← España

PS-00232-2016

1/8 Procedimiento Nº PS/00232/2016 RESOLUCIÓN: R/02102/2016 En el procedimiento sancionador PS/00232/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 19/6/15 tiene entrada escrito de Dª A.A.A. manifestando lo siguiente: * La denunciante es titular de las líneas móviles ***TEL.1 y ***TEL.2 y en junio de 2015 recibe una llamada telefónica del titular de la línea ***TEL.3 el cual manifiesta que al acceder a la web de ORANGE ESPAGNE SA (en adelante ORANGE) con los datos de su línea telefónica le aparecen los datos personales de la denunciante. * Por este motivo contacta con ORANGE donde le informan que en la línea ***TEL.3 consta ella como titular por lo que procede a poner una reclamación. * Adjunto a la denuncia ha aportado impresión de la web de ORANGE donde constan cuatro líneas a su nombre, entre ellas, la línea ***TEL.3 y copia de facturas (e-factura) emitidas a su nombre para esta línea en mayo, junio y julio de 2015, Se aporta diversa documentación en relación a los hechos denunciados SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/5535/2015. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 26/11/15 TERCERO: Con fecha 18/5/16 por la Directora de la Agencia Española de Protección de Datos se acordó el inicio de procedimiento sancionador a ORANGE por la presunta infracción del art. 4 de la LOPD. CUARTO: Con fecha 23/5/16 se reciben alegaciones de ORANGE ante el Acuerdo de Inicio, manifestando en síntesis lo siguiente: - Que tal como consta en el expediente E/05535/2016 Orange determino en el mes de junio de 2015, que se había producido una incidencia por la cual se había asociado el número ***TEL.3 a la denunciante, procediendo a anular dicha línea así como la factura asociada. - Que la línea ***TEL.3 se activó el día 20/5/15 y fue dada de baja en fecha 6/6/15. - Que se resolvió la incidencia inmediatamente, el mismo día que la denunciante se puso en contacto con el servicio de Atención al Cliente (6/6/15), desactivando la línea ese mismo día y comunicando a la denunciante el 20/6/15 que se había procedido a anular la línea y la factura asociada a esta. Dicha situación estaba ya resuelta 11 meses antes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 del inicio del presente procedimiento sancionador y seis meses antes de la incoación del expediente de actuaciones previas. Motivos por el que se solicita la aplicación del art. 45.5 QUINTO Se inició periodo de prácticas de pruebas consistentes en incorporar las actuaciones practicadas en el expediente de actuaciones previas de inspección E/05535/2015 y las alegaciones presentadas al Acuerdo de Inicio. SEXTO: Con fecha 5/7/16 se dictó la siguiente propuesta de resolución: <<<<< Que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE con multa de 10.000 € (diez mil euros) por la infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma. >>>>> SEPTIMO: Se ha presentado escrito de alegaciones ante la Propuesta manifestando, en síntesis, lo siguiente:

  1. a)Que existen circunstancias atenuantes que no se han tenido en cuenta
  2. b)Que no cabe mayor diligencia que la aplicada para la regularización de la situación irregular y para la salvaguardia de los derechos de la denunciante. HECHOS PROBADOS 1º Consta en los sistemas de ORANGE los datos de A.A.A. como titular de las líneas ***TEL.4 activa desde el 15.05.2015 y ***TEL.2 activa desde el 29.05.2015 2º Consta además la línea ***TEL.3 asociada a la denunciante, que se activó con fecha 20.05.2015 y suspendida por “Activación de líneas extras” con fecha 06.06.2015 3º Consta que se emitieron tres facturas de la línea ***TEL.3. 4º Constan los siguientes contactos con la denunciante: A) Con fecha 06.06.2015 hay registrada una llamada entrante en la que se pone de manifiesto que el titular de la línea ***TEL.3 ha contactado con la denunciante para informarle de que, a través del Área de Clientes de la web, accede a sus datos personales y que la línea está asociada a ella como titular. Consta asimismo que se procede a la apertura de la incidencia. B) Con fecha 10.06.2015 se contacta con la denunciante para informarle que se ha intentado contactar con el punto de venta para solicitar el contrato. C) Con fecha 20.06.2015 consta una llamada a la denunciante en la que le comunican que han procedido a dar de baja la línea y a la devolución de la factura asociada. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  4. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  5. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. III Se analiza en este procedimiento la denuncia presentada por Dª A.A.A. en la que manifiesta que ORANGE dio de alta a la línea ***TEL.3 que no había contratado. Por parte de ORANGE en las alegaciones al Acuerdo de Inicio ha manifestado que ya determinó, en el mes de junio de 2015, que se había producido una incidencia por la cual se había asociado el número ***TEL.3 a nombre de la denunciante, precediendo a anular dicha línea de contratación así como la factura asociada a la misma. IV La infracción imputada a ORANGE es la del artículo 4.3 de la LOPD que indica: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan como veracidad a la situación actual del afectado.” La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Se produce la infracción del mencionado principio de calidad del dato no solo cuando los datos se comunican a los ficheros sobre solvencia patrimonial y crédito (que es el supuesto más frecuente), sino que tal principio de calidad igualmente ha de ser garantizado respecto de los propios ficheros de la entidad. Por otra parte, la razón de ser de dicho artículo 4.3 LOPD, relacionándolo con los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 principios de proporcionalidad y finalidad, que igualmente se contemplan en el mismo artículo 4, es la de garantizar y proteger la calidad de la información sometida a tratamiento (exacta y puesta al día) por la que debe velar quien recoge y trata datos de carácter personal. Requisitos de exactitud y veracidad de los datos personales (pues la inexactitud de un dato puede acarrear su separación de la finalidad para la que se recogió), que son exigibles al titular del fichero o tratamiento, según deriva del artículo 4.3, no sólo en lo que atañe a la conservación de los datos personales en los propios ficheros, o a su comunicación a un fichero de solvencia patrimonial o crédito, sino también en cualquiera de las diversas fases o modos en los que puede manifestarse el tratamiento de los datos personales, teniendo en cuenta el concepto amplio que, de tratamiento, deriva del artículo 3.
  6. c)de la LOPD, que comprende no solo la recogida, grabación o conservación de los datos, sino también la elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias, y en cualquiera de dichas manifestaciones, se requiere la exactitud y veracidad de los datos personales por parte del responsable del fichero o tratamiento. En el caso que nos ocupa la denunciante es titular de tres líneas de telefonía, con ORANGE, con las que no existe controversia alguna, y que ha figurado en los ficheros de la entidad como titular de una cuarta línea: ***TEL.3. Por parte de los representantes de ORANGE se manifestó, en la visita de Inspección realizada con fecha 24/11/15 que la causa probable de la asociación de esa línea a la denunciante: “Fuera debido a que la solicitar un presupuesto en el punto de venta, la herramienta de contratación –ARPA- no detectara que dicha línea ya estaba asociada como prepago a otro titular y constara como libre, por algún tipo de incidencia” Por consiguiente la asociación de los datos personales de la denunciante como titular de la línea ***TEL.3, durante el periodo 20/5/15 a 6/6/15, supone una conducta que se halla tipificada en el artículo 44.3.
  7. c)de la LOPD que considera como tal: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”, V El principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aun a título de simple inobservancia. Cierto es que esta simple inobservancia no puede ser entendida como la admisión de la responsabilidad objetiva, pues la jurisprudencia del Tribunal Supremo (a partir de sus Sentencias de 24 y 25 de enero y 9 de mayo de 1983) y del Tribunal Constitucional (después de su STC 76/1990) destacan que el principio de culpabilidad, aun sin reconocimiento explícito en la Constitución, se infiere de sus artículos 1.1 y 25.1 y requiere la existencia de dolo o culpa. Pues bien, la culpa constitucional y legalmente exigida se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad para impedir que una línea que estaba asociada como prepago a otro titular se asociara a la denunciante. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  8. a)El carácter continuado de la infracción.
  9. b)El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Audiencia Nacional (AN) tiene establecido en multitud de sentencias en relación al art. 45.5 LOPD, que no es sino una manifestación del llamado principio de proporcionalidad (art. 131.1 de la Ley 30/1992), incluido en el mas general de prohibición de exceso, y reconocido por la jurisprudencia como principio general del derecho. Ha añadido la AN que dicha regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual, insistimos, puede darse, por excepción, en casos muy extremos (de aquí la expresión "especialmente cualificada") y concretos (por todas, STS de 12/04/2012, Rec 5149/2009 y SAN, Sec. 1ª, de fecha 24/09/2010). Insistiendo en lo anterior, la posibilidad prevista en el artículo 45.5 LOPD, no es sino consecuencia del valor justicia que informa nuestro ordenamiento jurídico (art. 1 C.E., en relación con las STC 50/1995 y 173/1995), siendo plasmación de tal principio en casos de cualificada disminución de la culpa o de la antijuridicidad. Con fundamento en dicha doctrina estima la AN que su aplicación debe ser individualizada, en atención a las circunstancias concretas que resulten de cada caso, correspondiendo al sancionado la carga de acreditar las circunstancias de las que resulte una disminución "especialmente cualificada" de la culpabilidad o de la antijuridicidad. En consecuencia, pues, no es posible establecer criterios generales para la aplicación del citado artículo 45.5 de la LOPD, y menos aún, su aplicación directa por la mera invocación del precepto por la sancionada. El citado artículo 45.5 LOPD, en la redacción que le dio la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible (arriba transcrito), dispone que el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en una serie de supuestos que cita. La Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  23. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. Pues bien, resultando aplicable a este supuesto la doctrina de la AN antes expresada, establecida en relación con la redacción del artículo 45.5 LOPD, y atenidas las concretas circunstancias del caso que nos ocupa, se aprecia que concurre la circunstancia expresada en el artículo 45.5.
  24. b)apreciándose una diligencia razonable desplegada en la regularización de la situación denunciada que, si bien no impide la aplicación del tipo, permite aplicar la citada atenuación privilegiada y sancionar conforme a la escala establecida para las infracciones leves, sin perjuicio de la consideración como grave de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 la infracción cometida. En consecuencia, procede graduar la sanción dentro de la escala prevista para infracciones leves entre 900 € y 40.000 €, de conformidad con lo dispuesto en el 45.1 de la LOPD. Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el caso concreto están presentes varias circunstancias que operan como agravantes, a saber: 1. La vinculación de la actividad de la entidad con la realización de tratamientos de datos personales (45.4.
  25. c)pues es evidente que en el desarrollo de la actividad que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro. 2. El importante volumen de negocio (45.4.
  26. d)ya que como entidad financiera/teleco es un hecho notorio que no requiere prueba expresa al ser una de las principales del país en el sector. También en el caso concreto se aprecian varias circunstancias significativas que operan como atenuantes, a saber: 1. Consta que la línea se activó el día 20/05/15, constando un primer contacto de la denunciante con la operadora el día 6/6/15, procediéndose a desactivar a línea ese mismo día y a la devolución de la factura asociada. 2. Además, la reacción de la operadora en la regularización de los hechos denunciados se realizó seis meses antes de la Inspección realizada en el marco del expediente E/05535/2015 y once meses antes del inicio del acuerdo de inicio del presente procedimiento. 3. No constan acciones por parte de la operadora tendentes a insistir en el cobro de la factura emitida que resultó anulada ni inclusión en ficheros de solvencia patrimonial. Tampoco consta haberse producido prejuicios significativos a la denunciante. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular las citadas circunstancias agravantes y atenuantes, y teniendo en consideración lo establecido en el apartado 45.5.
  27. b)ya citado más arriba, procede imponer una multa próxima al mínimo de la escala de infracciones leves de 3.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 44.3.c de la LOPD, una multa 3.000 € (tres mil euros) , de conformidad con lo establecido en el artículo 45.2 y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 5.
  28. b)de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., y a Dª A.A.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.