PS-00301-2016

1/22 Procedimiento Nº PS/00301/2016 RESOLUCIÓN: R/03101/2016 En el procedimiento sancionador PS/00301/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 23/07/2015 D. A.A.A. (en lo sucesivo, el denunciante) presentó por correo administrativo -que tuvo entrada en la Agencia Española de Protección de Datos (AEPD) el 28/07/2015- un escrito en el que denuncia que France Telecom España, S.A.U., en la actualidad ORANGE ESPAGNE S.A.U., (en adelante, ORANGE o la denunciada) ha cedido sus datos personales, asociados a una deuda inexistente, a Intrum Justitia Debt Finance, AG, así como a los ficheros INFODEUDA, BADEXCUG y ASNEF. Explica que a principios del año 2011, con ocasión de portar su línea telefónica a otro operador, ORANGE le reclamó una deuda de 186,35 euros que no le pertenecía, lo que le llevó a presentar una reclamación ante la OMIC de Murcia que finalizó al estimar la operadora sus pretensiones y declarar que anulaba la deuda reclamada. Pese a ello, desde junio de 2011 ORANGE continuó requiriéndole el pago de la deuda inexistente, cedió sus datos a terceros y los incluyó en ficheros de morosidad. Añade que ha intentado sin éxito contactar con la denunciada por diferentes vías -telefónica y postal- y que en marzo de 2015 ejercitó ante ella el derecho de cancelación sin obtener respuesta. Acompaña copia de los siguientes documentos: Escrito que ORANGE dirigió al Ayuntamiento de Murcia, con sello de entrada en esa Corporación el 13/04/2011. Escrito del denunciante dirigido a ORANGE, de fecha 13/07/211, en el que le recuerda que la deuda reclamada es inexistente tal y como reconoció ante la OMIC. Diversas cartas de requerimiento de la deuda recibidas por el denunciante y remitidas por ORANGE y por terceras empresas gestoras de recobro en su nombre. Constan cartas de Eos Spain, Sociedad Unipersonal, Intrum Justitia Ibérica, S.A.U. y SEINCO, S.L. Carta de Asnef Equifax, S.L., en la que comunica al denunciante la inclusión de sus datos en ASNEF, informados por ORANGE, con fecha de alta 19/08/2011. Carta de Experian Bureau de Crédito, S.A., en la que comunica al denunciante la inclusión de sus datos en BADEXCUG, informados por ORANGE, con fecha de alta 21/08/2011, Carta de ORANGE e INTRUM JUSTITIA DEBT FINANCE, A.G., dirigida al denunciante en la que le comunican que con fecha 23/07/2014 la primera vende a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 segunda un conjunto de créditos entre los que figura unas deuda de 186,35 euros que supuestamente mantiene con ella. Carta de Experian Bureau de Crédito, S.A., en la que informa al denunciante de la inclusión de sus datos en los ficheros BADEXCUG e INFODEUDA, a instancia de INTRUM JUSTITIA DEBT FINANCE, A.G., con fecha de alta 18/03/2015. Carta de Intrum Justitia Ibérica, S.A.U., en la que comunica al denunciante que presentará demanda de Juicio Monitorio en reclamación de la deuda pendiente de 186,35 euros. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por la Inspección de Datos de la AEPD se solicitó información a ORANGE; EXPERIAN BUREAU DE CRÉDITO, S.A.; EQUIFAX IBÉRICA, S.L.; e INTRUM IUSTITIA IBÉRICA, S.A.U., teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS 1. CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DEL DENUNCIANTE EN EL FICHERO ASNEF: Los datos asociados al NIF E.E.E., con fecha de 19 de enero de 2016, no se encuentran incluidos en el fichero denominado “ASNEF” (Datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias), cuyo responsable es la entidad ASNEF-EQUIFAX, Servicios de Información sobre Solvencia y Crédito, S.L. Si bien, ha sido dada de baja una incidencia a nombre y apellidos del denunciante y NIF E.E.E., con fecha de alta el 19 de agosto de 2011 y de baja el 9 de agosto de 2014, por importe de 186,35€ por la entidad informante ORANGE. Por otra parte, no constan ni han sido dadas de baja incidencias incluidas en el fichero “ASNEF” asociados al NIF I.I.I.. 2. CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DEL DENUNCIANTE EN EL FICHERO BADEXCUG: De la documentación remitida por la compañía Experian Bureau de Crédito, S.A. (en adelante EXPERIAN), con fecha de 11 de febrero de 2016, responsable de los ficheros denominados BADEXCUG e INFODEUDA, cuya finalidad es la prestación de servicios sobre solvencia patrimonial y crédito, no consta ni ha sido dada de baja incidencia asociada al NIF I.I.I.. Sin embargo, respecto del fichero BADEXCUG y asociado al nombre y apellidos del denunciante y NIF E.E.E. han sido dadas de baja dos incidencias: Con fecha de alta el 21 de agosto de 2011 y de baja el 10 de agosto de 2014 aportada por ORANGE. Con fecha de alta el 18 de marzo de 2015 y de baja el 26 de enero de 2016 aportada por INTRUM JUSTITIA. Por otra parte, respecto al fichero INFODEUDA ha sido dada de baja una incidencia con fecha de 26 de enero de 2016 que fue dada de alta el 18 de marzo de 2015 informada por INTRUM JUSTITIA. 3. CON RESPECTO DE ORANGE E INTRUM JUSTITIA: Del análisis de la información y de la documentación remitida por dichas compañías a la Inspección de Datos se desprende lo siguiente: En el Sistema de Información de Clientes de ORANGE consta asociado al nombre, apellidos y NIF I.I.I. del denunciante el servicio de la línea G.G.G. que fue C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 migrada a la modalidad pospago, con fecha 22 de febrero de 2011, a través del Canal de Televenta pero se incorporó un NIF erróneo, motivo por el cual constan los datos del denunciante asociados al NIF E.E.E.. Se adjunta Contrato clientes particulares telefonía móvil de ORANGE a nombre y apellidos del denunciante y NIF E.E.E. en el que consta firma del cliente. En la operadora figura una reclamación de la OMIC de Murcia que tras su estudio se informó al organismo que se eliminaba el compromiso de permanencia para que el cliente pudiera portar la línea sin penalización pero no procedía la devolución de los importes tarificados porque la línea había sido utilizada. Con motivo del presente requerimiento de información han comprobado que el mencionado ajuste, que anulaba parte de la factura relativa al compromiso de permanencia, no fue correctamente ejecutado lo que generó que dicho cargo no fuera eliminado y en consecuencia la factura, de fecha 26 mayo de 2011, entró en proceso automático de recobro. La operadora manifiesta que la cesión del crédito de ORANGE a INTRUM se realizó en el mes de julio de 2014 y han solicitado la retrocesión del expediente a INTRUM JUSTITIA toda vez que han confirmado que la deuda cedida a nombre del titular era improcedente ya que solamente parte de la cuantía es exigible al cliente. La entidad INTRUM JUSTITIA confirma que con fecha de 30 de abril de 2014 se produjo la cesión de deuda de ORANGE a INTRUM, como queda acreditado en la escritura de compraventa y cesión de cartera de créditos, elevado a escritura pública, el 23 de julio de 2014, cuya copia adjuntan. INTRUM JUSTITIA previamente a la inclusión de los datos del denunciante en los ficheros de solvencia patrimonial realizó requerimientos, con fecha de 16, 17 y 18 de febrero de 2015, y solicitaron la baja el 26 de mayo de 2015, tras el presente requerimiento de la AEPD. Que en relación al NIF I.I.I. no disponen de datos en los sistemas de información de INTRUM JUSTITIA por cuenta de INTRUM o por cuenta de ORANGE.>> TERCERO: Con fecha 27 de junio de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE por la presunta infracción de los artículos 4.3 y 11.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), tipificadas como infracciones graves, respectivamente, en los artículos 44.3.

1. c)y 44.3.
2. k)de dicha norma, pudiendo ser sancionada cada una con multa de de 40.001 a 300.000 euros, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE presentó alegaciones el 21/07/2016 y solicitó la aplicación de la atenuante cualificada del artículo 45.5.
3. d)LOPD, subrayando que ya en el escrito que dirigió a la Inspección de Datos, en el curso de las Actuaciones de Investigación Previa correspondientes al E/05256/2015, reconoció su culpabilidad en los hechos a efectos de la aplicación de los artículos 45.5.
4. d)LOPD y 8 del Reglamento de Procedimiento para el Ejercicio de la Potestad Sancionadora, aprobado por el Real Decreto 1389/1993 (en adelante REPEPOS). - En congruencia con su alegato de reconocimiento de culpabilidad, al amparo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 del artículo 45.5.
5. d)LOPD, la denunciada solicitó que se fijara la cuantía de la sanción aplicando la escala relativa a las infracciones que preceden en gravedad a aquella en la que se integran las que se le atribuyen en el presente caso y que se imponga la sanción en su “horquilla inferior” habida cuenta de las circunstanciarías que concurren. - Reiteró en las alegaciones al acuerdo de inicio la respuesta que dio a la Inspección de Datos, en la que dijo que el ajuste por el cual anuló la parte de la factura del denunciante relativa al compromiso de permanencia “no fue correctamente ejecutado por el Agente que gestionó la reclamación” “lo que generó que dicho cargo no fuera eliminado y en consecuencia la factura entró en proceso automático de recobro”. - Respecto a la infracción del artículo 11.1 de la LOPD, reiteró igualmente la respuesta ofrecida a la Inspección de Datos: “…la factura objeto de controversia no fue correctamente anulada por lo que, al resultar impagada por el cliente, dicha deuda entró en el circuito automático de recobró, lo que motivó la cesión del crédito a favor de INTRUM IUSTITIA IBÉRICA, S.L., …” - Alegó la concurrencia de las siguientes circunstancias atenuantes: • El volumen de tratamientos efectuados, apartado
6. b)del artículo 45.4 LOPD, pues entiende que la conducta infractora que se le atribuye afectó a un solo cliente de los más de 19 millones que tiene la compañía. • La ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción, apartado
7. e)del artículo 45.4 LOPD. Cita a tal fin la resolución que la AEPD dictó en el PS/0096/2015, en la que esa circunstancia se apreció como atenuante a favor de Vodafone España, S.A.U. • La ausencia de intencionalidad, apartado
8. f)del artículo 45.5 LOPD, “ya que la incidencia fue debida a un error humano en la realización del ajuste que anulaba la parte de la factura relativa al compromiso de permanencia del denunciante”. • La reincidencia por comisión de infracciones de la misma naturaleza, apartado
9. g)del artículo 45.4 LOPD. Aduce que ORANGE no ha sido sancionada de forma reiterada por vulneración del artículo 11 de la LOPD, de lo que concluye que ha de operar como atenuante. • Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta conducta infractora, apartado
10. j)del artículo 45.4 LOPD. Incluye en esa categoría el hecho de que la “La cesión del crédito estaba amparada en el contrato suscrito entre ORANGE e INTRUM IUSTITIA DEBIT FINANCE , A.G. ..”, y menciona en ese sentido la resolución dictada por la AEPD en el PS 331/2015. QUINTO: Con fecha 03/08/2016, conforme a lo dispuesto en el artículo 17.1 del REPEPOS, se inició el período de prueba en el que se acordó practicar las siguientes diligencias probatorias: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 1. Dar por reproducidas a efectos de prueba la denuncia interpuesta y la documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante Orange Espagne, S.A.U., Equifax Ibérica, S.L., Experian Bureau de Crédito, S.A., e Intrum Iustitia Ibérica, S.A.U., así como el Informe de Actuaciones Previas de Inspección; documentos que integran el expediente E/05256/2015. 2. Dar por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio del PS/00301/2016 presentadas por ORANGE ESPAGNE, S.A.U., (en adelante, ORANGE) y la documentación que a ellas acompaña. 3. Solicitar documentación e información a ORANGE y a la OMIC del Ayuntamiento de Murcia. Con fecha 05/08/2016 el denunciante pidió personarse como interesado en el expediente y aportó abundante documentación relativa al procedimiento judicial que INTRUM IUSTITIA DEBT FINANCE, A.G. ha promovido contra él en reclamación de la deuda que ORANGE le cedió asociada a sus datos personales. El 08/08/2016 la Instructora del expediente extendió diligencia en la que acordó incorpora al expediente sancionador, a efectos probatorios, el escrito de personación del denunciante y la documentación anexa a él. En fecha 08/09/2016 ORANGE evacuó el trámite de prueba y aportó los siguientes documentos: a. Una impresión de pantalla de sus sistemas informáticos –documento que ya obraba en el expediente, pues lo había aportado con sus alegaciones al acuerdo de inicio- en la que consta que con fecha 31/03/2011 entró en la entidad una reclamación de la OMIC de Murcia presentada por A.A.A., con DNI E.E.E.. En el documento consta como motivo de la reclamación la siguiente leyenda: “Solicita la baja sin penalización puesto que solicitó activar una línea con la tarifa delfín 32 y un descuento del 40% que posteriormente le indican que no tiene. (…)”. También se recoge en esa impresión de pantalla que “Con relación a la reclamación que presenta el cliente indicar que en función del estudio efectuado se elimina el compromiso de permanencia para que el cliente pueda portarse. No se realiza devolución de importes porque la línea ha sido utilizada en algún terminal del cliente. (..)Se remite carta al Organismo Oficial. Resolución con acuerdo.” b. ORANGE aportó todas las facturas emitidas a nombre del denunciante, asociadas a la línea telefónica sobre la que versan los hechos que nos ocupa: facturas emitidas el 26/01/2011, 26/02/2011,26/03/2011, 26/04/2011 y de 26/05/2011. Esta última, número ***FACTURA.2, corresponde al periodo comprendido entre el 26/04/2011 y 25/05/2011 y se emitió por importe de 186,35 euros, de los que 140 euros corresponden a los conceptos “Cargo permanencia en tarifa” y “penalización por baja anticipada por descuento” y 22,400 euros, de los que se restan 4,480, por la tarifa Delfín 32. La OMIC de Murcia remitió a la AEPD el 18/08/2016, una copia del expediente 745/2011 seguido a raíz de la reclamación que presentó el denunciante, entre los que destacan los siguientes: El que acredita que la OMIC dio traslado el 31/03/2011 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 ORANGE de la reclamación presentada por su cliente y el escrito que ORANGE dirigió a la OMIC, de fecha de 07/04/2011 (con sello de entrada en ese organismo el 13/04/2011) que dice: “En relación con lo anterior [la reclamación solicitando la baja sin coste de la línea G.G.G.] les indicamos que se ha procedido a eliminar el compromiso de permanencia para que el cliente pueda solicitar la portabilidad. (..) Atendiendo a que la reclamación que trae causa y razón a este expediente ha sido solucionada en todos sus extremos, rogamos procedan al archivo de la misma”. SEXTO: El denunciante se personó en el expediente sancionador en fecha 05/08/2016 al amparo de lo dispuesto en el artículo 13 del REPEPOS. Respecto a los perjuicios sufridos por la actuación ORANGE, aporta documentación que acredita que INTRUM JUSTITIA DEBT, A.G. (la cesionaria del presunto crédito de ORANGE frente al denunciante) ha instado un procedimiento judicial contra él en pago de la deuda -Proceso Monitorio *****/2015, seguido ante el Juzgado de Primera Instancia número 10 de los de Murcia- lo que le ha generado numerosos gastos. SÉPTIMO: Con fecha 10/11/2016 se notificó a ORANGE la propuesta de resolución formulada en los siguientes términos: PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U., con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 4.3 de la LOPD, tipificada como infracción grave en el artículo 44.3.
11. c)de dicha norma. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U., con multa de 30.000 € (treinta mil euros) por la infracción del artículo 11.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
12. k)de dicha norma. OCTAVO: En fecha 30/11/2016 tuvieron entrada en la AEPD las alegaciones de ORANGE a la propuesta de resolución que versaron, exclusivamente, sobre la graduación de la sanción que corresponde imponer por cada una de las infracciones que se le atribuyen: a. Solicita que la sanción que se imponga por la infracción del artículo 4.3 LOPD, al amparo de las atenuantes cualificadas de los artículos 45.5.
13. d)y 45.5.
14. b)esté comprendida entre las cuantías que el artículo 45.2 LOPD fija para las infracciones leves, en la medida de que había reconocido los hechos y la culpabilidad y de que reaccionó con diligencia. La denunciada explica que reconoció expresamente su culpabilidad en la contestación al requerimiento informativo de la Inspección de Datos (en el curso del E/5256/2015) y advierte que tal reconocimiento “no se refería en exclusiva, como así afirma la Propuesta de Resolución, a la infracción del artículo 11.1 sino también, como es obvio y ha quedado acreditado, a la infracción del artículo 4.3 LOPD”. Estima que concurre también la circunstancia del artículo 45.5.
15. b)LOPD, pues C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 procedió de forma inmediata a regularizar la situación irregular en sus ficheros tan pronto tuvo conocimiento de las Actuaciones Previas E/5256/2015. Añade que comunicó esa regularización a INTRUM, que procedió a cancelar de inmediato los datos del denunciante de los ficheros de morosidad (en agosto de 2016). Finalmente, invoca la SAN de 21/07/2016 (Rec. 1723/2015) en la que la Audiencia Nacional reconoció la concurrencia de ambas circunstancias descritas en el artículo 45.5.LOPD, (apartados b, y d.) a. Respecto a la graduación de la sanción por vulneración del artículo 11.1. LOPD –infracción para la que la Propuesta de resolución estableció, al amparo del artículo 45.5.
16. d)LOPD, una sanción de 30.000 euros- solicita que se reconozca la concurrencia de tres circunstancias atenuantes y no de una sola, como hizo la Propuesta de resolución, que únicamente admitió la descrita en el apartado b, del artículo 45.4 LOPD. En opinión de ORANGE están presentes como atenuantes las circunstancias previstas en los apartados
17. e)y
18. j)del artículo 45.4 LOPD, que versan sobre “la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción” y “cualquier otra que sea relevante para determinar el grado de antijuridicidad y culpabilidad presentes en la concreta conducta infractora” . En esta última encuadra el hecho de que la cesión de créditos realizada estuvo amparada en el contrato suscrito entre ORANGE e INTRUM IUSTITIA DEBT FINANCE, A.G. A tal fin invoca la Resolución dictada por la AEPD en el PS/331/2015 en el que se estimó su presencia argumentando que “si bien el crédito cedido era inexistente” “la Cesión estaba amparada por un contrato legal entre Caixabank y la cesionaria conforme a los artículos 347 del Código de Comercio y 1527 del Código Civil”. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: El denunciante, A.A.A., titular del NIF I.I.I. (folio 28), tuvo contratado con ORANGE el servicio telefónico para la línea G.G.G. y ante las diferencias surgidas con la operadora presentó una reclamación en la OMIC de Murcia el 24/02/2011 en la que solicitó “la baja definitiva de Orange sin ningún tipo de cargo o penalización hacia mi persona” (folio 271) SEGUNDO: El denunciante expuso en la reclamación presentada en la OMIC que el 14/02/2011 contactó telefónicamente con el departamento de contratación de ORANGE para cambiar de “tarifa fusión” a la tarifa “Delfín 32 , en la que le ofertaban un descuento durante un año del 40% del importe total mensual de 32 euros, documento contractual que reconoce haber recibido para su firma a través de mensajero. Explicó que solicitó la baja del servicio porque el día 24/02/2016, al contactar telefónicamente con la operadora, le informaron de que no se le aplicaría el descuento promocional que le habían ofertado. (Folio 271) TERCERO: La OMIC de Murcia remitió a ORANGE la reclamación del denunciante, que consta recibida por la denunciada el 31/03/2011 (Folio 281). ORANGE respondió a la OMIC - escrito de fecha 07/04/2011 recibido en ese organismo de consumo el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 13/04/2011- que eliminaba el compromiso de permanencia y que al haber sido atendida la reclamación debería procederse al archivo de la reclamación del denunciante. (Folios 3 y 282) CUARTO: La OMIC informó al denunciante, en escrito de fecha de 28/04/2011 con sello de salida del organismo de consumo el 13/05/2011, que ORANGE aceptaba sus pretensiones y de que, por tal motivo, se procedía al archivo del expediente de (Folio 283) QUINTO: El denunciante comunicó a ORANGE, mediante correo postal de 12/07/2011, que había recibido un aviso de pago de una factura emitida el 26/05/2011 por importe de 186,35 euros, en concepto de penalización por incumplimiento de permanencia, y le solicitó su anulación toda vez que tal deuda era inexistente, pues así lo había reconocido ante la OMIC. Obran en el expediente los acuses de recibo del Servicio de Correos que acreditan tanto el envío de la carta a ORANGE en fecha 13/07/2011 como su recepción el 14/07/2011 (Folios 6 a 8) SEXTO: La documentación que obra en el expediente acredita que ORANGE, después de que la OMIC hubiera archivado la reclamación contra ella como consecuencia de haber aceptado las pretensiones del denunciante, continuó requiriéndole el pago de la deuda de 186,35 euros tanto directamente como a través de empresas gestoras de cobros que actuaban en su nombre. A ese respecto obran en el expediente copia de los escritos de requerimiento recibidos por el denunciante durante los años 2011, 2012 y 2013: -Durante el año 2011: a. Carta de requerimiento de fecha 25/06/2011 remitida por ORANGE que dice: “Nos ponemos en contacto con …para comunicarle que su factura de fecha 26/05/2011, por importe de 186,35 € se haya pendiente de pago”. (Folio 4) b. Carta de requerimiento de 01/08/2011 enviada por EOS SPAIN, S.L., en nombre de ORANGE. (Folio 10) c. Carta de requerimiento de fecha 11/11/2011, remitida por Intrum Justitia en nombre de ORANGE.(Folio 9) - Durante el año 2012 a. Carta de requerimiento de 05/03/2012 enviada por SEINCO, S.L., en nombre de ORANGE, en la que se especifica que la deuda corresponde a la factura número ***FACTURA.1, de fecha 26/05/2011. (Folio 13) b. Carta de requerimiento de 04/04/2012, enviada por SEINCO, S.L., en nombre de ORANGE, idéntica a la anterior (Folio 14) -Durante el año 2013: a. Carta de requerimiento de 12/08/2013 enviada por Intrum Justitia, en nombre de ORANGE. (Folio 20) a. Carta de requerimiento de 03/09/2013, enviada por Intrum Justitia en nombre de ORANGE (Folio 15) b. Carta de requerimiento de 03/10/2013 enviada por Intrum Jusititia en nombre de ORANGE (Folio 16) SÉPTIMO: ORANGE, como cedente, C/ Jorge Juan, 6 28001 – Madrid e INTRUM JUSTITIA DEBT FINANCE, A.G., www.agpd.es sedeagpd.gob.es 9/22 como cesionaria, comunicaron al denunciante conjuntamente, a través de una carta de fecha 01/09/2014, la venta de una cartera de créditos -contrato que se elevó a escritura pública el 23/07/2014-, entre los que se encontraba el que ORANGE, supuestamente, ostentaba frente al denunciante. La carta ha sido aportada por el denunciante anexa a la denuncia (Folio 17) OCTAVO: ORANGE incluyó en los ficheros ASNEF y BADEXCUG, asociados al NIF E.E.E. (que no es el NIF del denunciante), y al nombre, apellidos y domicilio del denunciante, una deuda de 186,35 euros. En el fichero ASNEF la incidencia se dio de alta el 19/08/2011 y de baja, a petición de la entidad informante, el 09/08/2014. ( Folios 64 a 70) En el fichero BADEXCUG la fecha de alta de la incidencia es el 21/08/2011 y la fecha de baja el 10/08/2014 (Folios 181 y 191 a 195) NOVENO INTRUM JUSTITIA DEBT FINANCE, A.G., comunicó a los ficheros de solvencia patrimonial INFODEUDA y BADEXCUG el nombre y dos apellidos del denunciante y el NIF E.E.E. (dato que no coincide con el NIF del denunciante) asociados a la deuda cedida por ORANGE. Obran en el expediente, aportadas por el denunciante, dos cartas recibidas de EXPERIAN BUREAU DE CRÉDITO, S.A., de fecha 19/03/2015, en las que le informan de la inclusión de sus datos personales, asociados a un NIF que no es el suyo, por un saldo deudor de 186,35 euros, con fecha de alta en ambos ficheros (Infodeuda y Badexcug) el 18/03/2015. (Folios 18 y 19) DÉCIMO: EXPERIAN BUREAU DE CRÉDITO, S.A., ha informado a la AEPD que en los ficheros INFODEUDA y BADEXCUG no constan incidencias asociadas al NIF del denunciante ( I.I.I.). Ni a fecha 07/03/2016 ni con anterioridad a esa fecha. (Folios 179 a 200) UNDÉCIMO: De la documentación remitida por ASNEF EQUIFAX, S.L., obrante en el expediente, se evidencia que a fecha 20/01/2016 no existen incidencias asociadas al NIF del denunciante ( I.I.I.) ni en el fichero ASNEF ni en el fichero FOTOCLI (que es un histórico de incidencias canceladas), tanto hubieran sido informadas por ORANGE como por INTRUM JUSTITIA DEBT FINANCE, A.G., (Folios 48 a 70) DUODÉCIMO: El denunciante afirma que comunicó a ORANGE el 23/04/2015, mediante correo certificado, que la deuda de 186,35 euros reclamada era inexistente y solicitó la cancelación de sus datos de carácter personal. El denunciante aporta documentación acreditativa del envío pero no acuse de recibo que pruebe la recepción por el destinatario. (Folios 23 a 25) DECIMOTERCERO: INTRUM JUSTITIA DEBT FINANCE, A.G. presentó demanda de Juicio Monitorio en reclamación de cantidad frente al denunciante ante el Juzgado de Primera Instancia número 10 de Murcia, que ordenó -Diligencia de Ordenación de 22/12/2015- que se formaran autos de proceso monitorio y se requirió al denunciante para el pago de la deuda con apercibimiento de despachar ejecución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 El denunciante se opuso al proceso monitorio, lo que dio lugar a que se dictara un Decreto el 09/05/2016 acordando dar por terminado dicho procedimiento y su continuación a través de Juicio Verbal, convocando a las partes a la celebración del acto de la vista el 15/11/2016. (Folios 223 a 231, 247 a 251 y 263 a 267) DECIMOCUARTO: INTRUM JUSTITIA IBÉRICA, S.A.U., ha explicado que trató los datos personales del denunciante en su condición de encargada de tratamiento de ORANGE, con la finalidad de gestionar el cobro de la deuda que ésta ostentaba frente al denunciante. Y que entre el 01/07/2013 y el 02/04/2014, a raíz de la cesión de cartera elevada a Escritura Pública el 23/07/2014, los trató en calidad de encargada de tratamiento de INTRUM JUSTITIA DEBT FINANCE, A.G. Añade que los datos que ORANGE le cedió para gestionar el cobro de la deuda y los que ORANGE cedió a INTRUM JUSTITIA DEBT FINANCE, A.G. en la operación de compra de deuda fueron los siguientes asociados al NIF F.F.F.: nombre, A.A.A.; Dirección, C.C.C., B.B.B.; teléfono H.H.H. y D.D.D.; importe de la deuda 186,35 euros. (Folios 71 y 72) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
19. g)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II La LOPD dedica su Título II a los “Principios de protección de datos” y dispone en el artículo 4 bajo la rúbrica “Calidad de los datos”: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 11 de la LOPD, “Comunicación de datos” establece: 1. Los datos de carácter personal objeto de tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
20. a)Cuando la cesión está autorizada en una ley.
21. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
22. c)Cuando el tratamiento responda a la libre y legítimo a aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
23. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
24. e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
25. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. (…)” Estos preceptos deben integrarse con la definición de “datos de carácter personal”, “afectado o interesado”, “tratamiento de datos” y “cesión o comunicación de datos” que ofrecen, respectivamente, los artículos 3.a), 3.e), 3.
26. c)y 3.
27. h)de la LOPD: “cualquier información concerniente a personas físicas identificadas o identificables”; “persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
28. c)del presente artículo”; “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias; “toda revelación de datos realizada a una persona distinta del interesado”. El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD), dedica el artículo 8 a los “Principios relativos a la calidad de los datos” y dice en su apartado 5: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaren ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello. (…)” (El subrayado es de la AEPD) III En el procedimiento sancionador que nos ocupa se atribuye a ORANGE la comisión de dos infracciones de la LOPD, artículos 4.3. y 11.1, materializadas en haber tratado los datos personales del denunciante asociados a una deuda inexistente y en la posterior cesión de sus datos, asociados a la supuesta deuda, a IUSTITIA DEBT FINANCE, A.G., en el marco de una operación de venta de créditos. A. Por lo que respecta a la primera de las infracciones de las que se responsabiliza a ORANGE -vulneración del principio de calidad del dato- indicar que el artículo 44.3.
29. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Corresponde examinar seguidamente si el tratamiento de los datos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 denunciante efectuado por ORANGE se ajustó a los requisitos de exactitud y certeza que exige la normativa de protección de datos de carácter personal. El denunciante fue cliente de ORANGE, con quien tuvo contratado el servicio telefónico para la línea G.G.G.. Entre ambos surgió una controversia derivada de la pretensión de la operadora de que el cliente le abonara una penalización por baja. Baja que el denunciante había solicitado el 24/02/2016, cuando conoció, al contactar telefónicamente con ORANGE, que no le aplicarían el descuento que le habían ofertado y que le llevó a modificar su contrato pasando de la tarifa que disfrutaba (“Fusión”) a otra (“Delfín 32”) en fecha 14/02/2016, (hecho probado segundo). Con objeto de resolver la discrepancia, el denunciante acudió a la OMIC de Murcia en la que presentó reclamación el 24/02/2011. Así lo acredita la copia del expediente (Referencia 745/2011) instruido por la OMIC para la tramitación de su reclamación cuya copia nos ha facilitado el organismo de consumo. El examen de la documentación evidencia que la pretensión del denunciante era, literalmente, “la baja definitiva de Orange sin ningún tipo de cargo o penalización hacia mi persona”. Llama la atención, por ello, que analizadas las facturas emitidas al denunciante por ORANGE – documentos que la entidad ha aportado en fase de prueba- la única cuyo importe asciende a 186,35 euros –que es el importe de la deuda que la denunciada ha venido exigiendo al denunciante- se emitió el 26/05/2011. Esto es, tres meses después de que el denunciante presentase su reclamación ante la OMIC. Resulta acreditado (hechos probados tercero y cuarto) que la OMIC dio traslado a ORANGE de la reclamación del denunciante en fecha 21/03/2011 mediante correo certificado con acuse de recibo que fue recibido por la denunciada el 31/03/2011. Asimismo, está acreditado que ORANGE respondió a la OMIC por correo postal -que fue recibido en el organismo el 13/04/2011- acusando recibo de la reclamación del denunciante en la que solicita la baja de la línea G.G.G. sin coste alguno y declaró que “En relación a lo anterior, les indicamos que se ha procedido a eliminar el compromiso de permanencia para que el cliente pueda solicitar la portabilidad”. Finalmente, expuso que “Atendiendo a que la reclamación que trae causa y razón a este expediente ha sido solucionada en todos sus extremos, rogamos procedan al archivo de la misma”. Hecho probado tercero. (El subrayado es de la AEPD) De manera que ORANGE reconoció expresamente en la carta que dirigió a la OMIC el 07/04/2011, que el denunciante no le adeudaba ningún importe en concepto de compromiso de permanencia, pues declaró que había procedido a eliminarlo y que la reclamación había sido “solucionada en todos sus extremos”. A tenor del artículo 8.5 del RLOPD, los datos del denunciante que obraban en los ficheros de la operadora debieron haberse actualizado en el plazo de los diez días siguiente a aquél en que ORANGE conoció su inexactitud. Por tanto –dado que ignoramos cuál es esa fecha- tomamos como referencia la que resulta más favorable a la entidad denunciada, el 07/04/2011, que es la que consta en la carta que ORANGE envió a la OMIC y que fue recibida por éste órgano de consumo el 13/04/2011. Ahora bien, la documentación que obra en el expediente acredita que ORANGE, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 pese a haber informado a la OMIC de que el denunciante no le adeudaba nada por baja anticipada, continuó atribuyéndole una deuda a la que era ajeno el afectado. ORANGE mantuvo durante varios años datos inexactos asociados al denunciante -la deuda inexistente- hasta que la supuesta deuda fue vendida a INTRUM IUSTITIA DEBT FINANCE, A.G., en julio de 2014. En prueba de lo expuesto nos remitimos al hecho probado sexto, en el que se hace una relación de las numerosas cartas que el denunciante recibió reclamándole el pago de la deuda entre el 26/05/2011 y el 03/10/2013. Cartas de reclamación que unas veces ORANGE le envió directamente y otras fueron enviadas en su nombre por entidades gestoras de cobros. En particular tenemos constancia de las cartas de requerimiento de la deuda enviadas al denunciante por EOS SPAIN, S.L.; SEINCO, S.L., e INTRUM IUSTITIA, S.L. (ver hecho probado Sexto) Añadir a lo expuesto que el 12/07/2011 –meses después de que ORANGE hubiera comunicado a la OMIC que el denunciante no tenía deudas pendientes- éste se dirigió a ORANGE y le pidió que rectificara el dato inexacto, sin que tengamos noticia de que su petición hubiera sido atendida. Obra en el expediente una copia de la carta que el denunciante envió a la denunciada en la que pide que “procedan a la anulación de dicha factura, en aras al acuerdo llegado entre las partes” y los acuses de recibo de Correos que prueban que la carta se envió el 13/07/2011 y se recibió el 14/07/2011 (folios 6 a 8, hecho probado quinto). El denunciante ha aportado copia de una carta que declara haber enviado a ORANGE el 23/04/2015 solicitándole la cancelación de sus datos. No obstante, únicamente nos ha facilitado la documentación que prueba el envío de la carta pero no la que acredita la recepción por la operadora. Indicar finalmente, a propósito de las cartas que el denunciante recibió de ASNEF EQUIFAX, S.L. y de EXPERIAN BUREAU DE CRÉDITO, S.A., notificándole la inclusión de sus datos personales en los fichero de solvencia ASNEF y BADEXCUG que, como consta en esas cartas, los datos que ORANGE comunicó a los ficheros de morosidad fueron el nombre y apellidos del denunciante pero no su NIF sino el de un tercero: el E.E.E.. De las actuaciones practicadas por la Inspección de Datos ante las entidades citadas resulta que el NIF del denunciante no está ni ha estado en el pasado incluido en ninguno de esos ficheros de solvencia informados por ORANGE (hechos probados décimo y undécimo). El criterio identificador de las personas incluidas en los ficheros de solvencia patrimonial es, exclusivamente, el NIF o CIF del afectado, de manera que en tanto ORANGE nunca llegó a comunicar el NIF del denunciante a los ficheros de esa naturaleza (por más que comunicara el nombre y apellidos y el domicilio) la conducta descrita no podría constituir una infracción del artículo 4.3, en relación con el 29.4 de la LOPD y el artículo 38 del Reglamento de desarrollo aprobado por el Real Decreto 1720/2007 (RLOPD) Se concluye de lo expuesto que ORANGE, después de haber reconocido ante la OMIC en abril de 2011 que la deuda que exigía al denunciante no era cierta, y pese a que el denunciante solicitó de nuevo en julio de 2011 la rectificación del dato inexacto, mantuvo en sus ficheros los datos personales del afectado atribuyéndole una deuda a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 que él era ajeno. Conducta que vulnera el principio de exactitud y veracidad de los datos, recogido en el artículo 4.3 de la LOPD, y que es subsumible en el tipo sancionador del artículo 44.3.
30. c)de la LOPD. B. Se atribuye también a ORANGE una infracción del artículo 11.1 de la LOPD tipificada como infracción grave en el artículo 44.3.
31. k)de la citada Ley Orgánica, precepto que sanciona “La comunicación o cesión de datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. Sobre el fundamento jurídico de la cesión de datos (artículo 11.1 de la LOPD) ha incidido el Tribunal Constitucional en su STC 292/2000, en la que se pronuncia en los siguientes términos (Fundamento Jurídico 13ª): “….el derecho a consentir la recogida y el tratamiento de los datos personales (artículo 6 de la LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho a la protección de tales datos. Y por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (artículo 4.2 de la LOPD), supone una nueva posesión y un uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y por tanto esté justificada, sea proporcionada y, además se establezca por Ley, pues el derecho fundamental a la protección de datos personales no admite otros límites” Consta acreditado que ORANGE cedió a INTRUM IUSTITIA DEBT FINANCE, A.G. (en adelante, INTRUM I.D. FINANCE) los datos personales del denunciante, asociados a una deuda inexistente (hecho probado séptimo) La comunicación de los datos personales del denunciante asociados a una deuda incierta se realizó en el marco de una operación de cesión de cartera o venta de créditos pactada entre ambas entidades. Esta comunicación de datos del denunciante no puede ampararse, sin embargo, en las disposiciones de los artículos 11.2.a, LOPD y 347 del Código de Comercio. A tenor de esos preceptos se dispensa de la obligación que el artículo 11.1 LOPD impone –que exige recabar el consentimiento del titular para comunicar sus datos a un tercerocuando tal comunicación sea consecuencia de una operación de venta de créditos. En esa hipótesis –cesión o venta de créditos- la única condición exigida es informa al deudor de la cesión y de la identidad del nuevo acreedor. En el presente caso, resulta plenamente acreditado que ORANGE e INTRUM I.D. FINANCE, conjuntamente, informaron al denunciante de la venta de una cartera de créditos –venta elevada a escritura pública el 23/07/2014- entre los que se incluía la supuesta deuda atribuida al denunciante (hecho probado séptimo). Ahora bien, la existencia de una carta de ORANGE e INTRUM I.D. FINANCE dirigida al denunciante no legitima la comunicación que la primera entidad hizo de los datos del denunciante a la segunda, ya que la cedente de los datos personales del afectado no ostentaba ningún C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 derecho de crédito frente a él. Así las cosas, la cesión efectuada por ORANGE a INTRUM I.D. FINANCE, no tenía amparo en los artículos 11.2.
32. a)de la LOPD en relación con el artículo 347 del Código de Comercio, de modo que para que la comunicación de datos realizada fuera ajustada a Derecho hubiera sido necesario recabar previamente el consentimiento del titular (ex artículo 11.1 LOPD), lo que en ningún caso llegó a producirse. Por otra parte, INTRUM I.D. FINANCE informó a los ficheros de solvencia patrimonial ASNEF y BADEXCUG los datos personales del denunciante consistentes en nombre, apellidos y domicilio, pero no su NIF puesto que el identificador (NIF) al que se vincularon sus datos fue el de un tercero ( E.E.E., hecho probado noveno). Una mención particular merece la cuestión relativa a qué datos personales del denunciante fueron objeto de cesión por ORANGE a INTRUM I.D. FINANCE. No hay duda de que comunicó a la cesionaria el nombre, dos apellidos y el domicilio del denunciante (hechos probados noveno y decimocuarto), pero no llegó a ceder su NIF, I.I.I. (hecho probado primero) sino que los datos personales del afectado se cedieron vinculados a un NIF que no le pertenecía ( el E.E.E.) A este respecto es preciso destacar que consta en el expediente diversa documentación que demuestra que en los ficheros de ORANGE los datos del denunciante estaban asociados a un NIF que no era el suyo sino al de un tercero: NIF E.E.E.. Pueden citarse al efecto las facturas que ORANGE emitió al denunciante, cuya copia nos ha remitido (folios 287 a 296); la impresión de pantalla de los registros informáticos de la operadora relativa a la recepción el 31/3/2011 (folio 286) de la reclamación de la OMIC; la copia del contrato que ORANGE presentó ante la OMIC (folio 273) o el testimonio de la gestora de cobros Intrum Justitia (hecho probado Decimocuarto, folio 72) que declaró que entre los datos del denunciante que ORANGE le comunicó, en su condición de encargada de tratamiento, figuraba el NIF E.E.E., del que el denunciante no es titular. Igualmente, la documentación de que se dispone demuestra que en los ficheros de INTRUM I.D. FINANCE los datos del denunciante aparecían asociados al NIF de un tercero ya mencionado. Esta circunstancia, sin embargo, no ha impedido que el denunciante haya llegado a ser perfectamente identificado y que la entidad cesionaria haya promovido contra él un procedimiento judicial de reclamación de cantidad, Juicio Monitorio *****/2015 seguido ante el Juzgado de Primera Instancia número 10 de Murcia, (hecho probado Decimotercero). De la exposición precedente concluimos que ORANGE vulneró el artículo 11.1 de la LOPD al haber comunicado los datos personales del denunciante (nombre, apellidos y domicilio) a una tercera entidad, asociados a una deuda inexistente sin haber recabado con carácter previo el consentimiento a tal comunicación. Consentimiento exigido por el artículo 11.1 de la LOPD, en la medida de que la comunicación de datos no podía ampararse en la excepción del artículo 11.2.a LOPD, en relación con el artículo 347 del Código de Comercio español, pues ORANGE no era titular de ningún crédito frente al denunciante. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 El artículo 130.1 de la LRJPAC acoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Por tanto, la acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia, como ya reconoció el Tribunal Supremo en Sentencias de 16 y 22 de abril de 1991. Es más, conforme al artículo 130.1 de la LRJPAC bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia. En este sentido, y concretado al ámbito del procedimiento administrativo sancionador en materia de protección de datos, cabe mencionar la Sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
33. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) Por su parte, el Tribunal Supremo (STS 05/07/1998 y 03/03/1999) viene entendiendo que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia exigible se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. También el Tribunal Constitucional se ha pronunciado sobre la necesidad de que en el ámbito del Derecho Administrativo Sancionador esté presente el elemento subjetivo de la infracción para poder exigir responsabilidad por el ilícito cometido, pues no cabe imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. En Sentencia 76/1999 afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El relato de hechos probados pone de manifiesto que ORANGE actuó con una grave falta de diligencia ya que - pese a haber respondido a la reclamación que el denunciante planteó ante la OMIC en abril de 2011 y haber estimado su pretensión declarando que no existía deuda- siguió reflejando en sus ficheros, asociada a los datos personales del denunciante, la existencia de una deuda, le requirió su pago en múltiples ocasiones, informó su nombre, apellidos y domicilio (asociados a un NIF que no le pertenecía) a los ficheros de solvencia ASNEF y BADEXCUG, y finalmente cedió la presunta deuda vinculada a sus datos a INTRUM I.D. FINANCE. Entidad que posteriormente promovió contra él un procedimiento judicial para lograr el pago de la deuda. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 La denunciada ha reconocido su culpabilidad en los hechos, pues ha manifestado que el ajuste por el cual anulaba la parte de la factura del denunciante relativa al compromiso de permanencia no fue correctamente ejecutado por el Agente que se encargó de gestionar la reclamación, lo que dio lugar a que ese cargo “no fuera eliminado” y la factura entrara “en proceso automático de recobro”. La misma explicación ha ofrecido en relación a la infracción del artículo 11.1 de la LOPD a propósito de la cual ORANGE expuso que la factura no fue correctamente anulada por lo que ante el impago por el cliente “entró en el circuito automático de recobro, lo que motivó la cesión del crédito” a favor de INTRUM I.D. FINANCE. (Folios 152, 211 y 212) V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
34. a)El carácter continuado de la infracción.
35. b)El volumen de los tratamientos efectuados.
36. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
37. d)El volumen de negocio o actividad del infractor.
38. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
39. f)El grado de intencionalidad.
40. g)La reincidencia por comisión de infracciones de la misma naturaleza.
41. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
42. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
43. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
44. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 de los criterios enunciados en el apartado 4 de este artículo.
45. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
46. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
47. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
48. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en la que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Audiencia Nacional, Sala de lo Contencioso Administrativo, viene entendiendo que la aplicación del artículo 45.5 LOPD ha de ser individualizada en atención a las circunstancias concretas que resulten de cada caso, correspondiendo al sancionado la carga de acreditar los elementos de los que resulte una disminución "especialmente cualificada" de la culpabilidad o de la antijuridicidad. A. En el presente asunto merece un análisis detallado la circunstancia recogida en el apartado d, del precepto (reconocimiento espontaneo de la culpabilidad), pues la denunciada la invoca de forma reiterada, tanto en la respuesta al requerimiento informativo que le hizo la Inspección de Datos de la AEPD como en los escritos de alegaciones al acuerdo de inicio del expediente y a la propuesta de resolución. En ese último escrito ORANGE discrepa del criterio de la AEPD en la Propuesta de resolución del expediente, en la que la atenuante privilegiada del artículo 45.5.
49. d)LOPD únicamente se apreció en relación con la infracción cesión de datos sin consentimiento (ex artículo 11.1 LOPD) pero no en la de calidad del dato (ex artículo 4.3 LOPD) En las alegaciones a la Propuesta de resolución ORANGE expone que, cuando en febrero de 2016, en el marco de las actuaciones previas del E/5256/2015, reconoció su culpabilidad, no se refería sólo, como parece entender la AEPD, a la infracción del artículo 11.1 LOPD, sino también a la infracción del artículo 4.3 LOPD. Pues bien, sobre la aplicación de la atenuante privilegiada del artículo 45.5.d), hay que destacar que el precepto exige que el reconocimiento de la culpabilidad sea “espontaneo”. La Sentencia de la Audiencia Nacional de 10/05/2016 (Rec. 913/2015) insiste en el carácter espontáneo del reconocimiento de culpabilidad e indica: “Por último, aunque deba valorarse positivamente que la compañía demandante haya reconocido en vía administrativa su culpabilidad por los hechos denunciados, constitutivos de la infracción por cuya autoría ha sido sancionada, debemos precisar que el hecho de que este reconocimiento de responsabilidad tuviera lugar en el escrito de alegaciones presentado ante la propuesta de resolución del instructor, como admiten las partes, y no con anterioridad impide su calificación como la circunstancia prevista en el artículo 45.5.d), pues carece de la espontaneidad necesaria para ello.” (El subrayado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 es de la AEPD) La “espontaneidad” que caracteriza al reconocimiento de la culpabilidad que integra el artículo 45.5.
50. b)LOPD está vinculada con el momento en el que el infractor hace esa declaración de voluntad, de forma que el reconocimiento se produzca nada más tener noticia de los hechos presuntamente infractores. En el presente caso consta acreditado que ORANGE reconoció en el año 2011 ante la OMIC, a raíz de la reclamación que el denunciante presentó contra ella en ese órgano de consumo, la inexistencia de la deuda. Sin embargo, a pesar de tal reconocimiento, ORANGE no rectificó el dato inexacto de sus ficheros, por lo que la deuda continuó figurando vinculada erróneamente al denunciante hasta que finalmente fue vendida a INTRUM IUSTITIA DEBT FINANCE. Argumenta la entidad que la orden de cancelar la deuda no fue correctamente ejecutada por el agente que gestionó la reclamación, por lo que la factura entró en el proceso automático de recobro. Tampoco este último alegato de ORANGE puede ser tenido en cuenta pues hay que recordar que el denunciante volvió a dirigirse a la operadora por estos hechos. Así, consta acreditado en el expediente que, después de que la OMIC hubiera archivado la reclamación -en tanto ORANGE había reconocido que la deuda que reclamaba era inexistente- el denunciante, al seguir recibiendo requerimientos de pago, se dirigió a la operadora por carta de fecha 13/07/2011, que fue recibida el 14/07/2011 (hecho probado quinto). Cuando en el curso de las actuaciones previas del E/5256/2015, ORANGE reconoció su culpabilidad, era conocedora de la inexactitud del dato relativo a su condición de deudor desde varios años antes