← España

PS-00285-2016

1/9 Procedimiento Nº PS/00285/2016 RESOLUCIÓN: R/02806/2016 En el procedimiento sancionador PS/00285/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U. (Jazztell), vista la denuncia presentada por Dª A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 8/7/15, tiene entrada en esta Agencia un escrito remitido por Dña. A.A.A. en el que manifiesta que, en el marco de una contratación con dicha entidad, ha comprobado que existían una serie de irregularidades relacionados con sus datos personales, al realizar una consulta a través de la página web ha comprobado que su DNI estaba asociado a otra persona. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/05415/2015. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 21/12/15. TERCERO. En fecha 27/6/16, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE, por presunta infracción del artículo 4 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.C) de dicha norma, CUARTO: Por parte del representante de la entidad denunciada se han remitido, con fecha de entrada en esta Agencia 21/7/16 escrito de alegaciones al Acuerdo de Inicio en el que manifiesta lo siguiente: * Que tal como consta en el Acta de Inspeccion el error que generó el cruce de datos fue debido a que en la contratación realizada B.B.B. de la línea ***TEL.1 éste proporciona el DNI de la denunciante: ***DNI.1; tal como consta de las escuchas de las grabaciones de la contratación realizadas. * Que con posterioridad al darse de alta la denunciante como cliente de Jazztel facilitó sus datos personales entre los que se encontraba su DNI del que es titular y que fue aportado fraudulentamente por el Sr, B.B.B., incorporándose automáticamente todos los datos facilitados por la denunciante en la ficha existente de XXX * Antes de la finalización de las actuaciones de inspección Jazztel ya había corregida la incidencia descrita, aportando pruebas acreditativas de dicha corrección a la inspectora de la Agencia el dia 11/12/15, siete meses antes del inicio del presente procedimiento sancionador. QUINTO: Por parte de Dª A.A.A. se remite escrito de alegaciones, con fecha 22/7/16 en el que manifiesta: * Que el número de teléfono ***TEL.2 sigue asociado en el área de cliente con B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 * El contrato ***CONTRATO.1 asociado al numero ***TEL.2 sigue siendo el de B.B.B. * En relación a las facturas comprobó que a partir de diciembre de 2015 la dirección fue corregida y aparecen todos los datos corretamente * Que aunque se la aseguró que estaban preparando un nuevo contrato no dispone aun del mismo. SEXTO: Con fecha 23/8/16 se acordó la práctica de las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE ESPAGNE, S.A.U. (Jazztell), y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05415/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00285/2016 presentadas por ORANGE ESPAGNE, S.A.U. (Jazztell) y la documentación que a ellas acompaña. 3. Se solicita que en el plazo de 30 dias remitan informe en relación a las siguientes alegaciones presentadas por la denunciante en escrito de contestación al Acuerdo de Inicio: * Que el numero de teléfono ***TEL.2 sigue asociado en el área de cliente con B.B.B. * El contrato ***CONTRATO.1 asociado al numero ***TEL.2 sigue siendo el de B.B.B. * En relación a las facturas comprobó que a partir de diciembre de 2015 la dirección fue corregida y aparecen todos los datos correctamente * Que aunque se la aseguró que estaban preparando un nuevo contrato no dispone aun del mismo. SEPTIMO: Con fecha 28/9/16 por parte de ORANGE se manifiesta lo siguiente en contestación a las pruebas practicadas: * Que las facturas fueron corregidas por Orange en diciembre de 2015 * Que en relación a la información que figura en el Area de Clientes de Dª A.A.A., no aparecen datos personales relativos a B.B.B. OCTAVO: Con fecha 7/10/16 se emitió la siguiente propuesta de resolución: <<<<< Que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE SAU con multa de 20.000 € (veinte mil euros) por la infracción del art. 4 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma. >>>>> NOVENO: Se ha presentado por ORANGE escrito de alegaciones ante la Propuesta de Resolución manifestando que existen dos circunstancias atenuantes que no se han C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 tenido en cuenta en la graduación de la sanción: 1) El volumen de los tratamientos efectuados y 2) Ausencia de beneficios obtenidos por la entidad. HECHOS PROBADOS 1º Consta denuncia presenta por Dª A.A.A. manifestando que, en el marco de una contratación ha comprobado que existían una serie de irregularidades relacionados con sus datos personales, al realizar una consulta a través de la página web ha comprobado que su DNI estaba asociado a otra persona. Además, el contrato que ha recibido se encuentra a nombre de la otra persona 2º Que en la inspección realizada en los locales de JAZZ TELECOM, S.A.U , con fechas 23 de noviembre y 15 de diciembre de 2015 se acreditaron los siguientes hechos: 2.1 Mediante el acceso al sistema informático, se realiza una búsqueda por el DNI 0***DNI.1, correspondiente a la denunciante, verificándose que tiene asociado el producto Pack ahorro Fibra, que se encuentra activo. 2.2 Se verifica que con ese mismo DNI se encuentran productos asociados al cliente B.B.B., con domicilio en Tarragona, con el número de teléfono ***TEL.1, no obstante, éstos no se encuentran activos, siendo la última fecha de facturación 12/2014. 2.3 Se realiza una búsqueda por el número de teléfono ***TEL.1 correspondiente a B.B.B., verificándose que se encuentra asociado a la denunciante. 2.4 Se realiza una búsqueda de las facturas emitidas a nombre de la denunciante, comprobándose que el domicilio que figura es el correspondiente a D. B.B.B.. 2.5 Se realiza una búsqueda mediante el NIF 0***DNI.1, de los contactos existentes con el cliente verificándose que consta, entre otros, la comunicación a Jazztel por parte de la cliente, con fecha 16/06/2015, del error objeto de esta inspección. 3º Constan las siguientes manifestaciones de la entidad denunciada 3.1 Que en el año 2010, D. B.B.B., realizó una contratación telefónica, en la que aportó el NIF correspondiente a la denunciante. 3.2 En el año 2014, cuando se da de alta la denunciante, al introducir el NIF en el sistema de gestión de clientes CRM, se incorporan automáticamente los datos correspondientes a XXX. No obstante aunque se cambiaron los datos relativos a la denunciante, a efectos de facturación solo varió el Nombre y apellidos. 3.3 Actualmente se ha corregido esta incidencia, tanto en el sistema de gestión de clientes como el área de clientes de la web de Jazztel. 3.4 Se adjuntan grabaciones de la contratación de D. B.B.B., tras la escucha de las grabaciones remitidas, se comprueba que D. B.B.B. da el NIF 0***DNI.1, correspondiente a la denunciante. 4º Consta que las facturas fueron anuladas en diciembre de 2015 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/5415/2015, se determinó que, salvo prueba en contrario, Jazz Tell realizó la contratación de una línea en la que se asoció los datos de otro cliente a los datos de la denunciante. En el escrito de alegaciones al Acuerdo de Inicio por parte de la entidad denunciada se manifestó que antes de la finalización de las actuaciones de inspección Jazztel ya había corregido la incidencia descrita, aportando pruebas acreditativas de dicha corrección a la inspectora de la Agencia el dia 11/12/15, siete meses antes del inicio del presente procedimiento sancionador. Además, las facturas fueron corregidas por Orange en diciembre de 2015 y en relación a la información que figura en el Area de Clientes de Dª A.A.A., no aparecen datos personales relativos a B.B.B. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  2. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  3. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos de la denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV Se analiza en este procedimiento la denuncia presentada por Dª A.A.A. en el que manifiesta que, en el marco de una contratación con dicha entidad, ha comprobado que su DNI estaba asociado a otra persona. Además, el contrato que ha recibido se encuentra a nombre de la otra persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Se manifiesta por la entidad denunciada que en el año 2010, D. B.B.B., realizó una contratación telefónica, de la que se ha aportado una copia, en la que aportó el NIF correspondiente a la denunciante. Y que fue en el año 2014, cuando se da de alta la denunciante, al introducir el NIF en el sistema de gestión de clientes CRM, se incorporan automáticamente los datos correspondientes a XXX. No obstante aunque se cambiaron los datos relativos a la denunciante, a efectos de facturación solo varió el Nombre y apellidos. El art. 4.3 de la LOPD, señala lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En este caso ha quedado acreditado que en los sistemas de Jazz Tell constaba el DNI de la denunciante asociado al nombre de otra persona y a la titularidad de una línea de telefonía móvil a las cual era ajena, Por tanto, los hechos expuestos son contrarios al principio de calidad de datos, pues ORANGE (como entidad absorbente de Jazz Tell) trató el dato del DNI de la denunciante a una línea de móvil de la que no era titular. Por lo que es responsable de la infracción del artículo 4.3 de la LOPD, tipificada en el artículo 43.3.
  4. c)de la misma Ley Orgánica. Debe tenerse en cuenta que el tratamiento del DNI de la denunciante si comporta una vulneración del art 4 de la LOPD, tal como puede desprenderse de la argumentación establecida por la AN en la Sentencia 549/2012 de 3/3/14 que manifiesta lo siguiente: “De lo anteriormente razonado resulta que el número de DNI, contrariamente a lo invocado en la demanda, sí permite identificar a una persona sin esfuerzos desproporcionados, tal y como esta Sala ya entendió, entre otras, en nuestra anterior SAN de 27 de octubre de 2004 (Rec. 1112/2002),.. Esta Sala ha reiterado en numerosísimas ocasiones que se produce la infracción del mencionado principio de calidad del dato no solo cuando los datos se comunican a los ficheros sobre solvencia patrimonial y crédito ( que es el supuesto más frecuente), sino que tal principio de calidad igualmente ha de ser garantizado respecto de los propios ficheros de la entidad acreedora, o de los de otra empresa a la que necesariamente han de ser comunicada la actualización de los datos, sin necesidad de ninguna otra comunicación exterior…. En el caso ahora enjuiciado resulta asimismo acreditado que xxxxx incorporó a su sistema de información de clientes los datos de la denunciante como titular de servicios de telefonía, por una línea telefónica no contratada por aquélla. Se trata en definitiva, y conforme a lo que constituye doctrina consolidada y reiterada de esta Sala, de que la deuda informada era ajena el denunciante, por lo que no era cierta, vencida y exigible, y por tanto no se ajustó al principio de exactitud y veracidad, que constituye el núcleo esencial del de calidad del dato proclamado en el artículo 4.3 de la LOPD. “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 V El artículo 43.3.
  5. c)de la LOPD califica como infracción grave: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley y las disposiciones que lo desarrollan, salvo que se a constitutivo de infracción muy grave” La entidad denunciada trató en sus propios ficheros un dato (DNI) referente a la denunciante en relación a una línea de telefonía de la que no era titular. Información que no es exacta ni responde a la situación actual de la denunciante, por lo que se ha vulnerado el principio de calidad de datos previsto en el artículo 4 de la LOPD. La conculcación de este principio supone la comisión de la infracción grave prevista en el transcrito artículo 44.3.c). VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  6. a)El carácter continuado de la infracción.
  7. b)El volumen de los tratamientos efectuados.
  8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  9. d)El volumen de negocio o actividad del infractor.
  10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  11. f)El grado de intencionalidad.
  12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9
  16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. En primer lugar procede valorar la aplicación del 45.5.
  21. e)de la LOPD, que efectivamente corresponde al haberse producido una fusión por absorción de la entidad infractora Jazz Telecom SAU por Orange Espagne SAU y, por tanto, ésta es acreedora del atenuante que esa disposición contiene, por lo que procede fijar el importe de la sanción dentro de la escala de las leves. Cabe indicar que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, y que también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. A este respecto, el Tribunal Supremo viene declarando como en la Sentencia de 13/04/2005 -recurso nº. 241/2003 -, que es exigible a las entidades que operan en el mercado de datos de datos de carácter personal una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros. Y ello porque, siendo el de la protección de los datos personales un derecho fundamental (STC 292/2000, de 30/11), los depositarios de esos datos -más aún cuando se trata de empresas habituadas o dedicadas específicamente a la gestión de datos de carácter personal deben ser especialmente diligentes y cuidadosos a la hora de realizar operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Pues bien, resultando aplicable a este supuesto la doctrina de la AN antes expresada, se han de tener en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, en particular las siguientes circunstancias: 1. El importante volumen de negocio (apartado
  22. d)ya que como operadores telefónicos es un hecho notorio. 2. La vinculación de la actividad de ORANGE con la realización de tratamientos de datos personales (apartado
  23. c)pues es evidente que en el desarrollo de la actividad que desempeña se ve obligada a un continuo tratamiento de datos personales tano de sus clientes como de terceros potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 3. En relación con la aplicación de lo dispuesto en el apartado
  24. a)del artículo 45.4 se debe señalar que en los ficheros de Jazz Telecom figuró el DNI de la denunciante asociado a la línea ***TEL.1 que había sido contratada por D. B.B.B. y en la que había aportado el DNI de la denunciante, según se pudo verificar en la grabación de la contratación telefónica. Fue en el año 2014 cuando se da de alta a la denunciante cuando se incorporaron los datos de XXX al DNI a la denunciante. Además, la reacción de la operadora en la regularización de los hechos denunciados y la corrección en las facturas se produjo en diciembre de 2015, seise meses antes del inicio del acuerdo de inicio del presente procedimiento 4. Sobre los perjuicios causados (apartado
  25. h)a los afectados, debe tenerse en cuanta el criterio expresado la Audiencia Nacional en varias sentencias, entre otras la de 11/03/2010, rec 429/2009, señalando que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la espera privada de los afectados por los datos tratados”. 5. En cuanto a lo establecido en el art. 44.5.i debe tenerse en cuenta que la infracción fue consecuencia en la anomalía de funcionamiento de la operadora que no adoptó las cautelas posibles en la verificación de la identidad del contratante, siendo determinante la actuación de un tercero que utilizó el DNI de la denunciante para la contratación de una línea. Por todo ello se considera procedente, en base a los criterios expresados más arriba y que atenúan la responsabilidad de ORANGE (como entidad absorbente de Jazz Telecom) imponer una sanción de 20.000 € por la vulneración del art. 4 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U. (Jazztell), por una infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 44.3.c de la LOPD, una multa 20.000€ (veinte mil euros), de conformidad con lo establecido en el artículo 45.5 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. (Jazztell), y a Dª A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.