← España

PS-00413-2016

1/14 Procedimiento Nº PS/00413/2016 RESOLUCIÓN: R/00720/2017 En el procedimiento sancionador PS/00413/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por D.ª C.C.C. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/10/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª C.C.C. (en lo sucesivo, la denunciante) en el que manifiesta que ORANGE ESPAGNE, S.A.U., ( en lo sucesivo ORANGE o la denunciada) ha incluido sus datos personales en los ficheros de solvencia patrimonial ASNEF y BADEXCUG, asociados a una deuda de 4.045,42 euros, sin haberle requerido el pago con carácter previo a su inclusión. Añade que ha tenido conocimiento de que sus datos estaban incorporados a ficheros de morosidad al intentar financiar la compra de un vehículo. Aporta con la denuncia copia de la respuesta al acceso solicitado, recibida de EQUIFAX, en la que le comunica que a fecha 02/09/2015 consta en el fichero ASNEF la siguiente información asociada a su NIF: inclusión con fecha de alta 30/12/2011, a instancia de ORANGE, por un producto de telecomunicaciones “ J.J.J.” y por una deuda de 3.867,95 euros. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones de investigación encaminadas a su esclarecimiento teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que se reproduce: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN: La empresa ORANGE ESPAGNE S.A.U (en adelante ORANGE) en su escrito, con fecha de entrada en esta Agencia de 22 de diciembre de 2015, manifiesta:  La denunciante figura asociada a los siguientes contratos de telefonía: C/ Jorge Juan, 6 28001 – Madrid o Contrato nº I.I.I. asociado a una línea MÓVIL (no se indica el número de línea) en el que consta como dirección: C/ B.B.B.). No figura ninguna modificación en la misma. o Contrato asociado a la cuenta F.F.F. de telefonía fija (no se indica el número de línea) en el que consta como dirección: C/ A.A.A.). Fecha de activación 12/11/2001 y fecha de desactivación 26/06/2013. o Contrato asociado a la cuenta E.E.E. de Internet (no se indica el número de línea) en el que consta como dirección: C/ A.A.A.). En el sistema figura una solicitud de desconexión (no se informa sobre la fecha de alta y baja). www.agpd.es sedeagpd.gob.es 2/14  ORANGE tenía contratado la prestación del servicio de Notificaciones de Requerimiento de Previo de Pago con la empresa LLEIDANETWORKS SERVÉIS TELEMATICS S.L, la cual con fecha 01/01/2012 dejó de prestar dicho servicio.  ORANGE ha manifestado que “Con la finalidad de dar debido cumplimiento al requerimiento efectuado por esta Agencia, en relación con lo dispuesto en los apartados SEGUNDO, TERCERO y CUARTO, esta parte desea poner de manifiesto que ha sido requerido a la empresa que prestaba el Servicio de Notificaciones de Requerimiento Previo de Pago, Lleida Networks Servéis Telematic, S.L., un informe con el certificado de los requerimientos de pago previos a la inclusión de los datos personales de la denunciante en un fichero de solvencia patrimonial”.  Se acompaña copia del contrato nº K.K.K. suscrito entre FRANCE TELECOM ESPAÑA S.A y LLEIDANETWORKS SERVÉIS TELEMATICS S.L con fecha 01/09/2009, respecto a la prestación de un servicio SMS CERTIFICADO y CONTRATO SMS, cuyo objeto viene recogido en su ANEXO 1: ”la cesión de la licencia de uso del programa informático que LLEIDA NETWORKS con a EL PARTNER, denominado MÓVIL SMS VIRTUAL” ( G.G.G.).  A fecha de firma del presente informe esta Agencia no ha recibido respuesta a la información requerida a la compañía ORANGE, respecto a las comunicaciones personalizadas e individualizadas enviadas a la denunciante con carácter previo a la inclusión de sus datos personales en ficheros de información de solvencia patrimonial y crédito, en las cuales se le informe de la cuantía de la deuda reclamada así como de la posibilidad de inclusión de sus datos personales en dichos ficheros en caso de continuar el impago. No acompaña certificado emitido por la empresa LLEIDANETWORKS SERVÉIS TELEMATICS S.L, en calidad de prestadora del servicio de Notificaciones de Requerimiento de Pago, que acredite el envío de las citadas comunicaciones; ni adjunta documentación que confirme la entrega de dichas comunicaciones. En relación a las mismas, tampoco se informa sobre el sistema de control de devoluciones implementado.>> TERCERO: Con fecha 21/09/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE, por una presunta infracción del artículo 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) y en relación con el artículo 38.1.c, del Reglamento de desarrollo de la LOPD (RLOPD),tipificada como infracción grave en el artículo 44.3.

  1. c)de la Ley Orgánica, pudiendo ser sancionada con una multa de 40.001 € a 300.000 €, conforme a lo prevenido en el artículo 45.2 de la LOPD. CUARTO: Notificado el acuerdo de inicio, ORANGE, mediante escrito de fecha 18/10/2016, formuló alegaciones en las que solicitó que se procediera al archivo de las actuaciones practicadas al considerar prescrita la infracción que se le imputa y, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 carácter subsidiario, que se apreciara, para fijar la sanción a imponer, la concurrencia de la atenuante cualificada del artículo 45.5.
  2. d)LOPD -toda vez que, dice, había reconocido de forma espontánea su culpabilidad en el marco del expediente de investigación E/6996/2015- y de las circunstancias atenuantes descritas en los apartados b), e),
  3. f)y
  4. j)del artículo 45.4 LOPD. En apoyo de sus pretensiones adujo lo siguiente: - - - Que los hechos que se le imputaron en el acuerdo de inicio del PS 412/2016 son, exclusivamente, la falta de requerimiento previo de pago antes de proceder a la inclusión de los datos de la denunciante en los ficheros ASNEF y BADEXCUG. Reconoce que los datos de la afectada se dieron de alta en el fichero BADEXCUG el 10/01/2012 y en el fichero ASNEF el 30/12/2011, sin que desde entonces hasta se hayan dado de baja. Invoca el artículo 47 de la LOPD conforme al cual las infracciones graves prescriben a los dos años, siendo el término inicial del cómputo el día en el que la infracción se hubiera cometido. De la valoración conjunta de este precepto y de las fechas en las que informó a los ficheros de solvencia los datos personales de la denunciante, ORANGE concluye que la infracción del artículo 4.3 LOPD, en relación con el artículo 38.1.c del RLOPD, estaría prescrita. Indica que, por lo que atañe a la anotación en ASNEF, la prescripción se produjo el 30/12/2013. Por tanto, según su razonamiento, la presunta infracción habría prescrito casi tres años antes de que la AEPD le notificara el acuerdo de inicio del expediente sancionador. Que respecto a los hechos objeto de la imputación, en ningún momento se ha cuestionado la certeza de la deuda atribuida a la denunciante. Advierte, además, que la denunciante no ha interpuesto ninguna reclamación ante los organismos competentes para pronunciarse sobre la procedencia de ésta. QUINTO: Con fecha 23/01/2017, y de acuerdo con lo establecido en el artículo 17.1 del R.D. 1398/1993, se abrió un periodo de prueba decidiendo la práctica de las siguientes diligencias probatorias: 1. Dar por reproducida a efectos de prueba la denuncia interpuesta por C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE y el Informe de actuaciones previas de Inspección; documentos que integran el expediente E/06996/2015. 2. Se dan por reproducidas a efectos de prueba las alegaciones al acuerdo de inicio del PS/00413/2016 presentadas por ORANGE. 3. Se solicitó a ORANGE en fase de prueba que facilitara diversa información y documentación, entre ella, que acreditara haber dirigido a la denunciante el preceptivo requerimiento de pago previo a la inclusión de sus datos en un fichero de solvencia. ORANGE no respondió a las pruebas requeridas. 4. Se solicitó a la denunciante en fase de pruebas que facilitara la siguiente información y documentación: Su domicilio en el año 2011, en la fecha en la que reconoce haber contratado dos líneas de teléfono con la compañía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 ORANGE. Hasta qué fecha mantuvo ese domicilio. Si informó, en su caso, a ORANGE de los cambios de domicilio y cuál fue el medio por el que hizo esa comunicación. La denunciante respondió que tiene el mismo domicilio desde noviembre de 2009. Así pues, su domicilio es el que consta en los ficheros de ORANGE. 5. Se solicitó a EQUIFAX IBÉRICA, S.L., en fase de prueba que aportara los documentos e información siguientes: -Copia impresa de la información que consta en los ficheros que se indican a continuación, de los que esa entidad es encargada de tratamiento, respecto de D.ª C.C.C., con NIF H.H.H., en relación con deudas informadas por ORANGE ESPAGNE S.A.U. (antes FRANCE TELECOM ESPAÑA, S.A.): ASNEF; FOTOCLI; HISTÓRICO DE NOTIFICACIONES. -Que informe si la afectada ejercitó ante la responsable del fichero ASNEF el derecho de cancelación de sus datos. EQUIFAX IBÉRICA, S.L., en escrito de fecha 07/02/2017, facilitó la siguiente información relevante: Con fecha 30/12/2011, ORANGE comunica una incidencia al fichero ASNEF, asociada al NIF de la denunciante, por una deuda pendiente de 3.867,95 euros, por vencimientos impagados primero y último, respectivamente, agosto y noviembre de 2011. En la fecha en la que se consulta el fichero, el 06/02/2017, los datos de la denunciante siguen incluidos en ASNEF. La fecha de última actualización es de 02/02/2017 y el importe impagado en la actualidad asciende a 4.045, 92 euros. (Folios 54 a 65) EQUIFAX IBÉRICA, S.L., ha informado que la denunciante se dirigió a ella exclusivamente en dos ocasiones y ejercitó los derechos de acceso y cancelación, escritos de 01/09/2015 y 04/09/2015. Respecto a las consultas efectuadas a los datos de la afectada en ASNEF, el Histórico de consultas deja constancia de las que existieron en los últimos seis meses. SEXTO: En fecha 27/02/2017 fue recibido por la entidad ORANGE el escrito de propuesta de resolución del PS/413/2016 formulada en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U. con multa de 50.000 euros (cincuenta mil euros) por la infracción del artículo 4.3, en relación con el 29.4, de la LOPD y 38.1.
  5. c)RLOPD, tipificada como infracción grave en el artículo 44.3.
  6. c)de dicha norma>> SÉPTIMO: El Reglamento de Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, en su artículo 19 indica que se concederá a los interesados un plazo de quince días para formular alegaciones y presentar los documentos e informaciones que estimen pertinentes ante el instructor del procedimiento y, en el apartado 3, añade que la propuesta de resolución se cursará inmediatamente al órgano competente para resolver junto con los documentos, alegaciones e informaciones que obren en el mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 El plazo de quince días hábiles concedidos a ORANGE para evacuar el trámite de audiencia finalizó el día 16/03/2017, sin que se tenga noticia en esa fecha de la entrada en el Registro de esta Agencia de las alegaciones de las citada entidad. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: C.C.C., con NIF F.F.F., denuncia que ORANGE ha incluido sus datos en los ficheros de morosidad ASNEF y BADEXCUG sin haberle requerido el pago de la deuda con carácter previo a la inclusión y declara que ha conocido ese extremo “al realizar una compra financiada” (Folio 1) SEGUNDO: La denunciante manifiesta que en el año 2011 su pareja, D. L.L.L.., “contrató a mi nombre dos líneas de teléfono con la compañía ORANGE”. Añade que “pasado el tiempo nos separamos” y que habiendo solicitado en la actualidad la compra de un vehículo con financiación “me comunican en la empresa financiadora que me encuentro incluida en dos listas de morosos: ASNEF y EXPERIAN por una deuda de 4.045,42 euros” (Folio 4) TERCERO: ORANGE, en su respuesta al requerimiento informativo de la inspección de datos, aporta impresiones de pantalla de las que resulta que, a nombre de la denunciante, figuran dos cuentas, F.F.F. y E.E.E., que manifiesta corresponden a servicios de telefonía fija e internet. (Folio 12) CUARTO: En respuesta a la petición que la Inspección de datos dirige a ORANGE para que aporte un documento acreditativo de haber requerido de pago a la denunciante, previo a la inclusión de sus datos en ficheros de solvencia, la entidad denunciada declara que ha solicitado a la empresa que prestaba el Servicio de Notificaciones de Requerimiento Previo de Pago, Lleida Networks ServéisTelematics, S.L., un informe con el certificado de los requerimientos de pago efectuados, ya que la empresa dejó de prestar servicios el 01/01/2012. (Folio 13) QUINTO: ORANGE no aporta ni el certificado de Lleida Networks Servéis Telematics, S.L., al que hizo referencia durante las actuaciones de investigación, ni ningún otro documento acreditativo de haberle requerido el pago de la deuda previo a la inclusión de sus datos en ficheros de morosidad (folios 42 a 46). Tampoco responde a la petición que a tal efecto se le hizo en fase de prueba (folio 49) SEXTO: La documentación aportada por EQUIFAX IBÉRICA, S.L., acredita que el 30/12/2011, ORANGE informa una incidencia al fichero ASNEF, asociada al NIF de la denunciante, por una deuda pendiente de 3.867,95 euros, por vencimientos impagados primero y último, respectivamente, agosto y noviembre de 2011. La documentación aportada acredita que en la fecha en la que se consulta el fichero, el 06/02/2017, los datos de la denunciante continuaban incluidos en ASNEF, siendo la fecha de última actualización el 02/02/2017 y ascendiendo el importe impagado en esa fecha a 4.045, 92 euros. (Folios 54 a 65) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 SÉPTIMO: La documentación aportada por EQUIFAX IBÉRICA, S.L., acredita que la denunciante se dirigió a esa entidad en dos ocasiones, en ambos casos en septiembre de 2015, ejercitando los derechos de acceso y cancelación (expedientes 2015/126333 y 2015/128762) - - Respecto a la solicitud de acceso (expediente 2015/126333) aporta copia de dos email recibidos desde D.D.D. en sac@equifax.es , ambos el 01/09/2015. A las 11:05.02 con el siguiente texto: “Les ruego que me informen de la deuda por la que estoy en el listado”. A las 11:06:28, con el siguiente texto: “Buenos días, me han informado que estoy en el listado de deudores por una empresa de telecomunicaciones. Les ruego me informen de dicha deuda por favor”. Respecto a la solicitud de cancelación (expediente 2015/128762), aporta copia del email recibido el 04/09/2015. Impresión de pantalla que acredita que ORANGE confirma la incidencia el 08/09/2015. Respuesta de EQUIFAX IBÉRICA, S.L., a la denunciante en escrito de fecha 10/09/2015 (folios 75 a 80) OCTAVO: El histórico de consultas al fichero ASNEF vinculadas al NIF de la denunciante revela que la consulta más antigua es del 08/06/2015 y la más reciente de 04/09/2015. Todas las consultas fueron efectuadas por entidades bancarias, menos una de ellas que lo fue por una entidad aseguradora (folio 79) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II Por razones de lógica argumental la primera cuestión objeto de análisis ha de ser la prescripción de la infracción, cuestión que ORANGE invoca en su defensa. La entidad argumenta que el artículo 47.1 de la LOPD establece un plazo de dos años para la prescripción de las infracciones graves, carácter que tiene la infracción que se le atribuye: la vulneración del artículo 4.3 en relación con el 29.4, tipificada en el artículo 44.3.
  8. c)LOPD. Añade además que, de acuerdo con el apartado 2 del artículo 47 LOPD el cómputo del plazo de prescripción comienza a contarse desde el día en el que la infracción se hubiera cometido, lo que le lleva a fijar como “dies a quo” la fecha en la que informó los datos personales de la denunciante a los ficheros de solvencia ASNEF (30/12/2011) y BADEXCUG (10/01/2012) El núcleo de la controversia en torno a la supuesta prescripción de la infracción que se atribuye a la denunciada es la determinación del “dies a quo” o término inicial del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 plazo de prescripción. ORANGE, apoyándose en la literalidad del artículo 47.2 de la LOPD, entiende que el término inicial del cómputo coincide con la fecha en la que informó a los ficheros ASNEF y BADEXCUG los datos de la denunciante. Sin embargo, la Audiencia Nacional se ha pronunciado sobre esta cuestión en un sentido distinto. La SAN de 03/11/2011 (Rec. 611/2010) examina en su Fundamento Jurídico tercero la prescripción que fue invocada por la parte demandante -que había sido sancionada por la AEPD- y cuyos argumentos coinciden con los que ORANGE alega en el presente caso. La SAN referida considera que la infracción tipificada en el artículo 44.3.
  9. c)LOPD -al tiempo de dictarse la Sentencia, antes de la reforma operada por la Ley 2/2001 el tipo infractor era el 44.3.d)- participa de la naturaleza propia de las denominadas infracciones permanentes, en las que la consumación se proyecta en el tiempo más allá del hecho inicial consistente en el acceso del dato personal erróneo al fichero de solvencia patrimonial y se extiende durante todo el periodo de tiempo en el que el dato permanece en el fichero. La SAN razona que aquel que incluye los datos personales de una persona en un fichero de solvencia patrimonial sin haber efectuado un previo requerimiento de pago al deudor del que exista constancia, comete una infracción de la LOPD relacionada con el principio de calidad del dato y añade que “no solo se produce en el momento de la inscripción sino que persiste mientras no se repara la irregularidad cometida”. Y continúa diciendo: “…dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, ésta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de esta situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por lo tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción de la infracción” (El subrayado es de la AEPD) Extrapolando este pronunciamiento de la Audiencia Nacional al asunto que nos ocupa, lo relevante a fin de determinar cuál es el término inicial del plazo de dos años que la ley fija para la prescripción de la infracción de la LOPD que se atribuye a la operadora es precisar en qué momento el tercero, cuyos datos se informan a un fichero de solvencia, ha tenido conocimiento de que la deuda ha sido inscrita en él. La documentación que obra en el expediente aporta indicios sólidos de que la denunciante no conoció hasta mediados del año 2015 que sus datos personales estaban incluidos en un fichero de solvencia patrimonial. De una parte, en su denuncia (de 22/10/2015) relata que supo que había sido incluida en un fichero de esta naturaleza al intentar la compra financiada de un automóvil necesario para su trabajo. De otra, que pese a que sus datos figuran en ASNEF desde diciembre de 2011, la denunciante no se dirigió al fichero hasta el 01/09/2015 –fecha próxima en el tiempo a la de la interposición de la denuncia en la Agencia-, ejercitando el derecho de acceso y el 04/09/2015 ejercitando el derecho de cancelación (Hecho probado séptimo). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Partiendo de que incumbe a la operadora denunciada la carga de la prueba de haber practicado el preceptivo requerimiento de pago, circunstancia que no ha acreditado, y habida cuenta de que existen evidencias rotundas de que hasta junio de 2015 la afectada no supo que estaba incluida en un fichero de morosidad, tomando en consideración el criterio fijado por la SAN de 03/11/2011 (Rec. 611/2010) hemos de situar el término inicial (“dies a quo”) del plazo de prescripción que el artículo 47.1 fija para las infracciones graves en la fecha de 08/06/2015, fecha en la que consulta por primera vez si sus datos estaban incorporados al fichero ASNEF. Puesto que denuncia que nos ocupa tuvo entrada en esta Agencia el 22/10/2015, cuando habían transcurrido poco más de cuatro meses desde la fecha que se considera el término inicial del plazo de prescripción la pretensión de ORANGE de que se declare prescrita la infracción de la LOPD que ha dado origen a este expediente sancionador debe ser rechazada. III El Título II de la LOPD lleva por rúbrica “Principios de protección de datos” y entre ellos el artículo 4 se ocupa de la “Calidad de los datos”, precepto que en su apartado 3 dice: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 del citado texto legal dispone en el apartado 4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Ambas disposiciones deben integrarse con las definiciones que los artículos 3.a), 3.
  10. e)y 3.
  11. c)de la LOPD ofrecen sobre lo que ha de entenderse por “datos de carácter personal”, “afectado o interesado” y “tratamiento de datos”, respectivamente: “cualquier información concerniente a personas físicas identificadas o identificables”; “persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  12. c)del presente artículo”; “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El Reglamento de Desarrollo de la Ley Orgánica 15/1999, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) se ocupa en el capítulo I del Título IV de los “Ficheros de información sobre solvencia patrimonial y crédito” y establece en su artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  13. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14
  14. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto sin aquélla fuera de vencimiento periódico.
  15. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). A su vez, el artículo 43.1 del RLOPD (“Responsabilidad”) indica: “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Los requisitos que el artículo 38.1 del RLOPD exige para poder incluir datos de carácter personal en ficheros de solvencia patrimonial y crédito son una manifestación del principio de calidad de los datos que proclama el artículo 4.3 de la LOPD. Este principio significa que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. El cumplimiento de tal obligación incumbe a los responsables de los ficheros y a los encargados de tratamiento quienes deberán velar para que su actuación se ajuste a las disposiciones reguladoras de este derecho fundamental. IV A. Se atribuye a ORANGE en el procedimiento sancionador que nos ocupa una infracción del artículo 4.3, en relación con el 29.4 de la LOPD, y el artículo 38.1.c, del RLOPD, por cuanto esta entidad comunicó los datos personales de la denunciante a los ficheros ASNEF y BADEXCUG con fecha de alta, respectivamente, el 30/12/2011 y el 01/01/2012, sin que con carácter previo a las inclusiones le hubiera requerido el pago de la deuda. Requerimiento que es preceptivo para que la información de datos de terceros a un fichero de solvencia resulte ajustada a Derecho. Esta Agencia solicitó a ORANGE, tanto en la fase de investigación previa como en el periodo de prueba, que acreditara documentalmente el cumplimiento de la obligación que le impone el artículo 38.1.
  16. c)RLOPD y a la que se supedita la legalidad de la comunicación de datos personales de terceros a ficheros de solvencia. Sin embargo, como se refleja en los hechos probados cuarto y quinto, la denunciada no ha facilitado ningún documento que haga prueba del cumplimiento de esa obligación. Indicar por otra parte, que es a ORANGE a quien le incumbe la carga de la prueba de la obligación impuesta por la LOPD y el RLOPD. En tal sentido, resulta muy esclarecedora la SAN de 23/05/2007 que se pronunció en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 “(…) el requerimiento ha de realizarse de manera que se tenga constancia de su recepción por los destinatarios, pues solo así puede tenerse certeza de su recepción, si estos niegan la misma. En todo caso ha de realizarse el requerimiento expresando el concepto y el importe de la deuda determinante de la remisión de los datos al fichero de solvencia patrimonial, sin que pueda aceptarse, como señala la parte recurrente en su escrito de demanda, que hubiera bastado con que el titular de los datos hubiera realizado unas operaciones aritméticas para conocer el importe de la deuda que daría lugar a la inclusión de sus datos en el fichero "Asnef". Debemos tener en cuenta, en este sentido, que cuando una norma reglamentaria impone la realización de este requerimiento previo -norma primera de la Instrucción 1/1995- y una Ley Orgánica que tipifica como infracción grave el incumplimiento de la misma (artículo 44.3 .d/ de la LO 15/1999) debe concluirse que la carga de acreditar la comunicación corre de cuenta del que comunica los datos al fichero, pues se trata de salvaguardar un derecho fundamental -artículo 18.4 de la CE bajo la referencia al uso de la informática- que extiende su protección bajo la fórmula del respeto a los principios que establece la LO 15/1999, entre los que se encuentra la exactitud del dato, mediante la previa comprobación en el requerimiento previo”. (El subrayado es de la AEPD) B. El artículo 130.1 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Por tanto, la acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia. Es más, del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia. A ese respecto, y concretado al ámbito del procedimiento administrativo sancionador en materia de protección de datos, cabe citar la Sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006), en la que el Tribunal señaló que el ilícito administrativo previsto en el artículo 44.3.
  17. c)LOPD se consuma como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve lo que es acorde con el artículo 130.1 de la Ley 30/1992 que considera suficiente la simple inobservancia para que exista culpabilidad y afirma que esa “simple inobservancia” no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, que en todo caso está proscrita por nuestro ordenamiento. Paralelamente, el Tribunal Supremo (STS 05/07/1998 y 03/03/1999) ha venido entendiendo que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia que debe observarse se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. Se suma a lo expuesto que la normativa de protección de datos además de supeditar la legitimidad de la inclusión de los datos del tercero deudor en un fichero de solvencia al cumplimiento de los requisitos descritos en el artículo 38 del RLOPD, “refuerza” la diligencia que debe desplegar el acreedor informante en su cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 Así, el artículo 43.1 RLOPD insiste en que éste tiene el deber de “asegurarse de que concurren todos los requisitos exigidos en los artículos 38 y 39” en el momento de notificar los datos adversos al responsable del fichero común” . ORANGE incurrió en una grave falta de diligencia al no practicar el requerimiento de pago previo a la comunicación de los datos de la afectada en un fichero de solvencia tal y como exige la normativa de protección de datos. Así pues, acreditado el incumplimiento por ORANGE de la obligación que le impone la LOPD, artículo 4.3 en relación con el 29.4, y el artículo 38.1.c, del RLOPD, esta entidad es responsable de una infracción grave de la LOPD tipificada en el artículo 44.3.c de la citada norma. VI El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” ORANGE solicita la aplicación de la atenuante cualificada del artículo 45.5
  33. d)y alega que reconoció espontáneamente su culpabilidad en el curso de las actuaciones de investigación previa. Lo cierto es, sin embargo, que examinada su respuesta al requerimiento informativo de la Inspección de Datos no se ha encontrado un solo párrafo en el que la denunciada haga tal reconocimiento por lo que no se dan las condiciones que justifiquen la aplicación del precepto invocado. Tampoco, como se hizo constar en la propuesta de resolución, cabe apreciar ninguna otra de las circunstancias que se detallan en el artículo 45.5 LOPD. Por tanto, la sanción a imponer estará comprendida en la escala que el artículo 45.2 LOPD fija para las infracciones graves. Respecto a la presencia de las circunstancias descritas en el artículo 45.4 LOPD que permiten graduar la sanción, concurren en calidad de agravantes de la conducta que se somete a la valoración de este organismo las siguientes: -El carácter continuado de la infracción, apartado a), que es de aplicación en aquellos casos en los que la infracción cometida tenga carácter permanente, naturaleza que la Audiencia Nacional atribuye a la vulneración del artículo 4.3 LOPD. En particular, en el presente caso, los datos personales de la afectada se mantuvieron durante tres años en el fichero ASNEF incumpliendo las garantías que impone la Ley Orgánica 15/1999 y su Reglamento de desarrollo. - La vinculación de la actividad de ORANGE con el tratamiento de datos de carácter personal, apartado c). Es evidente que la actividad empresarial que desarrolla la infractora conlleva un continuo tratamiento de datos de carácter personal. -El volumen de negocio o actividad del infractor, apartado d), concurre también como agravante. Es un hecho notorio, que no precisa prueba, que ORANGE se encuentra entre los principales operadores de telecomunicaciones del mercado nacional. - El grado de intencionalidad, apartado f). La expresión debe entenderse como equivalente a grado de culpabilidad y no cabe duda de que en los hechos objeto de la denuncia intervino la culpabilidad de ORANGE concretada en la falta de diligencia mostrada en el cumplimiento de la obligación que le impone el artículo 4.3 LOPD, en relación con el artículo 38.1.
  34. c)RLOPD, que exige requerir el pago al deudor con carácter previo a la inclusión de sus datos personales en ficheros de solvencia patrimonial. Inciden en el grado de culpabilidad mostrado por la denunciada otras circunstancias que la hacen especialmente significativa. Nos referimos al hecho de que ORANGE, después de ser conocedora de la existencia de un expediente sancionador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 contra ella, no procedió a cancelar la incidencia informada a ASNEF asociada a la denunciante incumpliendo las garantías que le impone la ley hasta el punto de que en fecha 06/02/2017 aún continuaban incluidos los datos de la afectada en el fichero de solvencia ASNEF. Es también digno de mención que ORANGE confirmó a EQUIFAX los datos de la denunciante cuando la encargada del fichero puso en su conocimiento que había ejercitado el derecho de cancelación en fecha 04/09/2015. -La naturaleza de los perjuicios causados, apartado h). La Audiencia Nacional ha declarado a propósito de la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, (por todas SAN de 16/02/2002, Rec. 1144/1999, Fundamento de Derecho Cuarto) que: “...la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” Paralelamente, estimamos que opera como atenuante de la conducta examinada la circunstancia recogida en el apartado
  35. e)del artículo 45.4 LOPD relativa a la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción. Tomando en consideración el principio de proporcionalidad que ha de presidir la imposición de la sanción (ex artículo 131 de la LRJPAC); que no es de aplicación ninguna de las atenuantes cualificadas del artículo 45.5 LOPD y valoradas las circunstancias del artículo 45.4 LOPD que concurren, tanto adversas como favorables a la denunciada, se acuerda sancionar a ORANGE con una multa de cincuenta mil euros -cuantía próxima al mínimo establecido en el artículo 45.2 LOPD para las infracciones graves- como responsable de una infracción del artículo 4.3, en relación con el 29.4 de la LOPD y el 38.1.c del RLOPD, tipificada en el artículo 44.3.c de la Ley Orgánica. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 4.3, en relación con el 29.4, de la LOPD y en relación con el 38.1.c del RLOPD, tipificada como infracción grave en el artículo 44.3.
  36. c)de la LOPD, una multa 50.000 euros (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., y a D.ª C.C.C.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.