1/7 Procedimiento Nº: PS/00356/2017 RESOLUCIÓN R/02172/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00356/2017, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 11/07/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ORANGE ESPAGNE, S.A.U., mediante el Acuerdo que se transcribe: <<HECHOS PRIMERO: Con fechas 08 y 11/08/2016, tuvieron entrada en la Agencia Española de Protección de Datos (AEPD), escritos presentados por D. A.A.A. (en lo sucesivo el denunciante), en los que formula denuncia contra la entidad ORANGE ESPAGNE, S.A.U. (en lo sucesivo ORANGE), de la que no es cliente, por la realización de llamadas y envíos de SMS a su línea de telefonía móvil número ***TEL.1, a pesar de estar registrado en Lista Robinson desde el 01/07/2009 para no recibir llamadas, SMS y MMS en dicho número. El detalle de llamadas que aporta es el siguiente (adjunta capturas de pantalla del terminal móvil en las que constan estas llamadas): 4 de agosto de 2016 20:59h desde el nº ***TEL.2. 5 de agosto de 2016 15:04h desde el nº ***TEL.2. 8 de agosto de 2016 16:56h desde el nº ***TEL.3. 8 de agosto de 2016 19:02h desde el nº ***TEL.3. El SMS al que se refiere la denuncia se recibe el 10/08/2016, a las 15:25 horas. En el mismo se identifica el origen como “ORANGE” y se remite el texto siguiente: “Con Orange, Liga y Copa GRATIS toda la temporada, además de las mejores series y películas. Y llévate una SmartTV LG desde 4,95€/mes. Llama gratis al ***TEL.4” (adjunta impresión del mensaje). Añade que los servicios de la línea ***TEL.1 los tiene contratados con la operadora Telefónica Móviles España, S.A.U., según acredita mediante las facturas de fecha 01/08 y 01/09/. Con su denuncia aporta, además, impresión de pantalla con el registro de sus datos en Lista Robinson. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas de investigación, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 1. La Inspección de Datos ha verificado, a través de la Comisión del Mercado de las Telecomunicaciones, que el operador actual de las líneas: ***TEL.4, ***TEL.3, ***TEL.2 es ORANGE. 2. La Inspección de Datos se ha puesto en contacto telefónico con el nº ***TEL.4, reproduciéndose una alocución automática que informa “Bienvenido a ORANGE”. A continuación contestó a la llamada una persona que se identificó como “Departamento de contratación de ORANGE”, pregunta por el motivo de la llamada: El inspector actuante solicitó información sobre el procedimiento para solicitar la baja de publicidad, a lo que dicha persona contestó que debía llamar al 1470, del Departamento de Atención al Cliente de ORANGE. La Inspección de Datos se ha puesto en contacto telefónico con el nº ***TEL.2, reproduciéndose una alocución automática que comunica “Información gratuita de ORANGE lo sentimos esta llamada está restringida y no es posible hacer la conexión”. 3. La compañía Telefónica Móviles España, S.A.U. ha comunicado a la Inspección de Datos lo siguiente: La línea ***TEL.1 recibió un mensaje, el día 10/08/2016, a las 15:25 horas, con origen en un número perteneciente al operador ORANGE, aunque añade que “no aparece número”. Confirman que la línea ***TEL.1 recibió las siguientes llamadas: 4 de agosto de 2016 20:59h desde el nº ***TEL.2: SI. 5 de agosto de 2016 15:03h desde el nº ***TEL.2: SI. 8 de agosto de 2016 16:56h desde el nº ***TEL.3: SI. 4. La compañía ORANGE ha informado a la Inspección de Datos, en relación con las llamadas recibidas por el denunciante, lo siguiente: En el fichero remitido a los distribuidores y otras entidades con los números de teléfono de la Lista Robinson, con objeto de NO publicitar productos de ORANGE mediante llamadas telefónicas, vigente en el periodo comprendido entre el 1 y el 15/08/2016, no consta el número de línea ***TEL.1. Si bien, manifiestan que el citado fichero fue remitido a los distribuidores el 8 de agosto, no acreditan su recepción por los destinatarios (el requerimiento de la Inspección de Datos solicitaba el fichero vigente en el periodo comprendido entre el 1 y el 15/08/2016). Con respecto al fichero remitido a los distribuidos y otras entidades con los números de teléfono destinatarios de la publicidad de productos ORANGE mediante llamadas telefónicas, vigente en el periodo comprendido entre el 1 y el 15/08/2016, manifestaron que lo han solicitado al proveedor y en el momento de que dispongan del mismo lo aportarían a esta Agencia (hasta la fecha no lo han facilitado). La titularidad de línea ***TEL.4 es de ORANGE, numeración no asignada a cliente final, y la de los números de línea ***TEL.3 y ***TEL.2 corresponde a Integrated Call Centre Services, S.L. (en adelante ICSS), con la que ORANGE (anteriormente France Telecom España, S.A.) tiene suscrito “Contrato de Prestación de servicios de telemarketing de venta de servicios de telecomunicaciones móviles de France Telecom, S.A. para el segmento residencial y empresas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 mediante llamadas”, de fecha 01/12/2010, en virtud del cual ICSS presta servicios de comercialización telefónica de servicios de comunicaciones electrónicas para la venta y/o comercialización proactiva de los productos y servicios de ORANGE. En la cláusula 2 se detalla, entre otros, que “Las Partes acuerdan que los registros de las bases de datos a contactar, serán comunicadas por ORANGE al Proveedor a través de correo electrónico, considerando a efectos de este Contrato este medio como válido y suficiente, asumiendo el Proveedor el compromiso de llevar a cabo las llamadas de Emisión a todos los registros propuestos, siempre y cuando no acaeciesen impedimentos para la correcta ejecución de las mismas directamente imputables a ORANGE”. En la cláusula 16 “Confidencialidad y Protección de Datos” y en el Anexo 4 se detallan los aspectos contemplados en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) y en su Reglamento de desarrollo, aprobado por Real Decreto 1270/2007, de 21 de diciembre (RLOPD). Y el Anexo 5 se refiere al “Acuerdo de Confidencialidad”. También, ORANGE e ICSS suscribieron Contrato para la cesión de datos de carácter personal, de fecha 0111/2009, mediante el que ICSS facilitara a ORANGE una serie de registros para que pueda acometer acciones comerciales. En la cláusula 3 del Contrato se indica lo siguiente: 3.2. Así mismo, respecto a dichos datos, el Cedente declara y garantiza la observancia de todas las disposiciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y de la restante normativa aplicable en materia de protección de datos que le son aplicables. 3.3 El Cedente garantiza que los datos cedidos, provienen de ficheros titularidad del Cedente, cuyo origen son fuentes accesibles al público, según definición de las mismas contenida en el Reglamento, en concreto, de guías de servicios de comunicaciones electrónicas y/o diarios y boletines oficiales, en los términos previstos en su normativa específica. Por otra parte, los Servicios de Inspección de la AEPD aportaron la siguiente información relativa a la entidad ORANGE: . La compañía, en su sector, está considerada gran empresa. . Objeto social: Telecomunicaciones inalámbricas. . En el desarrollo de su actividad realiza un elevado volumen de tratamientos de datos personales. . Reincidencia de infracciones ya resueltas en relación a los mismos hechos: en el sistema SIGRID de la AEPD no constan procedimientos por infracciones de la entidad ORANGE similares a la denunciada desde el 1 de enero de 2016. Se recaba la información disponible en el Registro Mercantil, en la base de datos AXESOR y en el Sistema de Información de la Inspección de Datos (SIGRID). FUNDAMENTOS DE DERECHO PRIMERO: Sin perjuicio de lo que resulte en el procedimiento, los hechos expuestos, que se concretan en la realización de las llamadas publicitarias denunciadas, podrían suponer la comisión por parte de ORANGE ESPAGNE, S.A.U. de una infracción a lo dispuesto en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 6.1 de la LOPD, según el cual “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”, en su relación con lo dispuesto en el artículo 30.4 de la misma norma y artículo 49 de su Reglamento de desarrollo. El artículo 30.4 de la LOPD dispone que: “4.Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.”. El artículo 49 del RDLOPD establece lo siguiente: “1. Será posible la creación de ficheros comunes, de carácter general o sectorial, en los que sean objeto de tratamiento los datos de carácter personal que resulten necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad. A tal efecto, los citados ficheros podrán contener los mínimos datos imprescindibles para identificar al afectado. 2. Cuando el afectado manifieste ante un concreto responsable su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél deberá ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento. El afectado podrá solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial. 3. La entidad responsable del fichero común podrá tratar los datos de los interesados que hubieran manifestado su negativa u oposición al tratamiento de sus datos con fines de publicidad o prospección comercial, cumpliendo las restantes obligaciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento. 4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento. “ La citada infracción se encuentra tipificada como grave en el artículo 44.3.
- b)de la LOPD, que considera como tal “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, pudiendo ser sancionada, con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: En cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, tras las evidencias obtenidas en la fase de investigaciones previas y sin perjuicio de lo que resulte de la instrucción, se tiene en cuenta, como agravantes, la vinculación de la actividad de la entidad con la realización de tratamientos de datos de carácter personal (criterio c); y su volumen de negocio o actividad al ser uno de los principales operadores de telecomunicaciones del país (criterio d). Además, se considera que ORANGE mostró una falta de diligencia en la adopción de medidas adecuadas para gestionar el seguimiento del tratamiento de los datos personales de los destinatarios de sus campañas publicitarias, máxime si se valora que como entidad conocedora de la normativa de protección de datos le resulta exigible un especial rigor y cuidado en orden a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 garantizar el respeto a los derechos y principios establecidos en la LOPD. En este supuesto su conducta no se ha ajustado, desde el punto de vista de la protección de datos, a las exigencias mínimas que derivan de su actividad, de la que se infiere un continuo tratamiento de datos personales, ya que no ha mostrado el suficiente cuidado para hacer efectiva la negativa del denunciante al uso de sus datos con fines promocionales garantizando la exclusión de los mismos de las campañas de telemarketing, en especial teniendo en cuenta que el teléfono destinatario de las llamadas publicitarias analizadas se encuentra registrado en el fichero común del Servicio de Lista Robinson de ADIGITAL desde el año 2009 (criterio f); y, finalmente, la ausencia de procedimientos de gestión adecuados para impedir la comisión de infracciones de similar naturaleza (criterio j). Por todo ello, procede imponer una sanción por importe de 40.001 euros. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a la entidad ORANGE ESPAGNE, S.A.U. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 6.1 de la LOPD en su relación con lo previsto en el artículo 30.4 de la LOPD y artículo 49 del RDLOP, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. 2. NOMBRAR como Instructor a…, y como Secretaria a… indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre y art. 127 letra
- b)del RLOPD, la sanción que pudiera corresponder sería de 40.001 euros (cuarenta mil un euros), sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a ORANGE ESPAGNE, S.A.U. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
- f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
- f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 8.000,20 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,80 euros, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 8.000,20 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,80 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 24.000,60 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (32.000,80 euros o 24.000,60 euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 00000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00356/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
- g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno>>. SEGUNDO: En fecha 25/07/2017, la entidad ORANGE ESPAGNE, S.A.U. ha procedido al pago de la sanción en la cuantía de 24.000,60 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 21/07/2017, tuvo entrada en esta Agencia escrito de la entidad ORANGE ESPAGNE, S.A.U., en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00356/2017, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es