líneas objeto del presente caso. No obstante los datos del denunciante, como consecuencia de dicha contratación fraudulenta aparece registrada en el fichero ASNEF a solicitud de ORANGE ESPAGNE, S.A.U., desde el 24/07/2014, hasta el 01/03/2017, fecha de la cesión de la deuda realizada con ALTAIA CAPITAL S.A.R.L. Además, se debe señalar que debido a la elevada cantidad de créditos cedidos por ORANGE -según consta en el expediente-, y a las citadas cláusulas del contrato de cesión de créditos de 01/03/2017, firmado entre ALTAIA CAPITAL, S.A.R.L., y ORANGE ESPAGNE, se han puesto en riesgo los derechos de todos los afectados, por lo que si bien esta Agencia sólo ha intervenido hasta el momento respecto de los casos denunciados, valorará la gravedad de dicho riesgo por la extensión de sus efectos, al establecer la cuantía de la sanción a imponer. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 III Los hechos expuestos podrían suponer la comisión por parte de ORANGE ESPAGNE, S.A.U., de una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), que señala que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, en relación con los artículos 38.1 a), 38.1 c), 39 y 43 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD); infracción tipificada como grave en el artículo 44.3.
  8. c)de la LOPD, que considera como tal: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica, estos dos últimos artículos según redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible. IV ORANGE ESPAGNE, S.A.U., el 28 de junio de 2018, en respuesta a la propuesta de resolución de fecha 14 de junio de 2018, manifiesta lo siguiente: “Teniendo en cuenta que ha quedado sobradamente probado en este procedimiento que la inclusión de los datos de la denunciante por parte de ORANGE en el fichero ASNEF de solvencia patrimonial se produjo en fecha 24 de julio de 2014, que la denuncia por los citados hechos data del 20 de octubre del 2017, denuncia en la cual ORANGE no aparecía ni siquiera como parte denunciada, y que el acuerdo de inicio del procedimiento se ha notificado en fecha 25 de abril de 2018, ha transcurrido entre la inclusión de los datos de la denunciante en el fichero ASNEF hasta la apertura del procedimiento sancionador un periodo de tiempo de tres años y nueve meses, ampliamente superior a los dos años previstos para la prescripción de la infracción que contempla la LOPD. Incluso se podría alegar que entre la inclusión de los datos de la denunciante en el fichero de solvencia anteriormente señalado, por parte de ORANGE, y la presentación de la denuncia ante la AEPD, median más de tres años. En las alegaciones presentadas frente al acuerdo de incoación, se aportó comunicado emitido por SERVINFORM, en el que se indica que, con fecha 24 de abril, 20 de mayo, y 23 de junio de 2014 y 21 de enero de 2015, fue puesta en el servicio de envíos postales, la comunicación con el número de referencia ***REF.6, ***REF.3, ***REF.4, ***REF.5, dirigida a A.A.A. con dirección en ***DIRECCIÓN.1 Como puede comprobarse en el mismo documento, se incluyen copias de los albaranes de entrega de CORREOS de las comunicaciones en las que se refleja la fecha de admisión. En los requerimientos de pago enviados el 24 de abril, 20 de mayo, y 23 de junio de 2014 y 21 de enero de 2015, a través del servicio prestado por la entidad SERVINFORM, S.A. en los términos descritos en el punto anterior, se informaba expresamente que, de no atenderlo, sus datos serían incluidos en el fichero ASNEF. En concreto, se afirmó textualmente “Asimismo, en cumplimiento de la legislación vigente, le informamos de que, en caso de no proceder al pago de la deuda en el plazo previsto, y siempre que se cumplan los requisitos previstos en dicha legislación, sus datos podrán ser incluidos en ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias y en concreto en el fichero nacional de impagados ASNEF-EQUIFAX.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 V De acuerdo con lo argumentado, y una vez analizadas las pruebas documentales aportadas a lo largo del procedimiento por la entidad denunciada, cabe concluir que ORANGE ESPAGNE, ha acreditado en derecho el cumplimiento fehaciente de la realización de requerimiento de pago mediante cartas de 24 de abril, 20 de mayo, y 23 de junio de 2014 y 21 de enero de 2015, dirigidas a A.A.A. con dirección en ***DIRECCIÓN.1, con carácter previo a la inclusión de los datos de la denunciante en el fichero ASNEF el 24 de julio de 2014. Sin embargo, la dirección de la denunciante es calle ***DIRECCIÓN.2, es decir, distinta a la que se dirige el requerimiento de pago - ***DIRECCIÓN.1,- por lo que la denunciante no ha tenido conocimiento ni de la existencia de dicha deuda ni de la inclusión de sus datos en el fichero ASNEF, hasta que ALTAIA se pone en contacto con la denunciante el 01/06/2017, en respuesta a su reclamación de fecha 09/05/2017. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 varios de los criterios enunciados en el apartado 4 de este artículo.
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. VII En fase de instrucción se procede a examinar la documentación presentada y analizar las pruebas documentales aportadas, concluyendo que ORANGE ESPAGNE, ha acreditado en derecho el cumplimiento fehaciente de la realización de requerimiento de pago mediante cartas de 24 de abril, 20 de mayo, y 23 de junio de 2014 y 21 de enero de 2015, dirigidas a A.A.A. con dirección en ***DIRECCIÓN.1, con carácter previo a la inclusión de los datos de la denunciante en el fichero ASNEF el 24 de julio de 2014. Sin embargo, la dirección de la denunciante es calle ***DIRECCIÓN.2, es decir, distinta a la que se dirige el requerimiento de pago - ***DIRECCIÓN.1,- por lo que la denunciante no ha tenido conocimiento ni de la existencia de dicha deuda ni de la inclusión de sus datos en el fichero ASNEF, hasta que ALTAIA se pone en contacto con la denunciante el 01/06/2017, en respuesta a su reclamación de fecha 09/05/2017. El 16/12/2017, ORANGE ESPAGNE, S.A.U., como consecuencia de la reclamación presentada por la denunciante ante ALTAIA, procedió a cancelar las facturas de la denunciante. No obstante, tras las alegaciones presentadas y el estudio pormenorizado de la documentación aportada, se considera que de conformidad con el art. 45.5
  24. b)LOPD, “cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, ya que la entidad ORANGE llevó a cabo la regularización de la situación irregular objeto de este caso de forma diligente, ya que hay indicios razonables de diligencia debida al constatarse la regularización de los hechos denunciados el 15/11/2017, mediante facturas rectificativas y declaración de fraude, y además se acredita que los datos de la denunciante, fueron dados de baja en el fichero ASNEF el 29/11/2017. Por tanto, se considera que concurren las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45. 5
  25. b)de la LOPD. VII La importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” En este sentido, se debe señalar que debido a la elevada cantidad de créditos cedidos por ORANGE -según consta en el expediente-, y a las citadas cláusulas del contrato de cesión de créditos de 01/03/2017, firmado entre ALTAIA CAPITAL, S.A.R.L., y ORANGE ESPAGNE, se han puesto en riesgo los derechos de todos los afectados, por lo que si bien esta Agencia sólo ha intervenido hasta el momento respecto de los casos denunciados, valorará la gravedad de dicho riesgo por la extensión de sus efectos, al establecer la cuantía de la sanción a imponer. Para ello, procede a graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD: Agravantes: -“El carácter continuado de la infracción” (apartado a): pues los datos personales del denunciante han sido tratados por el actual responsable sin tener en cuenta el principio de calidad de datos al ser incluidos en el fichero de solvencia patrimonial ASNEF con una fecha de alta 23/07/2014 y una fecha de baja de 29/11/2017, como consecuencia de la indebida incorporación de los datos de los afectados en ASNEF, a solicitud de ORANGE. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c): La especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental de protección de datos. -“El volumen de negocio o actividad del infractor” (apartado d): Sobre esta circunstancia subrayar el elevado importe económico de las operaciones de compra de cartera de créditos en las que la denunciada interviene. -“Los beneficios obtenidos como consecuencia de la comisión de la infracción” (apartado e), toda vez constatada la elevada cuantía que consta acreditada en el expediente. - y por último, se debe señalar el elevado número de deudas adquiridas en similares circunstancias que consta en el citado contrato de fecha 1/03/2017, lo cual ha puesto en riesgo los derechos de los afectados en la cesión de créditos del presente caso (apartado j). Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U. con NIF A82009812, por una infracción del artículo 4.3 de la LOPD de la LOPD, tipificada como Grave en el artículo 44.3 c de la LOPD, una multa de 40.000 €, de conformidad con lo establecido en el artículo 45.2 de la citada norma, en relación con el artículo 45.5
  26. b)de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  28. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.