← España

PS-00224-2018

1/12 Procedimiento N.º PS/00224/2018 RESOLUCIÓN: R/01709/2018 En el procedimiento sancionador PS/00224/2018, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por A.A.A. y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 16/3/18 tiene entrada escrito de denuncia presentado por D. A.A.A., con DNI ***DNI.1 y domicilio en ***DIRECCION.1, (en lo sucesivo el denunciante), contra ORANGE (en lo sucesivo la denunciada), manifestando que esta entidad ha informado sus datos en un fichero de morosidad sin notificación previa y por una deuda que no es cierta. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ORANGE teniendo conocimiento de que: Con fecha 7/5/18 se recibe informe de la entidad en la que manifiesta lo siguiente: * Que en los ficheros de la entidad Jazztel constan los siguientes datos de D. B.B.B., con DNI ***DNI.2 y domicilio ***DIRECCION.2 * A nombre del denunciante consta asociado los siguientes productos: servicio de internet Fibra 20/2.2 + llamadas y línea asociados a la numeración de fijo ***TELEFONO.1 con alta 9/9/15 y baja 2/6/17. Dicha baja se produjo por impago en parte de la facturación emitida. * Se aporta relación de las facturas emitidas entre 23/9/15 y 22/7/17. * Que en fecha 19/2/18 se recibe comunicación de Jazztel por medio de la cual el denunciante manifiesta no reconocer la contratación de los productos de Jazztel a su nombre. Analizado el caso se catalogó dicha contratación como fraudulenta y se procedió a anular la facturación que figuraba impagada correspondiendo una cantidad de 220.59€ que fue devuelta con fecha 23/3/18. * Constan varios registros de comunicación con el denunciante, los primeros encaminados a informar del alta de la línea y finalmente una comunicación en el que se le informaba de las gestiones realizadas a regularizar la situación de los productos contratados de manera fraudulenta a su nombre de fecha 19/2/18. * Se aporta grabación del contrato relativo a la línea ***TELEFONO.1 realizada con fecha 4/9/15, dicha contratación se realizó por la empresa ***EMPRESA.1, con CIF ***CIF.1, entendiendo que Jazztel empleó una razonable diligencia en el proceso de contratación de la línea afectada. * Los datos del denunciante fueron incluidos en el fichero de morosidad con fecha 26/10/17, siendo dados de baja con fecha 20/2/18, (cuatro meses), siendo excluidos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 una vez recibida la reclamación por suplantación del denunciante de fecha 19/2/18 solicitando en ese momento la baja cautelar de los mismos, y con anterioridad al requerimiento de información de esta Agencia de fecha 13/4/18. TERCERO: Con fecha 23/5/18, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad ORANGE por presunta infracción de los artículos 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), tipificadas como graves en los artículos 43.3.b y

  1. c)respectivamente, de dicha norma. En el citado acuerdo se manifestaba que, a los efectos previstos en el art. 64.2
  2. b)de la LPACAP y art. 7 letra
  3. b)del RLOPD, la sanción que pudiera corresponder por el art. 6.1 sería de 80.000 euros y por el art. 4.3 sería de 60.000 euros. CUARTO: Notificado el acuerdo de inicio, la representación de la entidad denunciada formuló, en síntesis, las siguientes alegaciones: 1- Que se ha aportado copia de una grabación telefónica, de fecha 4/9/15, en donde la persona que decía ser B.B.B. con DNI ***DNI.1 y domicilio en ***DIRECCION.2 confirma todos sus datos para finalizar la contratación. Dicho proceso de contratación fue realizado en cumplimiento de los requisitos establecidos en la Circular 1/2009 de la Comisión del Mercado de las Telecomunicaciones. La verificación de dicha contratación fue realizada por tercera empresa. 2- Que durante más de un año se vino prestando el servicio sin incidencia alguna, no siendo hasta febrero de 2017 cuando se empiezan a producir impagos procediéndose a dar de baja a la línea en agosto de 2017 por un impago de 220.59€ correspondiente a los meses de febrero, marzo, abril, mayo, junio y agosto. 3- Que con fecha 26/10/17 se comunicó la inclusión de sus datos al fichero Asnef. Sin embargo, en fecha 19/2/18 se recibió una comunicación vía email de Jazztel por medio de la cual el denunciante manifiesta no reconocer la contratación. Catalogándose dicha contratación como fraudulenta y anulando la facturación que aparecía como impagada. 4- Se considera que Jazztel siempre tuvo el pleno convencimiento de que los datos que se aportaron al proceso de contratación eran reales y no pudo advertir la posibilidad de hallarse ante una presunta contratación fraudulenta, o que un tercero estuviera aportando los datos del denunciante sin su autorización. 5- Que además existió una actuación diligente pues en el momento que Jazztel tuvo conocimiento de la falsedad de los datos aportados en el proceso de contratación, a través de una reclamación presentada por el denunciante el 19/2/18, se procedió a solicitar la exclusión de los datos del denunciante del fichero de morosidad QUINTO: Con fecha 25/9/18 por el instructor del procedimiento se emite la siguiente propuesta de resolución: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 <<<<< Que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U. con NIF A82009812, con multa de 80.000 € (ochenta mil euros) por la infracción del artículo 6.1 de la LOPD, y una multa de 60.000 € (sesenta mil euros) por la infracción del artículo 4.3 de la LOPD >>>>> SEXTO: Con fecha 17/10/18 se han remitido alegaciones al contenido de dicha propuesta en que se manifiesta, en síntesis, lo siguiente: - Que el día 4/9/15 la persona que decía ser B.B.B. realizo una contratación telefónica tal como demuestra la grabación telefónica aportada en el requerimiento de información. Dicha grabación recoge todo el proceso de contratación, así como la verificación por terceros de dicha contratación. No existen dos grabaciones separadas en tiempo, sino que en el mismo documento sonoro aportado se contiene tanto la contratación de los servicios como la verificación por terceros. - Que el procedimiento seguido por Jazztel ha sido declarado adecuado en otras resoluciones resueltas con el archivo de actuaciones en supuestos similares. Dicho proceso fue realizado en cumplimiento de los requisitos establecidos en la Circular 1/2009 de la Comisión del Mercado de las Telecomunicaciones. Dicha normativa no exige en ningún precepto que se deba requerir al denunciante copia del DNI por lo que se ha cumplido escrupulosamente los requisitos normativos establecidos - Que ha existido una actuación diligente, teniendo en cuenta además que el desarrollo de los servicios se produjo en condiciones normales durante un año, siendo a partir de febrero de 2017 cuando se comenzaron a producir impagos por parte del cliente identificado como B.B.B. con DNI ***DNI.1 lo que motivó la inclusión de sus datos en el fichero de morosidad. - Que Jazztel no pudo llegar a advertir la posibilidad de hallarse ante una presunta contratación fraudulenta, ni que un tercero estuviera utilizando los datos personales del denunciante sin su autorización. - Que hubo una actuación diligente por parte de Jazztel, una vez que tuvo conocimiento de la falsedad de los datos, asegurándose la cancelación, circunstancia que se había producido con anterioridad al requerimiento de información por parte de la Agencia. HECHOS PROBADOS 1º Consta denuncia presentada por D. A.A.A., con DNI ***DNI.1 y domicilio en ***DIRECCION.1, contra ORANGE, manifestando que esta entidad ha informado sus datos en un fichero de morosidad sin notificación previa y por una deuda que no es cierta. 2º Conta en los ficheros de la entidad Jazztel los datos de D. B.B.B., con DNI ***DNI.2 y domicilio ***DIRECCION.2 y cuenta bancaria XXXXXXXXXXXXXXXXXXXX. El mismo figura asociado a la contratación de un servicio de internet Fibra 20/2.2 + llamadas y línea asociados a la numeración de fijo ***TELEFONO.1 con alta 9/9/15 y baja 2/6/17. Dicha baja se produjo por impago en parte de la facturación emitida. No se aporta grabación de la contratación telefónica con Jazztel. Si se aporta grabación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 de la verificación posterior por terceros de dicha contratación (realizada el día 4/9/15 por la empresa Tria Global Service SL (qualytel)), en la cual la operadora indica la fecha de la grabación, solicita al cliente si es D. B.B.B., con DNI ***DNI.1 y domicilio en ***DIRECCION.2, y éste confirma que desea la contratación del servicio Internet + llamadas asociado a la línea ***TELEFONO.1. El cliente da un número de móvil de contacto y se le recuerda, en el transcurso de la conversación, que posteriormente se procederá a solicitarle un número de cuenta para el cargo de las facturas. 3º Consta relación de las facturas remitidas, desde 23/09/15 hasta 23/8/17. Dichas facturas fueron abonadas hasta febrero de 2017, fecha a partir de la cual resultaron impagadas procediéndose a dar de baja a la línea en el mes de agosto de 2017. 4º Consta una factura rectificativa de 220,59 de fecha 27/3/18 remitida a B.B.B. ***DIRECCION.2 y ccc XXXXXXXXXXXXXXXXXXXX. 5º Consta reclamación remitida por el denunciante a Jazztel en el que manifiesta no reconocer la contratación de la línea ***TELEFONO.1. Dicha reclamación fue remitida por Jazztel a Orange el 19/2/18. Una vez analizada se catalogó dicha contratación como fraudulenta, anulándose las facturas impagadas y solicitando la exclusión de sus datos en los ficheros de morosidad. 6º En el fichero Asnef consta información asociada a B.B.B. con DNI ***DNI.1, por una deuda de 220.59€ con fecha de alta 26/10/17 y baja 20/2/18. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II En orden a precisar el alcance antijurídico de los referidos hechos, procede analizar las siguientes disposiciones de la LOPD: El artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Este precepto debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
  5. c)y 3,
  6. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. De acuerdo con el citado precepto el tratamiento de datos sin consentimiento del titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. De acuerdo con las disposiciones trascritas, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular. II Se imputa a ORANGE, en primer lugar, la comisión de la infracción del art. 44.3.
  7. b)de la LOPD que establece como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo “. El art. 6 de la LOPD establece en su apartado primero que “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3
  8. h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”: El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado la Audiencia Nacional, sala de lo contencioso administrativo, y, entre otras, en Sentencia de 28/02/2007 -recurso n°.236/2005-, el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la AN de 8/11/2012 -recurso n°. 789/2010-). A la vista de la documentación obrante en el expediente y recabada en fase de actuaciones previas debe de procederse al archivo del presente expediente por ausencia del elemento subjetivo de culpabilidad necesario en la actuación de ORANGE para ejercer la potestad sancionadora. A nombre del denunciante consta asociado los siguientes productos: servicio de internet Fibra 20/2.2 + llamadas y línea asociados a la numeración de fijo ***TELEFONO.1 con alta 9/9/15 y baja 2/6/17. Dicha baja se produjo por impago en parte de la facturación emitida, que si bien dicha contratación es negada por el denunciante, se ha aportado copia de una grabación telefónica, de fecha 4/9/15, en donde la persona que decía ser B.B.B. con DNI ***DNI.1 y domicilio en ***DIRECCION.2 confirma todos sus datos para finalizar la contratación. Dicho proceso de contratación fue realizado en cumplimiento de los requisitos establecidos en la Circular 1/2009 de la Comisión del Mercado de las Telecomunicaciones. La verificación de dicha contratación fue realizada por tercera empresa. Además, durante más de un año se vino prestando el servicio sin incidencia alguna, no siendo hasta febrero de 2017 cuando se empiezan a producir impagos procediéndose a dar de baja a la línea en agosto de 2017 por un impago de 220.59€ correspondiente a los meses de febrero, marzo, abril, mayo, junio y agosto. Por lo tanto, durante todo ese tiempo la entidad denunciada no pudo tener conocimiento que dicha contratación era negada por el verdadero titular del DNI ***DNI.1. Estas circunstancias dotan a dicha contratación, por parte de la entidad denunciada, de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 necesario para ejercer la potestad sancionadora. No cabe apreciar culpabilidad alguna en la actuación de esta entidad, que actuó con la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal. No infiriéndose de la grabación mantenida otros elementos que pudieron sospechar de la existencia de un presunto fraude; imposibilitando, así mismo, a la entidad denunciada conocer que se estaba ante una presunta contratación fraudulenta hasta que por parte del denunciante se interpuso la oportuna reclamación que implico que el alta se calificara como fraude, y se anularan todos los importes facturados. Respecto de la ausencia de culpabilidad, puede traerse a colación la SAN 29/10/2009, Rec. 797/2008 que, en un supuesto análogo al que nos ocupa, afirma que: “OCTAVO En cuanto al fondo, se alega que el 31 de octubre de 2003 quien dijo ser D.yyy y exhibió documentación que le acreditaba como tal adquirió bienes en el establecimiento Lamas Bolaño Subastas SA, pactando un pago fraccionado, haciendo efectivo el primer pago en el momento de la compra y generando un derecho de crédito a favor de la citada empresa por los restantes; que Lamas Bolaño cedió el derecho de crédito a la recurrente en el marco del contrato de afiliación que tenían suscrito, cesión a la que mostró su conformidad el citado Sr, autorizando la inclusión de sus datos personales en los ficheros de la entidad demandante. Ante el impago por parte de quien dijo ser D. yyy del resto de los pagos -prosigue la actora- y tras haberle requerido por escrito la deuda en el domicilio que constaba en el documento de compra, se incluyeron sus datos en los ficheros Asnef y Badexcug, sin que ni en el momento de la contratación ni en el de la inclusión de sus datos en los ficheros existiera circunstancia alguna que pudiera hacer pensar que se tratara de una operación irregular” A lo anterior cabe añadir que ORANGE (Jazz Telecom) actuó de manera diligente en la adopción de las medidas necesarias para la comprobación de la identidad de la denunciante. En este sentido cabe hacer mención a la Sentencia de la Audiencia Nacional 29/04/2010, Rec. 700/2009, que indica lo siguiente: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que, de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” La diligencia en la actuación de ORANGE (Jazz Telecom) se observa también en el hecho de que las facturas emitidas fueron anuladas una vez que el denunciante se puso en contacto con la entidad, siendo entonces posible deducir y detectar un posible uso indebido de la línea. Circunstancia que queda acreditada por la documentación aportada. Por lo tanto, procede resolver el archivo en relación con la presunta infracción del art. 6 de la LOPD III Se imputa en segundo lugar a ORANGE ESPAGNE la infracción del artículo 4.3 de la LOPD que indica: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado” y en su apartado 4 prescribe: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” Resulta acreditado en esta Agencia que las entidades asociadas a los ficheros “Asnef” y “Badexcug” suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes a través de cinta magnética para que tales actualizaciones queden registradas en el fichero siendo las entidades informantes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 quienes deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. El Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD, (RLOPD), dispone: Artículo 38. Requisitos para la inclusión de los datos. “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: A) Existencia previa de una deuda cierta, vencida, exigible, que haya resultado Impagada.” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por el imputado puede subsumirse o no en tales definiciones legales. En el presente caso, la entidad denunciada decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación (artículo 4.3 con relación al 29.2) a ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implica tratamientos automatizados de datos como es su incorporación a una cinta magnética cuyo destino es, también, ser tratada automatizadamente por el responsable del fichero de solvencia, siendo dados de alta en el fichero de solvencia patrimonial al culminar el proceso descrito. De lo expuesto se deduce que ORANGE ESPAGNE ha sido responsable del tratamiento de datos en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa a la denunciante no responda a los principios de calidad de datos recogidos en el artículo 4 de la LOPD. El artículo 4.3 de la LOPD, referente a la “calidad de los datos”, establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 44.3.
  9. c)de la LOPD, tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. IV El artículo 45 de la LOPD, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IIS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» En el presente caso, la incorporación de los datos de la denunciante a los ficheros de morosidad con relación a una deuda que no le correspondía, supone una infracción de artículo 4.3 de la LOPD, donde se establece que no es posible la inclusión en ficheros de solvencia patrimonial si la deuda no es cierta ni exigible respecto a la persona incluida en el mismo. No obstante, en este caso, es de aplicación lo dispuesto en el artículo 45.5.
  25. b)de la LOPD, que permite fijar la sanción en la escala inmediatamente inferior a la gravedad estipulada, en consideración a la diligencia demostrada por la entidad a la hora de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 regularizar la situación irregular de la afectada, ya que cuando se tuvo conocimiento de la reclamación por fraude el día 19/2/18, se analizó y se catalogó dicha contratación como fraudulenta y se procedió a anular la facturación que figuraba impagada correspondiendo una cantidad de 220.59€ que fue devuelta con fecha 23/3/18. Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD: a)- El carácter continuado de la infracción, al estar los datos incluidos en ASNEF desde el día 26/10/17, hasta 20/2/18. Dicha baja se produjo además con anterioridad al requerimiento de información de esta Agencia. (apartado 4.a). B). La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. (Apartado 4.c). C). Por el volumen de negocio de la entidad denunciada, (apartado 4.d). El balance de las circunstancias contempladas en el artículo 45 de la LOPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 4.3 de la LOPD, en relación con el artículo 38.1.
  26. a)del RLOPD, permite fijar una sanción de 30.000€ (veinte mil euros). IX Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U. con NIF A82009812, por una infracción del artículo 4.3 de la LOPD, tipificada como Grave en el artículo 44.3.C de la LOPD, una multa de 30.000 €, de conformidad con lo establecido en el artículo 45.4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  28. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.