← España

PS-00354-2016

1/14 Procedimiento Nº PS/00354/2016 RESOLUCIÓN: R/02573/2016 En el procedimiento sancionador PS/00354/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAÑA VIRTUAL S.L (SIMYO), vista la denuncia presentada por Doña A.A.A., y en base a los siguientes, HECHOS PRIMERO: Dña. A.A.A. (en lo sucesivo la denunciante)., ORANGE ESPAÑA VIRTUAL S.L (SIMYO) (en lo sucesivo el/la denunciado/a). “El día 1 de agosto me percato al entrar en mi área personal de la compañía Symo que se ha dado de alta una línea correspondiente al número ***TEL.1 a mi nombre, sin yo solicitarlo, sin pedir mi DNI y sin mi conocimiento y que se ha solicitado un cambio de titular sobre dicha línea, sin pedir ningún tipo de documentación. Para dar el alta se han modificado algunos de mis datos personales, mi nombre y dirección. Ese mismo día doy de baja la línea y pongo en conocimiento de Simyo los hechos. El día 26 de agosto entrando en el área personal de Simyo descubro que se han vuelto a modificar mis datos personales sin mi permiso, conocimiento y autorización Se ha cambiado mi dirección de correo electrónico por una que no me pertenece. Ese mismo día solicitó ejercer mi derecho de cancelación y oposición de datos personales y vuelvo a poner en conocimiento de la compañía la modificación de los datos (…)” (folio nº 1). Junto con la denuncia aporta la siguiente documentación: - Copia del DNI. - Copia de la solicitud de cambio de titular del servicio telefónico móvil SIMYO firmada por la denunciante en calidad de cesionario, con fecha 8/06/

  1. - Copia de la denuncia (atestado nº *****/15) formulada con fecha 01/08/2015 ante la Oficina de Denuncias-Comisaría de Móstoles, en relación al alta fraudulenta en la compañía SIMYO asociada a la línea móvil número ***TEL.
  2. - Reportaje fotográfico de su área personal en la compañía SIMYO, en la cual figuran los siguientes datos del usuario A.A.A.: DNI ***DNI.1 Dirección e.mail: ......@yahoo.es Dirección facturación: (C/....1) (Madrid) Estado del número ***TEL.1, modalidad de tarifa Base-Contrato. desactivado.  Relación del consumo desde el 20/07: 9,5€.  Histórico de todas las operaciones realizadas: indica la solicitud de cambio de titular respecto a la línea ***TEL.1 con fecha 30/07/
  3. Reportaje fotográfico de su área personal en la compañía SIMYO relativo al     - C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 - - - - proceso de desactivación de la línea ***TEL.1 con fecha 12/08/
  4. Copia del correo electrónico remitido con fecha 12/08/2015 desde la dirección .....@simyo.es para ......@yahoo.es, en el cual se le informa del resumen de compra respecto al envío de un pedido. Copia de la denuncia (atestado nº ***1/15) formulada con fecha 17/08/2015 ante la Oficina de Denuncias-Comisaría de Móstoles, en la que manifiesta que tras recibir un e.mail con fecha 12/08/2015 procedente de la compañía de telefonía móvil SIMYO informándole que la línea ***TEL.1 había sido dada de alta de nuevo con sus datos personales, se ha puesto en contacto con la compañía y ha vuelto a dar de baja la citada línea. Copia de la denuncia (atestado nº ***2/15) formulada con fecha 02/09/2015 ante la Oficina de Denuncias-Comisaría de Móstoles, en relación al acceso por personas desconocidas a su área personal de la compañía SIMYO modificando sus datos personales. Añade que con fecha 20/08/2015 realizó una portabilidad a otra operadora y a pesar de ello puede acceder a su área personal. Fotocopia de las operaciones realizadas desde el 30/07/2015 hasta 20/08/2015 (cambio de titular, desactivación, alta SIM y portabilidad) con las líneas números ***TEL.1 y ***TEL.
  5. Fotocopias de los datos personales que figuran con fechas 26/08/2015 29/08/2015 - 02/09/2015, a nombre de la denunciante y en los cuales aparece como nueva dirección de e.mail: .....1@gmail.com. Fotocopias de varias comunicaciones remitidas por la compañía desde la dirección simyo@...... para ......@yahoo.es con fechas 2 y 19 de agosto de 2015 respectivamente, referentes a la gestión de una incidencia de servicio y dos reclamaciones por mal servicio y cargos erróneos. Fotocopia de la reclamación remitida por vía e.mail por la denunciante a la compañía y copia de la respuesta enviada por la misma desde la dirección no-......@simyo.es para ......@yahoo.es con fecha 20 de agosto de
  6. Fotocopia del escrito de solicitud para el ejercicio del derecho de cancelación y oposición de sus datos personales en los sistemas de la compañía, remitido con fecha 26/08/2015 desde su dirección de correo ......@yahoo.es para datos@....... Fotocopia del escrito de respuesta a la solicitud de cancelación remitido por el Departamento legal de SIMYO con fecha 01/09/2015, informándole de la imposibilidad de atender la petición hasta que hayan transcurrido al menos 12 meses desde su baja definitiva como cliente de la compañía. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ORANGE ESPAÑA VIRTUAL S.L (SIMYO), teniendo conocimiento de que: Con fecha 18 de noviembre de 2015 se solicita a KPN SPAIN S.L.U (SIMYO) información relativa a Dña. A.A.A. con NIF ***DNI.1, en relación con la línea telefónica contratada supuestamente de forma fraudulenta con la numeración ***TEL.
  7. Del análisis de la respuesta recibida en esta Agencia con fecha 10 de diciembre de 2015, se desprende: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14  La sociedad ORANGE ESPAÑA VIRTUAL S.L (en adelante SIMYO) comunica que en fecha 16/06/2015 recibió en su Servicio de Atención al Cliente dos peticiones de cambio de titularidad distintas relativas a las líneas telefónicas de numeración ***TEL.1 y ***TEL.2, las cuales fueron atendidas por el mismo agente y que debido a una incidencia en el CRM de la compañía resultaron grabadas con posterioridad.  RESPECTO A LOS DATOS DEL CLIENTE  En la línea ***TEL.1, D. B.B.B. figura en los sistemas de la compañía como titular de la línea, con fecha de alta 22/12/
  8. Se reseña la solicitud de cambio de titularidad el 16/06/2015 (nº orden ***ÓRDEN.1) a favor de Dña. C.C.C., con DNI ***DNI.1, con dirección en (C/...2) (Pontevedra) y dirección de correo electrónico .....1@gmail.com. Se acompañan:

(1)impresiones de pantalla del sistema (Anexos 2 y 3) en las cuales puede observarse que el DNI reseñado corresponde al NIF de la denunciante,
(2)copia del cambio de titular del servicio telefónico móvil SIMYO, solicitado y firmado por D. Mª C.C.C. con fecha 9 de mayo de 2015 y
(3)fotocopias de los DNI correspondientes a los mencionados cedentes y cesionarios de la línea (Anexo 3).  En la línea ***TEL.2 figura que D. D.D.D., como titular de la línea mencionada, solicitó con fecha 16/06/2015 el cambio de titular (nº orden ***ÓRDEN.2) a favor de Dña A.A.A., con NIF ***NIF.2, dirección (C/....1) (Madrid). Se acompaña la siguiente documentación acreditativa:
(1)impresiones de pantalla del sistema (Anexos4 y 5), en las cuales puede observarse que el DNI referenciado no corresponde con el número de la denunciante y
(2)copia de la solicitud de cambio de titular del servicio telefónico móvil SIMYO firmado por Dña. A.A.A. con fecha 8 de junio de 2015, acompañada de las fotocopias de los DNI’s correspondientes a los mencionados cedentes y cesionarios de la línea (Anexo 4).  RESPECTO A LA FACTURACIÓN SIMYO expone que en ningún caso se produjo una contratación fraudulenta a nombre de Dña. A.A.A., tratándose por tanto de un error humano que derivó en la incorrecta asignación de la línea ***TEL.1 a su nombre cuando en realidad pertenecía a otro abonado. Así se le manifestó en el mes de septiembre de 2015 a su representante, D. D.D.D., no teniendo consecuencias económicas para la denunciante ya que en ningún caso se le facturaron cargos asociados al consumo de dicha línea. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 En este sentido, la compañía aporta copia de dos facturas emitidas con fechas 20/08/2015 y 20/09/2015 a nombre de la denunciante (número de cliente ***CLIENTE.1) relativas al número de teléfono ***TEL.2 (Anexo 6).  RESPECTO A LAS COMUNICACIONES Y CONTACTOS CON EL CLIENTE  La compañía informa que como consecuencia del error descrito anteriormente, tanto la denunciante como Dña. C.C.C. se pusieron en contacto con SIMYO con objeto de dar de baja la línea no contratada en su nombre por una de las partes y por respecto a la otra, en calidad de legítima cesionaria de la línea, de recuperar la línea en cuestión. En documento Anexo 7 se acompaña detalle de las comunicaciones recibidas por ambas partes respecto a dicha línea, comprendidas entre la fecha de petición de cambio de titularidad (16/06/2015) y fecha de baja (04/09/2015), que incluyen “nuevos cambios de titulares vs. baja inmediata del servicio”. Así se destacan entre ellas:
(1)la solicitud de cambio de titularidad y su efecto a nombre de Dña. C.C.C. con fecha 30/07/2015,
(2)la solicitud de baja con fecha 01/08/2015,
(3)la solicitud de reactivación por parte de Dñá. C.C.C. con fecha 03/08/2015 y
(4)finalmente ésta presenta solicitud de baja de la línea con fecha 04/09/2015.  También a través de la red social Facebook SIMYO, la compañía recibe reclamaciones remitidas por parte de D. D.D.D. informando de supuestas altas fraudulentas, si bien por la forma en que se redactan los mensajes entendieron que se trataba de altas a su nombre y no al de la denunciante, por lo que una vez consultados sus datos y confirmado que tras el traspaso de su línea a Dña. A.A.A. no hubo ninguna nueva gestión en su cuenta de cliente, la compañía descarta su denuncia. Se acompaña impresión de pantalla del sistema con las órdenes presuntamente asociadas a ese abonado y documento con el texto de las comunicaciones remitidas por D. D.D.D. y las respuestas de SIMYO, en las que no se especifica la fecha (Anexo 8).  Por tanto y a la vista de lo expuesto, la compañía ordenó con fecha 28/08/2015 la paralización de todas las actuaciones asociadas a la línea ***TEL.1 en tanto pudieran analizar la situación y pudieran ponerlo en conocimiento de las partes afectadas. Contactan telefónicamente con la denunciante con fecha 04/09/2015, como titular formal de la línea, y le informan de lo ocurrido, solicitando su autorización para tramitar la baja de la línea y traspasarla a su legítima titularla. Ante su negativa, expresada a través de su representante, se contacta con Dña. C.C.C., explicándole la situación del caso ante la imposibilidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 recuperar la línea cual y procediendo a petición suya a la baja definitiva de la línea con fecha 4/09/2015. En documento adjunto (Anexo 9) se acompaña impresión de pantalla con la orden de baja de línea. TERCERO: Con fecha 29 de julio de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAÑA VIRTUAL S.L (SIMYO), por presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (*en lo sucesivo LOPD), tipificadas como infracción grave en el artículo 44.3
  1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ hasta 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE ESPAÑA VIRTUAL S.L (SIMYO) mediante escrito de fecha de entrada en esta AEPD-02/09/2016-- formuló alegaciones, significando de manera sucinta lo siguiente: “Como se deduce claramente de los hechos informados por SIMYO a esa Agencia en diciembre del año 2015, la incorrecta asignación del número de teléfono ***TEL.1 a nombre de Dña. A.A.A. se debió a un error humano a la hora de cargar en los sistemas las peticiones de cambio de titular recibidas en fecha 16 de junio de 2016. En todo caso, SIMYO reconoce que si el Agente de su Servicio de Atención al cliente hubiese puesto una mayor diligencia y cuidado a la hora de volcar los datos en el sistema, dicho error no se hubiera producido, ni se habría asignado incorrectamente una línea telefónica a un tercero distinto de su legítima titular (…). Por ello y de conformidad con lo dispuesto en el art. 45.5
  2. d)LOPD (LO 15/99) SIMYO reconoce de forma voluntaria su responsabilidad como garante en definitiva del correcto tratamiento de los datos de carácter personal de sus clientes, debiendo asumir en consecuencia los errores de sus agentes, incluso si éstos son involuntarios. Circunstancias atenuantes aplicable en el presente caso (…). Sin perjuicio del anterior reconocimiento voluntario de responsabilidad, SIMYO entiende que, de los hechos acreditados ante esta Agencia se desprende que en este caso se las das circunstancias atenuantes: En ningún caso SIMYO tiene establecida política alguna de dar altas de línea no consentidas, ni mucho menos asociar datos de tercero a un abonado. Así las cosas, SIMYO solicita a esa Agencia que aprecie la falta de intencionalidad en la conducta objeto de infracción en el presente procedimiento. SIMYO entiende que el error del agente de su servicio de atención al cliente constituye una anomalía en el funcionamiento de las políticas implementadas, de tal suerte que de haber observado dicho agente las políticas establecidas en materia de volcado de datos, no se habría producido infracción alguna pues las políticas eran las adecuadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 En consecuencia, SIMYO solicita a la Agencia que aprecie la inexistencia de negligencia por parte de SIMYO a la hora de establecer medidas y políticas de seguridad para garantizar el correcto tratamiento de los datos personales de sus abonados. SIMYO no obtuvo ningún beneficio de la asociación involuntaria de un número de teléfono de terceros a los datos de carácter personal de la denunciante, no sufriendo tampoco la misma perjuicio económico alguno como consecuencia del precipitado error involuntario. Las posteriores actuaciones de los agentes del Servicio de atención al cliente de SIMYO sólo tuvieron por finalidad dar una solución a la incidencia producida en forma tal, que satisfaciese las legítimas pretensiones de todas las partes afectadas por el error, y no la obtención de beneficio alguno para SIMYO. A la luz de los hechos denunciados SIMYO ha reforzado sus políticas de seguridad y escalado de incidencias para evitar que vuelvan a repetirse situaciones similares en el futuro. Ausencia de reincidencia. Prueba del compromiso de SIMYO de observar sus obligaciones en materia de protección de datos de carácter personal es el prácticamente anecdótico número de denuncias ante esta Agencia contra esta mercantil en los tres últimos años (…). Por todo cuanto antecede SOLICITA que teniendo por presentado el presente escrito, se sirva admitirlo y, en mérito del mismo, acepte el reconocimiento voluntario de responsabilidad de SIMYO y, conforme al art. 45.5 LOPD, se establezca la cuantía de la sanción aplicando la escalara relativa a las infracciones leves, y asimismo, se gradúe la sanción atendiendo a las circunstancias agravantes aquí reconocidas”. QUINTO: Con fecha 08/09/2016 se emite propuesta de resolución en la que se acepta el reconocimiento de la responsabilidad de la entidad denunciada, proponiendo una sanción cifrada en la cuantía de 20.000€ por “tratamiento no consentido de datos de carácter personal” (art. 6 LOPD). SEXTO: En fecha 30/09/2016 se recibe en esta AEPD escrito de alegaciones de la entidad SIMYO manifestando lo siguiente: ”Graduación de la sanción ante la concurrencia de circunstancias atenuantes. Tal y como se dispone en la Propuesta de Resolución de conformidad con el art. 45.5
  3. d)de la LOPD, la cuantía de la sanción deberá establecerse aplicando la escala relativa a la clase de infracciones leves (de 900€ hasta 40.000€), al haber reconocido mi representada su culpabilidad en los hechos objeto del presente procedimiento sancionador. No obstante, no se tiene en cuenta la concurrencia de otras dos circunstancias atenuantes presentes en la conducta de mi representada y cuya aplicación fue solicitada por mi representada en su escrito de Alegaciones al Acuerdo de Inicio (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 -La ausencia de intencionalidad (art. 45.4
  4. f)LOPD). Los hechos denunciados constituyen un caso puntual y excepcional—error involuntario de un agente del Servicio de Atención al Cliente- y no una práctica continuada ni intención de SIMYO. -Ausencia de reincidencia (art. 45.4 g LOPD). Prueba del compromiso de SIMYO de observar y cumplir cabalmente con todas y cada una de sus obligaciones en materia de protección de datos de carácter personal es el prácticamente anecdótico número de Denuncias ante esta Agencia contra esta mercantil en los tres últimos años, así como la inexistencia de sanción a SIMYO durante el mismo periodo (…). En relación a los dos primeros criterios señalados por la instrucción del procedimiento (art. 45.4
  5. c)y 45.4 d)) entendemos que se trata de un error evidente puesto que el presente procedimiento sancionador se instruye contra SIMYO y no contra el operador de telecomunicaciones ORANGE. Como puede observarse SIMYO no figura entre los principales operadores de telecomunicaciones de este país, ni en ingresos ni en número de líneas. SIMYO es un operador móvil virtual que únicamente presta sus servicios de telefonía móvil y no dispone de servicios de telefonía fija o de banda ancha fija. El número de clientes de SIMYO en el primer trimestre de 2015 era de 580.289 frente a los 12.693.573 de Orange. Por tanto no son tres las circunstancias agravantes que concurren en la conducta infractora como así señalaba el Instructor del procedimiento, sino que únicamente puede considerarse como tal el criterio previsto el art. 45.4
  6. h)LOPD. En conclusión, el importe de la sanción propuesta (20.000€) resulta completamente desproporcionado al haber quedado acreditada la incorrección en la aplicación de los criterios de graduación por parte de la instrucción del procedimiento, debiendo fijarse dicho importe en el tramo inferior de las infracciones leves, al concurrir 5 criterios atenuantes en la conducta infractora y un único criterio agravante de la misma”. SÉPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. En fecha 09/09/15 se recibe en esta AEPD escrito de Doña A.A.A. por medio del cual manifiesta lo siguiente: “El día 01 de agosto me percató al entrar en mi área personal de la compañía SIMYO que se ha dado de alta una línea correspondiente al número ***TEL.1 a mi nombre, sin yo solicitarlo, ni pedir DNI y sin mi conocimiento y que se ha solicitado un cambio de titular sobre dicha línea, sin pedir ningún tipo de documentación” (folio nº 1). Segundo. La entidad denunciada Orange en escrito de alegaciones de fecha 02/09/16 procede a “reconocer voluntariamente su responsabilidad como garante en definitiva del correcto tratamiento de los datos de carácter personal de sus clientes (…)”, de manera que reconoce haber cometido la infracción imputada aunque sea a título de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 mera inobservancia -folio nº 106--. Tercero. Consta acreditado que la denunciante se puso en contacto con la compañía de telefonía-Orange—en fecha 30/07/2015 con el fin de dar de baja la línea no contratada a su nombre (folio nº 32). Adjunta copia de la Denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado de fecha 01/08/15 en dónde denuncia “el alta de línea sin su consentimiento” (folio nº 6). Adjunta copia de la Denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado de fecha 17/08/15 en dónde manifiesta “Que por tales hechos se puso en contacto con su compañía y la línea fue anulada” (folio nº 22). Adjunta copia de la Denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado de fecha 02/09/15 en dónde manifiesta Que se ha puesto en contacto con la operadora, los cuales han abierto incidencia por los hechos, sin darle más explicación” (folio nº 23). Cuarto. La línea asociada a la afectada se dio de baja el día 04/09/2015 (folio nº 81) a petición de la propia interesada, sin que se le haya generado factura alguna por el alta de la línea no consentida. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se procede a examinar el escrito con fecha de entrada en esta AEPD—09/09/15-- en el que la epigrafida pone en conocimiento los siguientes “hechos”: “El día 01 de agosto me percató al entrar en mi área personal de la compañía SIMYO que se ha dado de alta una línea correspondiente al número ***TEL.1 a mi nombre, sin yo solicitarlo, ni pedir DNI y sin mi conocimiento y que se ha solicitado un cambio de titular sobre dicha línea, sin pedir ningún tipo de documentación” (folio nº 1). Los hechos anteriormente descritos pueden suponer una posible afectación al contenido del art. 6 LOPD al “tratarse los datos del afectada sin su consentimiento”, mediante el alta de una línea no solicitada, ni contratada expresamente por la titular de los datos. La entidad denunciada-SIMYO—en escrito de alegaciones de fecha 02/09/2016 procede de conformidad con el art. 45.5 LOPD a “reconocer voluntariamente su responsabilidad como garante en definitiva del correcto tratamiento de los datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 carácter personal de sus clientes”. El artículo 8 del RD 1398/1993, 4 de agostos establece que: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”. De manera que se constata que el alta de la línea-***TEL.1—asociada a los datos de carácter personal de la denunciante se produjo sin contar con el consentimiento de la afectada, produciéndose un tratamiento de los datos de la misma para dar de alta un producto no contratado. El artículo 3
  8. h)LOPD define el "consentimiento del interesado" como "Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. El art. 44. 3
  9. b)LOPD regula como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. III Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". IV El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 En el presente caso, se ha constatado que se produjo una alta de una línea de telefonía- ***TEL.1—por parte de la entidad denunciada-Symio - sin contar con el consentimiento informado de la titular de los datos de carácter personal: Doña A.A.A.. La propia compañía denunciada ha procedido a reconocer voluntariamente su responsabilidad alegando de manera motivada un “error humano que derivó de la incorrecta asignación a su nombre de una línea que pertenecía en realidad a otro abonado”. Sobre el reconocimiento de la responsabilidad se ha pronunciado la Audiencia Nacional (vgr. SAN 10 de mayo 2016, nº recurso 0000915/2015) en los siguientes términos: “Por último, aunque debe valorarse positivamente que la compañía demandante haya reconocido en vía administrativa su culpabilidad por los hechos denunciados, constitutivos de la infracción por cuya autoría ha sido sancionada, debemos precisar que el hecho de que este reconocimiento de responsabilidad tuviera lugar en el escrito de alegaciones presentado ante la propuesta de resolución del instructor, como admiten las partes, y no con anterioridad impide su calificación como la circunstancia prevista en el artículo 45.5.d), pues carece de la espontaneidad necesaria para ello”. Consta acreditado de la documentación aportada que la afectada se puso en contacto con la compañía denunciada en fecha 30/07/15 (folio nº 32) procediendo a denunciar los hechos ante las Fuerzas y Cuerpos de Seguridad del Estado en fecha 01/08/2015 y 02/09/2015 (folios nº 6, 22 y 23). Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD y, en especial, la falta de intencionalidad, procede que se imponga la sanción en el marco regulatorio correspondiente a las infracciones leves. En el presente caso, la entidad denunciada--SIMYO—ha reconocido voluntariamente su responsabilidad alegando que “si el agente de su Servicio de Atención al Cliente hubiese puesto una mayor diligencia a la hora de volcar los datos al sistema, dicho error no se hubiera producido, ni se hubiera asignado incorrectamente una línea telefónica a un tercero distinto de su legítima titular (Doña C.C.C.)”. Se acepta la solicitud de la entidad denunciada de aplicación del artículo 45 apartado 5º de la LOPD (LO 15/99) al haber procedido a reconocer su culpabilidad los hechos objeto de denuncia ante esta Agencia, por lo que la sanción a imponer a título de mera inobservancia se encuadrará en las infracciones leves, llevando aparejadas una sanción que oscila legalmente: desde 900€ hasta 40.000€. A la hora de motivar la sanción se tiene en cuenta los criterios establecidos en el artículo 45 apartado 4º de la LOPD, en concreto: - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. Simyo es un operador móvil que trata en sus operaciones diarias con los datos de los potenciales clientes de sus servicios ofertados. (art. 45.4 c LOPD). Por tanto no procede tener en cuenta su exclusión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 tal y como solicita la denunciada. - El volumen de negocio o actividad del infractor. Symio tuvo una cifra de ingresos en el primer trimestre del año 2016 de unos aproximados 16 millones de euros (art. 45.4
  25. d)LOPD). - La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. La denunciante se ha visto afectada por el “error” cometido por la compañía teniendo que interponer denuncia (
  26. s)tanto a las Fuerzas y Cuerpos de Seguridad del Estado, como teniendo que solicitar el auxilio del presente organismo en la tutela de sus datos de carácter personal. (art. 45.4
  27. h)LOPD). Esta Agencia por tanto tiene en cuenta los criterios expuestos puesto que, sin duda, concurren notoriamente en la sociedad sancionada, con independencia de que también sean predicables de otras empresas de telefonía o de los sectores donde la actividad sancionadora de aquel organismo es frecuente, y al margen de que la cuota de mercado de la sancionada sea inferior al de otras empresas del mismo sector o su volumen de ingresos globales. Por parte de esta Agencia se procede a valorar como circunstancias atenuantes, las siguientes: la compañía no facturó ni realizó cargo alguno a la afectada, por lo que no obtuvo ningún beneficio del alta errónea de la línea en cuestión (art. 45.4 e LOPD); el hecho que la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal (art. 45.4 i LOPD); así como que la propia intervención de las partes afectadas haya supuesto una cierta complejidad en la solución final al problema detectado (art. 45.4 j LOPD). La sanción por tanto se considera ponderada y proporcionada a la infracción cometida., así como a la entidad de los hechos expuestos. De acuerdo con los criterios expuesto se acuerda la imposición a la entidad denunciada –SIMYO—de una sanción administrativa cifrada en la cuantía de 20.000€ (veinte mil euros), sanción situada en la parte intermedia correspondiente a las infracciones leves. Vistos los preceptos citados y demás de general aplicación La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAÑA VIRTUAL S.L (SIMYO), por una infracción del artículo 6 de la LOPD, tipificada como infracción grave en el artículo 44.3
  28. b)de la LOPD, una multa de 20.000€ (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAÑA VIRTUAL S.L (SIMYO), y a la parte denunciante Doña A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal.” Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.