← España

PS-00396-2014

1/12 Procedimiento Nº PS/00396/2014 RESOLUCIÓN: R/02541/2014 En el procedimiento sancionador PS/00396/2014, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por Doña A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 1 de agosto de 2013, tuvo entrada en esta Agencia un escrito Doña A.A.A. (en lo sucesivo la denunciante) en el manifiesta que en el mes de enero realizó una migración de su línea de teléfono de prepago E.E.E. a B.B.B., el cual posteriormente paso dicha línea a Contrato de post-pago. Al solicitar una operación en su entidad bancaria, le informan de que sus datos están incluidos en Asnef. En un establecimiento de ORANGE le informaron que en el contrato realizado por B.B.B. figuraba el número de D.N.I. de la denunciante. La denunciante manifiesta que puso los hechos en conocimiento de ORANGE sin que le hayan solucionado el problema. Adjunto a su denuncia aportó la siguiente documentación: - Notificación, de fecha 9 de julio de 2013, de inclusión en el fichero Badexcug de los datos de B.B.B., con el D.N.I de la denunciante, informados por ORANGE, por importe de 294,10€. - Copia del contrato de telefonía móvil, del número E.E.E., suscrito por B.B.B. con ORANGE, con fecha 17 de enero de 2013, donde consta un número de D.N.I. distinto del de la denunciante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a EXPERIAN BUREAU DE CREDITO, S.A. y ORANGE ESPAGNE S.A.U., teniendo conocimiento de lo siguiente: 1. En relación con la inclusión de datos en el fichero de morosidad Badexcug: - Respecto del fichero BADEXCUG: No consta información. - Respecto del fichero de NOTIFICACIONES: Constan, entre otras, una notificación asociada al D.N.I. de la denunciante, y a nombre de B.B.B., como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad ORANGE, con fecha de emisión 9 de julio de 2013, por importe de 294,10€. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 - Respecto de fichero de ACTUALIZACIONES DE BADEXCUG: Figura, entre otras, información relativa a la operación citada en el punto anterior, con fecha de baja 28 de julio de 2013, por proceso automático semanal de actualización de datos. - Respecto a los EXPEDIENTES asociados al denunciante: No consta ningún expediente. 2. Respecto de la entidad informante ORANGE ESPAGNA, S.A.U: 1. Aportan copia impresa de los datos que constan en sus ficheros relativos a la denunciante como titular de dos líneas de teléfono. 2. Según dicha información, la denunciante con C.C.C. fue la primera titular de la línea E.E.E. en modalidad de prepago. 3. Sobre dicha línea se realizó una migración con fecha 17 de enero de 2013, a modalidad de post-pago. La contratación se realizó a nombre del hijo de la denunciante B.B.B. registrándose los datos correctamente en los sistemas de la compañía. 4. Con fecha 21 de marzo de 2013, consta registrada, entre otras interacciones con la denunciante, una petición de modificación de datos, motivo por el cual se procedió a realizar el cambio de número de D.N.I., por error en la línea contratada por B.B.B.. 5. Según la información que figura en sus ficheros, con fecha 11 de julio de 2013, una llamada entrante de B.B.B. informando del error del número de D.N.I. asociado a su factura, por lo que se abre una incidencia. 6. Al recibirse la reclamación citada en el punto anterior, procedieron con fecha 19 de julio de 2013, a realizar las modificaciones oportunas, asignando a la línea E.E.E., el número de D.N.I. de su verdadero titular. 7. Con fecha 24 de julio de 2013, consta una llamada de la denunciante, informando de que sus datos están incluidos en ASNEF por una deuda asociada a la línea E.E.E. que está a nombre de su hijo, ese mismo día el Servicio de Sistemas informa de que ya se ha solucionado la incidencia. 8. Aportan copia de la factura de fecha 12 de abril de 2013, correspondiente a la línea E.E.E., donde consta el número de D.N.I. de la denunciante y cuyo impago originó la inclusión de los datos de B.B.B. con el número de D.N.I. de la denunciante en ficheros de solvencia. TERCERO: Con fecha 7 de julio de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE S.A.U., por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, con fecha 31 de julio de 2014, Orange formuló escrito de alegaciones por el que se solicitaba el archivo de las actuaciones por ausencia de infracción alguna y en el que se formularon, en síntesis, las siguientes alegaciones al Acuerdo de inicio: 1.- Que no cabe imputar la infracción al artículo 4.3 de la LOPD ya que estamos ante el cruce del número de DNI de una madre y su hijo, habiendo sido ambos titulares de la misma línea telefónica. Dicho cruce de datos se produjo por un error de la entidad, que fue inmediatamente corregido por Orange sin que se produjera perjuicio alguno a la afectada. 2.- El cruce de datos se refiere sólo a un número de DNI, que “ayuno de otros datos de identificación, queda fuera del ámbito de la LOPD”. 3.- El cruce de datos se produjo cuando a los pocos meses de migrar al Sr. B.B.B. la línea telefónica de la madre, esta llamó al servicio de atención telefónica de Orange para modificar esos datos, es en ese momento cuando por error se hizo constar el número de DNI de la madre en la cuenta telefónica de su hijo. 4.- La deuda reclamada era cierta, aunque por error se registrara haciendo constar el DNI de la denunciante. 5.- Una vez que la denunciante advirtió del error a Orange (el 11/07/2013), Orange realizó las comprobaciones oportunas y el 19/07/2013 ya estaba solucionada la incidencia. 6.- Aplicación del artículo 45.5 de la LOPD, al concurrir causas de disminución cualificada de la culpabilidad y/o antijuridicidad de los hechos, que deben dar lugar a una minoración de la posible sanción, con base los siguientes argumentos:
  2. a)Con carácter general, en las medidas implementadas por Orange, reflejadas en el Acta de Inspección 952/2006, de la Agencia Española de Protección de Datos, en orden a la tutela debida de los derechos de los clientes a la protección de sus datos personales (procedimientos de alta en servicios; captación de clientes; proceso de verificación; proceso de provisión del servicio; procedimientos de baja en los servicios contratados; procedimiento de recobro y gestión de deudas). Estas medidas dificultan la comisión de infracciones como la imputada, ya que se establecen medidas de control y verificación de las altas a través de empresas verificadoras terceras, se establecen procesos para cursar de manera pronta y eficaz las bajas de manera apta para impedir las facturaciones posteriores a dicha baja, y los datos de los clientes no son incorporados a ficheros de solvencia patrimonial.
  3. b)La existencia de un simple error en la operativa de las compañías en los que se vean afectados los datos personales de sus clientes no determinan automáticamente la existencia de una infracción en materia de protección de datos. De igual modo, se solicitaba en dicho escrito copia completa del expediente administrativo, que le fue remitido por la Instructora del expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 QUINTO: Con fecha 8 de agosto de 2014 se inició el período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por Doña A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE ESPAGNE S.A.U., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05062/2013. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00396/2014 presentadas por ORANGE ESPAGNE S.A.U., y la documentación que a ellas acompaña. SEXTO: Con fecha 7 de octubre de 2014, se formuló propuesta de resolución, proponiendo la imposición de una sanción de 20.000€ a ORANGE ESPAGNE, S.A.U., por la comisión de una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
  4. c)de dicha Ley. SÉPTIMO: Con fecha 27 de octubre de 2014, tuvieron entrada en el Registro de la AEPD las alegaciones de ORANGE ESPAGNE S.A.U., a la Propuesta de Resolución en las que reitera los argumentos expuestos en el curso del expediente y solicita subsidiariamente la aplicación del artículo 45.5 de la LOPD, graduando la misma según lo dispuesto en el artículo 45.4. HECHOS PROBADOS PRIMERO: La denunciante Doña A.A.A., con NIF C.C.C. manifiesta que, en enero de 2013, realizó una migración de su línea de teléfono de prepago E.E.E. a B.B.B., el cual posteriormente paso dicha línea a Contrato de post-pago. Al solicitar una operación en su entidad bancaria, le informan de que sus datos están incluidos en Asnef. En un establecimiento de ORANGE le informaron de que en el contrato realizado por B.B.B. figuraba el número de D.N.I. de la denunciante (folios 1 al 6) SEGUNDO: Queda acreditada la existencia de un contrato de telefonía móvil de fecha 10 de enero de 2013, con el número de línea E.E.E. a nombre de B.B.B., consta el número de NIF D.D.D. (folio 5) TERCERO: Queda acreditado que, a partir del 21 de marzo de 2013, en los sistemas de Orange se mezclan los datos personales del titular de la línea B.B.B. con datos relativos al DNI de la denunciante Doña A.A.A., como consecuencia de una llamada de rectificación de datos de la denunciante, que resulta ser la madre del titular de la línea (folios 35-36 y 56) CUARTO: Consta acreditado que resultaron impagadas las facturas de fecha 12/04/2013 y de fecha 12/05/2013, emitidas a nombre de B.B.B. y al número de DNI de la denunciante ( C.C.C.), por importe de 294,10€ y 38,52€, respectivamente (folios 37 y 40-43) QUINTO: Los datos asociados al DNI de la denunciante y nombre del titular de la línea fueron informados al fichero Asnef por parte de Orange con fecha de alta el 07/07/2013 y baja el 28/07/2014 por un importe de 294,10€ (folios 17 y 27) SEXTO: Consta que los datos asociados al DNI de la denunciante y nombre del titular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 de la línea fueron informados al fichero Badexcug por parte de Orange con fecha de alta el 07/07/2013 por un importe de 294,10€ (folio 4) SÉPTIMO: En el Servicio de Atención al Cliente de Orange consta una llamada en fecha 11 de julio de 2013, de B.B.B. informando del error del número de D.N.I. asociado a su factura, por lo que se abrió una incidencia (folio 36) OCTAVO: Ante esta comprobación los representantes de Orange manifiestan que a partir de este momento se solucionó el problema definitivamente (folios 36 y 56) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Con carácter previo al análisis del fondo del asunto procede determinar si el dato del NIF del denunciante es un dato de carácter personal, ya que según Orange en este caso no permite identificar al titular del mismo. En la Sentencia de la Audiencia Nacional de fecha 28 de mayo de 2008, Rec. nº 95/2007, acordada en un supuesto semejante al que nos ocupa se indicaba respecto de la naturaleza del dato correspondiente al DNI lo siguiente: “SEGUNDO: En relación al relato de hechos que ha dado lugar a la imposición de la sanción, es necesario señalar como relatos de hechos sustancialmente idénticos han sido objeto de sanción en otras resoluciones de la Agencia Española de Protección de Datos que se han recurrido ante esta Sala; cabe citar las sentencias correspondientes a los recursos 102/2006 ó 152/2006. También podemos citar la sentencia de los recursos 15/2006 ó 63/2006 en las que se sancionaba, específicamente, la misma cuestión aquí debatida: la anotación en un registro de morosidad utilizando un número de DNI que no respondía al de la persona titular de los datos que era la que había efectuado el consumo telefónico. Procede, pues, reiterar lo allí dicho puesto que varios de esos supuestos se referían, además a actuaciones realizadas por la empresa Amena (antecesor de la ahora recurrente) Es necesario desmontar, en primer lugar, el argumento inicial de la parte recurrente y que hace referencia a que el DNI no es un dato personal y que, por esta razón, falta la correcta integración del tipo sancionador. Esta Sala ha resuelto en multitud de ocasiones (recurso 22/2006) que "debemos partir de una primera consideración jurídica elemental: el número de los documentos de identidad (DNI, pasaporte, etc.) es un dato de carácter personal, y por tanto protegido por la ley. El artículo 3
  6. a)LOPD define los datos de carácter personal como "cualquier información concerniente a personas físicas identificadas o identificables". Nada mejor que atender a las circunstancias de este caso para confirmar el encaje del dato controvertido en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 definición legal: en el supuesto de autos, el número de identidad erróneamente cedido permitió identificar a la persona de don Gerardo, ocasionándole serias incomodidades al acceder varias entidades financieras a esos datos erróneos sobre su solvencia patrimonial". A su vez, y en lo que se refiere al DNI, en el Informe 0334/2008 del Gabinete Jurídico de la Agencia Española de Protección de Datos se ha analizado esta cuestión: <<En primer lugar es preciso determinar si el número de DNI o el NIE son datos de carácter personal, según la Ley Orgánica 15/1999 el concepto de dato personal, comprende según el artículo 3
  7. a)“cualquier información concerniente a persona física identificada o identificable”, entendemos que se requiere la concurrencia de un doble elemento: por una parte la existencia de una información o dato y de otra, que dicho dato pueda vincularse a una persona física identificada o identificable. Este concepto se confirma y se concreta tras la entrada en vigor del Reglamento que desarrolla la Ley Orgánica 15/1999, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, en el que se define tanto dato de carácter personal como persona identificable en el artículo 5.1 estableciendo que son “
  8. f)Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables, y
  9. o)Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados.” Dichas definiciones hay que relacionarlas con las finalidades que tienen tanto el DNI como el NIE y que aparecen recogidas en sendos Reales Decretos que los regulan. En primero lugar, el Real Decreto 1553/2005, de 23 diciembre por la que se regula la expedición del documento nacional de identidad y sus certificados de firma electrónica del DNI, regula en su artículo 1 la naturaleza y funciones del DNI señalando que “1. El Documento Nacional de Identidad es un documento personal e intransferible emitido por el Ministerio del Interior que goza de la protección que a los documentos públicos y oficiales otorgan las leyes. Su titular estará obligado a la custodia y conservación del mismo. 2. Dicho Documento tiene suficiente valor, por sí solo, para acreditar la identidad y los datos personales de su titular que en él se consignen, así como la nacionalidad española del mismo. 3. A cada Documento Nacional de Identidad, se le asignará un número personal que tendrá la consideración de identificador numérico personal de carácter general. 4. Igualmente, el Documento Nacional de Identidad permite a los españoles mayores de edad y que gocen de plena capacidad de obrar la identificación electrónica de su titular, así como realizar la firma electrónica de documentos, en los términos previstos en la Ley 59/2003, de 19 de diciembre, de Firma Electrónica (…)”>>. En consecuencia, no se puede aceptar la alegación de Orange cuando el dato del NIF de la denunciante ha sido tratado en sus propios ficheros y comunicado a un fichero de solvencia patrimonial como un dato identificador de su cliente deudor, esto es, como el NIF del mismo. A este respecto indicar que la denunciante ha manifestado que tuvo conocimiento de su inclusión como deudora en un fichero de solvencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 patrimonial y crédito después de que le hubieran denegado entidad bancaria (folios 2-3). una operación en su Además hay que tener en cuenta que, con anterioridad a la cancelación de los datos efectuada por Orange, en el caso de la denunciante su NIF había permanecido vinculado a los datos personales de un tercero (en este caso, su hijo), asociándose por ello siempre dicho identificador a una persona, ello independientemente de la exactitud, o no, del dato. En consecuencia, no existe ningún tipo de analogía entre este supuesto y el que dio lugar a la resolución de archivo del expediente E/02710/2009 en el que se denuncia el acceso indebido a los datos personales del denunciante en la página privada de Orange y una vez que se identificaba con sus claves de acceso. III El artículo 4.3 de la LOPD, referente a la “calidad de los datos”, establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. La Audiencia Nacional, en diversas sentencias (entre otras, SAN de 24 de marzo de 2004 y 7 de julio de 2006), ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre tales principios se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento -exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. La Directiva 95/46 CE, del Parlamento Europeo y del Consejo, que traspone la LOPD, establece en su artículo 6. I.
  10. d)que “Los Estados miembros dispondrán que los datos personales sean….
  11. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. La obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999 implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados, correspondiendo al acreedor la responsabilidad de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. IV Se imputa a ORANGE ESPAGNE, S.A.U. en el expediente sancionador que nos ocupa una infracción del artículo 4.3 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 El tratamiento de datos de forma inexacta de la denunciante se materializó en el cruce de datos personales de la denunciante (relativos a su DNI) y de una tercera persona (su hijo) asociando dichos datos a una línea que habiendo sido contratada por la denunciante había sido migrada a esa tercera persona. (Hechos probados segundo y tercero) Además se facturó con cargo a los datos del titular de la línea, pero con la inclusión del DNI de la denunciante, con lo cual (fruto de dicho cruce de datos), al resultar las facturas impagadas, los datos de la denunciante asociados a su DNI fueron informados a los ficheros Asnef y Badexcug como deudora (Hechos probados cuarto, quinto y sexto) Orange califica la incidencia como de un error causado por un cruce de datos involuntario. Sin embargo no se deduce de la conducta de la denunciada la existencia de un error invencible, además hay que tener en cuenta que de éste error deriva en la inclusión de los datos de la denunciante en el fichero de morosos Asnef. Por tanto se aprecia una falta de diligencia de una entidad que por el volumen de datos tratados y su especialización debería actuar con un especial cuidado a la hora de identificar y tratar datos de sus clientes. Orange alega que el error habría sido causado, involuntariamente, a raíz de una llamada de la propia denunciante. Por todo ello hay que concluir diciendo que la información tratada por Orange en sus ficheros no se ajustó al principio de exactitud, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3, infracción tipificada en el artículo 44.3.
  12. c)de la citada norma, que dispone: “Son infracciones graves, (…)
  13. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” V Debemos analizar si concurre el elemento subjetivo de la culpabilidad cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. En STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
  14. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva...” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la STAN anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En el supuesto que nos ocupa el elemento subjetivo de la culpabilidad se concreta en la falta de diligencia observada por Orange al tratar datos de forma inexacta de la denunciante, cruzándolos con los de una tercera persona, sin guardar un especial cuidado en su tratamiento, ya que la línea contratada estaba a nombre de un tercero. La falta de diligencia es aún más notoria cuando por el volumen de datos tratados y su especialización Orange debería actuar con un especial cuidado a la hora de identificar y registrar a sus clientes. B) Por otro lado, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
  15. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  16. a)El carácter continuado de la infracción.
  17. b)El volumen de los tratamientos efectuados.
  18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  19. d)El volumen de negocio o actividad del infractor.
  20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  21. f)El grado de intencionalidad.
  22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate"; pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las circunstancias mencionadas no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a estimar la concurrencia de las circunstancias previstas en los apartados c),
  31. d)y
  32. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar, siempre, por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos, como de forma reiterada sostiene la Audiencia Nacional, entre otras, en Sentencia de 26 de noviembre de 2008. No obstante, del examen de los hechos probados y de la documentación que obra en el expediente se desprende la conveniencia de apreciar, la circunstancia prevista en el apartado
  33. b)del artículo 45.5 de la LOPD respecto de la infracción del artículo 4.3 de la LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. Podemos apreciar la diligencia en el comportamiento de la denunciada. Esto es así porque la entidad denunciada corrigió los datos que se habían cruzado de la denunciante, relativos a su DNI, y reparó la situación irregular en el plazo de tiempo aproximado de veinte días desde que la entidad denunciada tuvo conocimiento de la incidencia por parte del titular de la línea en fecha 11 de julio de 2013 (Hechos probados séptimo y octavo). En cuanto a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, consideramos que concurren diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el importante volumen de negocio de ORANGE (apartado d, del artículo 45.4), dado que estamos ante el primer operador del país por cuota de mercado, hecho notorio sobre el que no es necesaria prueba. Están presente también otra circunstancia recogida en el artículo 45.4 ya citado: apartado c), que versa sobre la vinculación de la actividad de ORANGE con la realización de tratamientos de datos de carácter personal, pues el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales tanto de clientes como de terceros. Respecto del incumplimiento del artículo 4.3 hay que señalar que, valoradas en conjunto las circunstancias previstas en el artículo 45.4 de la LOPD, cuya presencia ha quedado acreditada, y habida cuenta de que concurre la contemplada en el apartado
  34. b)del artículo 45.5 de esta norma, se acuerda sancionar a ORANGE, con una multa de 20.000 € (veinte mil euros) por la infracción del artículo 4.3 de la LOPD, de la que esa entidad es responsable. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
  35. c)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 44.2 , 4 y 5 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., y a Doña A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.