← España

PS-00332-2015

1/24 Procedimiento Nº PS/00332/2015 - RESOLUCIÓN: R/03232/2015 En el procedimiento sancionador PS/00332/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 07/07/2014 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que declara que sus datos han sido utilizados para darle de alta sin su consentimiento en ORANGE ESPAGNE S.A.U. (en lo sucesivo ORANGE) una línea de telefonía (***TEL.1) que tuvo contratada con MOVISTAR hasta 22/06/2008 y que la deuda generada por ORANGE ha sido cedida a SALUS INVERSIONES Y RECUPERACIONES S.L. (en adelante SIR) y esta entidad le ha incluido en Asnef. Aporta copias de: - NIF y Volante de empadronamiento en el domicilio facilitado - Reclamación de 9/11/2009 ante la OMIC del Ayuntamiento de Ontinyent contra ORANGE por dos notificaciones de impago de la entidad ORANGE de fechas 18/07/2009 y 16/09/2009 e importe 676,18€ (adjuntas a la reclamación) y de fecha 27/10/2009 e importe 2.017,05€ (que no adjunta). - Solicitud de 9/11/2009 de derecho de cancelación de datos ante ORANGE. - Escrito de 10/11/2009 de la OMIC a ORANGE remitiendo reclamación del afectado. - Respuesta de 26/11/2009 de ORANGE a la OMIC informando que la línea ***TEL.1 ya no pertenece a la compañía sino a la empresa PHONETRADING, a la que el afectado debe dirigir su solicitud de cancelación de datos. - Reclamación de 30/09/2013 ante la OMIC del Ayuntamiento de Ontinyent contra SIR por una comunicación de cesión de crédito por deuda de 118,13€. - Carta de 22/08/2013 de SIR/ORANGE de comunicación de cesión de crédito de ORANGE a SIR adquirido por ésta en fecha 22/07/2013, con una deuda del afectado de 118,13€. - Solicitud de 8/10/2013 de derecho de cancelación de datos ante SIR. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/24 - Respuesta de 23/10/2013 de SIR a la OMIC informando que el afectado no tiene actualmente ninguna deuda con FRANCE TELECOM SAU (actual ORANGE); que en fecha 22/07/2013 SIR adquirió cartera de deuda a ORANGE incluyendo facturas pendientes de pago por el afectado que corresponden a facturas de mayo, junio, septiembre y octubre de 2010 por importe de 1.181,39€. - Respuesta de 21/11/2013 de SIR a la OMIC informando que la línea ***TEL.1 ya no pertenece a ORANGE sino a Phonetrading, a la que el afectado debe dirigir su solicitud de cancelación de datos, y que no procede la cancelación de los datos del mismo. - Reclamación de 3/12/2013 ante la OMIC del Ayuntamiento de Ontinyent contra Phonetrading por la línea ***TEL.1. - Escrito de 4/12/2013 de la OMIC a PHONETRADING remitiendo reclamación del afectado. - Reclamación de 8/01/2014 ante la OMIC del Ayuntamiento de Ontinyent contra SIR por la respuesta de 21/11/2013. - Carta de 15/01/2014 de Equifax donde figura a su nombre, NIF y dirección una deuda de 1.181,39€ informada por la entidad SALUS INVERSIONES con fecha de alta 22/11/2013. - Respuesta de 20/01/2014 de SIR a la OMIC informando que con fecha 18/11/2009 el afectado recibió una factura rectificativa por importe de -2.017,04€ correspondiente al periodo de facturación del 01/07/2009 al 31/08/2009, y con posterioridad a ese abono se le factura deI 1 al 16 de septiembre de 2009, fecha en que figura la baja definitiva en los sistemas. - Reclamación de 26/03/2014 ante la OMIC del Ayuntamiento de Ontinyent contra SIR, en la que aporta: copia de respuesta de 24/02/2014 de TELEFONICA informando que la línea ***TEL.1, de la que era titular el afectado, causó baja con fecha 22/06/2008; y solicitud de 26/03/2014 de derecho de cancelación de datos ante SIR. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a ORANGE teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas E/04998/2014 que se transcribe: “ACTUACIONES PREVIAS Con fecha de 3 de octubre de 2014 se solicita información a ORANGE teniendo entrada en esta Agencia con fecha 30 de abril de 2015 escrito en el que manifiesta: 1. Impresión de pantalla de la siguiente información: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/24 1.1. Datos relativos a nombre, apellidos, domicilios y direcciones de contacto y cuentas bancarias: A.A.A., con NIF ***NIF.1, domicilio en (C/...........1)Valencia y nº de cuenta N***NIF.10001 por el servicio ***TEL.1. 1.1.1. Productos y/o servicios contratados con fecha de alta y baja de cada uno de ellos: La línea ***TEL.1 fue activada en la modalidad de servicio de voz indirecto con fecha 03/07/2003 y fue dada de baja con fecha 16/09/2009. 1.1.2. Motivo de la baja: Consta un cambio de titular el 16/09/2009. La línea pasó a ser titularidad de la compañía PHONETRADING 2000. 1.2. Relación de facturas emitidas especificando las que han sido pagadas, las que se encuentran pendientes de pago y las que se han anulado, indicando el motivo de la anulación. 1.2.1. Aporta lista de facturas desde 11/09/2006 a 10/11/2009. 1.2.2. La Factura n° ***FACTURA.1 de fecha 10/07/2009 por importe de 676,18€ c/i (que se adjunta como Documento n°1) y la Factura n° ***FACTURA.2 de fecha de vencimiento 10/11/2009 por importe de 505,21€ c/i (que se adjunta como Documento n° 2) resultaron impagadas por el reclamante. El importe total de dicha deuda, que ascendía a 1.181,39€ c/i, fue cedido a la compañía Salus Inversiones & Recuperaciones, S.L. en fecha 22 de julio de 2013. 1.2.3. La Factura n° ***FACTURA.3 por importe de 2.017,05€ c/i que se adjunta como Documento n° 3 consta anulada con fecha 18/11/2009. Se aporta asimismo copia de la factura rectificativa como Documento n°4. 1.3. Copia de las comunicaciones y contactos que hayan existido entre esa entidad y el cliente, detallando el contenido, fecha y las acciones realizadas en cada caso: Consta en los sistemas el Caso n° ***NÚMERO.1 de fecha 14/07/2003. Se adjunta impresión de pantalla que refleja su gestión. 2. Aportar copia de la siguiente documentación: 2.1. Contratos suscritos por el afectado, incluyendo las condiciones generales y particulares aplicables así como la copia del DNI, pasaporte o cualquier otro documento recabado que acredite la identidad del contratante. 2.1.1. Debido a la antigüedad de la fecha en la que se produjo el alta en el servicio (3/07/2003) no consta ya archivado en los sistemas copia del contrato suscrito por el reclamante. 2.2. Reclamaciones por escrito efectuadas por el afectado o por terceros en su nombre, conclusiones y resoluciones que se hayan adoptado al respecto. 2.2.1. Consta en los sistemas los siguientes casos: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/24 2.2.1.1. Caso n° ***NÚMERO.2 de fecha 26/11/2009: Se adjunta impresión de pantalla que refleja su gestión, así como las notas del agente que lo tramitó. Las notas reflejan que: “se comprueba que el cliente ha tenido la línea ***TEL.1 solo con servicio indirecto del 03/07/03 al 16/09/09. En 2003 y 2004 se generaron 3 facturas que abonó y no se han generado nuevamente cargos hasta mayo de 2009. Se han generado 3 nuevos cargos estando 2 ptes de pago (1.181,40 €) y otro de 2.017,04 € que ha sido ajustado y anulado el 18/11/09. No consta ni reclamación anulando esa factura ni caso de baja y en PSOFT consta el reseller PHONETRADING. Se consulta con coordinación y nos indica que el cliente debe reclamar al reseller. El cliente además solícita la cancelación de sus datos por lo que se remite al departamento arco para su gestión y respuesta y por nuestra parte se envía carta respuesta con fecha 26/11/09”. 2.2.1.2. Caso n° ***NÚMERO.3 de fecha 02/12/2009: Se adjunta impresión de pantalla que refleja su gestión, así como las notas del agente que lo tramitó. Las notas reflejan que: “se recibe documentación con fecha de registro 20/11/09 en la que la clienta solicita la cancelación de datos mediante OMIC. Adjunta DNI. Se detalla reclamación OMIC denegada según caso ***NÚMERO.2. Impagos: sí. Se deniega cancelación de datos por impago. No obstante se aplica oposición de datos”. 2.2.1.3. Caso n° ***NÚMERO.4 de fecha 02/01/2014: Se adjunta impresión de pantalla que refleja su gestión. Las notas reflejan que: “Cliente con deuda antigua. Para consultas o pagos de su deuda remitir a la empresa Salus lnversiones & Recuperaciones. SL, telefono ***TEL.2. Nunca transferir al departamento de cobros Orange”. 3. Contratación realizada en un distribuidor. 3.1. Denominación y domicilio COMUNICACIONES, S.L.U. social actual del distribuidor: SIFER Debido a la antigüedad de la fecha en la que se produjo el alta en el servicio (3/07/2003) no consta ya en los sistemas información adicional sobre el distribuidor. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/24 3.2. Copia del contrato firmado con éste: Debido a la antigüedad de la fecha en la que se produjo el alta en el servicio (3/07/2003) no consta ya archivado en los sistemas el contrato firmado con el distribuidor. 3.3. Copia de las instrucciones facilitadas al distribuidor para realizar las altas de productos o servicios. 3.3.1. Existe por parte de Orange, un protocolo de actuación y un procedimiento conforme al cual se establecen las directrices en cuanto a la documentación necesaria y formatos de entrega para actos comerciales con clientes, el cual adjuntamos como Documento n° 5. Así mismo, se aporta un Comunicado emitido por parte de Orange al Canal de Distribución con el fin de alertar en relación con ciertas prácticas ilegales de altas fraudulentas, como Documento n°6. 3.4. Detalle de la documentación que debe recabar el distribuidor para acreditar la identidad del cliente antes de proceder a contratar. 3.4.1. El detalle de la documentación a solicitar por parte del Distribuidor figura recogida en el Documento n°5. 3.5. Información y documentación acreditativa de los controles realizados sobre el distribuidor al objetivo de verificar que cumple con las instrucciones citadas. 3.5.1. Siendo conscientes desde Orange de que la actual coyuntura económica favorece el riesgo de que se den prácticas irregulares en la formalización de actos comerciales, se está trabajando de forma activa con el Canal de Distribución para mantenerlos actualizados con nuevas amenazas de fraude y las tendencias que se ven en la industria, prueba de ello es la documentación aportada en los puntos inmediatamente anteriores de la presente Alegación.” TERCERO: Con fecha 19 de junio de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE por presunta infracción del artículo 11.1 en relación con el 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. k)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE efectuó las siguientes alegaciones: 1ª.Inexistencia de hecho alguno tipificable en los artículos 44.3.
  2. k)y 11.1 en relación con el 6.1 de la LOPD. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/24 El denunciante fue cliente de ORANGE por lo que prestó su consentimiento para el tratamiento de sus datos personales, según consta en los sistemas informáticos con fecha de alta 03/07/2013. Además constan en los sistemas diversas interacciones por parte del denunciante así como la emisión de diversas facturas por consumos. Por lo tanto no sólo consta el consentimiento expreso del denunciante para el tratamiento de sus datos, sino que sus propios actos revelan un consentimiento inequívoco para que ORANGE pudiera continuar en dicho tratamiento. 2ª.Inexistencia de hecho alguno tipificable en relación con la cesión de deuda del denunciante a SIR. La cesión de la deuda del denunciante a SIR es válida de conformidad con lo dispuesto en el artículo 11.2.
  3. a)de la LOPD, por cuanto no se precisa su consentimiento, sino que es suficiente la notificación de la cesión al deudor, por cuanto dicha cesión se encuentra habilitada por norma legal (arts. 347 y 348 del Código de Comercio). Consta en el expediente que ORANGE informó al denunciante de la cesión del crédito a SIR mediante carta de fecha 22/08/2013 en la que se le comunicaba dicha cesión efectuada en fecha 22/07/2013. El denunciante continuó consumiendo servicios telefónicos de ORANGE en virtud del contrato suscrito, durante los meses de mayo, junio, septiembre y octubre de 2010 como consta en facturas aportadas en la fase de actuaciones previas del expediente. Por lo tanto. Si bien se dio de baja el servicio el 16/09/2009, el denunciante continuó consumiendo servicios telefónicos con posterioridad a esa baja, durante los meses de mayo, junio, septiembre y octubre de 2010. Con anterioridad a la cesión de crédito a SIR existía una deuda cierta, vencida y exigible a favor de ORANGE a cargo del denunciante que se correspondía al consumo. Se deduce por tanto que ORANGE contaba con el consentimiento del denunciante ya que utilizó el servicio con posterioridad a su previa solicitud de baja, siendo éste el único concepto que fue facturado y cuyo impago generó la deuda posteriormente cedida a SIR. En este punto se alega la identidad del caso con el procedimiento sancionador PS/521/2014 que fue archivado por la Agencia por el motivo anteriormente citado. 3ª.- Inexistencia de culpabilidad y presunción de inocencia. 4ª.Subsidiariamente aplicación del artículo 45.5 de la LOPD, dada la ausencia de perjuicios causados al denunciante y los esfuerzos de ORANGE por implementar los mecanismos de protección de datos personales de sus clientes, y la falta de intencionalidad. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 7/24 QUINTO: En fecha 19/11/2015 se emitió propuesta de resolución en el sentido de imponer a ORANGE una multa de 50.000 € por la infracción del artículo 11.1 en relación con el 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  4. k)de dicha norma. SEXTO: Notificada la propuesta ORANGE reiteró las alegaciones formuladas al acuerdo de inicio del procedimiento sancionador. HECHOS PROBADOS PRIMERO: Con fecha de 07/07/2014 tiene entrada en esta Agencia un escrito del denunciante en el que declara que sus datos han sido utilizados para darle de alta sin su consentimiento en ORANGE una línea de telefonía (***TEL.1) que tuvo contratada con TELEFONICA DE ESPAÑA, S.A.U. hasta 22/06/2008, así como que la deuda generada por ORANGE ha sido cedida a SIR y esta entidad le ha incluido en el fichero Asnef (folios 1-3) SEGUNDO: Consta en el expediente cartas de fechas 18/07/2009 y 16/09/2009, recibidas por el denunciante, en las que ORANGE le reclama el pago de 676,18 € por impago de factura de referencia ***FACTURA.1 (folios 10-11) TERCERO: Consta en el expediente reclamación de consumo del denunciante contra ORANGE con el siguiente contenido: - En fecha 09/11/2009 el denunciante presenta en la OMIC de Ontinyent (Valencia) reclamación formulada contra ORANGE señalando que se le reclama el pago de facturas por importe de 676,18 € y 2.017,05 € en concepto de telefonía fija/internet, manifestando que no tiene ni teléfono fijo ni internet. Solicita asimismo la cancelación de sus datos. - En fecha 26/11/2009 ORANGE responde a la reclamación informado a la OMIC que “…se ha verificado que las facturas requeridas corresponden a la línea ***TEL.1, la cual ya no pertenece a nuestra compañía, sino a la empresa Phonetrading. Por ello, queremos informar a este organismo público que el Sr. A.A.A. deberá dirigir su reclamación a la citada empresa.” En cuanto a su solicitud de cancelación de datos se le informa que está siendo tramitada (folios 8-15, 5760, 124-128) CUARTO: Consta en el expediente reclamación de consumo del denunciante contra SIR con el siguiente contenido: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 8/24 - En fecha 30/09/2013 el denunciante presenta en la OMIC de Ontinyent (Valencia) reclamación formulada contra SIR señalando que ha recibido escrito comunicando la cesión de ORANGE a SIR de una deuda a su nombre por importe de 118,13 €. Manifiesta que en escrito de fecha 26/11/2009 ORANGE reconoció que no tenía relación contractual con él. Solicita la cancelación de sus datos. - En fecha 23/10/2013 SIR responde a la reclamación informando a la OMIC que SIR adquirió mediante contrato de fecha 22/07/2013 la cartera de deuda por prestación de servicios de telefonía de ORANGE, entre las que se incluye facturas pendientes de pago del denunciante, por lo que SIR se ha subrogado en la totalidad de los derechos de crédito. Informa que la deuda pendiente de pago por parte del denunciante se corresponde con las facturas de fecha mayo, junio, septiembre y octubre de 2010, por un importe pendiente de 1.181,39 €. Se informa asimismo que se traslada la reclamación a ORANGE para que verifique los hechos. - En fecha 21/11/2013 SIR informa a la OMIC que ORANGE les ha comunicado, lo siguiente “…se ha verificado que las facturas requeridas corresponden a la línea ***TEL.1, la cual ya no pertenece a nuestra compañía, sino a la empresa Phonetrading. Por ello, queremos informar a este organismo público que el Sr. A.A.A. deberá dirigir su reclamación a la citada empresa.” Le informan que continuaran en el proceso de reclamación de la deuda al denunciante y no se procederá a dar de baja sus datos. - En fecha 08/01/2014 el denunciante responde al escrito de SIR de fecha 23/10/2013 señalando que fue titular de la línea ***TEL.1 en la compañía TELEFONICA DE ESPAÑA, S.A.U., y que causó baja en fecha 22/06/2008. Solicita la cancelación de la deuda que se le reclama, que se le documente la titularidad de dicha línea en ORANGE (contrato o grabación), que se cancele sus datos en los ficheros de SIR, así como en los ficheros de solvencia patrimonial. - En fecha 20/01/2014 SIR informa a la OMIC que se ha trasladado a ORANGE la reclamación para que verifiquen los hechos manifestados por el denunciante. Informan que con fecha 18/11/2009 el denunciante recibió una factura rectificativa por importe de -2.017,04 € correspondiente al periodo de facturación del 01/07/2009 al 31/08/2009, y, con posterioridad a ese abono s ele factura del 1 al 16 de septiembre de 2009, fecha en la que les figura la baja definitiva en los sistemas. Le informan que le comunicarán lo que ORANGE les informe. - En fecha 28/01/2013 el denunciante responde al escrito de SIR de fecha 20/01/2014 manifestando que la baja en la línea ***TEL.1 fue en fecha 22/06/2008. Solicita la cancelación de la deuda que se le reclama, y que se cancelen sus datos en los ficheros de solvencia patrimonial (folios 16-22, 29-35) C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 9/24 QUINTO: Consta en el expediente reclamación de consumo del denunciante contra PHONETRADING tramitada por la OMIC de Ontinyent (Valencia) en la que el denunciante solicita cancelación de datos ya que SIR le ha informado de una deuda con dicha entidad procedente de la línea ***TEL.1, sin que nunca se hubiera contratado servicio alguno. La reclamación remitida por la OMIC a PHONETRADING fue devuelta por el servicio de correos al ser desconocida la entidad en el domicilio al que se remitió (folios 23-28) SEXTO: Consta en el expediente reclamación de consumo del denunciante contra TELEFONICA DE ESPAÑA, S.A.U. con el siguiente contenido: - - En fecha 17/01/2014 el denunciante presenta en la OMIC de Ontinyent (Valencia) reclamación formulada contra TELEFONICA DE ESPAÑA, S.A.U. solicitando que se le confirme por escrito la baja en fecha 22/06/2008 de su línea ***TEL.1. En fecha 24/02/2014 TELEFONICA DE ESPAÑA, S.A.U. responde a la reclamación informado a la OMIC que la línea ***TEL.1 de la que era titular el denunciante causó baja con fecha 22/06/2008 a petición de éste (folios 36-38) SEPTIMO: En los sistemas de ORANGE constan los datos personales del denunciante (nombre y apellidos, DNI y domicilio) como titular de un servicio de acceso indirecto de la línea ***TEL.1 con fecha de alta 03/07/2003 y baja 16/09/2009 con motivo del cambio de titularidad de la línea que pasó a ser titularidad de la compañía PHONETRADING 2000, S.L. ORANGE no ha aportado prueba que acredite la contratación por el denunciante del citado servicio. Asimismo consta una interacción (sin fecha) con el cliente relativa a la recepción de contrato Fornmula@ADSL. (folios 51-54, 119-122, 202-250) OCTAVO: ORANGE emitió al denunciante las siguientes facturas de la línea ***TEL.1: - 17 facturas (bimensuales) desde fecha 02/09/2006 a 03/05/2009, todas ellas por importe de 0 € (sin consumo). - Factura de fecha 05/07/2009 (periodo facturado 01/05/2009 a 30/06/2009) por importe de 676,18 €, que fue impagada. El importe de la factura corresponde al consumo efectuado concretado en 196 llamadas internacionales a líneas fijas y móviles en países tales como Alemania, Ecuador, Marruecos, Rumanía, Bulgaria, Estados Unidos, México, Colombia, Venezuela, Italia, Francia, Bélgica, Armenia, Suiza, Argentina, Chile y Letonia. - Factura de fecha 05/09/2009 (periodo facturado 01/07/2009 a 31/08/2009) por importe de 2.017,05 €, que fue impagada y posteriormente anulada por ORANGE en fecha 18/11/2009. El importe de la factura corresponde al consumo efectuado C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 10/24 que se concreta en 138 llamadas nacionales a móviles y 552 llamadas internacionales a líneas fijas y móviles en países tales como Alemania, Ecuador, Marruecos, Rumanía, Bulgaria, Estados Unidos, México, Colombia, Venezuela, Italia, Francia, Bélgica, Armenia, Suiza, Argentina, Chile, Letonia, Noruega, Reino Unido, Cuba, Moldavia, Andorra, Perú, Paraguay, Costa Rica, Ghana y Grecia. - Factura de fecha 05/11/2009 (periodo facturado 01/09/2009 a 15/09/2009) por importe de 505,21 €, que fue impagada. El importe de la factura corresponde al consumo efectuado que se concreta en 51 llamadas nacionales a móviles y 117 llamadas internacionales a líneas fijas y móviles en países tales como Ecuador, Marruecos, Rumanía, Bulgaria, Estados Unidos, Colombia, Ecuador, Suiza, Reino Unido, Cuba, y Uruguay (folios 54-55, 63-84, 122-123, 131-152, 242-250) NOVENO: Consta en el expediente escrito de fecha 22/08/2013 recibido por el denunciante en el cual ORANGE y SIR le informan de la cesión, en fecha 22/07/2013, de créditos de ORANGE a SIR, entre los cuales se encuentra uno por importe de 118,13 € cuyo pago a SIR se le requiere en el mismo documento. El importe de la deuda (118,13 €) que consta en la comunicación es erróneo por cuanto la deuda cedida por ORANGE a SIR fue por importe de 1.181,39 € (no de 118,13 €), y que corresponde a la suma de las facturas impagadas de la línea ***TEL.1 de fechas 05/07/2009 (676,18 €) y 05/11/2009 (505,21 €) (folio 18) DECIMO: Los datos personales del denunciante (nombre y apellidos, DNI y domicilio) fueron incluidos por SIR en el fichero asnef en fecha 22/11/2013 por un importe de 1.181,39 € (folio 32) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Se imputa a ORANGE la infracción del artículo 11.1 de la LOPD que establece lo siguiente: "1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cadente y del cesionario con el previo consentimiento del interesado. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 11/24 2. El consentimiento exigido en el apartado anterior no será preciso:
  6. a)Cuando la cesión está autorizada en una Ley.
  7. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  8. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
  9. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
  10. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
  11. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores." Así, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, habilitación legal (artículo 11.2.
  12. a)de la LOPD) para la cesión de datos de carácter personal. Por su parte, el artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 12/24 inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negociar, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. De acuerdo con las disposiciones transcritas, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del tratamiento, - entre otros supuestos previstos en la Ley Orgánica 15/1999 -, cuando el tratamiento en cuestión C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 13/24 se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). El artículo 3.
  13. h)de la LOPD define el “consentimiento del interesado” como “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”, mientras que el artículo 3.
  14. i)de la LOPD define como “Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.” El principio del consentimiento expresado requiere la necesidad del consentimiento “inequívoco” del afectado para que puedan tratarse sus datos personales, sentido que la Audiencia Nacional ha expresado en forma reiterada, entre otras en la sentencia de 4 de marzo de 2009 al señalar: “Respecto al consentimiento, es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. A su vez, el artículo 12.3 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento para el Desarrollo de la LOPD, establece que “Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” III En el presente supuesto los datos personales de la denunciante fueron incorporados a los sistemas de información de ORANGE asociados a la titularidad de servicios de la línea telefónica ***TEL.1, tratándose los mismos por el responsable de C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 14/24 tales ficheros para la emisión a nombre del denunciante de la facturación asociada a dicho servicio de telefonía (acceso indirecto) y la cesión de los mismos a SIR al vender a dicha empresa una deuda de 1.181,39 € originada en un servicio cuya alta no puede imputarse en forma probada al denunciante, que niega relación contractual ORANGE, y ésta no ha acreditado su existencia. ORANGE, en su condición de responsable del tratamiento de los datos personales asociados a la mencionada alta, no ha probado que recabó y obtuvo el consentimiento de la denunciante para el tratamiento de sus datos en el marco de la relación contractual de la referida línea ***TEL.1. No hay que olvidar que la carga de acreditar la existencia del consentimiento “inequívoco” corresponde al responsable del tratamiento probar que cuenta con el consentimiento del afectado para ello. En este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. A mayor abundamiento, conforme al criterio señalado en la Sentencia de la Audiencia Nacional de fecha 8 de noviembre de 2012, Rec. 789/2010, la carga de acreditar la existencia del “consentimiento inequívoco” exigido en el artículo 6.1 recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales cuando su existencia sea negada por el titular de tales datos, tal y como ha hecho el denunciante en el caso que nos ocupa, máxime cuando tampoco consta que el operador haya efectuado ninguna comprobación en el momento de la supuesta contratación por el cliente ni con posterioridad a la misma. En este punto cabe destacar que, si bien ORANGE manifiesta que el denunciante contrató un servicio de acceso indirecto sobre la línea ***TEL.1 con fecha de alta 03/07/2003 y baja 16/09/2009 por cambio de titularidad a PHONETRADING 2000, S.L., no constan facturas emitidas por ORANGE hasta fecha 02/09/2006, fecha a partir de la cual y hasta 03/05/2009 ORANGE emitió 17 facturas por importe 0 € (sin consumo). Únicamente constan 3 facturas emitidas con consumo en toda la vigencia del presunto contrato (más de 6 años), facturas de fechas 05/07/2009 (676,18 €), 05/09/2009 (2.017,05 €) y 05/11/2009 (505,21 €), dándose la circunstancia que la factura de fecha 05/09/2009 (2.017,05 €) fue anulada por ORANGE en fecha 18/11/2009 (2 meses después), sin que la operadora haya dado razón del motivo, así como del hecho de mantener como impagadas las otras 2 facturas (anterior y posterior en el tiempo a la anulada). Se da la circunstancia de que las tres facturas corresponden casi en exclusiva a llamadas internacionales efectuadas a líneas fijas y móviles referenciadas en hasta 28 países distintos de Europa, América y África. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 15/24 En el mismo sentido debe señalarse las incongruencias detectadas en la justificación dada por ORANGE a la supuesta contratación del servicio por el denunciante así como a la facturación emitida que se señalan a continuación: - En respuesta a la reclamación formulada en fecha 09/11/2009 ante la OMIC porque ORANGE le reclamaba el pago de 2 facturas por importe de 676,18 € y 2.017,05 €, ORANGE informó en fecha 26/11/2009 que estas facturas correspondían a la línea ***TEL.1 que ya no pertenecía a ORANGE sino a la empresa PHONETRADING 2000, S.L. Sin embargo en los sistemas de ORANGE y en la documentación obrante en el expediente consta que esas facturas fueron emitidas por ORANGE a nombre del denunciante. - ORANGE manifiesta (y así consta en sus sistemas) que la baja del servicio de acceso indirecto de la línea ***TEL.1, se produjo en fecha 16/09/2009, sin embargo, tanto en las alegaciones presentadas ante la OMIC por SIR en fecha 23/10/2013, como en las presentadas por ORANGE al acuerdo de inicio del presente procedimiento sancionador, se señala que la deuda de 1.181,39 € reclamada al denunciante por impago del servicio de la citad línea y cedida a SIR en fecha 22/07/2023, corresponde al impago de servicios telefónicos consumidos con posterioridad a esa baja, durante los meses de mayo, julio, septiembre y octubre de 2010. Sin embargo consta acreditado en el expediente que dicho importe (1.181,39 €) corresponde a la suma de las facturas de fechas 05/07/2009 (676,18 €) y 05/11/2009 (505,21 €). Por lo que respecta a la similitud del presente caso con el procedimiento sancionador PS/00521/2014 archivado por esta Agencia, debe reiterarse lo anteriormente expuesto en el sentido de aclarar que en el citado supuesto la cuestión debatida se centraba en la efectividad de la baja en el servicio (cuya titularidad era reconocida por el cliente) solicitada por el cliente tomando en consideración que continuó utilizando los servicio cuya baja solicitó. Por el contrario en el presente caso el denunciante niega la titularidad del servicio de acceso indirecto de la línea ***TEL.1 y ORANGE no ha aportado prueba laguna que lo acredite. En consecuencia, el tratamiento de los datos personales del denunciante asociados a la línea objeto de controversia vulneraba el principio del consentimiento recogido en el artículo 6.1 de la LOPD, por cuanto el mismo se realizó sin que ORANGE haya acreditado que contaba con el consentimiento inequívoco del afectado o mediase habilitación legal para ello, no resultando de aplicación al mismo la excepción al consentimiento recogida en el artículo 6.2 de dicha norma que pudiera derivar de la relación contractual entre las partes al no haberse acreditado por ORANGE la efectiva contratación por el denunciante del servicio de acceso directo de la citada línea. En estas circunstancias, consta acreditado que, en fecha 22/07/2013, ORANGE cedió a SIR los datos personales de la denunciante en relación con una C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 16/24 deuda de la que éste no era titular, puesto que ORANGE no ha podido acreditar la contratación del servicio que la generó, y por tanto es responsable en la comisión de la infracción del artículo 11.1 de la LOPD en relación con el 6.1 de la misma norma, al carecer del consentimiento de la denunciante para la cesión de sus datos (consecuencia de la previa ausencia de consentimiento para su tratamiento), y no resultar de aplicación lo previsto en el artículo 11.2.a), esto es la existencia de una ley que autoriza la cesión de datos. En este sentido señalar que el artículo 347 del código de comercio establece que: “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste.” Por su parte el artículo 348 señala que “El cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare.” En el presente caso, como ya hemos señalado con anterioridad, ORANGE no ha acreditado la existencia del consentimiento del denunciante para la cesión de sus datos (asociados al crédito cedido), y tampoco la existencia de autorización legal (el mencionado artículo 347 del código de comercio), que exima a la operadora de la necesidad del mismo para ceder los datos del denunciante ya que como señala la sentencia de 09/04/08 dictada por la Audiencia Nacional en el recurso nº 33/77 “Debemos comenzar, por elementales razones de orden lógico, por señalar, en primer lugar, que la conducta sancionada consiste en "la comunicación o cesión de los datos de carácter personal, fuera de los casos en que estén permitidas" (artículo 44.4 .
  15. b)de la Ley Orgánica 15/1999 ), teniendo en cuenta, por lo que ahora interesa, que los datos de carácter personal objeto de tratamiento automatizado sólo pueden ser cedidos para el cumplimiento de los fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del afectado (artículo 11.1 de la Ley Orgánica 15/1999 ) Exceptuándose de esta norma general los supuestos que se relacionan en el apartado 2 del expresado artículo 11 , además del supuesto previsto en el artículo 27.1 de la misma Ley , que no hace al caso por no haber sido invocado. Pues bien, si la conducta que integra la contravención administrativa descrita en el artículo 44.4 .
  16. b)consiste en "la comunicación o cesión" de los datos fuera de los casos previstos en la Ley, debemos analizar como elementos integrantes del tipo, a saber, qué se entiende por cesión y cuáles son los casos que la Ley autoriza. El concepto de cesión de datos personales viene establecido en la propia Ley Orgánica 15/1999. Es el artículo 3. i ) el que define como "cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado". Lo que en el caso examinado se traduce en la entrega por parte de la recurrente, "Finanzia Banco de Crédito, S.A." a la entidad "UNO-E- Bank, S.A.", que le sucede en su posición en el contrato comercial y de colaboración con Centros Comerciales (CECO, S.A.), pues no cabe duda alguna de que tal entrega, reconocida por la parte C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 17/24 recurrente en los términos que posteriormente veremos, integra una cesión o entrega de datos a persona distinta del interesado, es decir, a un tercero. TERCERO.- La mentada Ley Orgánica 15/1999 únicamente autoriza, como regla general, que los datos puedan ser comunicados a un tercero, cuando sea para "el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado", según dispone el artículo 11.1 de la Ley Orgánica 15/1999. Y aunque la Ley prevé excepciones a este principio general, relacionadas en el apartado 2 del artículo 11 , las mismas no son del caso, ni siquiera la prevista en el apartado a), pues lo cierto es que la cesión no ha sido autorizada por una ley, toda vez que la referencia a la Ley de Sociedades Anónimas no puede integrar tal excepción. Repárese, en este sentido, que la cesión "autorizada en una ley" que recoge el citado artículo 11.2 .
  17. a)de la LO de tanta cita, precisa para su aplicación que la Ley, a la que se remite dicho precepto, preste cobertura evidente, de modo expreso o presunto pero en todo caso inequívoco, a la entrega masiva de datos personales. La interpretación contraria vaciaría de contenido el derecho fundamental a la protección de los datos, pues haría perder al titular de los datos el control y disposición sobre los mismos --que constituye el contenido esencial de este derecho fundamental según la STC 292/2000 --, si se pudieran hacer sucesivas cesiones de la rama de actividad entre sociedades diversas, en una concatenación sin límites y sin el consentimiento o con el desconocimiento del afectado, burlando esta exigencia esencial de la aprobación por el titular afectado que ha de mediar tanto para tratar datos de carácter personal como para cederlos. En este sentido nos hemos pronunciado en las Sentencias de esta Sala y Sección de 21 de febrero de 2007, recaída en el recurso contencioso administrativo nº 242/2005 y la Sentencia 12 de septiembre de 2007 recaída en el recurso nº 60/2006 . Concretamente en esta última dijimos, a propósito de un asunto igual al ahora examinado en el que la misma recurrente había sido denunciada por varios titulares de la tarjeta, que <<(...) las consecuencias de la sucesión entre ambas sociedades anónimas en el orden mercantil y empresarial carecen de relevancia a estos efectos, cuando de lo que se trata es de enjuiciar si la conducta observada por la recurrente -en relación con la protección de los datos personales—transgredí las exigencias, prevenciones y garantías impuestas en la LO 15/1999, incurriendo en alguno de sus tipos sancionadores. Téngase en cuenta que hubiera bastado, para evitar la aplicación de la norma sancionadora, haber recabado el consentimiento de los titulares de los datos antes de proceder a la entrega de los mismos, precisamente como posteriormente se pretendió hacer antes de la siguiente cesión>>. CUARTO.- En definitiva, y a falta de la concurrencia de excepciones, la contravención prevista en la ley se consuma por la entrega de datos a una persona, en este caso persona jurídica, distinta del interesado y sin su previo consentimiento, pues no se ha recabado el mismo al titular de los datos D. ***NOMBRE.1 . Téngase en cuenta, a estos efectos, que en el caso ahora examinado se sanciona por una cesión de datos, C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 18/24 entendida como una entrega a persona distinta del interesado, ex artículo 3.
  18. i)de la Ley Orgánica 15/1999 , sin que precise de un tratamiento previo o posterior de los datos, y que para que resulte conforme a la Ley hubiera necesitado simplemente el "previo consentimiento" del afectado, ex artículo 11.1 de la LO de tanta cita. En este sentido, no se ha recabado el consentimiento válidamente, pues la propia recurrente reconoce que no puede acreditar tener constancia de que el titular de los datos personales haya prestado su previo consentimiento para la cesión de sus datos a un tercero. Las comunicaciones que dice haber realizado, así como el cumplimiento de la normas bancarias, no pueden tener la eficacia invalidante de la sanción impugnada que ahora se pretende, toda vez que en el específico ámbito de la protección de datos se ha incumplido el deber esencial de obtener el consentimiento del titular de los datos personales antes de entregar los mismos a un tercero. Concurre, por tanto, la descripción de la conducta que establece el artículo 44.4.
  19. b)de la Ley Orgánica 15/1999 , en relación con el artículo 11 , transcritos en el fundamento anterior, constituyendo la falta descrita una infracción muy grave de cesión de datos fuera de los casos que ampara la Ley. A estos efectos, no está de más recordar que la exigencia del previo consentimiento es básica y primaria cuando se trata de la protección del derecho fundamental previsto en el artículo 18.4 de la CE . En este sentido la STC 292/2000 declara en el fundamento jurídico séptimo que <<el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos se proporcionan a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos (...)">>. Consentimiento para la cesión de los datos personales que, insistimos, no ha sido recabado previamente por la parte recurrente, en relación con el titular de la tarjeta D. ***NOMBRE.1 , que denunció los hechos ante la Agencia sancionadora. QUINTO.- Del mismo modo, conviene tener en cuenta, como ya dijimos en nuestra Sentencia de 12 de septiembre de 2007 recaída en el recurso nº 60/2006 , antes citada, que cuando se produce una sucesión o transmisión entre diferentes sociedades los principios esenciales en materia de protección de datos han de ser cumplidos, pues se trata, volvemos a insistir, de un derecho fundamental --previsto en el artículo 18.4 CE -- cuya observancia y cumplimiento no puede quedar al albur de las operaciones mercantiles entre particulares, generando zonas exentas a la protección C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 19/24 de este derecho fundamental. Las citadas actividades mercantiles, por tanto, no pueden servir de coartada para incumplir las exigencias impuestas legalmente en materia de protección de datos, como es la prestación del consentimiento previo de los titulares de los datos que van a cederse a un tercero. En este sentido, debemos reiterar lo que ya declaramos en nuestra Sentencia de 21 de febrero de 2007 (recurso nº 242/2005 ), que desestima un recurso interpuesto por la ahora recurrente contra otra sanción impuesta por la Agencia Española de Protección de Datos, en relación con el contrato comercial y de colaboración suscrito entre la recurrente y Centros comerciales (CECO, S.A.). Dijimos entonces que <<sobre la necesidad del consentimiento del denunciante para la cesión de sus datos entre Finanzia y Unoe Bank S.A. es necesario partir de que hay que separar la efectividad de la operación desde el punto de vista mercantil y desde el punto de vista de protección de datos. Nada hay que decir, tal como pretende la parte recurrente, de los efectos entre Finanzia y Unoe BANK S.A. de la transmisión del negocio ahora bien, es necesario tomar en consideración los siguientes datos: (...) En la escritura de cesión entre Unoe Bank S.A. y Finanzia de fecha 19 de Julio de 2003 (que obra a partir del folio 300 del expediente) nada se dice sobre la cesión de datos que se está produciendo y no se incluye ninguna indicación al respecto. (...) Finanzia había asumido en el contrato suscrito con CECOSA en fecha 26 de Febrero de 1993 (Anexo 1, punto 2) la obligación de preavisar al titular de la tarjeta si cedía su posición en el contrato. Precisamente, por el hecho de haber incumplido esta obligación es por lo que en el Fundamento de Derecho III de la resolución que se recurre se acuerda iniciar procedimiento sancionador frente a Finazia>>. Además, también dijimos en la citada Sentencia de esta Sala y Sección que <<siguiendo el criterio de esta Sala recogido en las Sentencias dictadas en los recursos 43/2003 y 44/2003 de fecha 16 de Febrero de 2005 , es necesario afirmar que el hecho de que nos encontremos en una operación corriente en el mundo empresarial, y que tiene regulación especifica, en virtud de la cual una entidad traspasa a otra parte de su negocio, sobre todo siendo del mismo grupo, y que se haya hecho a tenor de la normativa que regula ese negocio mercantil no exime a la entidad recurrente del cumplimiento de las obligaciones establecidas en una normativa específica como es la contenida en la Ley Orgánica de Protección de Datos, que protege unos determinados bienes jurídicos y que no es incompatible en absoluto con la normativa que regula aquella operación financiera. (...) De ahí que, contrariamente a lo alegado por la recurrente, el hecho de que se lleve a cabo una transmisión universal no justifica que se haya de incumplir uno de los principios establecidos en la normativa de protección de datos, como es el necesario consentimiento del afectado cuando sus datos se comunican a un tercero ajeno a quien era inicialmente responsable de los mismos en virtud de una determinada relación jurídica, en este caso a través de una tarjeta de crédito>>. En conclusión y con arreglo a lo expuesto, la comunicación de datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 20/24 personales del denunciante efectuada por ORANGE a SIR se produjo sin el consentimiento del misma, quien no había contratado a ORANGE el servicio del que supuestamente derivaba el crédito objeto de compraventa ni consentido la cesión de sus datos personales, no resultando tampoco de aplicación, en lo que se refiere a la cesión de los datos personales de la denunciante vinculados a esta deuda, el supuesto recogido en el artículo 11.2.
  20. a)de la LOPD para la cesión de los datos de carácter personal. Por tanto la cesión de los datos personales del denunciante debió contar con su consentimiento o, en su defecto, con la existencia de una Ley que amparara esa cesión. Sin embargo, en el presente caso, no han quedado acreditados tales extremos IV La infracción de lo dispuesto en el artículo 11 de la LOPD se encuentra tipificada como grave en el artículo 44.3.
  21. k)de la misma norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. En el presente caso ORANGE es responsable de la comisión de una infracción del artículo 11.1 en relación con el 6.1 de la LOPD, calificada como grave en el artículo 44.3.
  22. k)de dicha norma, al haber cedido los datos personales del denunciante sin el consentimiento de la misma en relación con un servicio no contratado por la afectada y una deuda derivada del mismo, y sin que exista norma ley que ampare dicha cesión. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 1. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  23. a)El carácter continuado de la infracción.
  24. b)El volumen de los tratamientos efectuados. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 21/24
  25. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  26. d)El volumen de negocio o actividad del infractor.
  27. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. f)El grado de intencionalidad.
  29. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  30. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  31. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  32. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  33. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  34. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  35. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  36. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  37. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", siendo necesario para ello la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 22/24 Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
  38. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En lo que respecta a la falta de perjuicios causados a los denunciantes, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. En el presente caso no cabe apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). Por todo ello, procede imponer por la comisión de la infracción multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, que los C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 23/24 datos del denunciante cedidos indebidamente por ORANGE a SIR terminaron siendo incluidos en el fichero asnef, sin que ORANGE haya acreditado la realziación de medida tendente a reparar la situación irregular como pudiera de la recompra de la deuda,, el carácter continuado de la infracción, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, y el volumen de negocio de la misma, procede imponer una multa de 50.000 € por la infracción el artículo 11.1 en relación con el 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 11.1 en relación con el 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  39. k)de la LOPD, una multa 50.000 €, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U., y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 24/24 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.