1/14 Procedimiento Nº PS/00423/2013 RESOLUCIÓN: R/00439/2014 En el procedimiento sancionador PS/00423/2013, instruido por la Agencia Española de Protección de Datos a la entidad FRANCE TELECOM ESPAÑA S.A., (en la actualidad ORANGE ESPAGNE, S.A.U.) vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 09/10//2012 se recibe en el registro de la Agencia Española de Protección de Datos escrito de D. A.A.A. (en lo sucesivo el denunciante). y con fecha 16 de enero de 2013 se recibe escrito de subsanación y mejora de solicitud. En dichos escritos se pone de manifiesto los siguientes hechos: El denunciante fue cliente de FRANCE TELECOM ESPAÑA, S.A. (en adelante ORANGE) de las líneas D.D.D. y C.C.C., dejando de utilizar los servicios con el operador en fecha 3 de octubre de 2011. Al solicitar la baja, le informan que las citadas líneas tenían una penalización de 70 € + IVA y ORANGE exigía el pago de la cuota de Internet de las facturas de noviembre y diciembre de 2011 por un importe de 39 € cada una. Al discrepar con esta factura interpone reclamación ante el Instituto Gallego de Consumo, el cual emite Laudo Arbitral, en fecha 17 de abril de 2012, en el que se impone al denunciante al pago de 82,60 € por la penalización por incumplimiento del compromiso de permanencia y a ORANGE le indica que no puede reclamar los 39 € de las facturas de Internet. El denunciante procede al abono de 82,60 € en fecha 15 de mayo de 2012, dentro del plazo previsto en el Laudo, no obstante ORANGE emite facturas en junio y julio de 2012. Con fecha 6 de septiembre de 2012 remite escrito de reclamación a ORANGE por estos hechos y con fecha 26 de septiembre de 2012 remite correo electrónico a la dirección cobros.........@orange.com en contestación a un correo de requerimiento de pago, donde vuelve a informar de los hechos. Asimismo, en la dirección de correo ............@hotmail.com continúa recibiendo avisos de facturación a su nombre y a nombre de un tercero. Entre la documentación aportada por el denunciante, se encuentra: copia de los correos electrónicos recibidos a nombre de un tercero, escrito de fecha 6 de septiembre de 2012 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 con acuse de recibo y correo electrónico dirigido a la dirección cobros.........@orange.com. Asimismo aporta certificado del abono de 82,60 € y copia de la resolución del Laudo Arbitral. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ORANGE teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas E/792/2012 que se transcribe: <<ACTUACIONES PREVIAS DE INSPECCIÓN Tal y como consta en el Acta de Inspección E/7921/2012- I/1 realizada en ORANGE en fechas 7 y 14 de mayo de 2013: 1. En los ficheros de ORANGE consta A.A.A., como titular de dos contratos. El primero de ellos corresponde con una línea prepago en baja desde el 20/06/2011. El segundo contrato tiene asociado dos líneas móviles, una de las cuales se encuentra de baja por portabilidad en fecha 5/10/2011 y la línea número C.C.C. se encuentra desactivada por Impago en fecha 29/01/2013. Figura como dirección de correo electrónico ............@hotmail.com 2. En los ficheros de Facturación de ORANGE figuran abonadas todas las facturas hasta octubre de 2011. Se ha verificado que las facturas corresponden a las líneas D.D.D. y C.C.C. hasta noviembre de 2011 y a partir de la factura de diciembre de 2011 solo consta la línea C.C.C.. Se ha verificado que la línea D.D.D. tiene asociado el servicio denominado “Panda 22” y la línea C.C.C. tiene asociado el servicio “T. IEW Sin Límites”, el cual, según manifiesta ORANGE, corresponde con una tarifa para Internet. 3. En el Sistema de Información donde se registran los contactos y reclamaciones de los clientes de ORANGE, consta, entre otras, las siguientes anotaciones: Con fecha 28/03/2012 figura una anotación en relación con la reclamación ante la Junta Arbitral. En dicha anotación consta que entre la documentación se adjunta copia de un fax remitido a la entidad con la reclamación en fecha 10/01/2012. Asimismo figura que los importes que el denunciante reclama corresponden con la penalización por baja anticipada de la línea D.D.D. y con las facturas por importe de 39 € correspondientes a la línea C.C.C. que se encuentra activa. Con fecha 08/05/2012 una anotación en relación con la resolución de un laudo arbitral y se indica que “el reclamante debe pagar 82,60 € y no 39 € de cada factura”. Con fecha 28/09/2012 una anotación sobre la recepción de un fax en el que el cliente reclama que le continúan emitiendo facturas a pesar de haber abonado la penalización por la baja de su línea. Asimismo figura registrado: “cliente aún tiene una línea activa que es el número C.C.C. que corresponde a una línea de datos por lo que si el cliente ya no quiere más la línea debe contactar con el departamento de bajas”. También consta que una vez contactado con el cliente e informado, éste no está de acuerdo. 4. Respecto del motivo por el cual no se produjo la baja de la línea C.C.C., ORANGE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 manifiesta que solo tienen constancia de una portabilidad de la línea de voz D.D.D. y aportan impresión de pantalla de la solicitud de portabilidad. 5. Respecto del correo electrónico de fecha 26 de septiembre de 2012, ORANGE manifiesta que los correos electrónicos no se conservan mucho tiempo debido a la capacidad del buzón y que únicamente se puede obtener de los sistemas de “log” de la entidad. En relación con el escrito remitido en fecha 6 de septiembre de 2012 con acuse de recibo ORANGE manifiesta que el Departamento de Cobros no tiene constancia de haber realizado gestiones al respecto. 6. Respecto de los correos electrónicos remitidos al denunciante con avisos de factura de “ B.B.B.” Se ha verificado que en el fichero de clientes que consta como cliente B.B.B. y no figura ninguna dirección de correo electrónico actualmente. Se ha comprobado que en el sistema de facturación de ORANGE figura la dirección de correo ............@hotmail.com, dirección de correo del denunciante, asociada al B.B.B. y consta la fecha 11/11/2010 como fecha de solicitud de facturación on-line, realizada por el operador con código “*******“ y con fecha 17/12/2012 figura solicitud de facturación nuevamente en soporte papel. Se ha verificado que en el fichero donde se registran los contactos con los clientes figura, con fecha 17/12/2012, la siguiente anotación en relación con el cliente B.B.B.: “modifico factura a domicilio y anulo cuenta de correo electrónico que detallaba el cliente indica que esa cuenta nunca le ha correspondido…” Se ha verificado que el operador con código “*******” realizó, en fecha 12/11/2010, una modificación de los datos de domicilio postal del denunciante. A este respecto ORANGE manifiesta que: La dirección de correo electrónico la proporciona el cliente, y en este caso, fue recabada en el momento en que D. B.B.B. solicitó la facturación on-line. Además manifiestan que la dirección de mail la puede modificar el propio cliente desde la web o un operador del Servicio de Atención al Cliente de ORANGE, en cuyo caso, habría quedado registrado en el Sistema de Interacciones con los clientes. Respecto de que tenga registrado el mismo operador en la modificación del domicilio del denunciante y de la solicitud de factura on-line de D. B.B.B. manifiestan que ha debido ser una casualidad ya que difieren en los días en que se realizaron las modificaciones. >> TERCERO: Con fecha 17/09/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE por presunta infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas ambas como graves en el artículo 44.3.
- b)y
- d)respectivamente, de dicha norma, pudiendo ser sancionada cada una de ellas, con multa de 40.0001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ORANGE formuló las siguientes alegaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 1. ORANGE tenía habilitación legal para tratar los datos del denunciante ya que le prestaba servicios de telefonía de la línea C.C.C., que se encontraba activa en la fecha a la que se referían las facturas controvertidas, por cuanto el denunciante manifiesta únicamente que dejó de utilizar las líneas D.D.D. y C.C.C., pero no que solicitara la baja de la línea C.C.C. que estuvo activa desde el 04/05/2010 hasta el 29/01/2013 en que fue dada de baja por impago. 2. Respecto al envío de facturas de B.B.B. a la dirección de correo electrónico ............@hotmail.com, titularidad del denunciante, deberá acreditarse que el Sr. L B.B.B. no facilitó a ORANGE esa dirección de correo electrónico para el envío de las comunicaciones. Para el caso de que dicho tratamiento de datos se haya realizado por error al cruzar datos de ambos clientes, ORANGE corrigió las consecuencias del error antes que le fueran comunicadas por la Agencia Española de Protección de Datos. 3. Solicita, de modo subsidiario, la aplicación del artículo 45.5 de la LOPD, al concurrir causas de disminución cualificada de la culpabilidad y/o antijuridicidad de los hechos, que deben dar lugar a una minoración de la posible sanción, con base los siguientes argumentos:
- a)Con carácter general, en las medidas implementadas por ORANGE reflejadas en el Acta de Inspección 952/2006, de la Agencia Española de Protección de Datos, en orden a la tutela debida de los derechos de los clientes a la protección de sus datos personales (procedimientos de alta en servicios; captación de clientes; proceso de verificación; proceso de provisión del servicio; procedimientos de baja en los servicios contratados; procedimiento de recobro y gestión de deudas). Estas medidas dificultan la comisión de infracciones como la imputada, ya que se establecen medidas de control y verificación de las altas a través de empresas verificadoras terceras, se establecen procesos para cursar de manera pronta y eficaz las bajas de manera apta para impedir las facturaciones posteriores a dicha baja, y los datos de los clientes no son incorporados a ficheros de solvencia patrimonial.
- b)La existencia de un simple error en la operativa de las compañías en los que se vean afectados los datos personales de sus clientes no determinan automáticamente la existencia de una infracción en materia de protección de datos. QUINTO: En fecha 31/01/2014 se emitió propuesta de resolución en el sentido de imponer a ORANGE una multa de 40.001 € y otra de 1.000 € por las infracciones de los artículos 6.1 y 10 respectivamente, de la LOPD. SEXTO: Notificada la propuesta ORANGE reitera que no se acredita que el denunciante solicitara la baja de la línea C.C.C., y que no se ha acreditado que la dirección de correo ............@hotmail.com fuera comunicada a ORANGE por D. B.B.B.. HECHOS PROBADOS PRIMERO: Con fecha 09/10//2012 se recibe en el registro de la Agencia Española de Protección de Datos escrito del denunciante y con fecha 16/01/2013 se recibe escrito de subsanación y mejora de solicitud. En dichos escritos se pone de manifiesto los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 siguientes hechos: El denunciante fue cliente de ORANGE de las líneas D.D.D. y C.C.C., dejando de utilizar los servicios con el operador en fecha 03/10/2011. Al solicitar la baja, le informan que las citadas líneas tenían una penalización de 70 € + IVA y ORANGE exigía el pago de la cuota de Internet de las facturas de noviembre y diciembre de 2011 por un importe de 39 € cada una. Al discrepar con esta factura interpone reclamación ante el Instituto Gallego de Consumo, el cual emite Laudo Arbitral, en fecha 17/04/2012, en el que se impone al denunciante al pago de 82,60 € por la penalización por incumplimiento del compromiso de permanencia y a FRANCE TELECOM le indica que no puede reclamar los 39 € de las facturas de Internet. El denunciante procede al abono de 82,60 € en fecha 15/05/2012, dentro del plazo previsto en el Laudo, no obstante ORANGE emite facturas en junio y julio de 2012. Con fecha 06/09/2012 remite escrito de reclamación a ORANGE por estos hechos y con fecha 26/09/2012 remite correo electrónico a la dirección cobros.........@orange.com en contestación a un correo de requerimiento de pago, donde vuelve a informar de los hechos. Asimismo, en la dirección de correo ............@hotmail.com continúa recibiendo avisos de facturación a su nombre y a nombre de un tercero (folios 1-3) SEGUNDO: En los sistemas de ORANGE constan los datos personales del denunciante como titular del contrato nº 1.656033 que tiene asociadas dos líneas: - Línea D.D.D., con una tarifa de móvil denominada “Panda 22”,con fecha de alta 01/09/2001 y baja el 05/10/2011 por portabilidad a XFERA MOVILES S.A. Línea C.C.C. con una tarifa plana de internet “T.IEW Sin Límites”, con fecha de alta 04/05/2010 y baja el 29/01/2013 por impago (folios 34, 39-40, 43-50, 86) TERCERO: ORANGE emitió hasta noviembre de 2011 facturas correspondientes a las líneas D.D.D. y C.C.C. (una única factura para ambas líneas), facturas que fueron abonadas por el denunciante, a excepción de la factura de noviembre de 2011 por importe de 128,62 € (109 € + IVA, correspondientes a la suma de 39 € de cuota de la línea D.D.D. y 70 € en concepto de baja anticipada de la línea D.D.D.). Dicha factura fue rectificada mediante factura de fecha 09/05/2012 en la cual se le descontaron los citados 70 € (+ IVA) en concepto de baja anticipada, resultando una factura por importe de 42,72 €, no pagada por el denunciante (folios 13-14, 40, 51-63) CUARTO: A partir de diciembre de 2011 ORANGE emitió las siguientes facturas de la línea C.C.C.: - Factura fecha 16/12/2011: 39,88 €, no pagada. Factura fecha 16/06/2012: 44,53 €, pagada. Factura fecha 16/07/2012: 35,28 €, no pagada. Factura fecha 16/08/2012: 19,29 €, no pagada (folios 4, 18, 53-63) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 QUINTO: En fecha 17/04/2012 la Junta Arbitral de consumo de Galicia dictó laudo arbitral en relación con la reclamación del denunciante sobre las líneas D.D.D. y C.C.C., con el siguiente pronunciamiento: “A la vista de las facturas emitidas el 16 de noviembre y de diciembre de 2011, se aprecia que no se realizó consumo, recogiendo únicamente, la penalización de 70 € más IVA por baja anticipada y una cuota de Internet de 39 € en cada factura. SE RESUELVE QUE EL RECLAMANTE SÓLO DEBE PAGAR 82,60 € CORRESPONDIENTE A LA PENALIZACIÓN Y NO LOS 39 € DE CADA FACTURA. TODO ELLO EN UN PLAZO DE 2 MESES A PARTIR DE ESTA FECHA” (folio 15) SEXTO: En fecha 15/05/2012 el denunciante abonó a ORANGE la cantidad de 82,60 € fijada en el laudo arbitral (folio 16) SEPTIMO: En fecha 06/09/2012 ORANGE recibió reclamación del denunciante señalando que en fecha 03/10/2011 dejó de utilizar los servicios de las líneas D.D.D. y C.C.C. y que se le reclamaba en las facturas de noviembre y diciembre de 2011 el pago de la cuota de internet (39 €). Señala que presentó reclamación ante el Instituto Galego de Consumo y se dictó laudo arbitral en el sentido que sólo tenía que pagar 82,60 € de penalización y no los 39 €. A pesar de pagar el 15/05/2012 dicha cantidad, ORANGE le emitió facturas en fechas 16/06/2012 (44,53 € que pagó por error) y 16/07/2012 (35,28 € que no pagó). Además recibe avisos de ORANGE respecto a que se encuentran disponibles on line en el área de clientes de la web de la operadora las facturas de otra persona (folios 19-30). OCTAVO: En el Sistema de Información donde se registran los contactos y reclamaciones de los clientes de ORANGE, consta, entre otras, las siguientes anotaciones: Con fecha 28/03/2012 figura una anotación en relación con la reclamación ante la Junta Arbitral. En dicha anotación consta que entre la documentación se adjunta copia de un fax remitido a la entidad con la reclamación en fecha 10/01/2012. Asimismo figura que los importes que el denunciante reclama corresponden con la penalización por baja anticipada de la línea D.D.D. y con las facturas por importe de 39 € correspondientes a la línea C.C.C. que se encuentra activa. Con fecha 08/05/2012 una anotación en relación con la resolución de un laudo arbitral y se indica que “el reclamante debe pagar 82,60 € y no 39 € de cada factura”. Con fecha 28/09/2012 una anotación sobre la recepción de un fax en el que el cliente reclama que le continúan emitiendo facturas a pesar de haber abonado la penalización por la baja de su línea. Asimismo figura registrado: “cliente aún tiene una línea activa que es el número C.C.C. que corresponde a una línea de datos por lo que si el cliente ya no quiere más la línea debe contactar con el departamento de bajas”. También consta que una vez contactado con el cliente e informado, éste no está de acuerdo (folios 64-79) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 NOVENO: En fechas 31/08/2012 y 30/09/2012 el denunciante recibió en su dirección de correo electrónico ............@hotmail.com, sendos corres electrónicos dirigidos por ORANGE a nombre de una tercera persona ( B.B.B.) informándole del importe de su factura y que la misma de encuentra disponible para su descarga en el área de clientes de la web de dicha operadora (folios 26-27) FUNDAMENTOS DE DERECHO I El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y entre esas excepciones contempla a quienes son parte de una relación contractual siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. Son pues elementos característicos de este derecho fundamental, los derechos del afectado a consentir la recogida y el uso de sus datos personales y a saber de los mismos. Respecto a la carga de la prueba del consentimiento, la Audiencia Nacional, en diversas Sentencias, (por todas la STAN de 27 de enero de 2011, Rec 349/2009, Fundamento de Derecho Tercero), declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por ORANGE puede subsumirse o no en tales definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso afirmativo si está o no legitimada para el tratamiento de datos de la denunciante, y por ende verificar la prestación del consentimiento de ésta o la ausencia del mismo. III Los sistemas de información de la denunciada han de conjugarse con la definición de fichero, que de conformidad con el articulo 3.
- b)como “todo conjunto organizado de datos de carácter personal, cualquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso. Se puede afirmar por tanto, que ORANGE tiene en sus ficheros, los datos personales del denunciante. Todo esto sitúa a ORANGE como responsable del fichero y se evidencia un tratamiento de datos, de conformidad con las definiciones legales señaladas en el fundamento jurídico anterior. Por lo que de conformidad con el artículo 43 de la LOPD, ORANGE se sitúa bajo el régimen de responsabilidad de la ley orgánica de tanta cita. IV De acuerdo con las disposiciones trascritas en los Fundamentos de Derecho anteriores, el tratamiento de los datos personales exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, - entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Es un hecho probado que en los ficheros de ORANGE figuran las líneas D.D.D. (línea de voz con fecha de alta 01/09/2001 y baja el 05/10/2011), y C.C.C. (línea de datos – internet, con fecha de alta 04/05/2010 y baja el 29/01/2013), ambas vinculadas a los datos personales del denunciante quien aparece como su titular. Resulta acreditado también que ORANGE emitió factura única por ambas líneas hasta la de fecha 16/11/2011 por importe de 128,62 € (109 € + IVA, correspondientes a la suma de 39 € de cuota de la línea D.D.D. y 70 € en concepto de baja anticipada de la línea D.D.D.). Disconforme con esta factura el denunciante presentó reclamación de arbitraje de consumo sobre ambas líneas, concluida con Laudo de fecha 17/04/2012 que resuelve que el denunciante sólo debe abonar 82,60 € (70 € + IVA) correspondiente a la penalización (baja línea D.D.D.) y no los 39 € de cuota correspondientes a la línea D.D.D.. De esta manera se concluye que ambas líneas deben estar dadas de baja por cuanto respecto de la línea D.D.D. se establece la procedencia de la penalización por su baja, y respecto de la línea D.D.D. se establece que no procede su facturación (39 € de cuota). El hecho que ORANGE no facturara la penalización por baja de una de las líneas no debe constituir prueba de que no se había solicitado su baja sino que ORANGE no la tramitó y por tanto no facturó por tal concepto. ORANGE recibió el citado laudo en fecha 08/05/2012 y al día siguiente (09/05/2012) emitió factura rectificativa de la impugnada en el laudo. No obstante lo anterior, ORANGE emitió facturas en fechas 16/06/2012 (44,53 €), 16/07/2012 (35,25 €) y 16/08/2012 (19,29 €), esto es en fecha posterior a la recepción del Laudo (08/05/2012) que establecía que no se debía facturar por la línea D.D.D. (39 € cuota al ser una tarifa plana), como así de hecho se produjo en los meses de enero a mayo de 2012 en los que ORANGE no emitió facturas de la citada línea D.D.D.. Así pues ORANGE emitió las citadas facturas de la línea D.D.D. tratando los datos del denunciante cuando ya no contaba con el consentimiento para ello, lo que vulnera el principio del consentimiento que proclama el artículo 6.1 de la LOPD, infracción tipificada en el artículo 44.3.
- b)de la citada Ley Orgánica que dispone: “Son infracciones graves, (..):
- b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. V El artículo 44.3.
- b)de la LOPD en su redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible (Disposición final quincuagésimo sexta), tipifica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. OPRANGE trató los datos personales del denunciante sin su consentimiento al girarle facturas de la línea D.D.D. tras su baja según lo resuelto en el Laudo arbitral que obra en el expediente y, por lo que ha vulnerado el principio del consentimiento previsto en el artículo 6 de la LOPD. La conculcación de este principio supone la comisión de la infracción grave prevista en el transcrito artículo 44.3.b). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 VI El presente expediente sancionador tiene también por objeto determinar la posible responsabilidad de ORANGE por infracción del artículo 10 de la LOPD, fruto de la revelación de los datos contenidos en sus ficheros, Artículo 10, “Deber de secreto”: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. A) El artículo 10 de la Ley Orgánica 15/1999, trascrito en el Fundamento Jurídico I de esta propuesta, se ocupa del deber de secreto, que tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de datos no consentidas por sus titulares. El Tribunal Superior de Justicia de Madrid en Sentencia de 19 de julio de 2001 afirma que “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En el mismo sentido se ha pronunciado la Audiencia Nacional, que en Sentencias de 14 de septiembre de 2001 y 29 de septiembre de 2004 ha afirmado que “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. Este precepto – artículo 10 de la LOPD- contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000), que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. B) En el presente asunto ha quedado acreditado que el denunciante tuvo acceso al nombre y apellidos, así como al importe de dos facturas de otro cliente de ORANGE. En consecuencia, habida cuenta de que es responsabilidad de ORANGE la custodia de los datos que se incorporan a sus ficheros, y dado que ha quedado acreditado que los datos de un cliente fueron efectivamente conocidos por el denunciante (esto es, una tercera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 persona), en tanto dicha operadora ha posibilitado el acceso a datos personales de uno de sus clientes sin su consentimiento, se concluye que vulneró el artículo 10 de la LOPD, infracción tipificada en el artículo 44.3.
- d)de la citada norma. El artículo 44.3.
- d)de la LOPD tipifica como infracción grave “ La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. VII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 1. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Respecto de la infracción del artículo 6.1 de la LOPD, las circunstancias indicadas no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, por cuanto a pesar de tener conocimiento en fecha 08/05/2012 del laudo arbitral que resolvía la no procedencia de facturar la línea D.D.D. << debe pagar .... y no los 39 € de cada factura ..>>, (esos 39 € era precisamente la cuota mensual-tarifa plana por el uso de dicha línea), ORANGE emitió facturas de dicha línea en fechas 16/06/2012, 16/07/2012 y 16/08/2012. Por todo ello, procede imponer, una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de infracción grave. Respecto a la infracción del artículo 10 de la LOPD se ha acreditado la existencia de, únicamente dos comunicaciones recibidas por el denunciante en las que se informaba de la disponibilidad en el área de clientes de la web de ORANGE de la factura y el importe de la misma correspondiente a otro cliente, pero sin que conste que el denunciante tuvo acceso a dichas facturas pues no las aportó en sus escritos de denuncia. En consecuencia procede la aplicación de lo dispuesto en el artículo 45.5 de la LOPD. Por todo ello, procede imponer, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de infracción grave, pero sancionarse con el importe de las multas correspondientes a las infracciones leves. Por lo que respecta a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, y habida cuenta que ORANGE no sólo no regularizó la situación sino que incumplió el laudo arbitral emitiendo facturas, se impone una sanción de 50.000 € por la infracción del artículo 6.1, y 1.000 €, dada la ausencia de beneficios para la entidad y perjuicios causados al denunciante, por la infracción del artículo 10, ambos de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2, y 4 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. y a A.A.A. . D. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es