← España

PS-00293-2016

1/17 Procedimiento Nº PS/00293/2016 RESOLUCIÓN: R/02820/2016 En el procedimiento sancionador PS/00293/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por D.A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23 de julio de 2015 se recibe en el registro de la Agencia Española de Protección de Datos escrito de D.A.A.A. y en fecha 23 de octubre se recibe escrito de subsanación y mejora de solicitud. En dichos escrito se pone de manifiesto los siguientes hechos: El denunciante es cliente de ORANGE ESPAGNE SA (en adelante ORANGE) y titular de las líneas ***TEL.1, ***TEL.2 y ***TEL.3. Al acceder a la web de ORANGE al área de clientes “Mi Orange” a la opción de “Ver” que permite la consulta de información sobre la línea de telefonía fija y solicitar “Mi factura” se visualiza los datos del cliente D. B.B.B.. Por este motivo contacta con ORANGE para comunicar la incidencia que se registra con el número ***INCIDENCIA.1 y recibe un correo electrónico de contestación donde informan que se encuentra todo correcto. El denunciante vuelve a contactar con ORANGE indicando que no se ha solucionado la incidencia y con fecha 7 de mayo de 2015 recibe un mensaje SMS preguntando por la incidencia donde le indican que contactarán con el denunciante, no obstante, el denunciante ha comprobado que el error continúa y manifiesta que ninguna persona de ORANGE ha contactado con él. Adjunto al escrito de subsanación y mejora de la denuncia ha aportado impresión de pantalla de la factura on line a nombre de D. B.B.B. y factura emitida en fecha 26/09/2015. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se ha teniendo conocimiento de los siguientes extremos: 1. Con fecha 4 de febrero de 2016 desde la Inspección de Datos se accedió a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 web de ORANGE al Área de Clientes (Mi Orange) utilizando el código de usuario y contraseña aportado por el denunciante sin obtener constancia del cruce de datos entre los clientes D.A.A.A. y D. B.B.B.. Tal y como consta en la Inspección E/6394/2015-I/1 realizada en la sede de ORANGE con fechas 5 Y 17 de febrero de 2016: 2. En el fichero de Clientes de ORANGE constan los datos del denunciante D. A.A.A. como titular de dos líneas móviles: ***TEL.2 y ***TEL.1 ambas en activo con fecha de alta 06/11/2013 y titular de la línea fija ***TEL.3 con fecha de alta 11/10/2013. 3. Se ha verificado que en el momento de realizar el alta de los servicios móviles se ha asociado al denunciante D. A.A.A. el NIF ***NIF.1 que corresponde a D. B.B.B. y con fecha 11/02/2014 se modifica el dato del NIF dejando correcta la información del denunciante. Respecto de la línea fija ***TEL.3 no se ha podido verificar la existencia de información errona en el dato del DNI del denunciante. 4. Se ha verificado que el cliente D. B.B.B. con NIF ***NIF.1 consta como titular de dos líneas móviles y una línea fija, sin que figure ninguna modificación en los datos personales en ninguno de los servicios contratados. 5. Se ha verificado que en el Sistema de Facturación de ORANGE consta una factura a nombre de D. B.B.B. que coincide con la aportada por el denunciante. 6. Se ha verificado la existencia de diversas anotaciones de interacciones con el cliente:  En enero de 2014 constan tres incidencias en las que se indica que el DNI que figura en este cliente es erróneo, lo cual, según manifiesta ORANGE estas incidencias dieron lugar a la modificación en el DNI del cliente D. A.A.A. realizada el 11/02/2014.  En fechas 28/02/2014 y el 9/04/2014 consta registrado que a pesar de la modificación efectuada, en el Sistema de Información SIEBEL figura el DNI erróneo.  Y con fecha 14/04/2014 consta la siguiente anotación “…los datos están alineados con BSCS”, lo cual, según manifiesta ORANGE indica que la inconsistencia entre las aplicaciones SIEBEL (que gestiona Atención al Cliente) y la aplicación BSCS (que gestiona la Facturación) han sido corregidos.  Con fecha 28/05/2014 figura una nueva incidencia informando de que constan ambos titulares con el mismo DNI.  Con fecha 27/04/2015, consta registrada la incidencia ***INCIDENCIA.1 en la cual el cliente manifiesta que al acceder al área de clientes de la web visualiza las facturas de D. B.B.B. y aporta la contraseña utilizada en el acceso. En esta incidencia consta registrado que, al acceder con el número móvil ***TEL.1 y la contraseña aportada, los datos son correctos en la información de los servicios asociados a las líneas móviles y al acceder a la información de la línea fija del cliente muestra las facturas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 de D. B.B.B.. Con fecha 28/04/2015 consta que se cierra la incidencia ya que se encuentra todo correcto y se ha informado al cliente. A este respecto ORANGE manifiesta:  En el momento de la contratación de servicios de telefonía móvil por parte del denunciante D. A.A.A. se le asignó por error un DNI de otro cliente y se procedió a la modificación del DNI en fecha 11/02/2014 quedando correcto en los ficheros de telefonía móvil.  Aunque en las comprobaciones realizadas sobre los ficheros donde se recoge la información de telefonía fija y ADSL se ha verificado que los datos estaban correctos en ambos clientes, en algún momento la asociación del DNI fue errónea.  El área de Clientes de la web se alimenta de los datos recogidos en los ficheros de servicios de telefonía fija y los ficheros de servicios de telefonía móvil.  Al acceder el denunciante a la web, en los ficheros de telefonía fija sus datos se encontraban todavía erróneamente asociados al DNI de D. B.B.B., por lo que se visualiza información de telefonía fija de este cliente.  Al comprobar este error, desde el Departamento de Sistemas se ha realizado un procedimiento informático para verificar, y en su caso, corregir los posibles errores en el resto de los clientes en los que se hubiera producido una situación similar. 7. En la inspección se accede al área de clientes de ORANGE utilizando el código de usuario y la contraseña aportada por el denunciante, no obteniendo constancia de que se visualicen datos de D. B.B.B. ni de terceros clientes. TERCERO: Con fecha 27 de junio de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE, S.A.U., por presunta infracción de los artículos 4.3 y 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificadas como graves en el artículo 44.3

  1. c)y
  2. d)respectivamente de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE formuló las siguientes alegaciones: 1ª.Aplicación del concurso medial de infracciones, ya que no se hubiese producido la vulneración del derecho de secreto de los datos de los clientes si previamente no hubiese habido algún tipo de inexactitud en esos datos. 2ª.- Infracción del artículo 4.3. Aplicación del artículo 45.5 y 45.4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 El error que generó el cruce de datos tuvo lugar en la contratación realizada el día 06/11/2013 por el denunciante D. A.A.A., ya que se asoció al mismo el número del DNI ***NIF.1, correspondiente a D. B.B.B.. Con fecha 11/02/2014 se modificó el dato incorrecto de DNI, dejando correcta desde ese mismo momento la información asociada al denunciante. Por tanto, ORANGE rectificó los datos del denunciante de forma diligente, DOS AÑOS Y CUATRO MESES ANTES del inicio del presente Procedimiento Sancíonador y DOS AÑOS ANTES de la propia Inspección realizada por esta Agencia en las instalaciones de mi representada. Igualmente, en relación con la supuesta visualización de datos de D. B.B.B. por parte del denunciante a través del área de clientes de la web de ORANGE, consta en el Acta de Inspección E/6394/2015/1-1 y en el propio Acuerdo de Inicio del presente procedimiento, que dicha Incidencia fue resuelta el día 28/04/2015, es decir, UN AÑO Y DOS MESES ANTES del inicio del presente Procedimiento Sancionador y 10 MESES ANTES de la propia Inspección realizada por esta Agencia en las instalaciones de mi representada. En el escrito de alegaciones ORANGE concluye que al presente supuesto le resulta de aplicación lo dispuesto en los apartados
  3. b)y
  4. d)el artículo 45.5 LOPD, al haber regularizado la situación irregular de forma diligente, al menos, 10 meses antes del inicio de actuaciones inspectoras por parte de esa Agencia así como haber reconocido espontáneamente su culpabilidad en la propia Inspección realizada por esa Agencia en febrero de 2016. En relación a la graduación de la sanción (art. 45.4 LOPD) debe tomarse en consideración los siguientes aspectos:
  5. a)El carácter continuado de la infracción. ORANGE rectificó el dato incorrecto del DNI el 11/02/2014 tras la contratación realizada por el denunciante D. A.A.A. el día 06/11/2013 y solucionó la incidencia en la web el 28/04/2015, por lo que la infracción duró un breve período de tiempo y fue regularizada diligentemente por ORANGE.
  6. b)El volumen de los tratamientos efectuados, ya que la infracción afecta únicamente a uno sólo de los más de 19 millones de clientes de esta compañía.
  7. e)La ausencia de beneficios obtenidos como consecuencia de la comisión de la Infracción.
  8. f)La ausencia de Intencionalidad, ya que la incidencia fue debida a un error puntual a la hora de registrar el número de DNI del denunciante en el momento de la contratación.
  9. h)La ausencia de perjuicios causados al denunciante, que únicamente tuvo que poner en conocimiento de ORANGE la incidencia, sin mayores molestias ni perjuicios para el mismo. QUINTO: En fecha 26/09/2016 se emitió propuesta de resolución en el sentido de imponer a ORANGE una multa de 20.000 € por la infracción del artículo 4.3 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 SEXTO: Notificada la propuesta ORANGE solicita la graduación de la sanción a imponer en atención a la concurrencia de los criterios del artículo 45.4 a), b), e),
  10. f)y
  11. h)de la LOPD, minorando el importe de la misma. HECHOS PROBADOS PRIMERO: En el fichero de Clientes de ORANGE constan los datos del denunciante D.A.A.A. como titular de dos líneas móviles: ***TEL.2 y ***TEL.1 ambas en activo con fecha de alta 06/11/2013 y titular de la línea fija ***TEL.3 con fecha de alta 11/10/2013. SEGUNDO: En el momento de realizar el alta de los servicios móviles se asoció al denunciante D. A.A.A. el NIF ***NIF.1 que corresponde a D. B.B.B.. TERCERO: D. B.B.B. con NIF ***NIF.1 es cliente de ORANGE ostentando la titularidad de dos líneas móviles y una línea fija. CUARTO: En el fichero de ORANGE constan diversas anotaciones de interacciones con el cliente:  En enero de 2014 constan tres incidencias en las que se indica que el DNI que figura en este cliente es erróneo, lo cual, según manifiesta ORANGE estas incidencias dieron lugar a la modificación en el DNI del cliente D. A.A.A. realizada el 11/02/2014.  En fechas 28/02/2014 y el 9/04/2014 consta registrado que a pesar de la modificación efectuada, en el Sistema de Información SIEBEL figura el DNI erróneo.  Y con fecha 14/04/2014 consta la siguiente anotación “…los datos están alineados con BSCS”, lo cual, según manifiesta ORANGE indica que la inconsistencia entre las aplicaciones SIEBEL (que gestiona Atención al Cliente) y la aplicación BSCS (que gestiona la Facturación) han sido corregidos.  Con fecha 28/05/2014 figura una nueva incidencia informando de que constan ambos titulares con el mismo DNI.  Con fecha 27/04/2015, consta registrada la incidencia ***INCIDENCIA.1 en la cual el cliente manifiesta que al acceder al área de clientes de la web visualiza las facturas de D. B.B.B. y aporta la contraseña utilizada en el acceso. En esta incidencia consta registrado que, al acceder con el número móvil ***TEL.1 y la contraseña aportada, los datos son correctos en la información de los servicios asociados a las líneas móviles y al acceder a la información de la línea fija del cliente muestra las facturas de D. B.B.B.. Con fecha 28/04/2015 consta que se cierra la incidencia ya que se encuentra todo correcto y se ha informado al cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 QUINTO: ORANGE reconoció los hechos denunciados en la propia inspección realizada por la Agencia Española de Protección el 5 y el 17 febrero de 2016, confirmando que al acceder el denunciante a la web en el año 2015, en los ficheros de telefonía fija sus datos se encontraban todavía erróneamente asociados al DNI de D. B.B.B., por lo que se visualizó información de telefonía fija de este cliente. SEXTO: Se ha verificado que en el Sistema de Facturación de ORANGE consta una factura emitida en fecha 26/09/2015 a nombre de D. B.B.B. que coincide con la aportada por el denunciante junto al escrito de subsanación y mejora de la denuncia. En dicha factura obran el nombre, apellidos, DNI, dirección de envío de factura, datos de llamadas efectuadas, de las líneas de móvil ***TEL.4 y ***TEL.5 y del fijo ***TEL.6. SEPTIMO: En fecha de 4 de febrero de 2016 (con anterioridad a la inspección efectuada en la sede de la entidad) se constató desde la Inspección de Datos que utilizando el código de usuario y contraseña aportado por el denunciante en el Área de Clientes de la web de ORANGE no se producía el cruce de datos entre los clientes D.A.A.A. y D. B.B.B.. FUNDAMENTOS DE DERECHO I La LOPD dispone en su artículo 4, relativo a la “calidad de los datos”: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado. 4. Si los datos de carácter personal registrados resultaren ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. La infracción del artículo 4.3 de la citada LOPD, sanciona el uso de los datos de carácter personal "con conculcación de los principios y garantías establecidas" en la Ley Orgánica citada, define, las pautas a las que debe atenerse la recogida, tratamiento y uso de datos de carácter personal, pautas encaminadas a garantizar tanto la veracidad de la información contenida en los datos almacenados cuanto la congruencia y racionalidad de la utilización de los mismos. Este principio de calidad es esencial y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 determina que los datos han de ser "exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado", Estos principios y concretamente, por lo que hace al caso, el previsto en el artículo 4.3 de la LOPD , pretenden concretar el derecho fundamental que se recoge en el artículo 18.4 de la CE , bajo la referencia al uso de la informática, y que extiende su protección no a los datos íntimos de la persona -que se protegen en el derecho a la intimidad-, y que en todo caso gozan de protección reforzada en el Ley Orgánica de tanta cita, sino a los datos de carácter personal (STC 292/2000 ). Por tanto, la garantía de la vida privada de la persona y su reputación poseen una dimensión positiva que excede del ámbito del artículo 18.1 CE y que se traduce en un derecho al control sobre los propios datos. Se pretende garantizar ahora a la persona, mediante el control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad del afectado. La Audiencia Nacional, en diversas sentencias (entre otras, SAN de 24 de marzo de 2004 y 7 de julio de 2006), ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre éstos se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento -exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. En definitiva, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999 implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. II En el presente caso se imputa a ORANGE una infracción del artículo 4.3 de la LOPD, por lo que corresponde analizar si los datos tratados por la operadora se ajustaron o no al principio de exactitud y veracidad que consagra el citado precepto. La obligación establecida en el artículo 4.3 de la LOPD impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 ficheros quienes responden del cumplimiento de esta obligación. De la documentación obrante en el expediente y de las manifestaciones efectuadas por la entidad denunciada, se desprende que el tratamiento de datos de forma inexacta se materializó en el cruce de datos personales del denunciante y de una tercera persona, produciéndose el mismo en el momento en el que se incorporaron los datos personales del denunciante en los ficheros de ORANGE al asignarse erróneamente al denunciante el DNI de otro cliente, D. B.B.B.. El citado error motivó diversas reclamaciones e incidencias en los ficheros de la entidad denunciada en el año 2014 que no fueron resueltas adecuadamente, ya que el 27/04/2015 el denunciante planteo la incidencia ***INCIDENCIA.1 relativa al acceso a los datos de las facturas de D. B.B.B. a través del área de clientes de ORANGE. Solicitada por los inspectores de esta Agencia información en relación con el motivo por el cual en el año 2015 al acceder a través de la web con la identificación del denunciante se muestran las facturas de otro cliente, los representantes de la entidad denunciada manifiestan que “Al acceder el denunciante a la web, en los ficheros de telefonía fija sus datos se encontraban todavía erróneamente asociados al DNI de D. B.B.B., por lo que se visualiza información de telefonía fija de este cliente”. Así pues, ha quedado acreditado que los datos incorrectamente asociados al denunciante han permitido el acceso a los datos personales de otro cliente de la entidad denunciada, reconociendo los citados extremos ORANGE en la inspección realizada por la Agencia Española de Protección en febrero de 2016 y en el escrito de alegaciones formulada tras la notificación del acuerdo de inicio del presente procedimiento sancionador. Por lo tanto, la información obrante en los ficheros de ORANGE no se ajustó al principio de exactitud, produciendo un incumplimiento del principio de calidad consagrado en el artículo 4.3 de la LOPD. Así pues, se aprecia una vulneración del principio de calidad de datos que proclama el artículo 4.3 de la LOPD imputable a ORANGE. III El artículo 44.3.
  12. c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 En el supuesto que nos ocupa la conducta de ORANGE, vulnera el principio de calidad de los datos, artículo 4.3, de la LOPD, infracción que se encuentra tipificada en el artículo 44.3.
  13. c)de la citada Ley Orgánica. IV El presente expediente sancionador tiene también por objeto determinar la posible responsabilidad de ORANGE por infracción del artículo 10 de la LOPD, fruto de la revelación de los datos contenidos en sus ficheros, Artículo 10, “Deber de secreto”: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. A) El artículo 10 de la Ley Orgánica 15/1999, trascrito en el Fundamento Jurídico de esta propuesta, se ocupa del deber de secreto, que tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de datos no consentidas por sus titulares. El Tribunal Superior de Justicia de Madrid en Sentencia de 19 de julio de 2001 afirma que “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En el mismo sentido se ha pronunciado la Audiencia Nacional, que en Sentencias de 14 de septiembre de 2001 y 29 de septiembre de 2004 ha afirmado que “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. Este precepto – artículo 10 de la LOPD- contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000), que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. B) En el presente caso ha quedado acreditado que en el año 2015 el denunciante tuvo acceso a información de telefonía fija de D. B.B.B. a través de la web de ORANGE, tal y como prueba el reconocimiento espontaneo de los hechos denunciados en la inspección efectuada en febrero de 2016. Asimismo, consta que el denunciante tuvo acceso a través del área de clientes a los datos personales que obran en la factura emitida en fecha 26/09/2015 a nombre de D. B.B.B., en la que figuran el nombre, apellidos, DNI, dirección de envío de factura, datos de llamadas efectuadas, de las líneas de móvil ***TEL.4 y ***TEL.5 y del fijo ***TEL.6, al verificarse que en el Sistema de Facturación de ORANGE consta una factura emitida en fecha 26/09/2015 a nombre de D. B.B.B. que coincide con la aportada por el denunciante junto al escrito de subsanación y mejora de la denuncia. En consecuencia, habida cuenta de que es responsabilidad de ORANGE, la custodia de los datos que se incorporan a sus ficheros, y dado que ha quedado acreditado que los datos de un cliente fueron efectivamente conocidos por el denunciante (esto es, una tercera persona), en tanto dicha operadora ha posibilitado el acceso a datos personales de uno de sus clientes sin su consentimiento, se concluye que vulneró el artículo 10 de la LOPD, infracción tipificada en el artículo 44.3.
  14. d)de la citada norma. El artículo 44.3.
  15. d)de la LOPD tipifica como infracción grave “ La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. V El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En el presente caso cabe entender la existencia de un concurso de infracciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 por cuanto el hecho de que en los ficheros de la imputada figuraran datos de la línea del denunciante asociados erróneamente a los de otro cliente, dio lugar a que el denunciante tuviera acceso, a través del área de clientes de la operadora al nombre y apellidos, NIF y dirección de otra persona (B.B.B.), y por tanto una vulneración del deber de secreto de sus datos personales. En consecuencia y conforme a lo señalado anteriormente procede proponer la imposición de únicamente una sanción, en este caso por infracción del artículo 4.3 de la LOPD, por ser la vulneración del deber de secreto (artículo 10 de la LOPD) consecuencia de la primera. VI El artículo 45 de la LOPD, apartados 1 a 5, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  16. a)El carácter continuado de la infracción.
  17. b)El volumen de los tratamientos efectuados.
  18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  19. d)El volumen de negocio o actividad del infractor.
  20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  21. f)El grado de intencionalidad.
  22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17
  24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  31. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En lo que respecta a la falta de perjuicios causados al denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la presencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso en la propuesta de resolución se apreció que cabía aplicar al supuesto enjuiciado lo dispuesto en el artículo 45.5 de la LOPD apartado d en la medida en la que ORANGE mediante visita de inspección en ORANGE efectuada en fecha 5 Y 17 de febrero de 2016 y en la medida en la que ha reconocido espontáneamente su culpabilidad en la visita de inspección. Por todo ello, se consideró procedente proponer la imposición, por la infracción cometida, de una multa cuyo importe se encuentre entre 900 € y 40.000 €, al tener la infracción la tipificación de grave pero sancionarse conforme a las cuantías previstas en el artículo 45.1 para las infracciones leves. En la propuesta de resolución se proponía sancionar a ORANGE con una multa de 20.000 € (veinte mil euros) por la infracción del artículo 4.3 de la LOPD, al considerarse aplicables al presente procedimiento a los efectos de graduar la sanción a imponer las circunstancias previstas en el artículo 45.4
  32. c)y d). Notificada la propuesta de resolución, se efectúa escrito de alegaciones a la misma en el que ORANGE solicita la graduación de la sanción a imponer en atención a la concurrencia de los criterios del artículo 45.4 a), b), e),
  33. f)y
  34. h)de la LOPD, minorando el importe de la misma. En el escrito de alegaciones a la propuesta de resolución los representantes de ORANGE afirman que les resulta de aplicación la circunstancia atenuante prevista en el artículo 45.4 a), ya que ORANGE rectificó el dato incorrecto del DNI el 11/02/2014 tras la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 contratación realizada por el denunciante D. A.A.A. el 06/11/2013 y solucionó la incidencia en la web el 28/04/2015, por lo que la infracción duró un breve período de tiempo y fue regularizada diligentemente por ORANGE. Respecto a la aplicación de la atenuante prevista en el artículo 45.4 a), procede indicar que se encuentra probado que el denunciante tuvo acceso a través del área de clientes a los datos personales que obran en la factura emitida en fecha 26/09/2015 a nombre de D. B.B.B.. Así pues, la incidencia no fue solucionada el 28/04/2015 como mantiene los representantes de ORANGE, ya que 5 meses después el denunciante pudo acceder a los datos de otro cliente de la entidad denunciada, tal y como consta probado en el hecho sexto de la presente resolución. Asimismo, se debe de tener en consideración que en los sistemas de ORANGE constan incidencias relativas al DNI del denunciante desde el enero de 2014 hasta abril de 2015, las cuales no fueron solucionadas en un breve periodo de tiempo como mantiene la entidad denunciada, ya que el denunciante pudo acceder como consecuencia de la no resolución de la incidencia a la factura de septiembre de 2015. Por lo tanto, a la vista de las circunstancias anteriormente expuestas no se aprecian que resulte de aplicación el criterio de graduación establecido en el artículo 45.4
  35. a)de la LOPD. Los representantes legales de ORANGE mantienen que se debe tener en consideración a la hora de determinar la sanción a imponer la atenuante prevista en el art. 45.4
  36. b)El volumen de tratamientos efectuados, ya que la infracción afecta únicamente a uno solo de los más de 19 millones de clientes de la compañía. En cuanto a esta argumentación, cabe señalar que en el escrito de alegaciones al acuerdo de inicio la entidad denunciada reconocía la existencia de un procedimiento sancionador incoado y resuelto contra a ORANGE por el presente organismo -PS 00039/2016- por unos hechos idénticos a los analizados en el presente procedimiento. Así pues, no se aprecia que se haya producido una incidencia puntual que afecte a un solo cliente como mantiene la entidad denunciada, cuando consta que en el año 2016 se ha procedido a la apertura de varios procedimientos contra la entidad denunciada por unos hechos idénticos, y ORANGE reconoce las citadas circunstancias en sus alegaciones. La argumentación anteriormente expuesta resulta de aplicación a la fundamentación efectuada respecto a la apreciación del art. 45 4 f), que es razonada por los representantes de la entidad denunciada en la existencia de un error puntual a la hora de registrar el número de DNI del denunciante en el momento de la contratación. Asimismo, procede significar que si bien en el origen de la contratación se produjo un error puntual, se debe de tener en consideración que las incidencias generadas para la resolución del error registrados en los sistemas de ORANGE en enero y febrero de 2014 no fueron resueltas, ya que en fecha de 28/05/2015 figura una nueva incidencia relativa al DNI del cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 Respecto a la aplicación de las atenuantes previstas en el artículo 45.4
  37. e)y
  38. f)relativa a la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción y al leve perjuicio ocasionado al denunciante, que según la entidad denunciada únicamente tuvo que poner en conocimiento de ORANGE la incidencia, sin mayores molestias ni perjuicios para el mismo, procede indicar que a los efectos de graduar la cuantía de la sanción a imponer se debe tener en consideración la especial diligencia que resulta exigible a una entidad que debido a la actividad que desarrolla está en permanente contacto y trata un gran volumen de datos de carácter personal. En el citado sentido se pronunció la Sentencia de la Audiencia Nacional de fecha de 7 de junio de 2016 (Rec 189/2014) disponiendo que: “la Resolución impugnada considera que los hechos deben ser calificados como infracción grave, cuya sanción se encuentra prevista en el art. 45.2 de la Ley ( de 40.001 a 300.000 euros ) y no aprecia la existencia de ninguna de las circunstancias mencionadas en el art. 45.4. LOPD, a los efectos de una minoración en la graduación de la sanción, por entender que las razones aducidas por la actora, en primer lugar respecto de la batería de medidas adoptadas, no pueden servir para la aplicación que se pretende del art. 45.4, según el criterio de esta Sala, ni tampoco la otra razón invocada relativa al leve perjuicio causado al denunciante, pues como se ha hecho constar, no fue sino después de reiteradas llamadas y ante la falta de respuesta de la compañía cuando se da de baja. Se tiene en cuenta para la graduación de la sanción, el importante volumen de negocios de la recurrente acostumbrada al manejo habitual de datos, a la que se presupone una profesionalidad en el uso de los mismos y la vinculación de su actividad con la realización de tratamiento de datos de carácter personal. Esta Sala tiene establecido en multitud de sentencias en relación a 45.5 LOPD, en su redacción anterior a la hoy vigente, que no es sino una manifestación del llamado principio de proporcionalidad ( art. 131.1 de la Ley 30/1992), incluido en el mas general de prohibición de exceso, y reconocido por la jurisprudencia como principio general del derecho. Ha añadido la Sala que dicha regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual, insistimos, puede darse, por excepción, en casos muy extremos (de aquí la expresión "especialmente cualificada") y concretos (por todas SAN, Sec. 1ª, de 24 de septiembre de 2010 (Rec 245/2009)). De modo que la posibilidad prevista en el artículo 45.5 LOPD, en su redacción originaria, no es sino consecuencia del valor justicia que informa nuestro ordenamiento jurídico - art. 1 CE, en relación con las STC 50/1995 y 173/1995-, siendo plasmación de tal principio en casos de cualificada disminución de la culpa o de la antijuridicidad. Con fundamento en dicha doctrina la Sala ha considerado que su aplicación debe ser individualizada, en atención a las circunstancias concretas que resulten de cada caso, correspondiendo al sancionado la carga de acreditar las circunstancias de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 las que resulte una disminución "especialmente cualificada" de la culpabilidad o de la antijuridicidad, sin que sea posible establecer criterios generales para la aplicación del citado artículo 45.5 de la LOPD. El citado artículo 45.5 LOPD, en la redacción que le dio la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone que el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en una serie de supuestos que cita. Como se ha expuesto, la falta de intencionalidad de la sancionada, y la ausencia de beneficio económico por la comisión de la infracción no permiten sostener la aplicación de tan excepcional degradación de la sanción. A lo que cabe añadir que como se aprecia en la resolución impugnada, las consistentes en la vinculación de la actividad del infractor con la realización de tratamiento de datos de carácter personal y su volumen de negocio operan como circunstancias agravantes, como es natural, al conllevar un mayor deber de diligencia en el tratamiento de datos de carácter personal.” Por lo tanto, a la vista de las consideraciones expuestas en los párrafos precedentes, procede concluir que las alegaciones efectuadas por la entidad denunciada no permiten reconsiderar los términos expuesto en la propuesta de resolución de fecha de 26 de septiembre de 2016. Así pues, en el presente caso, valorados los criterios de graduación de las sanciones previstos en el artículo 45.4, cuya presencia ha quedado acreditada, procede sancionar a ORANGE con una multa de 20.000 € (veinte mil euros) por la infracción del artículo 4.3 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  39. c)de la LOPD, una multa de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.