PS-00394-2016

1/12 Procedimiento PS/00394/2016 RESOLUCIÓN: R/00303/2017 En el procedimiento sancionador PS/00394/2016, instruido por la Agencia Española de Protección de Datos a la entidad Orange Espagne SAU, vista la denuncia presentada por B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas de 5 de octubre de 2015 y 27 de enero de 2016 tienen entrada en esta Agencia dos escritos de B.B.B. en el que denuncia: "Usurpación de identidad cambiando mi teléfono a otra supuesta compañía llamada 'Amena', me cambian de compañía online, de tarifa y piden un teléfono financiado a mi nombre, tienen mi DNI calle y número, y el número de mi cuenta bancaria." Aporta copia de DNI; denuncia ante la Policía Nacional de 13/08/2015, en que alude al robo de su DNI un año antes, y al cambio fraudulento por portabilidad de su línea móvil H.H.H. de Orange a Amena; Factura de Orange de 07/02/2015 con sus datos donde se incluye el importe de la adquisición del terminal móvil; Reclamación ante la SETSI presentada el 27/01/2016; Facturas de Amena de 06/02/2015 con cuota de cambio a Amena, de 06/03 a 06/102015 de cuota de línea; Contrato de la línea H.H.H. con Orange de 23/10/2008 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a Orange, actualmente titular de la marca amena. Recibida la respuesta se emite informe de actuaciones previas: <<< Con fecha 26/02/2016 se solicita información a Orange en relación con la línea supuestamente contratada de forma fraudulenta con la numeración H.H.H. con los datos de la denunciante, teniendo entrada en esta Agencia con fecha 01/04/2016 escrito en el que manifiesta: La citada línea fue catalogada como alta fraudulenta por esta mercantil, como ya fue comunicado en la contestación de Tutela de Derecho TD/01725/2015 planteada por la denunciante con fecha 15/10/2015, y resuelta por esta Agencia el pasado 02/03/2016. La denunciante fue informada de que la contratación de enero de 2015 sobre la citada línea, fue catalogada como alta fraudulenta el 4/9/2015 y todos los cargos emitidos fueron anulados. Aporta impresión de pantalla de los datos que constan en sus sistemas: NIF, nombre, apellidos, domicilio y domiciliación bancaria de la denunciante. Detalle de los productos contratados con fechas de alta y baja: Contrato ***CONTRATO.1 de línea H.H.H. con alta y baja 23/10/2008 y 22/01/2015, respectivamente, por portabilidad a AMENA; Contrato ***CONTRATO.2 de línea H.H.H. con alta y baja 22/01/2015 y 04/09/2015, respectivamente, por fraude. Listado de las facturas generadas y abonadas desde 21/11/2008 a 21/02/2015 del contrato ***CONTRATO.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Listado de las facturas generadas y abonadas desde 01/02/2015 a 01/10/2015 del contrato ***CONTRATO.2, de las que las de 01/08, 01/09 y 01/10/2015 fueron anuladas, y el resto de facturas emitidas fueron abonadas a la denunciante mediante transferencia bancaria, quedando al corriente de pago. Se adjuntan facturas emitidas (originales y rectificativas). Consta registro de varias comunicaciones dirigidas al Servicio de Atención al Cliente, por parte de la denunciante. Se aporta transcripción de los contactos e interacciones de 10 y 25/08/2015, y 04/12/2015. Se adjunta copia del contrato original de la línea, realizado en un Punto de Venta correspondiente al Canal de Distribución de esta mercantil, copia de DNI, y la grabación en la que se recoge en consentimiento para la aplicación de un descuento comercial sobre la línea. El formulario de solicitud de migración de la línea de Orange a Amena.Com no ha sido localizado en el sistema de Gestión Documental por lo que el mismo ha sido requerido al Departamento de Sistemas. Respecto al contrato de Amena.Com, constan dos pedidos de envío entregados de 15/07/2015 y 30/01/2015 a nombre de la denunciante con un domicilio distinto. Se adjuntan los albaranes de entrega de los pedidos. Se observa durante la inspección que un albarán tiene fecha de entrega en Madrid 07/01/2016 y el otro con entrega en Melilla no figura fecha. La denunciante interpuso una reclamación que motivó la apertura del Procedimiento de Tutela de Derecho con referencia TD/01725/2015, resuelto por esta Agencia el pasado 2 de marzo de 2016. Con ocasión del citado procedimiento, esta mercantil procedió a comunicar a la cliente que la línea H.H.H. fue catalogada como alta fraudulenta el 4/9/2015, ya que había podido comprobarse que había sido migrada de Orange a contrato de Amena.Com por algún tercero de mala fe, motivo por el cual fueron anulados todos los cargos emitidos a su nombre asociados a dicha contratación. Se aporta copia de la citada comunicación de 04/12/2015. Se recibió una Reclamación Oficial de la Comunidad de Madrid con expediente ***EXPTE.1 La cliente reclamaba la anulación del importe pendiente de pago y la devolución de las facturas abonadas por no reconocer la migración de Orange a Amena de la línea H.H.H.. Tras comprobarse que se había catalogado como fraude dicha migración se procedió a anular la deuda y a devolver mediante transferencia el importe abonado. Se aporta copia de escrito que se envió el 08/01/2016 en respuesta al Organismo. Habida cuenta que la migración del contrato objeto de controversia se formalizó vía internet: Se facilita el procedimiento implantado en esta mercantil para contrataciones de productos AMENA.COM a través de internet: El proceso implementado para validar la identidad del contratante, figura especificado en dicho Procedimiento de Activación a través de Internet, si bien se han habilitado medidas de carácter adicional, con el fin de garantizar la identidad del titular. Estas medidas son, entre otras, la entrega del equipo bien en un punto de Venta correspondiente al Canal de Distribución de esta mercantil, o bien en una oficina de correos. La entrega solamente se realiza al titular del contrato previa entrega de documento original de identidad. Se acompaña copia del citado procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Durante la inspección se incorpora documentación del expediente de Tutela de Derechos TD/01725/2015 ya resuelto, donde consta carta de Orange de 09/02/2016 enviada a la denunciante informando de que la línea fue catalogada como fraude el 04/09/2015 y fueron anulados todos los cargos emitidos a su nombre asociados a dicha contratación, sus datos han sido desasociados de la línea y no hay ningún importe pendiente de pago. >>> TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Orange realizó tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco cuando tramita la portabilidad de una línea de telefonía móvil. Para ello incorpora dichos datos a su fichero de clientes, sin verificar sus datos y documentar la identidad de la persona, sin disponer de solicitud del titular ni tener apoyo contractual o normativo para hacerlo y más tarde emitir facturas a su nombre. CUARTO: Con fecha 09/09/16, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a Orange Espagne SAU, por presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.

1. b)de dicha norma. Notificado el acuerdo de inicio, Orange formula alegaciones y solicita -en virtud del reconocimiento de la responsabilidad de la infracción- se proceda a establecer la sanción correspondiente de acuerdo con lo previsto en el art. 45 apartados 4 y 5 de la LOPD, en la horquilla inferior de las leves. Alega que procedió a cancelar la deuda cuando tuvo conocimiento de que la contratación por portabilidad había sido fraudulenta. Para la fijación de la sanción deben ser tenidas en cuenta los apartados
2. d)y
3. b)del 45.5 y los apartados a), e), f), y
4. h)del 45.4 de la LOPD. QUINTO: Con fecha 07/10/16 se inició el período de práctica de pruebas, acordándose las siguientes: Se dan por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio. SEXTO: Habiendo reconocido la responsabilidad en los hechos en su escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador procede, conforme al art. 8 del Reglamento del Procedimiento para el Ejercicio de la Potestad sancionadora (Aprobado por R. Dto 1398/1993, de 4 de agosto, BOE 09/08/1993), resolver el procedimiento con la imposición de la sanción correspondiente. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1 --- 23/10/08, fecha de alta en Orange de la línea H.H.H. a nombre de la persona denunciante ( B.B.B.) tras la firma del "contrato clientes particulares telefonia móvil" nº ***CLIENTE.1-***CONTRATO.1 RNA13 en la tienda de calle (C/...1) de Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 (Folios 13, 64-65) Todas las facturas -referidas a ese contrato- emitidas por Orange desde 21/11/08 a 21/02/15 fueron abonadas por la denunciante. (Folios 51-52) 2 --- 22/01/15, fecha que figura en la base de datos de Orange, donde queda anotado "cambios entre Orange y Amena y viceversa", en que se realiza una migración al contrato de Amena ***CONTRATO.2. El terminal telefónico contratado con pago aplazado fue entregado en A.A.A.. (Folios 47-49, 56) 3 --- 07/02/15, Orange emite factura a nombre de la denunciante por un terminal telefónico (HTC ONE M8 GRIS) por importe total de 448,01 € (primer pago de 76,49 €, pendiente de pago 371,52 €) y la envía al domicilio de la denunciante. (Folio 6) 4 --- 10/08/15, la denunciante reclama a Orange y en su base de datos de contactos queda anotado: "cliente que expresa no reconocer pedido del móvil HTC ONE M8 plata, solicita bloqueo del IMEI no de la línea móvil H.H.H., ya que dice que esta si es de su propiedad pero que no ha podido utilizar desde que se la pasaron hacia amena cuando era de amena con la tarifa ardilla 8." (Folios 54-56) 5 --- 11/08/15, fecha que figura en la base de datos de Orange, donde queda anotado "suspensión por contrato inválido", y más tarde (25/08/15) es reactivado. (Folio 49) 6 --- 13/08/15, la persona denunciante presenta en la Comisaria de la Policía Nacional la siguiente denuncia: <<< En calidad de DENUNCIANTE, quien mediante DNI n° J.J.J. y número de soporte APH104048, acredita ser D.D.D., país de nacionalidad España , mujer, nacida en Madrid , el día F.F.F., hija de E.E.E., con domicilio en A.A.A. , teléfono I.I.I.: MANIFIESTA: … —Que la dicente tiene dos líneas telefónicas con la compañía ORANGE, teniendo uno de ellos solo para utilizarlo durante las vacaciones, sin tarifa de datos de Internet. —Que al ir a activar dicha línea, la operadora de la red telefónica le ha comunicado que el teléfono con línea H.H.H. se ha realizado una portabilidad a la compañía AMENA, y que además habían adquirido un teléfono móvil, con fecha de 7-2-2015, por un importe de 448,01 euros, siendo este de la marca HTC, modelo ONE, con número de IMEI *************. —Que la dicente le manifestó que ella no había realizado tal portabilidad, ni había adquirido ningún teléfono. —Que la operadora le manifestó que dichos trámites se habían realizado por Internet. —Que la dicente manifiesta que hace un año aproximadamente le sustrajeron su DNI. —Que desde la línea citada anteriormente se le han realizado cinco cargos mensuales por valor de 22.43 euros y un cargo de 9.50 euros. —Que en este acto presenta factura de compra del teléfono y extracto bancario. >>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 (Folios 4-5, 30-31) 7 --- Orange, con el rotulo de "Amena.com", emitió 9 facturas entre los meses de enero y octubre de 2015 por la línea telefónica H.H.H., incluyendo además de la tarifa por el uso de la línea conceptos de "cuota de cambio a amena" y "cuota mensual venta a plazos terminal". (folios14-37, 52, 66-82) 8 --- 08/01/16, Orange, tras recibir de Consumo de la Comunidad de Madrid la reclamación de la denunciante, envía respuesta informando del alta y baja de la línea H.H.H., la anulación de determinadas facturas y el abono de los importes cobrados, quedando al corriente de pago respecto a la citada línea. (Folio 97) 9 --- Las facturas fueron anuladas con la emisión el 15/01/16 de otras tantas facturas rectificativas y sustitutorias por importe cero sin especificar conceptos. Siendo devuelto por transferencia los importes pagados. (Folios 83-91, 52-54) 10 --- 26/01/16, la denunciante remite por correo certificado escrito dirigido a Orange denunciando el cambio sin su consentimiento de su número de teléfono a Amena y el cargo en cuenta con la factura de la compra a plazos de un terminal que no ha solicitado. (Folios 38-39) 11 --- 27/01/16, la persona denunciante presenta denuncia ante la SETSI contra Amena denunciando igualmente el cambio de compañía y la compra de terminal, y solicita la devolución de lo cobrado, el número de teléfono y que le quiten de ficheros de morosos. (Folios 40-41) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. " Este precepto debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
6. c)y 3,
7. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. III El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y entre esas excepciones contempla a quienes son parte de una relación contractual siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. Son pues elementos característicos de este derecho fundamental, los derechos del afectado a consentir la recogida y el uso de sus datos personales y a saber de los mismos. El tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, - entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). La obligación que incumbe a la entidad responsable del fichero al que incorpora el dato de la afectada de recabar y obtener, con carácter previo, su “consentimiento inequívoco” lleva implícita una actitud diligente que se traduce en la necesidad de contrastar, a través de la documentación pertinente, la identidad de quien facilita los datos, mediante la exhibición del original del documento identificativo primero y anexando una copia del citado documento a la declaración de voluntad que quiere hacer valer, después. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Llegados a este punto debemos subrayar, una vez más, que es a la denunciada a quien incumbe la carga de probar que recabó y obtuvo el consentimiento del afectado para el tratamiento de sus datos. La LOPD exige que sea el titular de los datos quien preste su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
8. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. IV Corresponde examinar a continuación si la conducta de Orange, que estimamos vulnera el artículo 6.1 de la LOPD, puede subsumirse en el tipo sancionador contemplado en el artículo 44.3.
9. b)y si, en tal caso, la infracción es Imputable a la operadora mencionada. A) Respecto a la primera de estas cuestiones, constatado que la entidad realizó la acción típica – infracción del principio del consentimiento –, se debe verificar si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. En STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC proclama el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. El elemento subjetivo de la culpabilidad se concreta en la falta de diligencia demostrada por Orange al tiempo del cambio de contrato. La denunciada cambia la línea contratada por la denunciante al servicio Amena de la misma compañía Orange dándole apariencia de portabilidad a otra compañía, y desde luego con los mismos efectos de perdida de la línea y el servicio telefónico, pero manteniendo la domiciliación del pago en la misma cuenta. No se ha acreditado la identificación de la persona solicitante. El envío del terminal telefónico comprado con el cambio de contrato es enviado y recibido en Melilla, pero se factura el aparato a la antigua titular de la línea y se envía a su domicilio en .Madrid. No ha aportado prueba alguna que acredite que la contratación fue solicitada por la titular del dato personal. B) Respecto a la segunda de las cuestiones planteadas, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Por su parte, el artículo 3
10. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En consecuencia, Orange, en su condición del responsable del fichero al que se incorporaron los datos personales del afectado, es responsable de la infracción del artículo 6.1 de la LOPD. V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente." Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. A --- El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Orange para una sanción dentro de la escala de las leves, a que se refiere el 45.5 de la LOPD, invoca el apartado
26. b)-regularización de la situación irregular- y también el
27. d)-reconocimiento de la responsabilidad-. En los hechos probados ha quedado reflejado que el cambio de contrato no solicitado por el titular de los datos y la deuda asociada a los datos personales del denunciante en la base de datos de Orange, la situación irregular, ha quedado anulada como consecuencia de la recepción por la operadora de la reclamación remitida por el denunciante a través de Consumo. Pero la conducta de la denunciada en la reparación de la situación irregular no es diligente, pues desde que tiene constancia de la reclamación de la denunciante en agosto de 2015 hasta que formalmente anula las facturas tarda medio año. Su petición de aplicación del 45.5.
28. b)no puede ser atendida. El reconocimiento espontaneo de la culpabilidad en los hechos constitutivos de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 infracción, efectuado en el escrito a las alegaciones al acuerdo de inicio, como base para la petición de aplicación del 45.5.
29. d)ha de ser igualmente rechazado. El criterio de la AEPD exige que dicho reconocimiento sea hecho antes de que el denunciante haya presentado su denuncia en la Agencia. El tiempo transcurrido, desde que tiene conocimiento de que la persona titular de los datos no es la que ha solicitado el cambio de contrato a un servicio de la compañía –con apariencia de que es otra persona jurídica distinta- hasta que se regulariza la situación irregular provocada, es demasiado largo para que pueda ser considerado espontaneo el reconocimiento de la culpabilidad. B --- Por otra parte, Los criterios de graduación de las sanciones establecidas en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a la valoración como agravante de la culpabilidad las siguientes: -El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio del consentimiento desde el alta de un cambio de contrato no solicitado (enero del 2015) en su base de datos de clientes y prosiguieron con la emisión de facturas, y la respuesta a Consumo de la Comunidad de Madrid y la anulación de las facturas (enero de 2016). (45.4.a)) -La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Orange es una empresa que tiene como actividad la comercialización de servicios de telefonia móvil -dentro de un grupo trasnacional de gran relevancia mundial- de forma casi exclusiva y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene en todo el territorio nacional, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de los datos personales de sus clientes. (45.4.
30. c)-En lo que se refiere al volumen de negocio de Orange hay que hacer constar que si bien es un hecho notorio que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora y su grupo, una de las trasnacionales más importantes. Se deduce el importante volumen de negocio de la entidad infractora, circunstancia a tener en cuenta para la graduación de la sanción. (45.4.
31. d)-El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien tramitara el contrato y ordenara el alta en la base de datos, no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.
32. f)-La imputada ha sido objeto de expedientes sancionadores por infracciones similares. (45.4.
33. g)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 -Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.
34. i)Valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD cuya presencia ha quedado acreditada, procede sancionar a Orange con multa de 50.000 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Imponer a la entidad Orange Espagne SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
35. b)de la LOPD, una multa 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: Notificar la presente resolución a Orange Espagne SAU, y a B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es