← España

PS-00405-2016

1/17 Procedimiento Nº PS/00405/2016 RESOLUCIÓN: R/00721/2017 En el procedimiento sancionador PS/00405/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por D. B.B.B. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 28/10/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. B.B.B. (en lo sucesivo, el denunciante) en el que manifiesta que ORANGE ESPAGNE S.A.U., (en adelante, ORANGE o la denunciada), con quien no ha tenido ningún tipo de relación comercial, ha incluido su DNI en los ficheros ASNEF y BADEXCUG asociados a los datos de un tercero. Añade que se ha dirigido al servicio de atención al cliente de la operadora, tanto telefónicamente como por escrito, sin obtener respuesta en ninguno de los casos. Indica que ha ejercitado además el derecho de rectificación ante los responsables de los ficheros de solvencia ASNEF y BADEXCUG. A consecuencia de ello ASNEF ha cancelado cautelarmente la anotación, sin embargo, BADEXCUG ha mantenido la incidencia al haber sido confirmada la deuda por ORANGE. Acompaña a la denuncia copia de los siguientes documentos: DNI; un escrito dirigido a ORANGE, de fecha 18/05/2015, en el que relata los hechos sobre los que versa la presente denuncia; copia impresa de la información que consta en ASNEF a fecha 12/05/2015 asociada a su DNI; copia de la contestación de EQUIFAX IBERICA, S.L., a su solicitud de rectificación, de fecha 07/07/2015, en la que le informa de la baja cautelar de los datos asociados a su DNI; copia de la contestación de EXPERIAN BUREAU DE CREDITO, S.A., a su solicitud de cancelación, de fecha 08/10/2015, en la que le informa que su DNI consta en el fichero BADEXCUG con fecha de alta 21/10/2012, asociado a una deuda por importe de 77,59 euros, datos que fueron confirmados por ORANGE; copia de la contestación de EXPERIAN BUREAU DE CREDITO, S.A., a su solicitud de acceso, de fecha 21/09/2015, en la que le comunica que su DNI continúa incluido en el fichero asociado a la misma deuda. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones de investigación encaminadas a su esclarecimiento teniendo conocimiento de los siguientes extremos recogidos en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS Con fecha 21 de diciembre de 2015, se solicita a EQUIFAX IBERICA, SL información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 relativa a la denunciante y de la respuesta recibida con fecha 11 de enero de 2016, se desprende lo siguiente: 1. Respecto del fichero ASNEF: No consta información. 2. Respecto del fichero de NOTIFICACIONES: J.J.J. una notificación asociada al D.N.I. del denunciante de una operación impagada informada por FRANCE TELECOM ESPAÑA (ORANGE ESPAGNE), a nombre de B.B.B., por importe de 77,59€., con fecha de emisión 20 de octubre de 2012. 3. Respecto del fichero de BAJAS: J.J.J. una baja asociada a la inclusión de ORANGE ESPAGNE S.A.U, de fecha 7 de julio de 2015, constando como motivo: INCONGR. 4. Respecto a expedientes asociados a la denunciante: J.J.J.n expedientes de solicitud de acceso y de rectificación y la contestación a la misma. Con fecha 16 de diciembre 2015, se solicita a EXPERIAN BUREAU DE CREDITO, SA información relativa al denunciante y de la respuesta recibida, con fecha 20 de enero de 2016, se desprende lo siguiente 1. Respecto del fichero BADEXCUG: No consta información. 2. Respecto del fichero de NOTIFICACIONES: J.J.J., una notificación asociada al D.N.I. del denunciante, enviada a nombre de B.B.B. como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad ORANGE, con fecha 23 de octubre de 2012. 3. Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. J.J.J. información relativa a la operación informada por ORANGE, con fecha de alta 21 de octubre de 2012 y fecha de baja 12 de enero de 2016, por petición de la entidad informante. 4. Respecto a los EXPEDIENTES asociados al denunciante: J.J.J. un expediente de acceso y otro de cancelación de octubre de 2015, en el que se le deniega al ser confirmados los datos por la entidad informante. Con fecha 12 de enero de 2016, ORANGE ESPAGNE S.A.U ha remitido a esta Agencia la siguiente información: 1. Aportan copia impresa de los datos que constan en sus ficheros asociados al D.N.I. I.I.I., del cliente B.B.B. con domicilio en D.D.D.. (el domicilio no coincide con el aportado por el denunciante a la Agencia en G.G.G. – Madrid que también consta en su D.N.I.). 2. Dicho cliente es titular de la línea H.H.H., con fecha de alta 25 de junio de 2012 y fecha de baja 27 de diciembre de 2012 por impago. 3. Las tres facturas emitidas por dicha línea en junio, julio y diciembre de 2012, fueron impagadas por un importe de 119,94. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 4. J.J.J.n varios contactos del cliente, entre ellos: a. Con fecha 28 de mayo de 2015: Se recibe escrito del denunciante, con el que aporta copia de su D.N.I., indicando que es una persona diferente del cliente. Se verifica que existe contrato a nombre de B.B.B. con el mismo número de D.N.I. b. Con fecha 6 de julio de 2015: Desde ASNEF reclaman suplantación de identidad, consta deuda de 119,94€. Procede Baja cautelar de ASNEF mientras se verifica el posible Fraude. No procede catalogar la línea como Fraude. c. Según manifiestan, el contrato se realizó a través de internet en la web tiendamovil.orange.es. Aportan detalle del procedimiento de contratación, según el cual, una vez realizado el estudio de riesgo y en el caso de ser una portabilidad sea confirmada por el operador donante, se procede al envío del pedido al cliente, el cual debe firmar el albarán de entrega. d. Orange incorpora la copia del contrato asociado al cliente en un sistema de gestión Documental, también incorporan el albarán de entrega. e. Aportan copia del contrato correspondiente a la línea H.H.H. donde constan los datos del D.N.I. del denunciante y el nombre y apellidos de B.B.B., y el domicilio de F.F.F.. En la firma del cliente figura “Aceptado por el cliente electrónica o telefónicamente el 20 de junio de 2012”. No aportan copia del albarán de entrega. f. En la actualidad, ORANGE ha puesto en marcha una serie de medidas adicionales en las contrataciones realizadas a través de internet que detallan en un documento. Entre dichas medidas, se solicita, además del el número de D.N.I. los códigos MRZ del documento que figuran en el reverso del D.N.I. g. Como medida cautelar, a la recepción del requerimiento de información de la Agencia, se ha solicitado la exclusión cautelar de los datos del denunciante en ficheros de solvencia.>> TERCERO: Con fecha 30/09/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE ESPAGNE, S.A.U., por la presunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), tipificadas como infracciones graves, respectivamente, en los artículos 44.3.b y 44.3.c de dicha norma, pudiendo ser sancionada cada una con multa de 40.001 € a 300.000 €, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 28/10/2016, que tuvo entrada en la AEPD el 03/11/2016, ORANGE formuló alegaciones en las que solicita la aplicación de las atenuantes cualificadas del artículo 45.5 LOPD, apartados

  1. b)y
  2. d)y que la sanción que corresponda imponer se fije conforme a la escala que el artículo 45.1 LOPD establece para las infracciones leves. Alega que, tras la notificación del requerimiento informativo del E/7365/2015, adoptó las siguientes medidas: excluyó los datos del denunciante de los ficheros de solvencia el 12/01/2016; anuló la deuda existente en los sistemas de ORANGE; catalogó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 la contratación como fraude y bloqueó los datos del denunciante de los ficheros de la entidad. Afirma que en su respuesta al requerimiento informativo de la Inspección de la AEPD “reconoció” a esta Agencia su culpabilidad en la comisión de la infracción y regularizó la situación irregular de forma diligente. Solicita que se tomen en consideración, a efectos de graduar la sanción a imponer, las siguientes circunstancias atenuantes del artículo 45.4 LOPD: El volumen de tratamientos efectuados (apartado b,) porque, dice, afectan a uno solo de los varios millones de clientes de ORANGE. La naturaleza de los perjuicios causados al afectado (apartado h), por cuanto “no se ha acreditado daño cuantificable en euros”. Y el apartado
  3. j)del artículo 45.4 LOPD, relativo a cualquier otra circunstancia que revele un menor grado de culpabilidad o antijuridicidad, habida cuenta de que su conducta se debió a la actuación fraudulenta de un tercero. QUINTO: A tenor de lo dispuesto en el artículo 17.1 del Real Decreto 1398/1993, en fecha 23/01/2017 se abrió un periodo de prueba acordando practicar las siguientes diligencias probatorias: 1. Dar por reproducidas a efectos probatorios la denuncia presentada por D. B.B.B. Maroto y documentación adjunta así como los documentos obtenidos y generados por el Servicio de Inspección de la AEPD, documentos que integran el expediente E/07365/2015 . 2. Dar por reproducidas a efectos de prueba las alegaciones presentadas por ORANGE al acuerdo de inicio del expediente sancionador y la documentación adjunta a ellas. SEXTO: En fecha 08/03/2017 se notificó a ORANGE la propuesta de resolución del PS/0405/2016 formulada en los siguientes términos: <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U., con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  4. b)de dicha norma. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U., con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 4.3, en relación con el 29.4, de la LOPD, y en relación con el artículo 38.1.a, del RLOPD, tipificada como infracción grave en el artículo 44.3.
  5. c)de dicha norma.>> SÉPTIMO: El artículo 19 del Reglamento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, en su artículo 19 regula el trámite de audiencia indicando en el apartado 1 que la propuesta de resolución se notificará a los interesados acompañando una relación de los documentos obrantes en el procedimiento a fin de que los interesados puedan obtener copia de los que estimen conveniente, concediéndoseles un plazo de quince días para formular alegaciones y presentar los documentos e informaciones que estimen pertinentes ante el instructor del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 procedimiento. El apartado 3 del precepto advierte que la propuesta de resolución se cursará inmediatamente al órgano competente para resolver el procedimiento, junto con todos los documentos, alegaciones e informaciones que obren en el mismo. En el presente expediente sancionador la notificación de la propuesta de resolución fue recibida por ORANGE el 08/03/2017; de forma que el plazo de quince días hábiles que el artículo 19 del Reglamento aprobado por el R.D. 1398/1993 concede para el trámite de audiencia finalizó el día 27/03/2017. A fecha 28/03/2017 no se tiene noticia de la recepción en la AEPD de las alegaciones de ORANGE a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: D. B.B.B., con DNI I.I.I. y domicilio en G.G.G. (Madrid) denuncia que ORANGE, con quien nunca ha tenido relación contractual, ha vinculado su DNI a la deuda de un tercero y le ha incluido en los ficheros de solvencia patrimonial ASNEF y BADEXCUG (folios 1, 5 y 6) SEGUNDO: ORANGE ha reconocido que el número de móvil H.H.H. se encuentra en sus sistemas asociado a los siguientes datos: DNI I.I.I.; titular B.B.B.; domicilio avenida de la A.A.A.. TERCERO: De las impresiones de pantalla de los ficheros de ORANGE resulta que la línea H.H.H. se dio de alta el 25/06/2012 y de baja por impago el 27/12/2012. Que se emitieron por el consumo generado tres facturas (por importes de 42,35 €, 74,58€, y 3,01€) y todas fueron devueltas (folios 107 a 109) CUARTO: ORANGE ha manifestado que la línea H.H.H., asociada a los datos del denunciante, se contrató por internet. Aporta un documento (obrante al folio 124) que designa como “copia del contrato con validación electrónica”. El documento es un ejemplar del contrato con los datos impresos. Del tenor del documento resulta que el contratante adquirió a precio promocional un Samsung Galaxy SIII. QUINTO: Durante las Actuaciones de investigación previa se interrogó a ORANGE sobre el procedimiento que tenía implementado para validar la identidad del contratante en las contrataciones electrónicas en la época en la que se dio de alta la línea controvertida, H.H.H.. ORANGE respondió remitiéndose al “Procedimiento de activación de la línea y portabilidad (eshop)” que detalla en su escrito (folios 112 y 113). En el protocolo indicado se explica que es posible realizar un alta nueva, migración o una portabilidad a través de la web tiendamovil.org.es (apartado 1). Que, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 recibido un pedido, los datos suministrados por el cliente se incorporan a su sistema informático, ARPA (punto 2). Que tras el estudio de riesgo, se realiza el envío logístico del pedido al cliente (punto 3). Que la “entrega del pedido sólo se realiza al titular del pedido o persona autorizada, previa presentación del documento original de identidad. El cliente deberá firmar el albarán de entrega del pedido en el momento de la entrega” (punto 7). Que ORANGE “incorpora la copia del contrato asociado al cliente en un sistema de Gestión Documental, junto con el albarán de entrega del bien adquirido”(punto 10). (El subrayado es de la AEPD) SEXTO: Durante las Actuaciones de investigación previa se requirió a ORANGE para que aportase la documentación que acreditara, tratándose de una contratación electrónica, el consentimiento prestado a la contratación y la validación de la identidad del contratante. ORANGE no aportó ningún documento. Se limitó a citar de nuevo el “Procedimiento de activación de la línea y portabilidad (eshop)” y a indicar que “se han habilitado medidas de carácter adicional con el fin de garantizar la identidad del titular” (Folio 113) SÉPTIMO: De la documentación aportada por ORANGE resulta acreditado que en fecha 28/05/2015 la operadora recibió una reclamación del denunciante, por vía postal, con la que adjuntaba copia de su DNI (folio 110) OCTAVO: De la documentación aportada resulta acreditado que en fecha 06/07/2015 ORANGE conoce, a través de un fax recibido de EQUIFAX IBÉRICA, S.L., que el denunciante ha ejercitado el derecho de cancelación de sus datos en ASNEF y alega una suplantación de identidad en relación con el DNI I.I.I. (Folio 111) Obra en el expediente copia del fax transmitido a ORANGE por EQUIFAX el 03/07/2015 solicitando la confirmación de los datos que obran en ASNEF por posible existencia de una operación fraudulenta. (Folio 122) NOVENO: En ASNEF consta que ORANGE informó el DNI del denunciante asociado a una operación impagada, con fecha de alta 19/10/2012 y fecha de baja 07/07/2015. El saldo deudor era a fecha de alta 77,59€ y pasó a 119,94€ en marzo de 2013. El denunciante ejercitó ante la responsable del fichero ASNEF los derechos de acceso y de cancelación, éste último el 02/07/2015 acompañando a su escrito copia de una reclamación presentada ante ORANGE y recibida por la entidad el 19/10/2015. ORANGE procedió a la baja cautelar informando a EQUIFAX IBÉRICA, S.L., “procede baja cautelar de ASNEF mientras se verifica posible fraude. Escalamos actividad a G.F. correspondiente par verif. posible fraude y autorización de ajustes si proceden”. (Folio 97) DÉCIMO: En BADEXCUG consta que ORANGE informó el DNI del denunciante asociado a una operación impagada con fecha de alta 21/10/2012 y fecha de baja 12/01/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 El importe impagado era a fecha de alta 77,59€ y pasó a 119,94E€ en abril de 2013. El denunciante ejercitó ante la responsable del fichero BADEXCUG los derechos de acceso y de cancelación, éste último el 06/10/2015 acompañando a su escrito copia de una reclamación presentada ante ORANGE. La cancelación fue denegada al haber confirmado ORANGE la incidencia (folios 51 y 52) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal. II La LOPD en su artículo 6 se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y dispone bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 Los preceptos de la LOPD antes transcritos deben integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
  7. h)de la Ley Orgánica: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  8. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. III Se atribuye a ORANGE la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, materializadas en haber tratado los datos personales del denunciante (DNI, nombre y primer apellido, pues respecto al segundo apellido la coincidencia con el del denunciante es sólo parcial) asociados a un contrato de telefonía móvil, H.H.H., sin su consentimiento y en la posterior inclusión en ficheros de morosidad de sus datos personales vinculados a la deuda derivada del contrato al que el denunciante es ajeno, por lo que frente a él la deuda que se le atribuye no es cierta, ni vencida ni exigible. Por lo que concierne a la infracción del artículo 6.1 de la LOPD se hacen las siguientes consideraciones A. A tenor del artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD). Esto, porque el consentimiento para el tratamiento de los datos está implícito en el consentimiento otorgado a la contratación, pero únicamente si quien facilita los datos personales con ocasión de ella es efectivamente su titular y en la medida en que el referido tratamiento sea preciso para la ejecución del contrato. La LOPD prevé que sea el titular de los datos quien otorgue el consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 ellos. Con toda claridad el artículo 3.
  9. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. Ha quedado acreditado en el expediente que los datos personales del denunciante han sido tratados por ORANGE vinculados a la línea de telefonía H.H.H., en particular el DNI, nombre y primer apellido. Respecto al segundo apellido, entre el del denunciante (“ B.B.B.”) y el del titular de la línea (“ B.B.B.) hay una coincidencia parcial. Tampoco son coincidentes los domicilios, mientras el tercero contratante declaró tener el domicilio en E.E.E.) el domicilio del denunciante (según su DNI y el escrito de denuncia) está ubicado en G.G.G.) B. Con la finalidad de que ORANGE pudiera demostrar que recabó y obtuvo del afectado el consentimiento para el tratamiento de sus datos personales asociados a la contratación de la línea móvil, o bien que con ocasión de la contratación había adoptado las medidas que la diligencia exige para asegurarse de que la persona que otorga el consentimiento es efectivamente el titular de los datos, se le requirió por la Inspección de Datos de la AEPD para que aportara algún documento que acreditara esos extremos. ORANGE no aportó ningún documento probatorio. Sí manifestó que la contratación se hizo a través de internet y preguntada sobre el protocolo implementado para validar la identidad del contratante en las contrataciones electrónicas se remitió al “Procedimiento de activación de la línea y portabilidad (eshop)”, descrito en los folios 112 y 113, del que se reproducen algunos fragmentos en el hecho probado quinto. De acuerdo con ese protocolo, al que reiteradamente alude la denunciada en sus respuestas al requerimiento informativo de la AEPD, la “entrega del pedido sólo se realiza al titular del pedido o persona autorizada” y, añade, previa presentación del documento original de identidad”. De manera que según el procedimiento que ORANGE afirma tener implementado con el propósito de validar la identidad de los contratantes en los casos de contratación electrónica –como lo es, según su propia declaración, la que ha dado origen a la presente denuncia- el cliente debía firmar el alabarán de entrega del pedido en el momento de la entrega (punto 7 del protocolo) y la copia del contrato, junto con el albarán de entrega del bien adquirido debía incorporarse a un Sistema de Gestión Documental (punto 10 del protocolo de la operadora) Como se ha indicado ORANGE únicamente ha facilitado la copia de un documento en el que constan impresos los datos personales del supuesto titular de la línea móvil pero no ha aportado al procedimiento el albarán de entrega del bien adquirido -en el presente asunto un terminal Samsung Galaxy SIII (folio 124)- ni menos aún firmado por el adquirente. En definitiva, a la luz de la documentación que ORANGE ha facilitado a la AEPD se evidencia que la entidad no adoptó con ocasión de la contratación de la línea H.H.H. la diligencia mínima exigible para asegurarse de la identidad de la persona que contrataba y de que ésta era la auténtica titular de los datos personales que facilitaba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 como suyos. Recordemos que incumbe a ORANGE la carga de acreditar que ha recabado el consentimiento inequívoco del titular de los datos objeto de tratamiento o, al menos, que ha adoptado las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD, artículo 6.1. A ese respecto es muy esclarecedora la SAN de 31/05/2006, Recurso 539/2004, que en su Fundamento de Derecho Cuarto dice: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Así pues, la conducta de ORANGE, materializada en el tratamiento de los datos personales del denunciante – DNI, nombre y un apellido- vinculados a una línea de telefonía que él niega haber contratado, vulnera el artículo 6.1 de la LOPD. El artículo 44.3.
  10. b)de la citada norma tipifica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV Por lo que respecta a la vulneración del artículo 4.3, en relación con el 29.4 de la LOPD y el artículo 38.1.a, del RLOPD, señalar que, de conformidad con lo dispuesto en el Fundamento de Derecho II de esta Resolución, una de las condiciones a las que el Reglamento de la LOPD supedita la legalidad de la inclusión de los datos personales de un tercero en un fichero de solvencia patrimonial es que la deuda informada sea “cierta, vencida y exigible”. Conviene recordar, además, que es el acreedor que informa los datos al fichero el responsable de comprobar que cumple los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. En tal sentido han de traerse a colación las disposiciones de los artículos 39 y 43.1 del RLOPD que establecen, respectivamente: “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  11. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 Constituye un hecho probado que ORANGE trató los datos personales del denunciante (su nombre, un apellido y DNI) asociados a una línea móvil que él no contrató. El impago de las deudas generadas por ese servicio determinó que la operadora le imputara una deuda que, respecto a él, no era cierta, ni vencida ni exigible, de forma que no cumplía el requisito del artículo 38.1.
  12. a)del RLOPD, condición necesaria para que la comunicación de datos personales a un fichero de solvencia sea ajustada a Derecho. ORANGE comunicó a los ficheros de solvencia patrimonial ASNEF y BADEXCUG una incidencia asociada a sus datos personales con fechas de alta 19/10/2012 y 21/10/2012, respectivamente. Los datos del denunciante se mantuvieron en los ficheros de morosidad hasta el 07/07/2015 y 12/01/2016, respectivamente. Así pues, ORANGE, como responsable del fichero en el que constaban los datos personales del denunciante y como entidad informante de esos datos a los ficheros ASNEF y BADEXCUG, debió haber verificado si cumplía las condiciones previstas en el artículo 38.1 del RLOPD para comunicar datos adversos a un fichero de esa naturaleza. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
  13. c)de la citada norma, que dispone: “Son infracciones graves, (..)
  14. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo V El artículo 130.1 de la LRJPAC proclama el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia. La Audiencia Nacional en Sentencia de 17/10/ 2007 (Rec. 63/2006), expone que “....el ilícito administrativo previsto en el artículo 44.3.
  15. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. Así, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Trasladando las consideraciones precedentes al supuesto que analizamos, el elemento subjetivo de la culpabilidad se concreta en la grave falta de diligencia demostrada por ORANGE en dos ocasiones: Falta de diligencia al contratar la línea controvertida y en un momento posterior, cuando incluyó los datos personales del afectado en los ficheros de solvencia patrimonial y crédito sin verificar si se cumplían o no todos los requisitos exigidos por el artículo 38.1 RLOPD. Por lo que respecta a la contratación de la línea telefónica, según la información ofrecida por ORANGE en la época en la que acontecieron los hechos tenía implementado un protocolo para la contratación on line que preveía, a efectos de logar la identificación del contratante, que la entrega del terminal adquirido se hiciera exclusivamente al titular del contrato, previa acreditación documental de su identidad y previa firma del albarán de entrega que debía anexarse al documento de la contratación on line. Como se ha explicado, ORANGE no siguió su propio protocolo. Además, el artículo 43.1 del RLOPD refuerza la diligencia que es exigible a quien informa datos personales de terceros a un fichero de solvencia pues establece que “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común.” Se suma a lo expuesto que existen otras circunstancias que evidencian una mayor culpabilidad de ORANGE. En tal sentido, resulta acreditado que desde el 28/05/2015 la entidad tuvo noticia, por la reclamación que recibió del denunciante con la que adjuntaba una copia de su DNI, de la existencia de una posible contratación fraudulenta. Poco después, el 06/07/2015, recibió el fax de EQUIFAX IBÉRICA, S.L. , dándole traslado de la petición de cancelación del denunciante por entender que se había producido una suplantación de identidad. Si bien ORANGE, respecto a la inclusión en el fichero ASNEF, decidió dar de baja cautelar los datos del denunciante mientras investigaba la incidencia no ocurrió lo mismo respecto a la inclusión del afectado en el fichero de solvencia BADEXCUG. DE modo que solicitada la cancelación por el denunciante ante EXPERIAN, responsable del fichero de solvencia BADEXCUG, ORANGE confirmó la incidencia. Este hecho determinó que en BADEXCUG continuaran incluido el DNI del denunciante asociado a una deuda que no era cierta ni vencida ni exigible hasta el 12/01/2016, e impide que pueda calificarse como diligente la reacción desplegada por ORANGE ante la existencia de indicios razonables de vulneración de la LOPD. VI El artículo 45 de la LOPD establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  16. a)El carácter continuado de la infracción.
  17. b)El volumen de los tratamientos efectuados.
  18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  19. d)El volumen de negocio o actividad del infractor.
  20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  21. f)El grado de intencionalidad.
  22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario que concurra bien una cualificada disminución de la culpabilidad el imputado, bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. ORANGE ha solicitado la aplicación de las atenuantes privilegiadas de los artículos 45.5
  31. b)–reacción diligente- y
  32. d)–reconocimiento espontáneo de culpabilidad. A propósito de la primera circunstancia invocada (artículo 45.5.b, LOPD) los argumentos que ORANGE esgrime –que excluyó los datos del denunciante del fichero de solvencia el 12/01/2016, anuló la deuda existente en sus sistemas y bloqueó los datos del denunciante de los ficheros de la entidad- no pueden servir de fundamento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 para apreciar la concurrencia de esa atenuante cualificada. Esto, porque como se detalla en el fundamento precedente ORANGE mantuvo los datos del denunciante en el fichero de solvencia BADEXCUG hasta el 12/01/2016 pese a que varios meses antes, en mayo de 2015, había recibido su reclamación, con la que adjuntaba copia de su DNI, de modo que había tenido la oportunidad de comprobar que no coincidían los apellidos ni el domicilio. Además, en julio de 2015 ORANGE recibió un fax de EQUIFAX dándole traslado de la petición de cancelación del denunciante. A diferencia de la decisión adoptada en relación a la incidencia informada al fichero ASNEF, cuando el denunciante solicita la cancelación ante EXPERIAN ORANGE confirma la incidencia. Sobre la circunstancia del artículo 45.5.d), de la LOPD (reconocimiento espontaneo de la culpabilidad), su aplicación al presente caso no se considera procedente. ORANGE afirma que en el trámite de actuaciones de investigación previa hizo un reconocimiento de responsabilidad pero, examinado detenidamente ese escrito, no hay en él ninguna indicación de la entidad acerca de tal cuestión. Tampoco sería admisible la aplicación de esta atenuante cualificada apoyándonos para ello en el reconocimiento de culpabilidad efectuado en el escrito de alegaciones al acuerdo de inicio, pues el precepto que se invoca (artículo 45.5.
  33. d)exige que el reconocimiento sea “espontáneo”, lo que significa que ha de producirse con la primera noticia recibida sobre la presunta vulneración de la LOPD. Por lo expuesto, estimamos que en el presente asunto no concurren elementos que justifiquen la aplicación de ninguna de las atenuantes privilegiadas del artículo 45.5 LOPD que ORANGE invoca en su defensa. Así pues, en aplicación del artículo 45.2 LOPD, al tener las infracciones imputadas la consideración de infracciones graves, la sanción a imponer por cada una de ellas estará comprendida entre 40.001 euros y 300.000 euros. Centrándonos en las circunstancias del artículo 45.4 LOPD que permiten graduar el importe de la sanción, recordemos que ORANGE pide que se apliquen como atenuantes los apartados b, h, y j, del precepto. La AEPD estima que operan como agravantes de las conductas enjuiciadas las siguientes circunstancias del artículo 45.4: -“El carácter continuado de la infracción” (apartado a,). Los datos del denunciante fueron incorporados a los ficheros de ORANGE y tratados sin su consentimiento durante varios años, pues el contrato se dio de alta en junio de 2012 y hasta enero de 2016 no se procedió a cancelar la anotación en BADEXCUG y, según las declaraciones de la denunciada, también de sus propios ficheros. Además, los datos personales del denunciante permanecieron incluidos en los ficheros de solvencia ASNEF y BADEXCUG sin cumplir los requisitos exigidos por la legislación vigente durante varios años: en ASNEF casi tres años (alta 19/10/2012 y baja el 07/07/2015) y en BADEXCUG más de tres (alta 21/10/2012 y baja el 12/01/2016). -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) pues la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 - “El volumen de negocio o actividad del infractor” (apartado d,). Si bien es un hecho notorio, que no necesita prueba, el importante volumen de negocio de ORANGE, añadir que en el ejercicio 2016 la cifra de negocio de esta entidad fue de 5.014 millones de euros. - “El grado de intencionalidad” (apartado,
  34. f)expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Estimamos que ORANGE omitió toda la diligencia que resultaba exigible encaminada a acreditar tanto la identidad de la persona que contrató con ella un servicio de telefonía como que esa persona había prestado el consentimiento a dicha contratación y a verificar que obraba en su poder la documentación que confirmaba esos extremos o, al menos, indicios razonables de los que pudiera inferirse que efectivamente el reclamante era su cliente y deudor. Por el contrario, no solo no efectuó ninguna comprobación sino que después de recibir la reclamación del denunciante, con la que aportaba su DNI, mantuvo sus datos en el fichero de solvencia BADEXCUG. - “La reincidencia por comisión de infracciones de la misma naturaleza” (apartado,
  35. g)Finalmente, señalar que no es posible estimar la pretensión de ORANGE de que se aprecie como atenuante (enmarcada en el apartado j, del artículo 45.4 LOPD) la circunstancia de que la infracción cometida fue fruto de la actuación fraudulenta de un tercero. La conducta contraria a la LOPD por la que se sanciona a ORANGE es fruto de la falta de diligencia observada por la propia entidad denunciada en el cumplimiento de las obligaciones que le impone la normativa de protección de datos, hasta tal punto que de haber actuado con la diligencia que está obligada a observar, aun cuando un tercero hubiera actuado fraudulentamente, ninguna responsabilidad podría exigírsele pues la responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  36. b)de la LOPD, una multa 50.000 euros de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 4.3 de la LOPD, en relación con el 29.4, y en relación también con el artículo 38.1.
  37. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  38. c)de la LOPD, una multa 50.000 euros de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., y a D. B.B.B.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.