← España

PS-00252-2018

1/25 Procedimiento Nº PS/00252/2018 RESOLUCIÓN: R/01770/2018 En el procedimiento sancionador PS/00252/2018, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 29/08/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que ORANGE ESPAGNE, S.A.U., (en lo sucesivo, ORANGE o la denunciada) ha dado de alta a su nombre y sin su consentimiento varias líneas de teléfono y ha contratado a su nombre diversos terminales de alta gama derivándose de ello una deuda próxima a los catorce mil euros que no le pertenece. Manifiesta que la denunciada nunca le facilitó copia de los contratos ni de las grabaciones de las conversaciones telefónicas a través de las cuales se habrían contratado los servicios a su nombre y que, en octubre de 2016, por razones que ignora, la entidad denunciada afirmó haberle condonado la deuda. El denunciante, en respuesta a la petición de la Inspección de datos para que aportara documentación adicional facilitó, entre otros, los siguientes documentos: - Copia de su DNI, en el que consta como domicilio la ***DIRECCION.1. - Copia de un correo electrónico remitido por orangeinforma.residencial@orange.com, dirigido a ***EMAIL.1 (dirección electrónica del denunciante según el escrito de su denuncia), que está fechado el 17/05/2016 y en el que le comunican que su última factura, de 26/04/2016, cuyo importe asciende a 2.035 euros, ha sido devuelta por su Banco. - Copia de dos facturas emitidas por ORANGE ESPAGNE, S.A.U., giradas a nombre del denunciante. En ambas constan sus datos personales (NIF, nombre y dos apellidos) y como dirección postal una radicada en ***LOCALIDAD.1. Además, en una de las dos facturas, además de la dirección postal de ***LOCALIDAD.1 se incluye una dirección del titular de la línea distinta de la dirección postal. Se trata de la radicada en la localidad de ***LOCALIDAD.2. El importe de las facturas asciende a 9.333, 82 euros y a 5.526, 20 euros. En fecha 13/10/2017 el denunciante comunicó a la AEPD los datos de su domicilio -distinto del que constaba en la copia del DNI que había aportado- radicado en ***DIRECCION.2. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 ORANGE ESPAGNE, S.A.U., teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones de Investigación Previa del que se reproduce, exclusivamente, el fragmento que concierne a esta operadora: <<ORANGE ESPAGNE, S.A.U. (ORANGE) Ha facilitado la siguiente información relevante a los efectos de la investigación que nos ocupa. 3.1. En sus sistemas están registrados los datos personales del denunciante, nombre, dos apellidos y NIF. Consta asociada a tales datos la dirección electrónica ***EMAIL.2 y el teléfono de contacto ***TELEFONO.8. La dirección postal, verificada a fecha 30/01/2016, es ***DIRECCION.3. 3.2. En sus sistemas hay referencia al alta de once líneas telefónicas vinculadas a los datos del denunciante. La operadora ha declarado que “las facturas fueron abonadas por el Sr. A.A.A., a excepción de las facturas emitidas en el año 2016. Tras la recepción de la reclamación en la que el Sr. A.A.A. manifestaba una posible usurpación de identidad en la contratación de renoves, el caso fue escalado al equipo de Análisis de Riesgos y tras las comprobaciones necesarias, se catalogaron como fraudulentas, ordenando los ajustes necesarios…”. ORANGE aporta copia de las facturas rectificativas emitidas. 3.3. En relación a los contratos correspondientes a las once líneas que figuran en los ficheros de ORANGE asociadas a los datos del denunciante, la entidad manifiesta: 3.3.1. Las líneas (I) ***TELEFONO.1; (II) ***TELEFONO.2 y (III) ***TELEFONO.3 se contrataron telefónicamente. Aporta un CD con cinco grabaciones de llamadas de verificación de contratación. Todas ellas por personal de la empresa “DIGITEL”. La verificación de las contrataciones se efectuó por la empresa Tria Global Services, S.L., (QUALYTEL). Se ha de recordar que las líneas (I) y (II) son reconocidas por el denunciante como propias La primera grabación, de fecha 14/10/2013, en la que se confirman datos personales y el domicilio en ***DIRECCION.4, versa sobre la contratación de la oferta canguro para la línea ***TELEFONO.2 (línea del denunciante) y el alta del ADSL facilitando la operadora al cliente el número de línea: ***TELEFONO.3 (III). El cliente informa que en un plazo de 6 meses cambiará de domicilio La segunda grabación, de fecha 17/10/2016, confirma la contratación de la oferta Canguro para la misma línea de móvil y el ADSL. En este caso, el número de línea fija para ADSL que la operadora facilita es el ***TELEFONO.10 (X). Tercera grabación: es del 01/08/2014. Se confirman por el cliente sus datos (nombre, apellidos y NIF). Facilita nueva dirección postal, en ***DIRECCION.1. En ella se autoriza la domiciliación de los cargos en la cuenta bancaria facilitada y se modifican las condiciones del contrato que pasan a la tarifa Canguro Ahorro. Cuarta grabación: No se facilita ninguna fecha. El cliente contrata para la línea ***TELEFONO.1 la tarifa Canguro Ahorro y para la línea ***TELEFONO.2 la tarifa Canguro sin límite. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 Quinta grabación: Del 11/10/2015. Se confirman datos de nombre, apellidos y NIF. La dirección que facilita es de ***LOCALIDAD.2. ***DIRECCION.5. Confirma como teléfono de contacto el ***TELEFONO.2 y facilita la dirección electrónica del denunciante (***EMAIL.1) Se contrata un terminal Iphone 6S, 16 gigas. 3.3.2. La línea ***TELEFONO.4 (IV) se contrató a través del Distribuidor Servicios Profesionales en Internet, S.L., (SERPROIN). CIF B06301279. La copia del contrato que aporta, en el que no existe fecha, está firmado por el cliente e incluye en el apartado destinado a los datos del punto de venta el nombre de “Revoluziona Olivenza”, y la localidad de “Olivenza”. 3.3.3. Respecto a las líneas ***TELEFONO.5 (V), ***TELEFONO.6 (VI) y ***TELEFONO.7 (VII), parece deducirse del escrito de ORANGE que el distribuidor a través del cual se contrataron fue Centros Comerciales Carrefour, S.A., con CIF A28425270. “Marca Comercial CARREFOUR ***LOCALIDAD.1”. ORANGE aporta copia de los contratos correspondientes a las líneas (V), de fecha 22/10/2015; (VI) de 24/10/2015 y (VII) de fecha 09/11/2015. En los tres documentos contractuales el cliente, que aparece domiciliado en ***LOCALIDAD.2, obtiene un Iphone 6S de 16GB. Todos los contratos están firmados y se acompaña la copia del DNI del denunciante (es el mismo documento que él remitió a la AEPD) 3.4. Por lo que respecta a las líneas ***TELEFONO.8 (VIII), ***TELEFONO.9 (IX), ***TELEFONO.10 (X) y ***TELEFONO.11 (XI), ORANGE no ha aportado ningún documento que acredite la contratación a nombre del denunciante. En su respuesta al requerimiento informativo de la Inspección de Datos de la AEPD, de fecha de entrada en el Registro del organismo el 18/12/2017, declaró que se había solicitado copia de los respectivos contratos “al proveedor de gestión documental” y que tan pronto como dispusieran de ella procederían a su aportación. A fecha 12/05/2018 la documentación aludida no se ha recibido en la AEPD. 4. Declara que comunicó los datos del denunciante a ficheros de solvencia patrimonial y a tal fin ofrece la siguiente información: En el fichero ASNEF los datos del denunciante se dieron de alta el 21/04/2016 y de baja el 29/09/2016. En el fichero BADEXCUG comunicaron los datos con fecha de alta 26/04/2016 y la baja el 29/09/2016. ORANGE no ha informado sobre el importe de la deuda atribuida al denunciante en las incidencias que comunicó a los ficheros de morosidad, ni sobre la fecha o fechas de vencimiento de aquélla. Sobre el motivo por el que se dieron de baja las incidencias informadas a los ficheros de solvencia, ORANGE explica que fue la reclamación formulada por el denunciante a raíz de la cual se constató por el departamento de Análisis de Riesgos de la compañía el carácter fraudulento de los pedidos efectuados en 2016 a nombre del denunciante.>> TERCERO: Con fecha 12/06/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE por presunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD),y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 en relación asimismo con el artículo 38.1.a, de su Reglamento de desarrollo (RLOPD) tipificadas ambas como infracciones graves en los artículos 44.3.

  1. b)y 44.3.
  2. c)de dicha norma, respectivamente, pudiendo ser sancionada cada una, con multa de 40.001 euros a 300.000 euros, conforme a lo dispuesto en el artículo 45.2 de la citada Ley Orgánica. CUARTO: El acuerdo de inicio se notificó el 14/06/2018 y, en esa misma fecha, ORANGE solicitó una ampliación del plazo inicialmente otorgado para formular alegaciones. La Agencia respondió en escrito de 19/06/2018 acordando ampliar el plazo de alegaciones por el máximo permitido legalmente. QUINTO: El 06/07/2018 tienen entrada en el Registro electrónico de esta Agencia las alegaciones de ORANGE al acuerdo de inicio del expediente sancionador. A. Respecto a la infracción del artículo 6.1 de la LOPD, reconoce su responsabilidad y se acoge al pago voluntario a los efectos del artículo 85.1 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). En tal sentido procedió, en fecha 07/11/2018, a abonar 24.000 euros, importe resultante de aplicar una reducción del 40% sobre la cuantía que el acuerdo de inicio fijo como sanción por la infracción del principio del consentimiento. B. Respecto a la vulneración del artículo 4.3 LOPD, en relación con el 29.4 de la Ley Orgánica y 38.1.a, del RLOPD, infracción que también se atribuyó a esa entidad en el acuerdo de inicio, ORANGE solicita que se proceda al archivo de las actuaciones. Subsidiariamente, para el caso de que la pretensión principal no prospere, solicita que se tomen en consideración para la determinación de la cuantía de la sanción las circunstancias descritas en el artículo 45.5. LOPD. Esgrime en apoyo de su pretensión los argumentos siguientes: - Respecto a la existencia de la infracción del artículo 4.3 LOPD:  Alega que la citada infracción ha prescrito. Afirma que ha quedado acreditado en el expediente “que la inclusión de los datos del denunciante por parte de ORANGE en el fichero ASNEF (…) se produjo en fecha 21 de abril de 2016, y que el acuerdo de inicio del procedimiento sancionador se ha notificado en fecha 14 de junio de 2018, ha transcurrido entre la inclusión de los datos del denunciante en los ficheros ASNEF y BADEXCUG hasta la apertura del procedimiento sancionador el plazo legalmente establecido, siendo este superior a los dos años previstos para la prescripción de la infracción que contempla la LOPD”. (El subrayado es de la AEPD)  Alega la inexistencia de una vulneración del artículo 4.3 LOPD toda vez que, la obligación que esa disposición impone a los responsables de los ficheros debe entenderse como “un deber de proceder a la actualización de ficheros y bases de datos en la medida en que los Responsables de los Ficheros tengan o hayan podido tener conocimiento o constancia de la desactualización o de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 falta de veracidad de los datos, es decir, siempre que, o bien el propio interesado haya puesto de manifiesto la desactualización, o bien la entidad haya podido tener noticia de la desactualización por otros medios”. (El subrayado es de la AEPD) Que “como han manifestado tanto la AEPD como la Audiencia Nacional…” “no debe entenderse dicha obligación en el sentido de exigir que los Responsables de los Ficheros deban proceder, motu proprio, a la revisión de todos y cada uno de los registros que figuran en sus bases de datos, a los efectos de identificar posibles desactualizaciones,” por el contrario, afirma que la revisión deberá hacerse a instancia de parte o por el Responsable del Fichero si tiene un efectivo conocimiento de este hecho.  Que tenía un convencimiento pleno de que los datos aportados al proceso de contratación provenían del ahora contratante.  Que una vez constatada la inexistencia de la deuda, en virtud de la reclamación del afectado, procedió a excluir sus datos de los ficheros de solvencia cuando en esa fecha no había recibido aún el requerimiento informativo de la AEPD. Que nada más tener noticia del “carácter fraudulento de la contratación asociado a la adquisición de terminales” se procedió de inmediato a regularizar la situación y a cancelar los datos.  Que observó los tres requisitos del artículo 38.1 RLOPD. Respecto al apartado c, del precepto, expone que requirió el pago al denunciante en fechas 07/3/2016, 05/04/2016, 04/05/2016. 02/06/2016 y 08/09/2016. Indica que tiene contratados los servicios de la empresa SERVINFORM para la práctica de los requerimientos. Aporta comunicaciones de esta entidad en las que hace constar que en esas fechas se pusieron en el servicio de envíos postales las comunicaciones con las referencias que detalla. Aporta a tal fin copia de los albaranes de entrega en Correos. Añade que en esos requerimientos se informa con claridad que, de no atender el pago en el plazo fijado para ello, procederá a la inclusión de sus datos en los ficheros de solvencia. Respecto a la graduación del importe de la sanción, solicita que se aprecie la atenuante cualificada del artículo 45.5.
  3. a)en relación con las circunstancias del artículo 45.4 LOPD, que a su juicio operan como atenuantes: las descritas en los apartados e),
  4. f)e
  5. i)- ausencia de beneficios, ausencia de intencionalidad y tener implementado un procedimiento adecuado de recogida y tratamiento de datos. Estima, asimismo, que operan como atenuantes para integrar la disposición del artículo 45.5.
  6. a)las circunstancias de los apartados
  7. c)y
  8. d)del artículo 45.4 que en el acuerdo de inicio se valoraron como agravantes. SEXTO: En fechas 16/06/2018 y 19/06/2018 tienen entrada en la sede electrónica de la AEPD sendos escritos remitidos por el denunciante con los que aporta tres documentos, denominados Contrato 1, Contrato 2 y Contrato 3. (Folios 458 a 464) Los documentos corresponden a la copia en soporte papel de tres contratos con el anagrama de ORANGE, suscritos a su nombre y que no se encuentran firmados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 El denunciante indica en su escrito que tiene disponible abundante documentación sobre la actuación de ORANGE y de otras operadoras denunciadas en la dirección de DROPBOX que facilita. Sin embargo, no nos resulta posible acceder a DROPBOX por el riesgo que entraña para el sistema informático de este organismo. Además, el denunciante informa en su escrito de su nuevo domicilio, radicado en ***DIRECCION.6, (folio 458) SÉPTIMO: Con fecha 02/11/2017, de conformidad con lo dispuesto en el artículo 77 de la Ley 39/2015, se inició el período de prueba -centrado exclusivamente en la infracción del artículo 4.3 LOPD, por ser ésta el objeto de la controversia habida cuenta de que la denunciada reconoció su responsabilidad en la comisión de la infracción del artículo 6.1 LOPD- en el que se acordó la práctica de las siguientes diligencias: 1. Dar por reproducida a efectos probatorios la denuncia interpuesta por D. A.A.A. y su documentación anexa, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE ESPAGNE, S.A.U., y el Informe de actuaciones previas de Inspección; documentos todos ellos que integran el expediente E/05110/2017. 2. Dar por reproducidos a efectos de prueba los escritos presentados por el denunciante en fecha 16/06/2018 y 19/06/2018 (con número de Registro de entrada, respectivamente, 179425/2018 y 179878/2018), así como los documentos anexos al primero de los escritos que versan sobre la operadora ORANGE, denominados contrato1, contrato 2 y contrato 3. 3. Dar por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio del PS/00252/2018 presentadas por ORANGE ESPAGNE, S.A.U., y la documentación que a ellas acompaña. OCTAVO: Con fecha 21/11/2018, por la instructora del expediente, se formula propuesta de resolución en los siguientes términos: Imponer a ORANGE una sanción de 40.000 euros por la infracción del artículo 4.3, en relación con el 29.4, de la LOPD y en relación, asimismo, con el artículo 38.1.
  9. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  10. c)de dicha norma, de conformidad con los artículos 45.5.
  11. b)y 45.1 LOPD. NOVENO: La propuesta de resolución se notificó electrónicamente a ORANGE el 21/11/2018, quien aceptó la notificación en la misma fecha del 21/11/2018. Con fecha 05/12/2018 tienen entrada en la sede electrónica de la AEPD las alegaciones a la propuesta de resolución en la que solicita que se proceda al archivo del procedimiento sancionador respecto a la infracción del artículo 4.3, en relación con el 29.4 de la LOPD y en relación con el artículo 38.1.
  12. a)del RLOPD. En apoyo de su pretensión la entidad invoca la existencia de un concurso medial entre las infracciones imputadas, vulneración de los artículos 6.1 y 4.3. LOPD, pues a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 su juicio ha existido una única conducta de la que se hacen derivar dos consecuencias jurídicas distintas. Considera además que, en tal caso, se vulneraría el principio non bis in ídem recogido en el artículo 31 de la Ley 40/2015 de Régimen Jurídico del Sector Público. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con NIF ***DNI.1 y dirección electrónica ***EMAIL.1, (folio 1) denuncia que ORANGE, operadora de la que ha sido cliente, ha dado de alta a su nombre y sin su consentimiento varias líneas telefónicas y terminales de alta gama generando deudas que no le pertenecen y que han sido comunicadas, asociadas a sus datos personales, a ficheros de solvencia patrimonial. SEGUNDO: El denunciante aportó en escrito de fecha 15/09/2017, con su respuesta al requerimiento informativo de la Inspección de Datos, la copia de su DNI (folios 34 y 35). En ese documento, que tiene como fecha límite de validez 13/07/2020, se incorpora como domicilio la ***DIRECCION.1. En escrito de fecha 22/09/2017, el denunciante aportó su DNI “antiguo aún no caducado”. El documento (folio 57) tiene como fecha límite de validez el 28/02/2018 y en él consta como domicilio del denunciante la localidad de ***LOCALIDAD.6. Explica a ese respecto que “en las facturas he visto que han puesto esta dirección en alguna. Entiendo que tienen una fotocopia de mi DNI antiguo. Mi DNI nuevo ya lo adjunté con dirección en ***LOCALIDAD.4 (aunque ahora vivo en ***LOCALIDAD.5)” (folios 55 a 57) El denunciante, mediante escrito presentado ante la AEPD el 16/06/2018, ha comunicado un cambio de domicilio, estando radicado ahora en ***LOCALIDAD.3, (folio 458) TERCERO: ORANGE reconoce que procedió a incluir los datos personales del denunciante en los ficheros de solvencia patrimonial ASNEF y BADEXCUG por deudas procedentes del impago de las facturas emitidas en el año 2016 (folio 159, apartado 6.1.). La denunciada informa de que comunicó los datos del denunciante a los siguientes ficheros comunes: - ASNEF, fecha de alta 21/04/2016 y fecha de baja 29/09/2016 BADEXCUG, fecha de alta 26/04/2016 y fecha de baja 29/09/2016 (Folio 160) La denunciada ha aportado sendos certificados expedidos por EQUIFAX IBÉRICA, S.L. y EXPERIAN BUREAU DE CRÉDITO, S.A., acreditativos de que en fecha 12/12/2017 y 14/12/2017, respectivamente, los datos personales del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 denunciante no constan inscritos en los ficheros ASNEF ni BADEXCUG (folios 228 y 231) CUARTO: La documentación aportada por ORANGE en respuesta al requerimiento de la Inspección de Datos acredita que en sus sistemas se encuentran registrados los datos personales del denunciante (nombre, apellidos y NIF). La dirección postal registrada en los ficheros de la denunciada a fecha 30/01/2016 es calle ***DIRECCION.3. La dirección electrónica asociada a tales datos es ***EMAIL.2 y el teléfono de contacto ***TELEFONO.8. En los sistemas de ORANGE aparecen once líneas de telefonía asociadas a los datos del denunciante: (I)***TELEFONO.1; (II) ***TELEFONO.2 y (III) ***TELEFONO.3 (IV) ***TELEFONO.4, (V) ***TELEFONO.5 (VI) ***TELEFONO.6, (VII) ***TELEFONO.7, (VIII) ***TELEFONO.8 (IX), ***TELEFONO.9 , (X) ***TELEFONO.10 y (XI) y ***TELEFONO.11. Las líneas I y II se han reconocido como propias por el denunciante. (Folios 138 a 161) QUINTO: ORANGE, en respuesta al requerimiento de la Inspección de Datos y con el fin de acreditar que recabó el consentimiento del afectado a la contratación, aportó diversa documentación: - Un CD con cinco grabaciones de llamadas de verificación (folio 137) Corresponden a las líneas (I), (II) y (III). Además, las líneas I y II se reconocen como propias por el denunciante. - Contratos en soporte papel que aparecen firmados y se acompaña con ellos la copia del DNI del denunciante, el documento denominado por él antiguo cuya fecha de validez es 28/2/2018-. Los contratos corresponden a las líneas V, VI y VII. (Folios 190 a 193, 195 y 196) - Contrato en soporte papel firmado por el afectado con el que no se incluye la copia del DNI. Corresponde a la línea IV (Folio 194) - Respecto a las líneas ***TELEFONO.8 (VIII), ***TELEFONO.9 (IX), ***TELEFONO.10 (X) y ***TELEFONO.11 (XI), ORANGE no ha aportado ningún documento que acredite el consentimiento del denunciante a la contratación o que obró con ocasión de aquélla con la diligencia mínima que resultaba exigible dadas las circunstancias del caso. ORANGE manifestó, en relación con las líneas VIII, IX, X y XI, que se había solicitado copia de los respectivos contratos al “proveedor de gestión documental” y que tan pronto como dispusiera de ella procedería a su aportación. Sin embargo, esta documentación no llegó a aportarse. (Folio 155) SEXTO: ORANGE manifestó en su respuesta al requerimiento informativo de la Inspección que, las facturas vinculadas a los datos personales del denunciante que fueron impagadas eran las emitidas en el año 2016 (folios 155 en relación con los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 folios 162 a 189). Aporta copia de las facturas de 2016 emitidas a nombre del denunciante con las fechas, referencias, importe y conceptos facturados que se relacionan: -E6001399417-0116, de 26/01/2016, por importe de 9.333,82 euros. Entre los conceptos facturados se incluyen los servicios asociados a las líneas VIII, ***TELEFONO.8 y XI, ***TELEFONO.11 (Folios 162 a 165). -E6001714673-0216, de 26/02/2016, por importe de 5.526,20 euros. Entre los conceptos facturados se incluyen los de los servicios asociados a las líneas VIII y XI (folios 166 a 169) -E60002038944-0316, emitida el 26/03/2016, por importe de 656,23 euros. Entre los conceptos facturados se incluyen los de los servicios de las líneas VIII y XI (folios 170 a 173) -E60002361617-0416, de 26/04/2016, por importe de 2.035,00 euros. Entre los conceptos facturados se incluyen los de los servicios de las líneas VIII y XI (folios 174 y 175) -E60002686207-0516, de 26/05/2018, por 0 euros; E60003012008-0616, de 26/06/2016, por 0 euros; E60003336941-0716, de 26/07/2016, por 0 euros. En todas ellas se incluye, entre los conceptos facturados, la línea XI (Folios 176 a 181) - Aporta seis facturas rectificativas (folios 184 a 189), emitidas entre el 13/09/2016 y el 23/09/2016, algunas de importe 0 (folios 184 y 185) y otras por sendos importes de 3.698 euros, 276,45 euros, 2.925,62 euros y 438,61 euros. SÉPTIMO: ORANGE ha informado de que en sus registros se tiene noticia de dos reclamaciones formuladas por el denunciante: -Reclamación de fecha 13/04/2016, por discrepancia con los cargos por terminales que el denunciante no reconoce. -Reclamación de fecha 22/08/2016: La denunciada explica que existe una interacción en la que el denunciante le comunica que ha formulado denuncia por suplantación de identidad en la contratación siendo este hecho el que motivó que remitiera el asunto al Departamento de Análisis de Riesgos de la compañía. Tras verificar que en el año 2016 existían un total de 9 pedidos de terminales que fueron entregados a una dirección distinta del denunciante, la falta de vinculación de los IMEIS y la recepción de la denuncia interpuesta por el denunciante, se estimó la reclamación del cliente, se hicieron los ajustes catalogando los pedidos como fraudulentos y se procedió a la devolución de los importes facturados por dichos dispositivos (Folio 156) FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  13. g)en relación con el artículo 36 de la LOPD. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente. III Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. El artículo 6 LOPD bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  14. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. La vulneración de los artículos 6.1 y 4.3 de la LOPD se tipifica como infracción grave en el artículo 44.3., apartados
  15. b)y c), respectivamente, precepto que dispone: “Son infracciones graves: (…)
  16. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
  17. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 Como se hace constar en los Antecedentes de Hecho quinto, apartado A, y séptimo de esta resolución, en sus alegaciones al acuerdo de inicio de fecha 06/07/2018 ORANGE manifestó que reconocía su responsabilidad por la vulneración del artículo 6.1 LOPD, tipificada como infracción grave en el artículo 44.3.b de la citada Ley Orgánica. Así las cosas, es exclusivamente, sobre la infracción del principio de calidad de los datos - infracción del artículo 4.3 LOPD, en relación con el 29.4 de dicha Ley Orgánica, y en relación, asimismo, con el artículo 38.1.
  18. a)del RLOPD, tipificada en el artículo 44.3.
  19. c)– sobre la que se emitió en su momento propuesta de resolución y la que constituye el objeto de la controversia respecto a la cual esta resolución se pronuncia. A. Las normas jurídicas reproducidas en el Fundamento de Derecho III ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige que la deuda sea cierta, vencida, exigible y que haya resultado impagada. Conviene recordar, además, que el acreedor que informa los datos al fichero está obligado a conservar a disposición de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en el artículo 38.1, del RLOPD, entre ellos, y por lo que aquí interesa, el descrito en el apartado a), referente a la certeza de la deuda cuyo impago provoca su inclusión en un fichero común. Cabe añadir también que corresponde al responsable del fichero o tratamiento de los datos personales del denunciante verificar antes de la comunicación de tales datos a un fichero común que tal inclusión se ajusta a los requisitos establecidos en el artículo 4.3 LOPD en relación con las disposiciones del RLOPD que regulan esta materia (artículos 37 a 44 del RLOPD). En tal sentido, ha de traerse a colación la disposición del artículo 43.1 del RLOPD que señala: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) B. Constituye un hecho probado que ORANGE trató los datos personales del denunciante (su nombre, apellidos y NIF) asociados a varias líneas de telefonía, en particular a once líneas de las cuales el denunciante niega haber contratado nueve de ellas (ver Hecho Probado cuarto). Ahora bien, como se señaló en el acuerdo de inicio de este procedimiento, la infracción de los artículos 6.1 y 4.3 LOPD imputada a ORANGE se materializó en el tratamiento de los datos personales del denunciante efectuado por la denunciada en relación, exclusivamente, con las líneas ***TELEFONO.8 (VIII), ***TELEFONO.9 (IX), C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 ***TELEFONO.10 (X) y ***TELEFONO.11 (XI). Ello, pese a que, como el denunciante expuso en su denuncia, fueron numerosas las líneas que ORANGE dio de alta a su nombre sin su consentimiento y a que sólo dos de esas once líneas habían sido efectivamente contratadas por él, en particular las líneas I y II La Audiencia Nacional viene considerando que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia. Reiteradamente ha manifestado que el responsable del tratamiento de datos de terceros debe recabar y conservar la documentación necesaria para acreditar el consentimiento de su titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004) que en su Fundamento de Derecho Cuarto dice “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD) Durante las actuaciones de investigación previa la Inspección solicitó a ORANGE que aportara la documentación que demostrara que el denunciante había otorgado el consentimiento a la contratación de las líneas dadas de alta a su nombre o, al menos, que aportara la documentación que probara que la entidad actuó con la diligencia a la que venía obligada según la normativa de protección de datos a fin de verificar la identidad de la persona que otorga el consentimiento a la contratación. En su respuesta ORANGE facilitó a la AEPD documentación acreditativa de la contratación a nombre del denunciante de cinco de esas nueve líneas. En el Hecho Probado quinto se detalla que la operadora aportó un CD que contiene cinco grabaciones mediante las se verifica la contratación de líneas asociadas a los datos personales del denunciante. De esas cinco grabaciones dos de ellas corresponden a las líneas I y II, sobre las que ninguna controversia existe pues el denunciante las reconoce como suyas. En el CD se incluye una grabación de la conversación en la que una persona que se identifica con los datos personales del denunciante presta su consentimiento para la contratación de la línea ***TELEFONO.3 (III); una de las nueve líneas que el denunciante niega haber contratado. ORANGE remitió también a la AEPD con su respuesta al requerimiento informativo de la Inspección de Datos cuatro contratos en soporte papel a nombre del denunciante, que están firmados por el titular y en los que figuran como titular del contrato los datos del denunciante; su nombre, dos apellidos y NIF. De estos cuatro contratos tres incorporan una fotocopia del DNI del denunciante, documento que es idéntico al que el denunciante facilitó a esta Agencia en fecha 22/9/2017 (ver Hecho Probado segundo). Este DNI, que él ha identificado como su DNI antiguo, cuya validez expiraba en fecha 28/02/2018, incorporaba como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 domicilio el ubicado en la localidad de ***LOCALIDAD.6. Los tres contratos aportados por ORANGE que llevan anexa la copia del DNI corresponden a las líneas V, VI y VII (***TELEFONO.5, ***TELEFONO.6 y ***TELEFONO.7, respectivamente). Ver Hechos Probados cuarto y quinto. También respecto a la línea IV, ***TELEFONO.4, la operadora facilitó la copia del contrato en soporte papel en el que el titular se identifica con el nombre, dos apellidos y NIF del denunciante y que además se encuentra firmado. (Hechos Probados cuarto y quinto) Así las cosas, a la luz de la documentación que ORANGE facilitó a la AEPD en el curso de la investigación previa, hemos de concluir que, en relación con cinco de las nueve líneas que el denunciante niega haber contratado, en particular sobre las identificadas con los números III, IV, V, VI y VII, la operadora obró con la diligencia mínima que resulta exigible a fin de verificar la identidad de la persona que facilitó como suyos los datos personales del denunciante. Ese comportamiento diligente desplegado por ORANGE priva a su conducta del elemento subjetivo de la culpabilidad, cuya presencia es imprescindible para que pueda generarse responsabilidad administrativa sancionadora (ex artículo 28 de la Ley 40/2015). Y ello, por más que tal conducta pueda ser antijurídica, como parce ser el caso, debido a que quien prestó el consentimiento no fue el titular de los datos, sino que pudo existir una suplantación de personalidad y un tercero se hizo pasar por el titular de los datos y facilitó a la entidad como propios datos que no le pertenecían. Habida cuenta de que se estima que ORANGE obró con la diligencia mínima exigible para acreditar la identidad del contratante respecto a las líneas precitadas -las identificadas con los números III, IV, V, VI y VII- el tratamiento de los datos del denunciante sin su consentimiento realizado respecto a tales líneas, no originaron ninguna responsabilidad administrativa sancionadora ni por vulneración del artículo 6.1 ni por infracción del artículo 4.3 LOPD. Por tal razón, el acuerdo de inicio del expediente sancionador circunscribió las infracciones atribuidas a ORANGE al tratamiento de los datos del denunciante efectuado respecto a las líneas VIII, IX, X y XI, líneas respecto a las cuales ORANGE no ha aportado ningún documento que pruebe que la denunciada recabó y obtuvo del denunciante, o de quien suplantó su identidad, el consentimiento al tratamiento. C. En atención a lo expuesto, se indicó en el acuerdo de inicio que la conducta contraria a la normativa de protección de datos, en la que sí estaba presente el elemento subjetivo de la infracción, era el tratamiento de los datos personales de del denunciante efectuado por ORANGE en relación con las líneas VIII, IX, X y XI que él niega haber contratado. El nacimiento de responsabilidad sancionadora presupone la existencia de culpabilidad en cualquiera de sus manifestaciones: dolo, culpa o culpa levísima. En el ámbito del Derecho Administrativo Sancionador no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor, esto, porque las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 presupuesto para su imposición (STC 76/1999) Sobre el principio de culpabilidad en el marco del procedimiento sancionador (al que expresamente se refiere la Ley 40/2015 en su artículo 28) resultan muy esclarecedoras las consideraciones que ofrece la SAN de 30/05/2015 (Rec. 163/2014) con relación al modo de atribución de la responsabilidad a las personas jurídicas. El Fundamento de Derecho segundo dice: <<No obstante, el modo de atribución de la responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto a las personas físicas. Según STC 246/1999 “(…) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma”>> La SAN precitada conecta la reprochabilidad a una persona jurídica de una determinada conducta con el hecho de que aquella hubiera o no dispensado una eficaz protección al bien jurídico protegido por la norma. En definitiva, en la medida que ORANGE no ha llegado a aportar respecto a las líneas con referencias VIII, IX, X y XI ningún documento del que se infiera que al tiempo de la contratación obró con la diligencia que era procedente para identificar a la persona que facilitó como suyos los datos personales del denunciante, se ha de concluir que esa conducta es contraria al artículo 6.1 LOPD y concurre en ella el elemento subjetivo de la infracción, de modo que resulta subsumible en el artículo 44.3.
  20. b)LOPD. Se añade a lo expuesto que, en tanto la operadora no ha podido probar que fue el denunciante quien otorgó el consentimiento a la contratación de las líneas identificadas con los números VIII, IX, X y XI, tampoco ha acreditado que él tuviera la condición de deudor, por lo que no estaba obligado al pago de las deudas que proceden o tienen su origen en las facturas impagadas correspondientes a los servicios que se dieron de alta a su nombre. Esa es la razón por la que, en el supuesto que nos ocupa, la deuda generada por las líneas identificadas con los números VIII, IX, X, y XI y vinculada a los datos personales del denunciante “no es cierta”, ni vencida ni exigible respecto a su persona. No se pone en tela de juicio con ello si los servicios que ORANGE facturó y de los que nació la deuda posteriormente reclamada al denunciante llegaron a prestarse efectivamente. La cuestión relevante es otra: en tanto ORANGE no ha acreditado que el denunciante fue la persona que contrató los servicios que se dieron de alta asociados a sus datos personales no ha quedado tampoco acreditada su condición de deudor. Como se detalla en el Fundamento III el artículo 38.1 RLOPD condiciona la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 legalidad de la comunicación de los datos de un tercero a un fichero de solvencia al cumplimiento de varios requisitos, entre ellos, apartado a), que la deuda sea cierta, vencida y exigible. A propósito de la infracción del principio de calidad de los datos de la que se responsabiliza a ORANGE se ha de recordar que la entidad ha manifestado insistentemente (ver folios 159 y 155) que la inclusión de los datos del denunciante en ficheros comunes estuvo motivada por el impago de las facturas emitidas durante el año 2016. El Hecho Probado sexto hace una relación de las facturas que ORANGE ha aportado y que fueron emitidas a nombre del denunciante durante el año 2016. Las emitidas en el periodo comprendido entre el 26/01/2016 y el 26/04/2016 (folios 162 a 175), un total de cuatro facturas, incorporan entre los conceptos facturados los servicios correspondientes a dos de las líneas en las que se materializa la vulneración del principio del consentimiento: las líneas números VIII, ***TELEFONO.8 y número XI, ***TELEFONO.11. La operadora ha indicado que los importes por los que el denunciante fue incluido en los ficheros proceden de facturas emitidas durante 2016, por lo que necesariamente han de corresponder a las facturas antes mencionadas. Esto, porque las que se emitieron en mayo, junio y julio de 2016 eran facturas rectificativas de importe 0 y la primera factura con importe mayor a 0 se emitió el 13/09/2016, días antes de la baja de las incidencias. ORANGE ha manifestado que comunicó a ASNEF una incidencia asociada a los datos personales del denunciante con fecha de alta 21/04/2016 y que procedió a dar de baja la anotación en fecha 29/09/2016. Respecto al fichero BADEXCUG ORANGE ha reconocido que los datos del denunciante se mantuvieron incluidos en este fichero entre el 26/04/2016, fecha de alta, y el 29/09/2016, fecha de baja. En definitiva, ORANGE incluyó y mantuvo durante cinco meses los datos del denunciante en ficheros comunes incumpliendo los requisitos a los que el artículo 38.1. RLOPD supedita la legalidad de tal comunicación, pues la deuda informada no era, ni cierta, ni vencida ni exigible respecto a la persona del denunciante (apartado a, del citado precepto). A propósito del elemento subjetivo de la infracción en relación con la vulneración del principio de calidad de los datos, se ha de subrayar que el RLOPD refuerza la diligencia que es exigible al acreedor que comunica datos de un tercero a un fichero de solvencia patrimonial en tanto que, en su artículo 43.1, prevé que en el momento de comunicar los datos adversos al fichero de solvencia se asegure de que están presentes todos los requisitos a los que el artículo 38.1 supedita tal comunicación. Y el artículo 38.3 RLOPD le obliga a conservar documentación suficiente para acreditar el cumplimiento de tales requisitos. Consideraciones que evidencian que en el asunto que nos ocupa ORANGE omitió la diligencia mínima exigible atendidas las circunstancias concurrentes. En consecuencia, la inclusión en los ficheros ASNEF y BADEXCUG de los datos del denunciante, por deudas a las que él era ajeno, realizada por ORANGE, no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD, pues incumplía el requisito del artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 38.1.a, RLOPD; conducta subsumible en el tipo infractor del artículo 44.3.
  21. c)de la citada Ley Orgánica. V Procede examinar seguidamente los argumentos que ORANGE esgrime en defensa de su pretensión de que se proceda al archivo del expediente respecto a la infracción del artículo 4.3 LOPD en relación con el artículo 38.1.
  22. a)RLOPD. A. En su escrito de alegaciones al acuerdo de inicio invocó con ese propósito dos argumentos: El primero de ellos, que la infracción tipificada en el artículo 44.3.
  23. c)que se le imputa estaría prescrita en la fecha en la que la Agencia le notificó el acuerdo de inicio del expediente sancionador. La denunciada manifiesta sobre el particular “que la inclusión de los datos del denunciante por parte de ORANGE en el fichero ASNEF (…) se produjo en fecha 21 de abril de 2016, y que el acuerdo de inicio del procedimiento sancionador se ha notificado en fecha 14 de junio de 2018,..” (El subrayado es de la AEPD) Sobre tales premisas concluye que cuando el acuerdo de inicio le fue notificado por la AEPD, el 14/06/2018, ya había transcurrido sobradamente el plazo de dos años que el artículo 47.1 LOPD fija para la prescripción de las infracciones graves. La entidad incurre en una equivocación en la determinación del dies a quo para el cómputo del plazo de prescripción. Erróneamente sitúa el término inicial del plazo en la fecha en la que se produjo la inclusión de los datos del denunciante en los ficheros de solvencia. Como reiteradamente viene manteniendo la Audiencia Nacional, Sala de lo Contencioso Administrativo, la infracción del principio de calidad de los datos en relación con el artículo 29.4 LOPD y en relación con el artículo 38.1.
  24. a)RLOPD, es una infracción permanente, de tal modo que la infracción se entiende cometida, y es entonces cuando se inicia el cómputo del plazo de prescripción, cuando cesa la situación infractora. Muy claramente lo expone (por todas) la SAN de 12/09/2018, Rec. 63/2017: «Tal y como constituye doctrine consolidada y reiterada de esta Sala, a partir de la SAN de 3 de noviembre de 2011 (Rec. 611/2010) , la infracción del principio de calidad del dato del articulo 4.3 LOPD "participa de la naturaleza propia de las denominadas infracciones permanentes en las que su consumación se provecta en el tiempo más allá del hecho inicial consistente en el acceso del dato erróneo al fichero de solvencia patrimonial, extendiéndose durante todo el periodo en el que el dato permanece en el citado fichero, es decir, hasta que deja de producirse dicha lesión a los derechos del afectado, por corregirse la irregularidad que permitió que dicho dato accediese y permaneciese inscrito en dicho fichero. En efecto, en el ámbito administrativo sancionador, se contemplan las denominadas "infracciones permanentes" -STS de 7 de abril de 1989 y 23 de enero de 1990-, que se caracterizan porque la conducta constitutiva de un único ilícito se mantiene durante un espacio prolongado de tiempo; lo que implica que el plazo de prescripción no se inicia "al no haber cesado la situación de infracción perseguida" -STS de 18 de febrero de 1985-. (…)”(El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 Así pues, el término inicial del cómputo del plazo de prescripción de esa infracción es el 29/09/2016, fecha en la que se dio de baja la anotación en los ficheros. Habiéndose notificado a ORANGE el acuerdo de inicio el 14/06/2018 (folio 452), resulta evidente que en esa fecha no había transcurrido el plazo de dos años que establece el artículo 47.1 LOPD por lo que la infracción no estaba prescrita. El segundo alegato que ORANGE esgrimió es la inexistencia de la infracción del artículo 4.3 LOPD que se le imputa, pues, argumenta, la obligación que esa disposición impone a los responsables de los ficheros debe entenderse como “un deber de proceder a la actualización de ficheros y bases de datos en la medida en que los Responsables de los Ficheros tengan o hayan podido tener conocimiento o constancia de la desactualización o de la falta de veracidad de los datos, es decir, siempre que, o bien el propio interesado haya puesto de manifiesto la desactualización, o bien la entidad haya podido tener noticia de la desactualización por otros medios”. Y añade que esa obligación “no debe entenderse … en el sentido de exigir que los responsables de los Ficheros deban proceder, motu proprio, a la revisión de todos y cada uno de los registros que figuran en sus bases de datos, a los efectos de identificar posibles desactualizaciones,” por el contrario, afirma que la revisión deberá hacerse a instancia de parte o por el responsable del Fichero si tiene un efectivo conocimiento de este hecho. Sin embargo, el RLOPD, a propósito de la regulación contenida en el Título IV, capítulo I, referente a los ficheros de solvencia patrimonial y crédito, contiene disposiciones específicas que excluyen la posibilidad de llegar a la conclusión que ORANGE aduce en su defensa. Como se ha expuesto en el Fundamento precedente, existen nueve líneas de telefonía que ORANGE dio de alta a nombre del denunciante sin su consentimiento y, respecto a algunas de ellas, se estimó que no nacía responsabilidad sancionadora por cuanto no concurría el elemento subjetivo de la infracción ya que la entidad obró en tales supuestos con la diligencia mínima que resultaba exigible. A diferencia de esos casos existen otros -los que integran la conducta infractora- en los que ORANGE no ha aportado documento alguno acreditativo de haber recabado de quien facilitó como propios los datos personales del denunciante el consentimiento para el tratamiento asociado a determinados servicios de telefonía. La omisión de toda diligencia determinó que la conducta fuera subsumible en los artículos 44.3.
  25. b)y 44.3.
  26. c)LOPD, en relación con los artículos 6.1 y 4.3 LOPD, respectivamente. Por tanto, se ha de rechazar el argumento esgrimido por ORANGE, pues la normativa de protección de datos, a diferencia de lo que afirma esa entidad, no está exigiendo al acreedor que informa datos de un tercero a un fichero común que esté en permanente examen de la exactitud de esos datos -examen que evidentemente sí deberá volver a realizar cuando llegue a su conocimiento algún elemento que ponga en tela de juicio la información que obra en sus ficheros-. Pero sí le exige expresamente (ex artículo 43.1 RLOPD) que “se asegure” en el momento de notificar datos adversos al responsable de un fichero común de que concurren todos los requisitos exigidos en los artículos 38 y 39 RLOPD, por tanto también en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 38.1.a. De modo que si la entidad, antes de comunicar a los ficheros ASNEF y BADEXCUG los datos del denunciante, hubiera ajustado su comportamiento a tal precepto, debería haber constatado que no disponía de los documentos acreditativos de la contratación de todos los servicios de los que proceden las deudas informadas al fichero. De ser así, de haber verificado que carecía por completo de la documentación acreditativa de haber recabado el consentimiento para el tratamiento de los datos personales del denunciante en relación con ciertos contratos a su nombre, habría constatado también que las deudas derivadas de esos contratos no podían ser consideradas ciertas respecto a la persona a cuyo nombre figuraban las líneas. Podría de ese modo haber evitado la inclusión de los datos personales del denunciante en ficheros comunes por deudas que no tienen, respecto a su persona, la condición de ciertas, vencidas y exigibles. B. En sus alegaciones a la propuesta de resolución ORANGE afirma que entre las dos infracciones que fueron imputadas en el acuerdo de inicio existe un concurso medial, por lo que únicamente procede imponer una sanción. A tal efecto invoca la “Sentencia de 20 de mayo de 1999 (RJ 1999/4158)”. Como esa entidad conoce bien, pues son numerosas las SSAN en las que la desaparecida FRANCE TELECOM defendió ese mismo argumento sin éxito, la Audiencia Nacional ha mantenido en supuestos análogos al que nos ocupa que no estamos en presencia de una sola conducta sino de dos conductas independientes y diferentes que vulneran, cada una de ellas, principios jurídicos distintos. El tratamiento de datos sin consentimiento del titular no conduce indefectiblemente a la inclusión de los datos del afectado en un fichero de solvencia patrimonial. Esta inclusión es fruto de una conducta distinta del mero tratamiento. Nos remitimos (por todas) a la SAN de 28/01/2009 (Rec 151/2007) en la que fue parte recurrente FRANCE TELECOM. El Fundamento Jurídico quinto de la citada Sentencia responde a la hipótesis del concurso medial entre infracciones (artículos 6.1 y 4.3 de la LOPD) alegado por la recurrente sobre el que la Audiencia hace la siguiente reflexión: “ Basta con señalar que el artículo 4.4 del Reglamento de Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto , exige, para la aplicación del concurso medial, una necesaria derivación de unas infracciones respecto de otra u otras y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que ha de conferirse a la expresión reglamentaria de que <<una infracción derive necesariamente la comisión de otra>>. Solo en tal caso puede seguirse la consecuencia propia del concurso medial y es que únicamente se imponga la sanción correspondiente a la infracción más grave cometida. Lo que no concurre en el caso examinado pues ninguna de las contravenciones administrativas sancionadas es un medio para la perpetración de la otra. Ambas pueden realizarse con independencia absoluta, porque protegen principios diferentes, en un caso el consentimiento (artículo 6.1 de la Ley 15/1999), y, en otro, la calidad el dato (artículo 4.3 de la citada LO), para la salvaguarda del poder de disposición del titular de los datos personales que integra el derecho fundamental a la protección de los datos.” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 Argumenta también ORANGE en sus alegaciones a la propuesta de resolución que en caso de mantener las dos infracciones esta Agencia vulneraría la prohibición de sancionar dos veces la misma conducta (non bis in ídem), ex artículo 31 de la Ley 40/2015. Las mismas razones antes apuntadas conducen a rechazar este alegato pues en ningún caso existe la triple identidad requerida. Como reiteradamente ha confirmado la Sala de lo Contencioso Administrativo de la Audiencia Nacional no existe identidad en los hechos ni tampoco en el bien jurídico protegido entre las infracciones de los artículos 6.1 y 4.3 LOPD. Por tanto, a la luz de lo expuesto, los argumentos esgrimidos por ORANGE a fin de que se acuerde el archivo del expediente en relación con la infracción tipificada en el artículo 44.3.
  27. c)LOPD han de ser rechazados. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  28. a)El carácter continuado de la infracción.
  29. b)El volumen de los tratamientos efectuados.
  30. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  31. d)El volumen de negocio o actividad del infractor.
  32. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  33. f)El grado de intencionalidad.
  34. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  35. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  36. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  37. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25
  38. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  39. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  40. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  41. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  42. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos.>> En el asunto que nos ocupa se toman en consideración a efectos de graduar el importe de la sanción los artículos 45.5 y 45.4 LOPD. Esta Agencia estima, y así lo manifestó en el acuerdo de inicio del expediente y en la propuesta de resolución, que se ha de apreciar la atenuante cualificada del artículo 45.5.
  43. b)LOPD –“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”-. Esta decisión se adoptó, valorando entre otras circunstancias las manifestaciones de ORANGE, a tenor de las cuales el motivo por el que procedió a cancelar de los ficheros de solvencia las incidencias asociadas a los datos del denunciante y a anular la deuda que le atribuía fue que el Departamento de Análisis de Riesgos de la entidad comprobó el carácter fraudulento de las contrataciones sobre las que versaban las reclamaciones del denunciante. ORANGE afirma que la reclamación que el denunciante le remitió, con la que adjuntaba copia de la denuncia presentada en la Policía, data del 22/08/2016 y que procedió a cancelar las anotaciones de los ficheros de solvencia el 29/09/2016. Paralelamente, en el escrito de denuncia el denunciante manifestó que en octubre de 2016 la entidad denunciada le comunicó que había anulado la deuda que le atribuía sin explicarle cuáles eran los motivos de tal decisión. El efecto jurídico que deriva de la aplicación de cualquiera de las circunstancias del artículo 45.5. LOPD es la imposición de la sanción conforme a la escala que precede en gravedad a la prevista para las infracciones cometidas. Toda vez que la infracción tipificada en el artículo 44.3.
  44. c)LOPD tiene la consideración de infracción grave, la sanción a imponer estará comprendida en los márgenes que el artículo 45.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 LOPD fija para las infracciones leves, por ser la inmediata inferior en grado a aquella que se le imputa. ORANGE solicitó en su escrito de alegaciones al acuerdo de inicio que se apreciara la atenuante cualificada del artículo 45.5.
  45. a)LOPD en relación con las circunstancias descritas en el artículo 45.4, apartados e), f), i),
  46. c)y d). Basta señalar en respuesta a esta petición que según doctrina reiterada de la Sala de lo Contencioso Administrativo de la Audiencia Nacional no es admisible apreciar la concurrencia de dos circunstancias de las descritas en el artículo 45.5 LOPD. No obstante, se analizará la procedencia o no de estimar como atenuantes las circunstancias del artículo 45.4 que se invocan. Como se ha indicado, a juicio de ORANGE han de ser apreciadas como atenuantes las circunstancias de los artículos e), f), i),
  47. c)y d): - A propósito de la ausencia de beneficios obtenidos, apartado e), debemos traer a colación el criterio mantenido por la A.N. que impide que podamos aceptar en el presente caso su presencia en calidad de atenuante. En SAN de 17/04/2018 (Rec. 254/2017) el Tribunal rechazó la pretensión de la parte demandante, sancionada por la AEPD, de que se estimara como atenuante el artículo 45.5. e), por no haber existido beneficios, argumentando lo siguiente (Fundamento Jurídico tercero): “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. - Respecto al artículo 45.4 f), expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Recordemos que el artículo 43.1 del RLOPD “refuerza” en cierto modo la diligencia exigible a quien informa datos de un tercero a un fichero de solvencia patrimonial al establecer que el acreedor “deberá asegurarse” que se cumplen esos requisitos cuando informa los datos personales a un fichero de morosidad. - Finalmente, a propósito de la pretendida aplicación como atenuantes de las circunstancias del artículo 45.4,
  48. c)y
  49. d)LOPD, nos remitimos a las consideraciones sobre los motivos por lo que éstas operan en calidad de agravantes En la determinación del importe de la sanción dentro de la escala que el artículo 45.1 LOPD establece -de 900 a 40.000 euros- la Agencia entiende que operan en calidad de agravantes las siguientes circunstancias: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 -“El carácter continuado de la infracción” (apartado a,). ORANGE ha tratado durante un largo periodo de tiempo los datos personales del denunciante vinculados a tres líneas telefónicas que él niega haber contratado. Los datos personales del denunciante permanecieron incluidos en un fichero de solvencia patrimonial durante al menos cinco meses sin justificación legal para ello. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,). La actividad empresarial de la denunciada, por su misma naturaleza, exige un continuo tratamiento de datos de carácter personal tanto. La Audiencia Nacional en SAN de 17/10/2007 (Rec. 63/2006), exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia y precisa que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. - “El volumen de negocio o actividad del infractor”, (apartado d,). ORANGE tiene la condición de “gran empresa” del sector de telecomunicaciones. La Agencia Estatal de Administración Tributaria considera gran empresa, en contraposición a las pequeñas y medianas empresas, a aquellas cuyo volumen de actividad en cómputo anual supera los seis millones de euros. -“La reincidencia por comisión de infracciones de la misma naturaleza”, apartado g): Precepto que ha de integrarse con la norma del artículo 29.3. d, de la Ley 40/2015, de Régimen Jurídico del Sector Público, que al referirse a la aplicación del principio de proporcionalidad advierte que se deberán tomar en consideración, entre otros criterios, “La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa”. La agravante de reincidencia, como ya se indicó en el acuerdo de inicio, opera respecto a ambas infracciones (principios del consentimiento y calidad de los datos). Pueden citarse, entre otras, las siguientes resoluciones de la AEPD en las que ORANGE fue sancionada por sendas infracciones de los artículos 6.1 y 4.3 de la LOPD, en relación con el artículo 29.4 de la Ley Orgánica y 38.1.
  50. a)del RLOPD: La recaída en el PS/605/2017, firmada el 14/03/2018 y la dictada en el PS/573/2017, firmada el 15/02/2018. En atención a la exposición precedente, valorada la concurrencia del artículo 45.5.
  51. b)LOPD y las agravantes descritas en los apartados a, c, d, y g del artículo 45.4 LOPD, se acuerda imponer a ORANGE por la infracción del artículo 4.3, en relación con el 29.4 LOPD y el 38.1.
  52. a)RLOPD, tipificada como grave en el artículo 44.3.c), una sanción de 40.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Respecto a la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  53. b)de la Ley Orgánica 15/1999, de conformidad con el artículo 85 LPACAP, DECLARAR la terminación del procedimiento. SEGUNDO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., con NIF A82009812, respecto a la infracción del artículo 4.3 de la LOPD en relación con el artículo 29.4 de la citada Ley Orgánica, y en relación asimismo con el artículo 38.1.
  54. a)del Reglamento de desarrollo de la LOPD (RLOPD), tipificada como infracción grave en el artículo 44.3.
  55. c)LOPD, una multa de 40.000 € (cuarenta mil euros), de conformidad con lo establecido en los artículos 45.5 y 45.1 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., con NIF A82009812. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  56. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  57. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.