← España

PS-00311-2016

1/12 Procedimiento Nº PS/00311/2016 RESOLUCIÓN: R/02341/2016 En el procedimiento sancionador PS/00311/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por D. F.F.F., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14 de julio de 2015, tuvo entrada en esta Agencia un escrito de Don F.F.F. en el que manifiesta que es cliente de ORANGE desde 2012 de las líneas A.A.A. y A.A.A. así como de un servicio de línea fija y ADSL. En febrero de 2015, tuvo conocimiento de que se había producido un cambio de titularidad, sin su consentimiento, en sus líneas móviles en favor de Don C.C.C. con DNI H.H.H., si bien seguía figurando él como titular de la domiciliación bancaria de dichas líneas. Asimismo, manifiesta que Don C.C.C. era titular de la línea de ORANGE número A.A.A.. Adjunto a su denuncia aportó la siguiente documentación: - Copia del DNI Nº I.I.I. del que es titular el denunciante. - Copia de la reclamación de fecha 8/7/2015 interpuesta ante la Secretaría de Estado de Telecomunicaciones y que incluye los siguientes documentos: C/ Jorge Juan, 6 28001 – Madrid o Copia de pantalla del acceso en fecha 16/4/2015 a las 8:59 horas a la página web de clientes de ORANGE https://areaprivada.orange.es............... en la que se aprecia que la línea A.A.A. se encuentra asociada a C.C.C. con dirección de correo electrónico G.G.G.. o Copia de pantalla del acceso en fecha 16/4/2015 a las 8:56 horas a la página web de clientes de ORANGE https://areaprivada.orange.es...............1 en la que se aprecia que la línea A.A.A. se encuentra asociada a F.F.F.. o Copia de pantalla del acceso en fecha 8/7/2015 a las 11:36 horas a la página web de clientes de ORANGE https://areaprivada.orange.es...............2 en la que se aprecia que las líneas A.A.A. figuran asociadas a un mismo titular. o Copia de pantalla del acceso en fecha 8/7/2015 a las 11:38 horas a la página web de clientes de ORANGE https://areaprivada.orange.es...............3 en la que se aprecia que la línea A.A.A. figura asociada a F.F.F. con dirección de correo electrónico E.E.E.. o Copia de pantalla del acceso en fecha 8/7/2015 a las 12:38 horas a la www.agpd.es sedeagpd.gob.es 2/12 página web de clientes de ORANGE https://areaprivada.orange.es...............4 en la que se aprecia un listado de facturas asociadas a la línea A.A.A. emitidas entre el 26/7/2014 y el 26/6/2015. o Copia de la factura de fecha 17/4/2015 a nombre de F.F.F. que rectifica la factura de fecha 26/3/2015. o Copia de la factura de fecha 17/4/2015 a nombre de F.F.F. que rectifica la factura de fecha 26/2/2015. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia, con fecha 2 de junio de 2016, se realizó una inspección a ORANGE en la que se constató lo siguiente: 1. <<Se accede a la aplicación de ORANGE que gestiona los cuentas y productos contratados por los clientes realizándose una búsqueda por el DNI por el número I.I.I. obteniéndose que corresponde al cliente de nombre F.F.F. titular de dos cuentas de cliente con el siguiente detalle: 1.1. Cuenta ***CUENTA.2 relativo a una línea dada de alta en fecha 8/9/2012 y de baja el 9/7/2014. 1.2. Cuenta ***CUENTA.1 relativa a cuatro líneas: 1.2.1.Servicio 4G dado de alta 12/12/2012 y de baja el 20/7/2015 por portabilidad. El servicio corresponde al número A.A.A.. 1.2.2.Servicio 4G dada de alta 12/12/2012 y de baja el 20/7/2015 por portabilidad. El servicio corresponde al número A.A.A.. 1.2.3.Servicio móvil dado de alta 18/12/2012 y de baja el 16/7/2015 por portabilidad. El servicio corresponde al número A.A.A.. 1.2.4.Servicio móvil dado de alta 19/12/2012 y de baja el 24/2/2015 por takeover. Se entiende por takeover cuando se produce un cambio en una línea desde un contrato a otro sin que se produzca una baja de la línea. El cambio de contrato puede implicar o no un cambio de titular. Este servicio corresponde a la línea A.A.A.. 2. Se accede al sistema de facturación comprobándose lo siguiente: 2.1. Las líneas A.A.A. y A.A.A. en sus orígenes con ORANGE fueron facturadas conjuntamente a nombre F.F.F. tal y como consta en la factura de fecha 26/12/2012. Esta situación se mantiene hasta la factura de fecha de 31/1/2015, produciéndose un cambio en la siguiente factura de febrero (fecha 3/3/2015) y la factura de marzo donde las citadas tres líneas aparecen facturadas a nombre de C.C.C. observándose cambio en el domicilio postal de envío de la factura pero manteniendo la dirección bancaria de pago de F.F.F.. Las facturas aparecen nuevamente a nombre de F.F.F. a partir de la factura de abril de 2015. 2.2. Tras consultar el histórico de facturación de la línea A.A.A. se observa que la primera factura emitida sobre dicho número es la emitida en fecha de febrero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 emitida en fecha 6/3/2015 a nombre de C.C.C. remitida al domicilio de dicha persona y a su cuenta bancaria. Consta que las facturas de abril, mayo, junio, julio y agosto de 2015 se emiten a nombre de F.F.F. volviendo a emitirse a nombre de C.C.C. las facturas emitidas a partir de septiembre de 2015. 2.3. Se comprueba que tanto la línea A.A.A. como la línea A.A.A. fueron dadas de alta en ORANGE a través del mismo distribuidor con código de identificación ***NÚM.1 y de nombre BCTEL AMPOSTA, ubicado en la localidad de Amposta, localidad en la que también tienen su residencia los clientes F.F.F. y C.C.C.. El citado distribuidor ha dejado de prestar servicio para ORANGE desde el 15/12/2015. 2.4. Se comprueba que en fecha de 21/2/2015 el distribuidor realiza un cambio de titularidad desde el DNI I.I.I. correspondiente a F.F.F. al DNI H.H.H. correspondiente a C.C.C. sobre la cuenta ***CUENTA.1 que engloba los números A.A.A. A.A.A. y A.A.A.. 2.5. Dado que durante la inspección los representantes de ORANGE no pudieron acreditar el origen de los cambios de titularidad observados en la línea A.A.A. así como los acaecidos sobre las líneas A.A.A. y A.A.A. se les concedió un plazo de diez días para que aportaran la información la información acreditativa de dichos cambios. 2.6. En fecha de 16/6/2016, se recibió escrito remitido por ORANGE en el que la entidad manifestaba que los cambios de titularidad acaecidos sobre las líneas de F.F.F. en favor de C.C.C. tienen su origen en un cruce de los datos de DNI de las citadas personas generado desde el punto de venta correspondiente al canal de distribución de ORANGE. Finalmente señala la compañía que actualmente los datos del afectado aparecen correctamente en los sistemas de la entidad.>> TERCERO: Con fecha 27 de junio de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE, S.A.U., por presunta infracción de los artículos 4.3 y 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas ambas como graves en el artículo 44.3.

  1. c)y
  2. d)respectivamente de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE ESPAGNE, S.A.U. formuló alegaciones, significando lo siguiente: Solicitan la aplicación del concurso medial de infracciones, ya que no se hubiese producido la vulneración del derecho de secreto de los datos del cliente si previamente no hubiese habido algún tipo de inexactitud en esos datos. Sobre la infracción del artículo 4.3 exponen que, durante la Inspección de esta Agencia, los representantes de la entidad reconocieron la culpabilidad en la comisión de la infracción, manifestando que se produjo por un cruce de datos del DNI del denunciante y de un tercero desde un punto de venta del canal de distribución de ORANGE. Manifiestan también que el denunciante no comunicó a ORANGE la incidencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 por lo que no se le concedió la posibilidad de enmendar de forma diligente el cruce de datos existente en sus sistemas. Respecto de la graduación de las sanciones estiman que deben considerarse los siguientes criterios del artículo 45.4 de la LOPD:
  3. b)volumen de los tratamientos, porque la infracción afecta a uno solo de los más de 19 millones de clientes de la compañía,
  4. e)ausencia de beneficios obtenidos por la comisión de la infracción,
  5. f)ausencia de intencionalidad porque se debió a un cruce de datos generado desde un punto de venta,
  6. h)ausencia de perjuicios causados al denunciante. Concluye su escrito de alegaciones solicitando que se dicte resolución en la que se imponga a ORANGE una sanción en la horquilla de infracciones leves al concurrir hasta 4 circunstancias atenuantes en la actuación infractora. QUINTO: Con fecha 1 de agosto de 2016 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Don F.F.F. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE ESPAGNE, S.A.U., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05384/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00311/2016 presentadas por ORANGE ESPAGNE, S.A.U., y la documentación que a ellas acompaña. SEXTO: Con fecha 14 de septiembre de 2016 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 20.000 € a ORANGE ESPAGNE, S.A.U., por la comisión de una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  7. c)de dicha Ley. SÉPTIMO: Notificada la propuesta de resolución, ORANGE ESPAGNE, S.A.U. formuló alegaciones, en las que comunica que concurren cuatro circunstancias atenuantes de su actuación, que no se consideran en la propuesta notificada y que son las previstas en los apartados b, e, f, h del artículo 45.5 de la LOPD cuya consideración minoraría el importe de la sanción. HECHOS PROBADOS PRIMERO: El denunciante ha manifestado que es cliente de ORANGE, de tres líneas móviles y de un servicio de línea fija y ADSL. Que en febrero de 2015, tuvo conocimiento de que se había producido un cambio de titularidad, sin su consentimiento, en sus líneas móviles en favor de otro cliente de ORANGE, aunque seguía figurando él como titular de la domiciliación bancaria de dichas líneas. Aporta también el número de teléfono del que es titular el otro cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 SEGUNDO: El denunciante aporta junto con su escrito de denuncia, copia de su DNI y copia de la reclamación de fecha 8 de julio de 2015 interpuesta ante la Secretaría de Estado de Telecomunicaciones y que incluye los siguientes documentos: Copias de pantallas del acceso en fecha 16 de abril de 2015 a la página web de clientes de ORANGE en las que una de sus líneas móviles figura asociada, en un caso a él y en otro, al otro cliente. Copias de pantallas del acceso en fecha 8 de julio de 2015 a la página web de clientes de ORANGE donde figura a su nombre la línea móvil del otro titular, una relación de facturas y dos facturas de abril de 2015 que rectifican las facturas de febrero y marzo. TERCERO: En la inspección llevada a cabo por esta Agencia el 2 de junio de 2016 en la entidad ORANGE se constata lo siguiente: Que el denunciante es titular de varias líneas, que la facturación de sus tres líneas móviles se emite, en febrero y en marzo de 2015, al nombre y al domicilio postal de otro cliente y que las facturas de abril a agosto de 2015 del número de móvil del que es titular el otro cliente se emiten a nombre del denunciante. Se comprobó durante la inspección que el 21 de febrero de 2015 un distribuidor de ORANGE realizó un cambio de titularidad del DNI del denunciante al del otro cliente en la cuenta que engloba las líneas móviles de ambos. Se requiere a la entidad que informe sobre los cambios de titularidad efectuados en las líneas móviles de sus dos clientes. CUARTO: Con fecha 14 de junio de 2016 ORANGE informa de las comprobaciones realizadas y confirma que el cruce de datos fue generado desde el punto de venta del Canal de Distribución de esa mercantil y que esa situación fue la que provocó los desalineamientos entre los sistemas de la compañía. Informa también de que en la actualidad todos los datos del afectado aparecen correctos en los diferentes sistemas del Área de Clientes. QUINTO: ORANGE no ha acreditado que hubiese obtenido el consentimiento o autorización del denunciante para la revelación de sus datos en relación con la vinculación de los números móviles de otro cliente y los suyos entre sí, ni que exista norma legal que justifique dicha revelación. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  8. g)en relación con el artículo 36 de la LOPD. II La LOPD dispone en su artículo 4, relativo a la “calidad de los datos”: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado. 4. Si los datos de carácter personal registrados resultaren ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. La infracción del artículo 4.3 de la citada LOPD, sanciona el uso de los datos de carácter personal "con conculcación de los principios y garantías establecidas" en la Ley Orgánica citada, define las pautas a las que debe atenerse la recogida, tratamiento y uso de datos de carácter personal, pautas encaminadas a garantizar tanto la veracidad de la información contenida en los datos almacenados cuanto la congruencia y racionalidad de la utilización de los mismos. Este principio de calidad es esencial y determina que los datos han de ser "exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado", Estos principios y concretamente, por lo que hace al caso, el previsto en el artículo 4.3 de la LOPD, pretenden concretar el derecho fundamental que se recoge en el artículo 18.4 de la CE, bajo la referencia al uso de la informática, y que extiende su protección no a los datos íntimos de la persona -que se protegen en el derecho a la intimidad-, y que en todo caso gozan de protección reforzada en el Ley Orgánica de tanta cita, sino a los datos de carácter personal (STC 292/2000). Por tanto, la garantía de la vida privada de la persona y su reputación poseen una dimensión positiva que excede del ámbito del artículo 18.1 CE y que se traduce en un derecho al control sobre los propios datos. Se pretende garantizar ahora a la persona, mediante el control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad del afectado. La Audiencia Nacional, en diversas sentencias (entre otras, SAN de 24 de marzo de 2004 y 7 de julio de 2006), ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre éstos se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento -exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. En definitiva, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999 implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. III En el presente caso se imputa a ORANGE ESPAGNE, S.A.U. una infracción del artículo 4.3 de la LOPD, por lo que corresponde analizar si los datos tratados por la operadora se ajustaron o no al principio de exactitud y veracidad que consagra el citado precepto. En el presente procedimiento consta acreditado que ORANGE ESPAGNE, S.A.U. ha tratado los datos del denunciante de manera inexacta y sin que respondiera con veracidad a su situación en aquel momento. Se ha acreditado que el 21 de febrero de 2015 un distribuidor de ORANGE realizó un cambio de titularidad del DNI del denunciante al de otro cliente en una cuenta que engloba las líneas móviles de ambos. Como consecuencia de ello, la facturación de las tres líneas móviles del denunciante se emitieron, en febrero y en marzo de 2015, al nombre y al domicilio postal de otro cliente y las facturas de abril a agosto de 2015 del número de móvil del que es titular el otro cliente se emitieron a nombre del denunciante. ORANGE ha informado de las comprobaciones realizadas tras conocer la incidencia durante la inspección de fecha 2 de junio de 2016, y confirma que el cruce de datos fue generado desde un punto de venta del Canal de Distribución de esa mercantil y que esa situación fue la que provocó el problema denunciado. ORANGE ESPAGNE, S.A.U. informa también de que en la actualidad todos los datos del afectado aparecen correctos en los diferentes sistemas del Área de Clientes. En conclusión, ORANGE asoció la línea móvil del denunciante y los de su cuenta bancaria a los datos personales de otro cliente, nombre, apellidos DNI y dirección postal, así como la línea móvil de este otro cliente con los datos personales del denunciante. De esta manera trató automatizadamente los datos personales en sus ficheros de los que es responsable conforme al artículo 3.
  9. d)de la LOPD y decidió sobre la finalidad, el contenido y el uso del tratamiento, por lo que es responsable de que la información obrante en sus ficheros no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Por las razones expuestas la conducta descrita constituye una vulneración, imputable a ORANGE ESPAGNE, S.A.U., del principio de calidad del dato que establece el artículo 4.3 de la LOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 El artículo 44.3.
  10. c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el supuesto que nos ocupa la conducta de ORANGE ESPAGNE, S.A.U., vulnera el principio de calidad de los datos, artículo 4.3, de la LOPD, infracción que se encuentra tipificada en el artículo 44.3.
  11. c)de la citada Ley Orgánica. V El presente expediente sancionador tiene también por objeto determinar la posible responsabilidad de ORANGE ESPAGNE, S.A.U. por la infracción del artículo 10 de la LOPD, fruto de la revelación de los datos contenidos en sus ficheros. El artículo 10 de la LOPD referido al Deber de secreto en el tratamiento de datos nos dice que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. De tal forma, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 En el presente procedimiento ha quedado acreditado que en fechas 16 de abril y 8 de julio de 2015, el denunciante tuvo acceso a los datos personales de nombre y apellidos, y número de teléfono de un tercero, cliente como él de ORANGE, como acreditan las capturas de pantalla del área de clientes de ORANGE aportadas por el denunciante y como confirma la entidad. En consecuencia, habida cuenta de que es responsabilidad de ORANGE la custodia de los datos que se incorporan a sus ficheros, y dado que ha quedado acreditado que los datos de un cliente fueron efectivamente conocidos por el denunciante (esto es, una tercera persona), en tanto dicha operadora ha posibilitado el acceso a datos personales de uno de sus clientes sin su consentimiento, se concluye que vulneró el artículo 10 de la LOPD, infracción tipificada en el artículo 44.3.
  12. d)de la citada norma. El artículo 44.3.
  13. d)de la LOPD tipifica como infracción grave “ La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. VI El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se debe imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En el presente caso cabe entender la existencia de un concurso de infracciones por cuanto el hecho de que en los ficheros de la entidad denunciada figuraran datos de las líneas del denunciante asociados erróneamente a los de otro cliente, dio lugar a que el denunciante tuviera acceso, a través del área de clientes de la operadora al nombre y apellidos y teléfono de un tercero, y por tanto ha tenido lugar una vulneración del deber de secreto de sus datos personales. En consecuencia y conforme a lo señalado anteriormente procede proponer la imposición de únicamente una sanción, en este caso por infracción del artículo 4.3 de la LOPD, por ser la vulneración del deber de secreto (artículo 10 de la LOPD) consecuencia de la primera. VII El artículo 45 de la LOPD, apartados 1 a 5, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  29. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la presencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, al concurrir la circunstancia prevista en el apartado
  30. d)al haber reconocido la entidad denunciada espontáneamente su responsabilidad en los hechos acaecidos, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, estableciendo una sanción de "la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". En el caso presente, de las actuaciones practicadas ha quedado probado que ORANGE vulneró los artículos 4.3 y 10 de la LOPD, en su condición de responsable del tratamiento, al asociar a la cuenta de facturación del denunciante, datos de otro cliente, datos inexactos que no respondían con veracidad a la situación del mismo, motivo por el que tuvo acceso a los datos personales del otro cliente. Por otra parte, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Entre ellas cabe citar el apartado
  31. c)“la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeñan las entidad denunciad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado
  32. d)“volumen de negocio o actividad del infractor”, toda vez que se trata de una de las mayores operadoras de telefonía del país por volumen de negocio. Entre las circunstancias que operan como atenuantes ya ha sido tenida en cuenta la concurrencia de las siguientes: la ausencia de intencionalidad (
  33. f)porque no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, aunque no cabe ninguna duda de que incurrió en una falta de diligencia, y la ausencia de beneficios obtenidos como consecuencia de las infracciones (e). Respecto de la ausencia de perjuicio al denunciante, circunstancia alegada por la entidad denunciada, no puede descartarse la ausencia de dicho perjuicio, ya que el denunciante tuvo que formular reclamación a la SETSI el 8 de julio de 2015, continuando los datos inexactos el 2 de junio de 2016 por lo que no se aprecian razones que justifiquen la minoración de la sanción propuesta. En el presente caso, valorados los criterios de graduación de las sanciones previstos en el artículo 45.4, tanto favorables como adversos, se acuerda sancionar a ORANGE ESPAGNE, S.A.U. con una multa de 20.000 € (veinte mil euros) por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 infracción del artículo 4.3 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  34. c)de la LOPD, una multa de 20.000 € (VEINTE MIL EUROS), de conformidad con lo establecido en el artículo 45 .1, .2, .4 y .5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., y a D. F.F.F.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.