1/6 Procedimiento Nº PS/00399/2016 RESOLUCIÓN: R/00333/2017 En el procedimiento sancionador PS/00399/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por DÑA. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14/10/2015, la Directora de la Agencia estima un recurso de reposición presentado por Dña. A.A.A. (en lo sucesivo la denunciante), la cual declaró que tuvo conocimiento por su banco que su DNI núm. ***DNI.1 se encontraba incluido en Asnef asociado a otro nombre. Al ejercer su derecho de cancelación ante el responsable de Asnef le comunican en fecha 05/06/20015 que han solucionado el error en el identificador DNI ***DNI.1 a nombre de la denunciante y que sus datos fueron incluidos por Jazztel Telecom, S.A.U. (en lo sucesivo JAZZTEL) SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad JAZZTEL, teniendo conocimiento de que en la entidad JAZZTEL, el DNI ***DNI.1 se encuentra asociados a los datos de Dña. B.B.B., no constando información alguna relacionada con la denunciante. Según consta en los ficheros de la entidad, la cliente B.B.B. ha tenido una deuda de 401,85 €, el requerimiento de pago previa inclusión en Asnef se realizó en fecha 06/01/2015 a la dirección “(C/....1) Burgos” y fue devuelto. TERCERO: Con fecha 30/09/2016, la Directora de la AEPD acordó iniciar procedimiento sancionador a JAZZTEL (actualmente ORANGE ESPAGNE, S.A.U., en lo sucesivo ORANGE), por presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE presentó escrito de alegaciones en el que solicita el archivo del procedimiento por ausencia de culpabilidad. En dicho escrito, la entidad citada formula las alegaciones siguientes: . La utilización del dato del DNI de la denunciante estuvo amparada en unas contrataciones válidas realizadas por un tercero de mala fe el 10/03/2014, para la línea ***TEL.1, y el 15/04/2014 para la línea ***TEL.2 (portabilidad), que acredita mediante las grabaciones de verificación respectivas, realizadas por una entidad independiente, conforme a las normas establecidas por la Comisión del Mercado de las Telecomunicaciones, lo que excluye el elemento de la culpabilidad de ORANGE, la cual fue víctima de un fraude. . El 18/06/2016, la denunciante remitió una reclamación por suplantación de identidad, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 adjuntando una denuncia formulada ante la Policía, que fue atendida determinándose la existencia de un alta fraudulenta realizada por B.B.B. al haber utilizado el DNI de la denunciante. Se procedió a la baja definitiva de los servicios, a la anulación de la deuda, a la baja de los datos en ficheros de solvencia patrimonial y crédito y a la cancelación de los datos en los sistemas de la operadora. . En supuestos similares, como los examinados en los procedimientos PS/00018/2015 y PS/00224/2015, la Agencia ha resuelto el archivo de las actuaciones, al haber aportado la entidad la grabación de la contratación realizada por una entidad verificadora independiente. En las grabaciones aportadas, la persona que dice llamarse B.B.B. confirma que su DNI es el número ***DNI.1. QUINTO: Con fecha 08/02/2017 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se acuerde el archivo del procedimiento sancionador seguido contra ORANGE ESPAGNE, S.A.U. por la presunta infracción del artículo 4.3 de la LOPD. Considerando el sentido de dicha propuesta, de conformidad con lo dispuesto en el artículo 19.2 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, se prescindió del trámite de audiencia a la denunciada. HECHOS PROBADOS 1. Dña. A.A.A. es titular del DNI núm. ***DNI.1. 2. En los sistemas de información de JAZZTEL, el DNI ***DNI.1 se encuentra asociados a los datos de Dña. B.B.B., que figura como titular de las líneas ***TEL.1 y ***TEL.2, con altas de fechas 10/03/2014 y 15/04/2014, respectivamente. La contratación de estas líneas se realizó telefónicamente, habiéndose aportado por JAZZTYEL las grabaciones efectuadas por una entidad tercera independiente. En dichas grabaciones se comprueba que la persona que dice llamarse B.B.B. confirma que su DNI es el número ***DNI.1. 3. Las contrataciones de líneas reseñadas en el Hecho Probado Segundo generaron una deuda que fue registrada en el fichero de morosidad Asnef a instancia de JAZZTEL, asociada al identificador ***DNI.1 (DNI de la denunciante). 4. Con fecha 11/06/2015, tuvo entrada en la Agencia Española de Protección de Datos un escrito de denuncia interpuesto por la denunciante, en el que exponen que su DNI figuraba en el fichero Asnef asociado a los datos de un tercero. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 artículo 36 de la LOPD. II Se imputa a ORANGE la comisión de una infracción del artículo 4.3 de la LOPD, en relación con el tratamiento del núm. de DNI de la denunciante por parte de dicha entidad, de la que no es cliente, asociado a los datos personales de un tercero y por la anotación de dicho dato en ficheros de solvencia patrimonial y crédito. El citado artículo establece que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
- d)que “Los Estados miembros dispondrán que los datos personales sean….
- d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte, el artículo 37.1 y 3 del RLOPD establece que: “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. De este modo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…). 2. (…). 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe. De lo dicho hasta el momento, se infiere que se consuma la infracción por la inclusión en el fichero de datos inexactos, y por la inclusión de los datos sin haber observado las precauciones establecidas al objeto de garantizar su exactitud. En este caso, JAZZTEL incorporó a su sistema de información de clientes el DNI de la denunciante asociado a los datos personales de un tercero, titular de dos líneas de telefonía. Posteriormente, informó sobre una deuda derivada de estas contrataciones al fichero de morosidad Asnef registrando la deuda con el número de DNI de la denunciante como identificador. Estos hechos son contrarios al principio de calidad de datos consagrado en el artículo 4.3 dela LOPD, toda vez que JAZZTEL incorporó a su sistema de información y al fichero de solvencia mencionado los datos de la denunciante sin que la misma fuese cliente de dicha entidad, de modo que dichas inscripciones no respondían a la situación “actual” de la afectada. III En el presente caso, es importante señalar que JAZZTEL ha aportado la grabación de la verificación de contratación en el trámite de alegaciones a la apertura del presente procedimiento, en la que se puede escuchar perfectamente la conversación entre la solicitante de la contratación y la operadora de verificación de la misma. En esta grabación una persona que afirma ser Dña. B.B.B. y tener el mismo NIF que la denunciante otorga su consentimiento para la contratación de las líneas ***TEL.1 y ***TEL.2 (portabilidad). La conversación mantenida entre la persona solicitante de contratación y la operadora de la empresa verificadora confirma su consentimiento a las contrataciones y acepta las condiciones que le expone la operadora contestando a todas ellas afirmativamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Lo especialmente relevante y significativo a los fines que nos ocupan es que la entidad denunciada ha aportado una grabación con la conversación en la que se otorga el consentimiento a JAZZTEL en relación con las líneas objeto de controversia; que tal grabación se ha efectuado con intervención de una empresa verificadora independiente; que la grabación se ha ajustado a las condiciones exigidas en la Circular 1/2009 de la Comisión del Mercado de las Telecomunicaciones (CMT), que introdujo en nuestro ordenamiento “el consentimiento verbal con verificación por tercero en la contratación de servicios mayoristas regulados de comunicaciones fijas, así como en las solicitudes de conservación de numeración”, modificada por la Circular 1/2012, y que en esta grabación se incluye el dato relativo al DNI de la denunciante. La norma reglamentaria precisa que el operador beneficiario no tramitará la portabilidad de una línea si la verificación del consentimiento verbal del abonado resulta negativa. Y señala que la verificación será negativa si la llamada no ha sido grabada por una empresa verificadora independiente – que no forme parte del mismo grupo económico de compañías que el operador beneficiario- , o cuando no se completa el cuestionario de verificación. Con la grabación aportada, JAZZTEL acredita que ha ajustado su comportamiento a la diligencia que le es exigible en el desarrollo de su actividad empresarial, observando las normas vigentes que regulan el consentimiento verbal. Por tanto, habida cuenta de que JAZZTEL ha facilitado copia de la grabación que prueba que un tercero, que facilitó como propio el DNI cuya titularidad corresponde a la denunciante, otorgó su consentimiento para la contratación de las líneas mencionadas, estimamos que no concurre en el presente caso el elemento subjetivo de la infracción. Esta circunstancia dota a dicha contratación, por parte de la entidad denunciada, de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para que pueda ejercerse la potestad sancionadora. No cabe apreciar culpabilidad alguna en la actuación de esta entidad, que actuó con la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal. En consecuencia la conducta de la denunciada no podría encuadrarse en el tipo sancionador previsto en el 44.3.
- c)de la LOPD por infracción del principio de calidad de datos, ni puede dar lugar a la exigencia de responsabilidad administrativa sancionadora en lo que se refiere a los hechos denunciados, por lo que debe de procederse al archivo del presente expediente sancionador por ausencia del elemento subjetivo de culpabilidad. Respecto de la ausencia de culpabilidad, puede traerse a colación la SAN 29/10/2009, Rec. 797/2008 que, en un supuesto análogo al que nos ocupa, afirma que: “OCTAVO En cuanto al fondo, se alega que el 31 de octubre de 2003 quien dijo ser D.yyy y exhibió documentación que le acreditaba como tal adquirió bienes en el establecimiento XXX, pactando un pago fraccionado, haciendo efectivo el primer pago en el momento de la compra y generando un derecho de crédito a favor de la citada empresa por los restantes; que XXX cedió el derecho de crédito a la recurrente en el marco del contrato de afiliación que tenían suscrito, cesión a la que mostró su conformidad el citado Sr, autorizando la inclusión de sus datos personales en los ficheros de la entidad demandante. Ante el impago por parte de quien dijo ser D. yyy del resto de los pagos -prosigue la actora- y tras haberle requerido por escrito la deuda en el domicilio que constaba en el documento de compra, se incluyeron sus datos en los ficheros Asnef y Badexcug, sin que ni en el momento de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 contratación ni en el de la inclusión de sus datos en los ficheros existiera circunstancia alguna que pudiera hacer pensar que se tratara de una operación irregular.” La diligencia en la actuación de JAZZTEL se observa también en que tras la reclamación formulada por la denunciante, a la que adjuntaba denuncia policial por usurpación de identidad y contratación fraudulenta, la entidad denunciada concluyó que había existido un alta fraudulenta procediendo a regularizar de forma inmediata la situación generada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador seguido contra la entidad ORANGE ESPAGNE, S.A.U. por una presunta infracción del artículo 4.3 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. y a DÑA. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es