PS-00249-2015

1/9 Procedimiento PS/00249/2015 RESOLUCIÓN: R/02327/2015 En el procedimiento sancionador PS/00249/2015, instruido por la Agencia Española de Protección de Datos a la entidad Orange Espagne SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 19 de mayo de 2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia que Orange Espagne SAU (Orange) ha incluido sus datos personales en Asnef asociados a una deuda que está pendiente de resolución por parte de la Junta Arbitral de Consumo. El reclamante aporta copia de una notificación de inclusión en Asnef a instancias de Orange con fecha de alta 09/05/2014 e importe 246,68 €, así como la admisión a trámite remitida en fecha 16/01/2014 por la Junta Arbitral de Consumo de Cataluña. SEGUNDO: A la vista de la denuncia y los documentos aportados se inició expediente de investigaciones previas. La Inspección de Datos recabó información de Equifax y Orange, concluyendo las investigaciones con el preceptivo informe: <<< --- Según figura en el fichero Asnef, con fecha 09/05/2014 Orange ha informado una incidencia a nombre del afectado por importe de 246.68 €. Esta inclusión ha sido dada de baja en fecha 30/05/2014. --- Según indican los representantes de Orange, en fecha 14 de noviembre de 2013 se recibió la reclamación interpuesta por el Sr. A.A.A. ante la Junta Arbitral de Consumo de Cataluña. El denunciante reclamaba que, habiendo solicitado el alta en el servicio de telefonía fija de Orange con fecha 06/08/2013, la activación del servició se dilató hasta ejecutarse con fecha 04/09/2013, esta circunstancia fue la causa que motivó que solicitara la baja del servicio, exigiendo que no le fuera imputada penalización alguna por los compromisos de permanencia adquiridos en el momento de formalización del contrato y que le fueran devueltos los importes facturados. Ante esta situación, esta mercantil contactó por vía telefónica con el cliente y procedió a ejecutar determinadas medidas cautelares dirigidas a paralizar las acciones de recobro mientras se gestionaba la reclamación del cliente. Con fecha 02/01/2014 se envió un escrito de alegaciones a la Junta Arbitral de Consumo, donde se manifiesta que el cliente había sido informado de las consecuencias de su solicitud de baja anticipada, respecto al cargo por incumplimiento del compromiso de permanencia adquirido en el momento de la formalización del contrato concluyendo que los cargos emitidos eran procedentes. En este comunicado se informaba que se habían excluido los datos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 reclamante de los ficheros de solvencia patrimonial. Posteriormente, con fecha 16 de enero de 2014, se recibió citación de la Junta Arbitral de Consumo de Cataluña. Debido al impago de la deuda con fecha 09/05/2014 los datos del denunciante fueron comunicados a los ficheros de solvencia patrimonial. Con fecha 30 de mayo de 2014 se gestionó la citación de la Junta Arbitral de Consumo, momento en el que se ordenó la exclusión de los datos del denunciante en los ficheros de solvencia patrimonial. >>> TERCERO: De todo lo actuado en las investigaciones previas se concluye, salvo prueba en contrario, que Orange realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos, ya que incluyó en Asnef los datos personales del denunciante por una deuda pendiente de la resolución de arbitraje de la JAC de Catalunya. CUARTO: Con fecha 11/05/15 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Orange por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.

1. c)de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, Orange formuló alegaciones y solicita el archivo del procedimiento y, subsidiariamente, se aplique el 45.5 de la LOPD. Alega que: <<< …, el denunciante había adquirido el 6 de agosto de 2013 el compromiso de permanencia de 24 meses …en la línea Mi Fijo B.B.B., circunstancia incumplida por D. A.A.A. y que originó las emisión de las facturas controvertidas. …, “con fecha 16 de enero de 2014, se recibió citación de la Junta Arbitral de Consumo de Cataluña, la cual fue gestionada por esta mercantil con fecha 30 de mayo de 2014, momento en el que se ordenó la exclusión de los datos del denunciante en los ficheros de solvencia patrimonial”, … …, habiendo prestado Orange toda la diligencia posible en el tratamiento de los datos de carácter personal …, no puede proceder la imposición de ninguna sanción como consecuencia de la supuesta infracción del artículo 4.3 de la LOPD. Subsidiariamente, para el supuesto de que se considerase que los hechos denunciados son constitutivos de una infracción en materia de protección de datos, en atención a las circunstancias concurrentes debería graduarse la sanción a imponer conforme a lo estipulado en el artículo 45.5 de la LOPD. …, en el presente supuesto ha quedado acreditado que no se produjo ningún tipo de daño a D. A.A.A.. … procedió a subsanar de forma inmediata la situación denunciada en cuanto tuvo conocimiento de la reclamación interpuesta ante la Junta Arbitral de Consumo de Cataluña de suerte que los datos del Sr. A.A.A. sólo permanecieron unos días en los ficheros de solvencia patrimonial que ni siquiera alcanzaron el mes. …, carece de fundamento la continuación del presente expediente sancionador, razón por la cual se solicita su archivo definitivo sin sanción alguna a mi representada. No obstante, para el caso de que no se acuerde el archivo, procede en todo caso la graduación de la sanción a imponer. >>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 SEXTO: Con fecha 08/06/15 se inició el período de práctica de pruebas, acordándose las siguientes: Se dan por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos generados por los Servicios de Inspección y las alegaciones al acuerdo de inicio presentadas. Se solicita a denunciante y denunciada aporten documentos. No se han recibido respuestas. OCTAVO: En fecha 07/08/15 fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a Orange por infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
2. c)de dicha norma, con multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. NOVENO: Fue notificada la propuesta de resolución sancionadora el 12/08/15 a Orange y formuló alegaciones solicitando el archivo del procedimiento y, subsidiariamente, se imponga una sanción menor. Reitera sus alegaciones anteriores porque estima que no han sido tenidas en cuenta. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS: 1) 06/08/13, fecha de alta de la línea "mi fijo B.B.B." a nombre del denunciante, con adquisición promocional de terminal y compromiso de permanencia. Debido a que la activación de la línea se retrasó un mes el denunciante solicitó la baja y la devolución de los importes cobrados. 2) 14/11/13, Orange recibe la reclamación del denunciante ante la Junta Arbitral de Consum de Catalunya. (folio 32) 3) 02/01/14, fecha del escrito de Orange a la Junta Arbitral de Consum de Catalunya, informando de las razones de la penalización de 200 € y de los importes pendientes de cobro. 4) 16/01/14, fecha de notificación al denunciante y a Orange de la resolución de la Junta Arbitral de Consum de Catalunya admitiendo a trámite la solicitud de arbitraje y la fecha para el trámite de audiencia. (folio 3) 5) 09/05/14, fecha de alta en el fichero Asnef de los datos personales del denunciante asociados a una deuda de 246,68 € por el vencimiento impagado de 03/03/14, a instancias de Orange. (folios 4, 14 y 19) 6) 26/05/14, fecha del escrito de Orange a la Junta Arbitral de Consum de Catalunya, reiterando sus alegaciones anteriores, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 fijando la deuda reclamada en 265,84 € y solicitando laudo desestimatorio. 7) 30/05/14, fecha del escrito emitido por Equifax para comunicar al denunciante que ha dado de baja cautelar en Asnef los datos personales del denunciante ante su solicitud de cancelación por estar la deuda pendiente de resolución arbitral. (folio 25) 8) 12/01/15, fecha del informe de Orange a la Inspección de datos. Como documento nº 3 adjunta copia de cuatro facturas emitidas a nombre del denunciante: FACTURA EMISIÓN PERIODO IMPORTE VENCIMIENTO ***FACTURA.1 21/11/13 21/10/13–20/11/13 18,97 26/11/13 ***FACTURA.2 21/12/13 21/11/13-20/12/13 12,10 26/12/13 ***FACTURA.3 21/01/14 21/12/13-20/01/14 4,68 26/01/14 ***FACTURA.4 21/02/14 21/01/14-20/02/14 242,00 26/02/14 Suma 277,76 FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a Orange que ha quedado reflejada en los hechos declarados probados arriba relatados. Orange es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio calidad de datos contenido en el artículo 4.3 de la LOPD. Los datos personales de la persona denunciante fueron tratados por Orange para emitir 4 facturas. La emisión de la última factura originó la discrepancia, causa de la reclamación a la JAC de Cataluña. Orange, teniendo conocimiento de dicha reclamación de forma oficial y sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 requerimiento de pago previo, efectuó inclusión de los datos personales del denunciante asociados a una deuda en Asnef. Después de las alegaciones a la JAC pidiendo un laudo arbitral ordenó la cancelación cautelar en Asnef Ha de concluirse que Orange ha realizado un tratamiento de datos personales inexactos y que no se corresponden con la realidad entre las partes. Pues la deuda que reclama al denunciante está pendiente de un laudo arbitral que fije su importe o su improcedencia. III De la infracción: El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Orange hizo uso de datos inexactos. Esta incidencia se produjo porque no efectuó las oportunas comprobaciones de las reclamaciones del denunciante que significaban en cese –cautelar en principio- en el tratamiento de los datos personales recogidos en sus sistemas de Información y en el fichero Asnef, que hubiesen evitado que se produjeran los hechos que sirven de causa al presente procedimiento sancionador. IV De la tipificación: El artículo 44.3.
4. c)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
5. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso, ha incurrido en las infracción descrita ya que ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, cuando mantuvo datos incorrectos de la persona denunciante en sus ficheros, en las facturas emitidas y en el fichero Asnef, que encuentran su tipificación en el artículo 44.3.
6. c)de la citada Ley Orgánica. V De la sanción: El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
7. a)El carácter continuado de la infracción.
8. b)El volumen de los tratamientos efectuados.
9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
10. d)El volumen de negocio o actividad del infractor.
11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
12. f)El grado de intencionalidad.
13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. La imputada tenía conocimiento del procedimiento arbitral abierto en la JAC de Cataluña a instancias del denunciante y a pesar de ello ordenó la inclusión (09/05/14) en Asnef de los datos personales del denunciante asociados a una deuda pendiente de Laudo Arbitral. Esos hechos constituyen la infracción que ahora se sanciona. La actuación posterior de la imputada ante las reclamaciones o solicitudes del denunciante es la base para determinar si ha actuado con diligencia suficiente para considerar la aplicación del 45.5.
22. b)de la LOPD. La anotación en Asnef permanece hasta que, ante la solicitud de cancelación del denunciante, Equifax ordena el 30/05/14 la cancelación cautelar de los datos del denunciante. La decisión fue comunicada a Orange que, con su actuación posterior –al no efectuar nueva inclusión- pone fin a la situación irregular en el tratamiento de los datos personales del denunciante. Ha de tenerse en cuenta también que la permanencia de los datos personales en el fichero de morosos ha sido de 21 días. Todo ello nos permite valorar la actuación de la imputada como diligente en la regularización de la situación irregular, origen del presente procedimiento sancionador, y suficiente a los efectos de la aplicación el 45.5.
23. b)de la LOPD. En resumen, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción dentro de la escala relativa a las leves. Por otra parte, los criterios de graduación de las sanciones, establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: 1) El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio de calidad de datos, al menos desde 14/11/13 hasta la cancelación cautelar en Asnef el 30/05/14. 2) La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Orange es una empresa que tiene como actividad la prestación de servicios de telecomunicaciones y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. 3) En lo que se refiere al volumen de negocio de Orange hay que hacer constar que si bien es un hecho notorio que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora y su grupo, una de las trasnacionales más importantes. Se deduce el importante volumen de negocio de la entidad infractora, circunstancia a tener en cuenta para la graduación de la sanción. 4) El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó la emisión de facturas con penalización, o quien ordeno su inclusión en Asnef, no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. 5) La imputada ha sido objeto de numerosos expedientes sancionadores por infracciones similares. 6) Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. Considerando todas estas consideraciones expuestas procede fijar la sanción en 20.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Orange Espagne SAU, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
24. c)de la misma norma, una multa de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada ley orgánica. SEGUNDO: NOTIFICAR la presente resolución a Orange Espagne SAU y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es