PS-00199-2013

1/12 Procedimiento Nº PS/00199/2013 RESOLUCIÓN: R/02385/2013 En el procedimiento sancionador PS/00199/2013, instruido por la Agencia Española de Protección de Datos a la entidad FRANCE TELECOM ESPAÑA S.A.., vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18/05/2012 tiene entrada en esta Agencia un escrito de B.B.B. en el que declara que después de solicitar acceso a sus datos personales ante EXPERIAN BUREAU DE CREDITO SA, (en adelante EXPERIAN) comprueba que la entidad FRANCE TELECOM ESPAÑA SA (ORANGE) ha consultado sus datos personales, obrantes en el fichero BADEXCUG. Sin embargo, manifiesta que desde el 4/03/2010 no ha vuelto a tener relación con ORANGE, ni ha solicitado ninguna operación con esa entidad, ni la ha autorizado para la consulta de sus datos personales en ficheros de solvencia. El denunciante señala que fue titular de una línea de telefonía móvil con FT, ( D.D.D. 449) y que abonó la reclamación de 124,25 € el 4/03/2010 causando baja en dicha línea. Aporta transferencia efectuada en dicha fecha a la referencia que le señala la carta de reclamación de deuda. Aporta copia de la contestación remitida por EXPERIAN a su ejercicio del derecho de acceso, en la que se indica que su NIF ha sido consultado en los últimos seis meses por la entidad “ORANGE”. La contestación de EXPERIAN es de fecha 03/04/2012. SEGUNDO: Solicitada información a ORANGE se constata que el afectado ha tenido dos contratos con la entidad (uno de ellos de prepago).  Con respecto al contrato de postpago, de nº ***CONTRATO.1 y correspondiente a la línea C.C.C. 20, consta la baja por portabilidad con fecha 30/06/2009. Todas las facturas constan cobradas, la última de fecha 12/07/2009 por importe de 124,25 €  Con respecto al prepago, la baja fue con fecha 02/01/2011, en la línea D.D.D. 449. Sobre los motivos por los cuales se accedió a la información relativa al afectado contenida en los ficheros de solvencia, los representantes de ORANGE han manifestado que: “France Telecom España tiene implementado en su procedimiento de alta para servicios de telecomunicaciones postpago, es decir, sujetos a facturación periódica, la realización en todos los casos de un análisis de probabilidad de riesgo de impago ("scoring"), con carácter previo a la contratación. En este sentido y una vez se ha podido comprobar que Don B.B.B. no mantiene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 en la actualidad ninguna relación contractual con France Telecom, se puede deducir que dicha consulta al fichero de solvencia patrimonial, se realizó a tenor de alguna solicitud de contratación pretendida por el denunciante en algún punto de venta de esta mercantil.” Sobre la justificación documental de la relación contractual mantenida por el afectado, o de la solicitud de celebración de algún contrato por su parte entre octubre de 2011 y abril de 2012 (ambos inclusive), los representantes de la entidad han manifestado que: “Tal y como se ha manifestado en la Alegación Primera anterior, no ha sido localizado en los sistemas de provisión de esta mercantil, ninguna solicitud de contratación a nombre de Don B.B.B. en las fechas indicadas. En este sentido, France Telecom quiere poner de manifiesto que, el tiempo de borrado de los datos de cualquier solicitud de alta y activación de un cliente que, por algún motivo, no haya prosperado y, por tanto, no culmine en, contratación efectiva, es de 30 días naturales. Este borrado de datos se realiza mediante un procedimiento automatizado, motivo por el cual, no se puede proceder a la entrega de justificación documental que acredite tal solicitud.” TERCERO: Con fecha 19/04/2012, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a FRANCE TELECOM ESPAÑA SA por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.b). CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 20/05/2013 la denunciada alega: 1) Es cierto que FT no ha acreditado que el denunciante haya solicitado la contratación de sus servicios ni que haya consentido a que se consulten sus datos de los ficheros de solvencia, pero es que tampoco es posible que pueda demostrarlo, ya que FT tiene la obligación de cancelar los datos en caso de que finalmente no llegue a celebrarse el contrato, artículo 36.2.a del Reglamento, lo cual efectúa en el plazo de 30 días. No ha sido practicada prueba alguna tendente a acreditar que FT no contase con el consentimiento del denunciante para el tratamiento de sus datos y para la realización de la consulta al fichero de solvencia patrimonial. El artículo 36.2.

1. a)indica: “Los interesados tienen derecho a no verse sometidos a una decisión con efectos jurídicos sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento automatizado de datos destinado a evaluar determinados aspectos de su personalidad, tales como su rendimiento laboral, crédito, fiabilidad o conducta. 2. No obstante, los afectados podrán verse sometidos a una de las decisiones contempladas en el apartado 1 cuando dicha decisión:
2. a)Se haya adoptado en el marco de la celebración o ejecución de un contrato a petición del interesado, siempre que se le otorgue la posibilidad de alegar lo que estimara pertinente, a fin de defender su derecho o interés. En todo caso, el responsable del fichero deberá informar previamente al afectado, de forma clara y precisa, de que se adoptarán decisiones con las características señaladas en el apartado 1 y cancelará los datos en caso de que no llegue a celebrarse finalmente el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 contrato.” 2) Solicita la aplicación del artículo 45.5 de la LOPD, pues dispone del Acta 952/2006 que refleja medidas implementadas para la tutela de los derechos de los clientes y de sus datos. QUINTO: Con fecha 27 /08/2013 se emitió PROPUESTA DE RESOLUCIÓN del siguiente tenor:”Que por el Director de la Agencia Española de Protección de Datos se sancione a FRANCE TELECOM ESPAÑA S.A.. con multa de 40.001 €, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
3. b)de dicha norma, de conformidad con el artículo 45.2 y 4 de la citada Ley Orgánica.” SEXTO: Con fecha de entrada 1/10/2013, la denunciada reitera lo ya manifestado y añade: 1) La prueba se apoya en el documento de acceso que EQUIFAX entregó al denunciante, en el que consta la citada consulta, sin que dicho documento tenga carácter determinante pues no acredita que fuera la denunciada quien la solicitó. Esa forma de acreditar los hechos produce indefensión. 2) Dado el tiempo transcurrido entre la posible comisión de la infracción con la realización de la consulta: 3/10/2011 y la notificación del acuerdo de inicio 24/04/2013, no está en condiciones de probar la existencia de un contrato o pre contrato pues en caso de que no se llegue a celebrar, France Telecom tiene la obligación de cancelar los datos, artículos 4.5 LOPD y 36.2.a del Reglamento de la LOPD mediante el borrado físico de los mismos, lo cual efectúa en el plazo de 30 días. Si no se hubieran cancelado se cometería una infracción. 3) Solicita la aplicación del artículo 45.5 de la LOPD reiterando las razones ya alegadas, porque la infracción no es de carácter continuado, lo producido en una incidencia puntual, no se obtuvieron beneficios, no existe intencionalidad. HECHOS PROBADOS 1) El denunciante reconoce que desde 4/03/2010 no ha tenido relación con FT, y con posterioridad no ha autorizado ninguna operación, solicitando servicio alguno, ni mantenido relación alguna con la misma. Denuncia que FT accedió a sus datos en modo consulta según se desprende de la impresión que EXPERIAN el 3/04/2012 le hizo llegar como respuesta a su derecho de acceso. En la respuesta al acceso, figuran las tres entidades que tienen informados a dicho fichero los datos del denunciante, la cantidad y desde cuando, con el añadido de las que en los últimos seis meses han consultado sus datos, figurando entre otras ORANGE, la marca de France Telecom (1 a 4, 13,28, 36, 44 a 48). 2) El denunciante y la denunciada según reconocen, tuvieron de alta las líneas postpago, C.C.C., de baja por portabilidad con fecha 30/06/2009, y que generó una última factura de 124,25 €, € que el denunciante y la denunciada reconocen que se abonó en marzo 2010 (13,52, 53), aportando el denunciante copia de la transferencia bancaria e impresión de sus sistemas la denunciada (6, 13, 15 a 17,52, 53). También dispuso de la línea prepago D.D.D. , de baja con fecha 02/01/2011, que no generó facturas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 3) En el fichero BADEXCUG, según certifica su responsable, figuraron los datos del denunciante informados por FT por 124,25 euros desde 27/09/2009 a 14/03/2010 (34,35, 28), así como la copia del derecho de acceso que se le dio al denunciante fechado el 3/04/2010 (47-48). 4) La denunciada no ha aportado justificación acreditativa que habilite la consulta de los datos del denunciante en el fichero BADEXCUG producida en los 6 meses anteriores a 3/04/2012, ni mantener relación alguna tras la baja de las líneas que tuvo. En la consulta de los datos del denunciante de FT producida en los seis meses anteriores a 3/04/2012, sin determinarse la fecha concreta, siendo como más remota la de 3/10/2011, FT pudo informarse y conocer que los datos del denunciante estaban incluidos como deudor de tres entidades, cuantías y fechas de alta, (47 y 49) sin contar con habilitación o autorización del afectado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II Se imputa a la FT, en el presente procedimiento, la comisión de infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. La definición de tratamiento se señala en el artículo 3.c de la LOPD como “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El régimen de los ficheros de cumplimiento de obligaciones dinerarias se establece en el artículo 29 de la LOPD, que determina: “1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento. 2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley. 3. En los supuestos a que se refieren los dos apartados anteriores, cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos” Sobre la naturaleza de estos ficheros, la Audiencia Nacional, Recurso: 656/2001, de 10/05/2002, fundamento de derecho VI: indica: “Esta Sala efectivamente conoce las funciones que realizan estos ficheros en su contribución a la salvaguarda del sistema financiero y de la economía en general, por cuando permiten a las entidades financieras, principalmente, conocer la solvencia de sus presentes o futuros clientes. Consciente de esta importante función, la Ley ha establecido un sistema de acceso al fichero más ágil, que como hemos visto se hace a instancias del acreedor y sin consentimiento del afectado, aunque con notificación posterior al mismo, pero la función que cumplen estos ficheros no puede imponerse por encima de la salvaguarda de los derechos fundamentales y de las previsiones plasmadas en la ley en forma de tipos sancionadores.” Atendiendo a lo expuesto, el acceso mediante comunicaciones, consultas, interconexiones y transferencias a los datos personales registrados en un fichero constituye un tratamiento de datos personales que requiere, en principio, el consentimiento del afectado o titular de los datos en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 En el presente caso, la consulta a un fichero al que se encuentra asociado la denunciante sin causa justificativa supone un tratamiento sin consentimiento. La cesión o consulta de los datos a o en los ficheros de morosidad se encuentra admitida por la LOPD siempre y cuando la finalidad de la cesión o la consulta se encuentre relacionada con el enjuiciamiento de la solvencia económica de los interesados, siendo los datos pertinentes para tal fin por existir una relación negocial que supone una deuda cierta, o por querer iniciar una relación negocial. Nuestro legislador ha perfilado, en lo referente a los denominados “ficheros de morosidad”, un perfil especial, mediante un esquema en el que participan dos tipos de entidades distintas: por una parte la entidad responsable del denominado “fichero común”, a la que, por otra, suministran información las denominadas “entidades participantes” o “entidades informantes”. Según este esquema, dichas entidades se asocian al sistema, comprometiéndose a facilitar información referente a los incumplimientos en que incurran sus deudores al responsable del fichero común que, en contraprestación, facilita a dichas entidades, amparada por la Ley, la información suministrada por las restantes entidades adheridas al sistema, conservando aquélla la condición de responsable del fichero común y siendo las entidades participantes meras cedentes/cesionarias de la información contenida en el fichero, en virtud de comunicaciones de datos amparadas por la propia Ley Orgánica 15/1999. Consta acreditado en esta Agencia que las entidades asociadas al fichero de solvencia patrimonial y crédito suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes mediante procedimientos automatizados para que tales actualizaciones queden registradas en el mismo, siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Al mismo tiempo, estas entidades asociadas pueden acceder a la información contenida en tales ficheros que resulte determinante para enjuiciar la solvencia económica del afectado. El modo consulta, diferente del modo inclusión de datos de ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias se encuentra regulada en el artículo 42 del citado Reglamento, en el que se establece lo siguiente: “Acceso a la información contenida en el fichero. 1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
5. a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
6. b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
7. c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica. 2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
8. b)y
9. c)precedentes de su derecho a consultar el fichero. En los supuestos de contratación telefónica de los productos o servicios a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar”. En definitiva, se pretende que la consulta no sea indiscriminada y/o masiva y que, en todo caso, dicha consulta responda a la existencia de un interés legítimo que pueda ser alcanzado de forma razonable mediante el acceso a la información contenida en el fichero de solvencia patrimonial y crédito. Atendiendo a lo expuesto, el acceso a los datos personales del denunciante registrados en el fichero “BADEXCUG” efectuado por la entidad FRANCE TELECOM, constituye un tratamiento de datos personales para el que no resultaba necesario el consentimiento de aquel si se atuviera a alguno de los supuestos mencionados en el artículo 42 u otros que lo legitimaran, por cuanto consta acreditado que dicha consulta se efectuó con la finalidad de evaluar la solvencia económica del afectado, antes señalada, sin el consentimiento del denunciante. Con dicha consulta, que FT no basa en relación o precontrato alguno, ni causa legitimadora, no se entiende justificado el tratamiento de datos personales efectuado por dicha entidad, por cuanto la consulta al fichero mencionado fue indiscriminada y excesiva y no respondía a un interés legítimo. III En cuanto al valor probatorio que tiene el documento de 3/04/2012 de acceso a sus datos proporcionado al denunciante por EXPERIAN, con los datos incluidos en el fichero BADEXCUG y las entidades que lo han consultado en los últimos 6 meses, cabe indicar que se sujeta a lo previsto en el artículo 29.3 de la LOPD como obligación a suministrar al afectado por Ley. A pesar de poner en duda la denunciada con su mera manifestación el dudoso valor probatorio de dicho documento, la denunciada no ha aportado indicio o prueba en contrario que ponga en duda dicha transcripción de las consultas. IV En cuanto a la alegación de la denunciada de la acreditación del consentimiento en el análisis de la infracción del principio del consentimiento del artículo 6.1 LOPD, constituye doctrina reiterada y consolidada de la Audiencia Nacional que, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la Ley, sólo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. En el presente caso, dadas las especificas circunstancias concurrentes y la relación de hechos que ha quedado probada a través de la documentación que consta en el expediente, resulta acreditado que FT no obró con una diligencia normalmente exigible en la consulta realizada, por lo que es posible exigirle responsabilidad en los hechos, (articulo 130.1 Ley 30/1992) a tenor de las circunstancias que se acaban de relatar. V Alega la denunciada que respecto a la consulta producida al fichero en este supuesto, se aplicaría el artículo 36.2.
10. a)del RLOPD, que indica en su contexto: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 “1. Los interesados tienen derecho a no verse sometidos a una decisión con efectos jurídicos sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento automatizado de datos destinado a evaluar determinados aspectos de su personalidad, tales como su rendimiento laboral, crédito, fiabilidad o conducta. 2. No obstante, los afectados podrán verse sometidos a una de las decisiones contempladas en el apartado 1 cuando dicha decisión:
11. a)Se haya adoptado en el marco de la celebración o ejecución de un contrato a petición del interesado, siempre que se le otorgue la posibilidad de alegar lo que estimara pertinente, a fin de defender su derecho o interés. En todo caso, el responsable del fichero deberá informar previamente al afectado, de forma clara y precisa, de que se adoptarán decisiones con las características señaladas en el apartado 1 y cancelará los datos en caso de que no llegue a celebrarse finalmente el contrato.” Como se aprecia, este artículo se incardina en el Título III, Capítulo IV sobre Derechos de acceso, rectificación, cancelación y oposición, mientras que existe un régimen concreto de acceso a la consulta de los ficheros de solvencia, así como de ejercicio de derechos ante estos, regulado en el Titulo IV, siendo este régimen el aplicable Además en este supuesto no sería aplicable el artículo 36 que trata de decisiones que se basan o derivan únicamente en tratamiento automatizado de datos, lo que aquí no consta. Igualmente, la cancelación de los mismos se debería producir en el régimen de bloqueo Resulta por otro lado lógico que si para la inclusión no se precisa el consentimiento del afectado sino el cumplimiento de una serie de de deberes informativos, para la consulta se precisa igualmente la oportuna información al afectado. VI El artículo 44.3.
12. b)de la LOPD, considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En este caso, ha quedado acreditado que FT, accedió a los datos del denunciante registrados en el fichero de solvencia patrimonial y crédito “BADEXCUG” sin informarle por escrito de su derecho a consultar el fichero, por lo que debe considerarse que ha incurrido en la infracción leve descrita. VII De acuerdo con lo establecido en el artículo 45.1, 2, 4 y 5 de la LOPD: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. ““2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.” “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12
13. a)El carácter continuado de la infracción. b El volumen de los tratamientos efectuados.
14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
15. d)El volumen de negocio o actividad del infractor.
16. e)Los beneficios obtenidos como consecuencia de la comisión de la
17. f)El grado de intencionalidad.
18. g)La reincidencia por comisión de infracciones de la misma naturaleza. infracción.
19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5 El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Solicita la denunciada que se aplique el artículo 45.5 de la LOPD porque dispone del Acta 952/2006 que refleja medidas implementadas para la tutela de los derechos de los clientes, la infracción no es de carácter continuado, lo producido fue una incidencia puntual, no se obtuvieron beneficios, y no existe intencionalidad. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En relación con el Acta alegada, en esta o se comprende aspecto alguno en relación con el hecho producido. Además ya entre otras, la Sentencia de la AN Sala de lo Contencioso Nº de Recurso: 831/2010, de 13-07-2012 indica “Tampoco es posible asumir que su conducta excluya o aminore su responsabilidad a los efectos de reducir el importe de la sanción. Y ello por cuanto esta misma empresa ha sido sancionada por este motivo en varias ocasiones, que han sido confirmadas por sentencias de este tribunal, lo que pone de manifiesto que el incumplimiento de su deber de diligencia no es un hecho aislado. El hecho de que en anteriores resoluciones administrativas se hubiese tomado en consideración la adopción de medidas para que no se vuelvan a producir situaciones conculcadoras de las normas de protección de datos no puede perpetuarse en el tiempo y esta inicial consideración referida a un periodo inicial no permite seguir aplicando una causa de atenuación de responsabilidad indefinidamente. Y por otra parte, tal y como ha señalado este Tribunal en anteriores sentencias, " no puede constituir un elemento de atenuación de la responsabilidad sino que se nos presenta como el cumplimiento de una obligación ordinaria exigible a las empresas que trabajan con grandes volúmenes de datos personales, sin que pueda considerarse la adopción de estas medidas como base para la apreciar disminución de la culpabilidad ó de la antijuridicidad”. Respecto al resto de elementos a tener en cuenta, no resultaría proporcional aplicar la misma sanción pese a estar tipificadas en el mismo artículo 6.1 de la LOPD, por ejemplo, el alta y emisión de facturas por la prestación de un servicio no consentido con la consulta a un fichero como en este caso. Se debe indicar que el denunciante fue cliente en el pasado de la denunciada, estando incluido durante un período en el fichero de solvencia, abonando en su día la deuda, además, la infracción se produce y se consuma en un solo momento que fue el de su consulta, no siendo de carácter permanente, no sobresale de dicha consulta una especial cualificación en los perjuicios causados al denunciante, por lo que se ha de aplicar el artículo 45.5 de la LOPD. La denunciada es una empresa que tiene como actividad la prestación de servicios de telecomunicaciones y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes, estando, por tanto su actividad estrechamente relacionada con el tratamiento de datos personales, por tanto, existe un deber específico de vigilancia derivado de su profesionalidad, como tal. Abundante manejo de datos de carácter personal en los que ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En los informes anuales de 2009 y 2011 de la Comisión del Mercado de las Telecomunicaciones, se recoge que ORANGE tuvo unos ingresos totales en el sector de: 4146,78 millones de Euros en 2007 3944,20 millones de Euros en 2008 3871,08 millones de Euros en 2009 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 3847,88 millones de Euros en 2010 4013,19 millones de Euros en 2011 La Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 y en particular, el volumen de negocio de la entidad, toda vez que se trata de una de las mayores operadoras de telefonía del país por cuota de mercado, se impone una sanción de 15.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad FRANCE TELECOM ESPAÑA S.A.., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
27. b)de dicha norma, una multa de 15.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a FRANCE TELECOM ESPAÑA S.A.. y a B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es