← España

PS-00234-2015

1/15 Procedimiento Nº PS/00234/2015 RESOLUCIÓN: R/02539/2015 En el procedimiento sancionador PS/00234/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U.., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 21/05/2014 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara lo siguiente: 1. Que es titular de la línea K.K.K. de ORANGE ESPAGNE S.A.U.. (en lo sucesivo ORANGE), cuyo usuario es su hijo. 2. Que en fecha de 01/10/2013 comprobó a través de la factura de fecha 26/9/2013 que se había modificado la tarifa asociada a dicha línea y que se cargaba una cuota por un nuevo terminal que había sido contratado asociado a dicha línea sin que ambas modificaciones hubieran sido contratadas por él. 3. Que en fecha de 11/11/2013 interpuso una reclamación a ORANGE. Reclamación que no fue atendida ya que le informaron que el terminal había sido ya entregado en una dirección que es distinta de la suya y en una provincia distinta. Tras reclamar el albarán de entrega del terminal observó que en éste figura su nombre y DNI aunque la firma no es suya. También fue informado por ORANGE que la contratación del terminal se realizó por teléfono constando grabación de la misma, si bien se negaron a facilitarle copia. Que de la suplantación de su identidad puso la correspondiente denuncia ante los Mozos de Escuadra en fecha de 19/11/2013. 4. Que en fecha de 21/11/2013 interpuso una nueva reclamación ante Orange en la que negaba haber realizado la contratación que le imputan, aportando para ello copia de la denuncia por suplantación de identidad ante los Mozos de Escuadra. (aporta acuse de recibo de entrega en ORANGE de fecha 25/11/2013). 5. Que ORANGE le ha dado de alta con fecha de 04/05/2014 en el fichero de morosidad BADEXCUG por una deuda que está en proceso reclamación ante la SETSI del Ministerio de Industria, Energía y Turismo. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades EXPERIAN BUREAU DE CRÉDITO, S.A. (en lo sucesivo EXPERIAN) y ORANGE : 1. Con fecha de 11/09/2014 se solicita información a EXPERIAN, titular del fichero BADEXCUG, quien remite escrito de respuesta recibido en fecha de 30/09/2014 del que se desprende lo siguiente: 1.1. A fecha de 24/9/2014 consta en el fichero BADEXCUG una deuda a nombre del denunciante comunicado por ORANGE. La deuda fue dada de alta en fecha de 04/05/2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 2. Con fecha de 12/09/2014 se solicita información a ORANGE recibiéndose respuesta en fecha de 14/01/2015 de la que se desprende lo siguiente: 2.1. Consta en sus sistemas que la línea K.K.K. fue dada de alta en ORANGE a nombre del denunciante en fecha de 01/09/2011 como consecuencia de una portabilidad. La línea fue dada de baja por impago en fecha de 02/07/2014. 2.2. Según Orange, el denunciante realizó un cambio de tarifa y la contratación de un terminal asociado a la citada línea. Añade ORANGE que dicha contratación se realizó por teléfono adjuntando grabación en la que se recoge como una voz masculina que se identifica con el NIF J.J.J. (la cuarta cifra por la izquierda, es decir el segundo cero, no se escucha con claridad) a lo que el operador contesta que E.E.E. con el NIF I.I.I. se acoge al plan renove de la línea K.K.K. para un terminal HTC ONE y tarifa DELFIN 35 con un calendario de pagos determinado. 2.3. Señala ORANGE que la reclamación ante la SETSI tuvo entrada en ORANGE en fecha de 27/11/2013 siendo contestada en fecha de 29/01/2014. Según ORANGE el impago de las facturas de fechas 26/12/2013 y 26/01/2014 fue posterior a dicha reclamación, por lo que dicho impago fue comunicado al fichero de solvencia BADEXCUG. 2.4. Añade ORANGE que la reclamación del denunciante se fundamentaba en el no reconocimiento de la contratación del terminal y la modificación de tarifa, no considerando procedente dicha reclamación ya que para ORANGE la contratación era correcta, al existir la grabación y el albarán de entrega del terminal. 2.5. Finalmente señala ORANGE que a raíz del requerimiento de información efectuado desde esta Agencia ha procedido a revisar el caso, y que tras la aparición de nuevas evidencias que la compañía no identifica, han concluido que se trata de un caso de fraude por suplantación de identidad, por lo que han procedido a la exclusión de los datos del denunciante de los ficheros de solvencia con carácter urgente. TERCERO: Con fecha 23/04/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE por presunta infracción de los artículos 4.3 y 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en los artículos 44.3.

  1. c)y 44.3.
  2. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE mediante escrito de fecha 14/05/2015 formuló las siguientes alegaciones: la inexistencia de infracción del artículo 4.3 por la inexistencia de culpa en la actuación de la denunciada; la inexistencia de culpabilidad en la infracción del artículo 6.1 y la existencia de un error como consecuencia de la actuación maliciosa de un tercero; aplicación subsidiaria del artículo 45.5 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 QUINTO: Con fecha 20/05/2015 se inició el período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por el afectado y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/04743/2014. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por ORANGE y la documentación que a ellas acompaña. - Solicitar al denunciante copia de toda la documentación que obrara en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia. - Solicitar a la SETSI copia del expediente D.D.D. instruido como consecuencia de la reclamación presentada por el denunciante contra ORANGE. En fecha 16/06/2015 el denunciante dió respuesta al citado escrito cuyo contenido obra en el expediente. SEXTO: En fecha 04/09/2015, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a ORANGE por infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  3. c)de dicha norma, con multas de 3.000 € (tres mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de ORANGE mediante escrito de 25/09/2015 formuló alegaciones reiterando las realizadas a lo largo del procedimiento y, además, que los hechos denunciados no son constitutivos de infracción y por tanto la inexistencia de la misma, la ausencia de culpabilidad y, subsidiariamente la aplicación del artículo 45.4 graduando la sanción a imponer en su cuantía mínima dadas las circunstancias concurrentes en el caso. HECHOS PROBADOS PRIMERO. Con fecha 21/05/2014, tiene entrada en la AEPD escrito del afectado en el que denuncia a ORANGE por la inclusión de sus datos en fichero de morosidad el 04/05/2014, por un importe de 113,74 euros existiendo pendiente de resolución una reclamación ante la SETSI (folio 1). SEGUNDO. El denunciante aporta copia del DNI nº I.I.I., como dirección figura C/ C.C.C., (Lérida), coincidente con el consignado en el escrito de denuncia (folio 15). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 TERCERO. Consta que el denunciante formuló denuncia el 19/11/2013 ante los Mozos de Escuadra, diligencias nº H.H.H., manifestando que tenía contrato con ORANGE línea K.K.K.; que al comprobar la factura de teléfono de fecha 01/10/2013 percibe que se le han cargado 14,52 euros por el cambio de una tarifa que no había solicitado en ningún momento, respondiendo dicho importe a la contratación de un terminal así como a un incremento en las cuotas fijas; que puesto en contacto con ORANGE le informan que el propio denunciante había recibido el teléfono en su casa, cosa incierta, ya que no había solicitado ningún terminal; que en la factura de 31/10/2013 se le había aplicado un descuento en concepto de promoción si bien la tarifa no es la solicitada y continuando los cargos por el terminal que no había solicitado; que el 11/11/2013 se efectúa nueva reclamación a ORANGE siendo informado que el terminal había sido enviado a la población de Moncofa (Castellón), sorprendiéndose pues no había tenido nunca contacto con la citada localidad; que ha solicitado copia de la documentación relativa al terminal sin que le haya sido facilitada (folios 10 a 12). CUARTO. El denunciante aporta copia de la carta de 21/11/2013, enviada a ORANGE comunicándole los hechos denunciados con anterioridad (folio 13 y 14). QUINTO. En fecha 30/09/2014, EXPERIAN como responsable del fichero BADEXCUG, ha informado que en el citado fichero consta una incidencia asociada al identificador I.I.I. correspondiente al denunciante, informada por ORANGE, por producto telecomunicaciones, constando como fecha de alta 04/05/2014 no constando la baja, por un saldo impagado de 113,74 euros (folios). La citada incidencia fue notificada a la dirección C/ C.C.C., (Lérida)(folio 32, 33, 36 y 37). SEXTO. Consta notificación dirigida por ASNEF-EQUIFAX al denunciante de fecha 08/05/2014 en la que le informan de la incorporación al fichero ASNEF de sus datos de carácter personal a consecuencia de una situación de incumplimiento con ORANGE, con fecha de alta 05/05/2014 por un importe de 113,74 euros (folio 152). SEPTIMO. Consta que el denunciante se dirigió a la SETSI el 26/11/2013 presentado reclamación sobre telefonía móvil, D.D.D., que trasladada a ORANGE el 27/11/2013 a efectos de alegaciones, en escrito de 29/01/2014 respondía al citado organismo señalando: “Segunda. Que con fecha 16 de agosto de 2013, el cliente aceptó el cambio a Delfín 35 SIM para la línea K.K.K.. Tercera.- Que con fecha 30 de agosto de 2013, el titular adquirió para la misma línea un terminal modelo HTC One S, con IMEI ****************, que le fue entregado con fecha 3 de septiembre de 2013, en la modalidad de venta a plazos, siendo reducido el pago inicial por la contratación de la tarifa Delfín 35 SIM. Aportamos el albarán de entrega y la grabación para su comprobación. Cuarto.- Que a fecha de hoy, el Sr. A.A.A. se encuentra al corriente de pago con esta mercantil (folios 50 y 51). La SESTI el 08/05/2014 resolvía: “Primero.- En relación con el cambio de tarifa, realizado por el operador, desestimar la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Segundo.- Respecto a la disconformidad con la adquisición de un equipo terminal de comunicaciones electrónicas, inhibirse en el presente asunto, sin perjuicio del derecho de interesado a dirigirse, si lo estima conveniente, ante los órganos con competencias para resolver controversias regulados en la legislación de Consumidores y Usuarios. Tercero.- En lo referente a la alegación, por parte del reclamante, de una posible suplantación de la personalidad, inhibirse en el presente asunto, quedando expedito el derecho del interesado si lo estima conveniente, ante la jurisdicción ordinaria” (folios 137 a 139). OCTAVO. Consta aportado copia del albarán de entrega del terminal solicitado correspondiente a la línea K.K.K., de fecha 02/09/2013, en la dirección F.F.F., (Castellón). El albarán se encuentra firmado por alguien que se identificó como el denunciante, pero la firma no coincide con la del denunciante (folio 16). También ORANGE ha aportado un CD donde consta la grabación de la adquisición de un terminal; el supuesto denunciante se identifica como Jaume, si bien el nombre del denunciante es Jaime (así consta en su DNI), el NIF que aporta coincide con el de denunciante; tampoco se recoge el segundo apellido, ni la dirección de entrega del terminal (folio 53). NOVENO. ORANGE remitió al denunciante escrito de fecha 21/01/2015 señalando que ante la recepción de la notificación de la denuncia ante la AEPD, se llevó a cabo un nuevo estudio del caso y que tras las comprobaciones realizadas se había concluido que se trataba de un fraude en la contratación tras la aparición de nuevas evidencias (que ORANGE no identifica ni aporta cuales son), llevando a cabo ajustes en las facturas emitidas tras el cambio de tarifa (aplicando la anterior) y renove del terminal, descontando los importes facturados relativos a la adquisición del mismo y ordenando la anulación de las facturas que se encontraban pendientes de pago (folios 105 y 106, 184 a 198). DECIMO. Consta que tanto ORANGE como SEINCO, ISGF Informes Comerciales e Intrum Justitia, empresas dedicadas a la gestión de cobros remitieron al denunciante requerimientos de pago previos a la inclusión de los datos en fichero de morosidad (folios 144 a 151, 154 a 158, 161 a 169, 178 y 179). UNDECIMO. Constan capturas de impresiones de pantalla de móvil de 8 sms enviados por ORANGE entre el 16/08 y 11/10 informando al denunciante del cambio de tarifa, el importe del pedido para entregar al mensajero, que el terminal enviado había sido devuelto, las condiciones de compra del móvil, de la contraseña para acceder al área de clientes, etc. (folios 128 a 131). FUNDAMENTOS DE DERECHO I Es competente para resolver el presente procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 II En primer lugar, se imputa a ORANGE la vulneración del artículo 6.1 de la LOPD, que dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III Hay que señalar que en el presente caso, los hechos que se deducen de los documentos aportados al expediente -el cambio de tarifa sin su consentimiento y el renove de un terminal enviado a una dirección que no pertenece al denunciante- ni guardan relación ni vulneran el derecho a la protección de datos de carácter personal. Por el contrario, la cuestión que el denunciante plantea excede del ámbito de aplicación de la normativa reguladora de este derecho y afecta al contenido y al posible incumplimiento de un determinado contrato de telecomunicaciones suscrito por el denunciante con ORANGE, contra quien se dirige la denuncia. Desde el punto de vista de la normativa de protección de datos, a tenor de la información de la que esta Agencia dispone, el tratamiento que ORANGE ha hecho de los datos personales del denunciante es acorde con las disposiciones de la LOPD. Tratamiento que se encuentra legitimado al amparo del artículo 6.2 de la LOPD, conforme al cual no será preciso el consentimiento del titular para el tratamiento de sus datos personales cuando éstos se refieran a las partes de un contrato y sean necesarios para su mantenimiento o cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 En consecuencia, la Agencia Española de Protección de Datos carece de competencia para valorar y pronunciarse sobre la conducta que somete a nuestra consideración, consistente en que la entidad denunciada ha llevado a cabo un cambio de tarifa en el contrato suscrito por el denunciante, tarifa Delfín 35 por Ballena 35 SIM, a lo que hay que añadir la operación renove de un terminal por el que se incluye en factura una cuota mensual durante un periodo de 24 meses, todo ello sin su consentimiento, debiendo ser planteada esta cuestión ante otras instancias administrativas o jurisdiccionales. No obstante, tal y como consta en los hechos probados el denunciante ya planteó dicha cuestión ante la SETSI, quien en fecha 08/05/2014 resolvía: “PRIMERO.- En relación con el cambio de tarifa, realizado por el operador, desestimar la reclamación. SEGUNDO.- Respecto a la disconformidad con la adquisición de un equipo terminal de comunicaciones electrónicas, inhibirse en el presente asunto, sin perjuicio del derecho de interesado a dirigirse, si lo estima conveniente, ante los Órganos con competencias para resolver controversias regulados en la legislación de Consumidores y Usuarios”. A este respecto se le informa que puede someter esta controversia al conocimiento de las Juntas Arbitrales de Consumo o ante los tribunales de justicia del orden jurisdiccional civil. IV En segundo lugar, se imputa a ORANGE la vulneración del artículo 4.3 de la LOPD, que establece: "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: "Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley". Añadiendo el párrafo 4 del mismo artículo que "sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 El artículo 38.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala que: "1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación". Y el artículo 39 del Reglamento de desarrollo de la LOPD establece que: "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias". Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Es objeto de estudio en el presente procedimiento, y por tanto cuestión a dilucidar en el mismo, si la inclusión de los datos del denunciante en los ficheros de morosos se realizó conforme determina la normativa de protección de datos. En el presente caso, de lo comunicado a esta Agencia consta que ha quedado acreditado que los datos personales del denunciante fueron informados al fichero BAADEXCUG y ASNEF por ORANGE, a consecuencia de un saldo impagado que ascendía a la cantidad de 113,74 euros, con fechas de alta 04/05/2014 y 05/05/2014 respectivamente, sin que conste fecha de baja. Por tanto, la deuda informada por ORANGE para su inclusión en los ficheros adolecía del requisito de su certeza, puesto que el denunciante había presentado reclamación ante la SETSI el 26/11/2013, reclamación sobre telefonía móvil, D.D.D., que trasladada a ORANGE el 27/11/2013 a efectos de informe, en escrito de 29/01/2014 respondía al citado organismo, quien dictaría resolución el 08/05/2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 ORANGE como acreedor e informante de dichos datos al fichero de solvencia, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza, tal y como exige el artículo 4 de la LOPD; es decir, VODAFONE debió haberse asegurado que los datos de carácter personal eran exactos y respondían con veracidad a la situación del afectado, antes de instar la inclusión en los ficheros de obligaciones dinerarias, dada las repercusiones personales que conlleva estar incluido y permanecer en ese tipo de ficheros. Estos hechos son contrarios al principio de calidad de datos y, por tanto, contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma Ley, tipificada en el artículo 43.3.
  5. c)de la citada Ley Orgánica. V Consta acreditado en esta Agencia que las entidades asociadas al fichero ASNEF y BADEXCUG suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en dichos ficheros, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes en los ficheros de morosidad. Los datos personales de la denunciante son datos que figuran en los propios ficheros automatizados de ORANGE. Adicionalmente son comunicados a los responsables de los ficheros de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados a los ficheros comunes de información sobre solvencia patrimonial, en caso de que dichos datos sean de obligados respecto de una deuda para con la entidad que insta la inclusión . La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  6. d)de la LOPD, el responsable del fichero o del tratamiento es "la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento". El propio artículo 3 en su apartado
  7. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las "operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias". En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: "Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado" Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por ORANGE puede subsumirse o no en tales definiciones legales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 ORANGE instó la incorporación a los ficheros ASNEF y BADEXCUG de los datos del denunciante, en virtud de una deuda que no respondía con veracidad a la situación actual de la afectada (en aquel momento), ya que adolecía del requisito de su certeza. Dicha comunicación se realizó mediante un procedimiento que implica un tratamiento automatizado de los datos, como es su incorporación a una cinta magnética en cuyo destino también va a ser tratada automáticamente por los responsables del fichero de solvencia. Conforme a lo expuesto, ORANGE ha decidido, sobre la finalidad del tratamiento (la calificación del denunciante como deudor), el contenido de la información (los datos relativos a la deuda asociados al denunciante), y el uso del tratamiento (la incorporación del denunciante a un fichero común de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Además, todo lo anterior lo ha realizado sin que los datos comunicados y mantenidos en los ficheros fueran exactos, pues la deuda informada no era cierta, puesto que había sido objeto de reclamación ante la SETSI, quien aún no había dictado resolución sobre la misma. Ello supone una clara vulneración del principio de calidad de datos, de la que debe responder ORANGE por ser responsable de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que ORANGE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con la definición del artículo 3.
  8. d)y
  9. c)de la citada Ley Orgánica. VI En el presente caso, consta acreditado que la denunciante el 26/11/2013, presentó reclamación ante la SETSI sobre telefonía móvil asociada al número K.K.K. contra ORANGE, en relación con el cambio de tarifa, su disconformidad con la adquisición de un terminal de comunicaciones electrónicas y la posible suplantación de su personalidad. Reclamación que fue trasladada a ORANGE el 27/11/2013, respondiendo al citado organismo mediante escrito de 29/01/2014. Por tanto, en el presente caso no concurre el requisito de deuda cierta exigido por el artículo 38.1.
  10. a)para la inclusión de los datos en los ficheros de solvencia patrimonial y crédito. Es decir la citada reclamación vedaba que pudiera hablarse de deuda cierta e impedía su inclusión en los ficheros de solvencia patrimonial y crédito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 Y todo ello, con independencia del resultado de la resolución que con posterioridad pudiera dictarse, pues como ha señalado la Audiencia Nacional en sentencia de 30/05/2012 (Rec. 664/2010 ) la certeza de la deuda constituye un requisito para que los datos personales puedan tener acceso a los citados ficheros ex artículo 38.1.
  11. a)RDLOPD, de tal forma que si se incluye una deuda que en ese momento no es cierta, se infringe el principio de calidad de datos, por lo que al haberse ya perfeccionado la conducta típica resulta irrelevante a efectos de la existencia de la infracción, el posterior resultado de la reclamación o laudo arbitral. No obstante, pese a conocer dicha circunstancia y estando pendiente de resolver por la SETSI la reclamación formulada para dirimir la certeza de la deuda, resolución que no sería dictada hasta el 08/05/2014 (siendo desestimatoria de las pretensiones de la denunciante), ORANGE no solo instó el registro de los datos de carácter personal del denunciante en el fichero BADEXCUG y ASNEF con fechas de alta 04 y 05/05/2014, por un importe de 113,71 euros sino que, además, cedió los datos del denunciante a la empresa dedicada a la gestión de impagados SEINCO, quien en fecha 12/03/2014 dirigió al denunciante un requerimiento de pago conminándole a hacer efectiva la deuda que supuestamente mantenía con ORANGE (folio 158); es decir, las citadas inclusiones se llevaron a cabo con anterioridad a la resolución de la SETSI, reclamación que era conocida por la operadora de telefonía puesto que le había sido notificada a efectos de informe el 27/11/2013, respondiendo al órgano administrativo el 29/01/2014. En este mismo sentido se pronuncian numerosas sentencia de la Audiencia Nacional, entre otras la de fecha 21/12/2012, que señala: "En el caso de autos se ha acreditado, y no se cuestiona, que la reclamación ante la SETSI se interpuso en mayo de 2009, habiendo presentado France Telecom alegaciones ante dicho organismo en fecha 27 de mayo 2009, lo que implica que, como muy tarde en esa fecha, ya tenía conocimiento de la citada reclamación. Sin embargo, y pese a conocer dicha circunstancia y estando pendiente de resolver esa reclamación formulada para dirimir la existencia o certeza de la deuda, informó los datos del denunciante asociados a esa deuda, cuestionada ante la SETSI, por un importe de 126, 07 #, siendo inscritos por primera vez en el fichero Badexcug con fecha de alta 30 de agosto de 2009 y en Asnef con fecha de alta 18 de septiembre de 2009. Por tanto, habiéndose comunicado los datos del denunciante a los ficheros de morosidad por una deuda que en ese momento no tenía la consideración de cierta, resulta acreditada la vulneración del principio de calidad de datos y en definitiva la infracción apreciada". VII De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
  12. c)tipifica como infracción grave "Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave". A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. ORANGE ha incurrido en la infracción descrita ya que ha vulnerado el principio consagrado en el artículo 4.3 de la LOPD, que encuentran su tipificación en el artículo 44.3.
  13. c)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 VIII El artículo 45.2, 4 y 5 de la LOPD establece que: "2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". En el supuesto examinado, ORANGE ha solicitado el archivo de las actuaciones, pretensión que no puede ser aceptada, y subsidiariamente la aplicación del artículo 45.5 de la LOPD y graduando la sanción en su cuantía mínima atendiendo a las circunstancias concurrentes en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 Hay que señalar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que ORANGE ha vulnerado el artículo 4.3 de la LOPD, al informar los datos de carácter personal de la denunciante al fichero BADEXCUG, con fechas de alta 04/05/2014, asociados a una deuda por un importe de 113,71 euros que carecía del requisito de su certeza, al existir reclamación ante la SETSI y estando pendiente de resolución, por lo que la actuación de ORANGE ha de ser objeto de sanción. No obstante, hay que tener en cuenta las especificas circunstancias que concurren en el presente caso, lo que permite apreciar la existencia de motivos para la aplicación de la circunstancia contemplada en el apartado
  29. b)al haber procedido la entidad con razonable diligencia pues, aunque el denunciante ya había informado a ORANGE sobre los hechos ocurridos con anterioridad a la reclamación ante la SETSI cuya resolución fue desestimatoria de las pretensiones del afectado, cuando tuvo conocimiento de la denuncia ante la Agencia a raíz del requerimiento de información por los servicios de inspección regularizó la situación irregular creada, analizando nuevamente el caso y concluyendo que se trataba de un fraude por suplantación de identidad procediendo a la exclusión de los datos del denunciante de los ficheros de morosidad BADEXCUG y ASNEF, habiendo estado incluidos durante 4 y 3 días respectivamente de manera indebida, lo que permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". Por otra parte, en relación con los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, se aprecia la concurrencia de circunstancias agravantes: el carácter continuado de la infracción (apartado
  30. a)del artículo 45.4 de la LOPD), porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a ORANGE tiene naturaleza de infracción continuada o permanente; el volumen de negocio de ORANGE (apartado
  31. d)del artículo 45.4 de la LOPD), toda vez que se trata de una de las mayores operadoras de telefonía del país por cuota de mercado; la vinculación de su actividad con la realización de tratamientos de datos de carácter personal (apartado
  32. c)del artículo 45.4 de la LOPD), pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros y el importante volumen de negocio de la entidad sancionada (apartado
  33. d)del artículo 45.4 de la LOPD), toda vez que se trata de una de las grandes operadores de telefonía del país por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones tanto establecidos en el artículo 45.4 se propone una sanción de 3.000 €, por vulneración del artículo 4.3 de la LOPD, de la que ORANGE debe responder. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U.., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  34. c)de la LOPD, una multa de 3.000 € (tres mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada LOPD. SEGUNDO: EXONERAR a la entidad ORANGE ESPAGNE S.A.U.., por la supuesta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  35. b)de la LOPD. TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U.., y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.