PS-00392-2014

1/9 Procedimiento Nº PS/00392/2014 RESOLUCIÓN: R/02941/2014 En el procedimiento sancionador PS/00392/2014, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U., vista la denuncia presentada por D. A.A.A. y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fecha 19/7/13 se recibe en el registro de la Agencia Española de Protección de Datos escrito de D. A.A.A. en el que se manifiesta que los datos del denunciante han sido informados a ficheros de morosidad a pesar de tener presentada una reclamación ante la SETSI. Con fecha 30 de septiembre de 2013 se firma Resolución indicando que debido a que las notificaciones de inclusión se han realizado en junio de 2013 y la reclamación ante la SETSI también ha sido interpuesta en junio de 2013 se resuelve no incoar actuaciones previas de inspección. Con fecha 5 de noviembre de 2013 se recibe Recurso de Reposición en el cual el denunciante manifiesta que la reclamación ante la SETSI se interpuso en fecha 17 de enero de 2013 y, con fecha 14 de noviembre de 2013, se procede a estimar el Recurso de Reposición y a la apertura de estas actuaciones previas. En los escritos mencionados, el denunciante ha aportado notificaciones de inclusión en los ficheros ASNEF y BADEXCUG en fechas 22 y 23 de junio de 2013 por un importe de 69,27 € y Registro Electrónico de la reclamación presentada ante la SETSI en fecha 17 de enero de 2013. SEGUNDO Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/06920/2013 que finalizaron con informe de fecha 16/6/14. TERCERO: Por el Director de la Agencia Española de Protección de Datos se acordó, con fecha 8/07/14, iniciar procedimiento sancionador a ORANGE ESPAGNE por la por la presunta infracción del artículo 4.3 de la LOPD. CUARTO: Se han presentado escrito de alegaciones, por parte de la entidad denunciada, con fecha 21/2/14 que se ha valorado en la resolución de este expediente QUINTO; Se apertura periodo de prácticas de pruebas, incorporando la documentación y alegaciones presentadas en el procedimiento de actuaciones previas de investigación. Se solicitó además a la SETSI la siguiente prueba: “en el marco del expediente identificado por la SETSI con la referencia RC******/13/TLM, abierto como consecuencia de una reclamación presentada por D. A.A.A., DNI ***DNI.1 frente a ORANGE ESPAGNE: Copia de la resolución de dicho procedimiento y fecha de notificación a la entidad ORANGE ESPAGNE” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 SEXTO: Como contestación a dicha prueba se certifica por la SETSI que la fecha exacta en que el operador tuvo conocimiento de la resolución, vía telemática fue el 20/3/14 como consta en el acuse de recibo de dicha Secretaría. OCTAVO: Se dictó Propuesta de Resolución en el sentido de que por el Director de la Agencia se dictase el archivo del presente procedimiento sancionador. HECHOS PROBADOS 1º Consta denuncia presentada por D. A.A.A. manifestando que sus datos han sido informados a ficheros de morosidad a pesar de tener presentada una reclamación ante la SETSI. 2º Consta que con fecha 30 de septiembre de 2013 se firmó Resolución indicando que debido a que las notificaciones de inclusión se han realizado en junio de 2013 y la reclamación ante la SETSI también ha sido interpuesta en junio de 2013 se resuelve no incoar actuaciones previas de inspección. Que posteriormente se recibe Recurso de Reposición en el cual el denunciante manifiesta que la reclamación ante la SETSI se interpuso en fecha 17 de enero de 2013 y, con fecha 14 de noviembre de 2013, se procede a estimar el Recurso de Reposición y a la apertura de estas actuaciones previas. 3º Consta que en los escritos mencionados, el denunciante ha aportado notificaciones de inclusión en los ficheros ASNEF y BADEXCUG en fechas 22 y 23 de junio de 2013 por un importe de 69,27 € y Registro Electrónico de la reclamación presentada ante la SETSI en fecha 17 de enero de 2013 4º Consta las siguientes manifestaciones realizadas por ORANGE ESPAGNE, S.A.U * Que con fecha 24/01/2013 se recibe la reclamación de la Secretaría de Estado de las Telecomunicaciones y para la Sociedad de la Información (SETSI) con en la que el denunciante indica que el día 28/12/2012 solicitó la portabilidad de la línea ***TEL.1 a otro operador y que dicha portabilidad se efectuó de manera errónea constando dicha línea, según el reclamante, activa en ambos operadores. * Con motivo de dicha reclamación, se procedió al análisis de los hechos y se comprobó que dicha solicitud de portabilidad nunca existió, de manera que, la línea figuraba activa en los sistemas de ORANGE por lo tanto se hacía inviable que la misma estuviera activa en otro operador. * A este respecto, ORANGE ha aportado escrito remitido a la SETSI, de fecha 8 de febrero de 2013, en contestación a la reclamación en estos términos aportando en el escrito impresión de pantalla de la consulta efectuada a la CMT, a través de Internet (www.cmt.es), de la numeración ***TEL.1 en la que consta que en fecha 8/02/2013, dicha línea pertenecía a ORANGE. * ORANGE manifiesta, y aporta impresión de pantalla al efecto, que el motivo por el cual los datos de carácter personal del denunciante fueron incluidos en los ficheros de solvencia patrimonial con fecha 20/06/2013, y por tanto, con carácter posterior a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 resolución de dicha reclamación, fue por el impago de las facturas de fecha 08/03/2013 y 08/04/2013 emitidas en virtud del contrato que el reclamante aún mantenía activo, * Asimismo manifiesta que los datos del denunciante fueron comunicados a los ficheros de solvencia patrimonial con fecha posterior a la resolución de la reclamación interpuesta por el denunciante, la cual fue determinada como no procedente por parte de France Telecom. * Respecto a una segunda reclamación presentada ante la SETSI, ORANGE manifiesta que dicha reclamación no consta en los Sistemas de la entidad. * ORANGE manifiesta que, a pesar del convencimiento en cuanto a la certeza de la deuda, con motivo de la entrada del Requerimiento de Información de la AEPD, ha sido ordenada la exclusión de los datos del reclamante de los citados ficheros de solvencia, como medida estrictamente cautelar y como deferencia comercial y aporta certificados de EQUIFAX IBÉRICA SL y EXPERIAN BUREAU DE CRÉDITO SA de diciembre de 2013. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/06920/2013, y al apreciarse indicios susceptibles de motivar la imputación de una infracción, en base a los hechos denunciados, por el Director de la Agencia se dictó acuerdo de inicio de procedimiento sancionador por la presunta infracción del art 4 de la LOPD. En el escrito de alegaciones al Acuerdo de Inicio por parte de la entidad denunciada se realizaron las siguientes alegaciones, en síntesis: - Vulneración de las normas que regulan el procedimiento, cometiéndose una doble infracción procedimental ya que se ha dado intervención como interesado a quien no está legitimado (al denunciante) y se ha ocultado la existencia de la denuncia y del recurso a quien si es interesado (a Orange) - Incompetencia de la Agencia - Que en las facturas impagadas han existido consumo, por lo que en ese momento era cliente de la entidad, y por lo tanto no existía obstáculo para que la deuda fuera comunicada al fichero de solvencia patrimonial. - Con carácter subsidiario aplicación art. 45.5 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 - Que fue la denunciante que facilitó al distribuidor los datos para la activación de la línea y el tratamiento de sus datos - Que Orange se limitó a cursar el alta de los referidos servicios conforme a la solicitud que le fue realizada por el distribuidor. Al no existir precepto alguno que imponga a Orange una responsabilidad objetiva por los actos de sus agentes, y al no constar ni la participación ni culpabilidad de esta, debe concluirse la exoneración de la culpabilidad de la entidad. - Que una vez advertida la incidencia se procedió de manera inmediata a cancelar el aprovisionamiento y anular las facturas emitidas - Subsidiariamente, aplicación del art. 45.5 de la LOPD III Se alega en primer lugar la incompetencia de la Agencia ya que la determinación de la existencia de la deuda o facturación indebida constituyen cuestiones de naturaleza civil sustraídas a su competencia. Dicha alegación no puede estimarse en base a la interpretación ya reiterada en diversas Sentencias de la Audiencia nacional, entre todas la SAN 0000534/2011 de 31/01/163 que manifiesta que “ Efectivamente, corresponde a la AEPD, ex artículo 37.
2. a)LOPD, velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, así como ejercer la potestad sancionadora en los términos previstos en el Título VII de la citada Ley (artículo 37.g). Tiene por tanto competencia para la represión de conductas que afectan al ámbito de protección de datos, entre las que se encuentran las vulneraciones de los principios del consentimiento y calidad de datos apreciados por la resolución administrativa impugnada y establecidos en los artículos 6.1 y 4.3 LOPD . Y si dichos principios exigen que los datos de una persona tratados por un tercero, se realicen con su consentimiento y sean veraces y exactos, la AEPD, a los solos efectos de determinar si se ha producido o no la vulneración de los citados principios, puede realizar una valoración sobre si el consentimiento para el tratamiento de los datos del afectado en relación con unos determinados servicios, cuenta o no con la cobertura de la contratación de dichos servicios y sobre la exactitud y veracidad de un determinado dato, como puede ser la existencia de una deuda informada a un fichero de solvencia patrimonial. Por tanto, al tener la AEPD competencia para determinar si se han cumplido o no los requisitos legal y reglamentariamente establecidos para el tratamiento de los datos personales de la persona afectada, no puede acogerse la tesis que sostiene la parte recurrente en su escrito de demanda. IV Se alega en segundo lugar la vulneración de las normas que regulan el procedimiento ya que por el Director de la Agencia se estimó el recurso de reposición interpuesto por el denunciante, sin haber dado traslado ni la denuncia ni el recurso a Orange. Sin embargo debe tenerse que las actuaciones E/04929/2013 fueron en un primer C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 momento inadmitidas a trámite, y que tras la estimación del recurso interpuesto por el denunciante, por el Director de la Agencia se ordenó la realización de nuevas actuaciones E/06920/2013. En el marco de las cuales se solicitó información a ORANGE con fecha 26/11/13. En base a ellas se apertura el presente procedimiento sancionador PS/00392/2014 Las diligencias o actuaciones previas no forman parte, per se, del procedimiento sancionador sino son un antecedente del mismo, como ha establecido la STS de 26/5/87. En ellas el imputado no disfruta del derecho de audiencia y contradicción, que si deben ser garantizados en el procedimiento sancionador subsiguiente. Por consiguiente, como en recurso mencionado sólo se ordena la apertura de nuevas actuaciones, que se han tramitado con conocimiento de ORANGE, no se considera que se haya producido vulneración de las normas procedimentales. V La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
3. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
4. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos de la denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. VI Se imputa a ORANGE, en el presente procedimiento, la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
5. d)que “Los Estados miembros dispondrán que los datos personales sean….
6. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte, el artículo 37.1 y 3 del RLOPD establece que: “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. De este modo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
7. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
8. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 de vencimiento periódico.
9. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…). 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Y el artículo 39 del RLOPD, sobre “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
10. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. VII La exigencia de que la deuda sea cierta responde al principio de calidad de datos recogido en el artículo 4.3. De la LOPD, al expresar que “los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. En consecuencia, el acreedor o quien actúe por su cuenta o interés podrá facilitar datos de carácter personal, relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a ficheros comunes de solvencia patrimonial y crédito, siempre que la información registrada en este tipo de ficheros respete los principios de veracidad y exactitud. A tenor de las consideraciones precedentes cabe concluir que la impugnación de la deuda, cuestionando su existencia o certeza, ante los órganos administrativos, arbitrales o judiciales competentes para declarar la existencia o inexistencia de la misma, a través de resoluciones de obligado cumplimiento para las partes, impide que pueda hablarse de una deuda cierta hasta que recaiga resolución firme, y por tanto impide, en tanto no haya recaído resolución, la inclusión de la misma en los ficheros de solvencia patrimonial y crédito. Respecto a los hechos que nos ocupan, resulta acreditado que ORANGE comunicó a los ficheros de morosidad Asnef y Badexcug una incidencia asociada a los datos del denunciante (nombre, apellidos, NIF y domicilio) con fecha de alta 20/6/13 derivado del impago de las facturas de 8/3/13 y 8/4/13. Por otra parte, el denunciante ha aportado reclamación que quedó registrada en la SETSI el día 8/1/13, dando lugar a la apertura del expediente RC ******/13 que se trasladó a ORANGE el día 17/1/13. Dicho procedimiento se resolvió con fecha 14/3/14 notificándose al operador el día 20/3/14. En dicha resolución se resuelve estimar la reclamación debiendo ORANGE proceder a la tramitación de la solicitud de portabilidad. Si bien queda acreditado que la SETSI, cuyas resoluciones son vinculantes para las partes, dio traslado a ORANGE de las reclamaciones del denunciante, del sentido de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 resolución no se deduce que se cuestionara la existencia de una deuda, sino la procedencia de una solicitud de portabilidad conservando el número de abonado. Por consiguiente no puede hablarse de la existencia de una controversia sobre la deuda reclamada planteada ante un órgano administrativo con competencia para dictar resoluciones de obligado cumplimiento, como es la SETSI. En consecuencia, en el caso que nos ocupa, de los elementos de prueba aportados y sin realizar pronunciamientos sobre la existencia de la deuda, que en todo caso corresponderían a la jurisdicción civil, no se aprecia que se haya vulnerado la LOPD, ya que existe en un principio apariencia de deuda cierta, vencida y exigible. Se deduce por tanto que ORANGE no infringió el principio de calidad del dato, (artículo 4.3 de la LOPD) en relación con el artículo 38.1.a, del RLOPD, toda vez que cuando la denunciada informó los datos personales del denunciante a los ficheros de solvencia patrimonial para ella era una deuda cierta, vencida y exigible, no afectada por la reclamación ante la SETSI, y a mayor abundamiento se produjo consumo en la línea afectada. En consecuencia, no se advierte incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en el Título VII de la LOPD. Vistos los preceptos citados y demás de general aplicación, Por el Director de la Agencia Española de Protección de Datos Se ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es