PS-00445-2016

1/14 Procedimiento Nº PS/00445/2016 RESOLUCIÓN: R/00119/2017 En el procedimiento sancionador PS/00445/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 23/10/2015, escrito presentado por A.A.A. (en adelante denunciante), trasladado por la Oficina Municipal de Información al Consumidor de San Pedro del Pinatar, en el que manifiesta que un usuario de AMENA, llamado B.B.B., el día 07/10/2015, le había informado que en su cuenta de dicha operadora aparecían los datos personales del denunciante incluidos los bancarios tanto en la página web como en la aplicación móvil, al igual que cuando llamaba a AMENA le daban los datos del denunciante al identificarse con su nº de teléfono, todo ello a partir del día 06/10/2015. Añade el denunciante que realiza una consulta en la página web de AMENA, en el área de clientes, A.A.A. tu móvil visualizándose a su nombre dos líneas de móvil con nº ***TEL.1, que es la suya, y la ***TEL.2 que no la ha contratado, se adjunta impresión de pantalla en la que se detallan dichas circunstancias. Que se pone en contacto con el Servicio de Atención al Cliente de AMENA y le comunican que los dos usuarios están con los datos del denunciante, que no se puede modificar y que le cobrarían las dos líneas, que en 48/72 horas se restablecería el servicio y la información estaría correcta, nº de incidencia ***NÚM.1. El día 13/10/2015 se pone de nuevo en contacto con la operadora y le comunican que el problema no se había solucionado pero que ya lo estaban revisando y que se podrían en contacto con él. Por lo que considera que otras personas pueden estar accediendo a sus datos personales, ya que en el cruce de datos solo se visualizan los del denunciante. También se aporta soporte CD en el que constan tres archivos con el siguiente nombre y contenido:  Adscrito.doc: escrito de denuncia que coincide con el aportado por el denunciante.  Captura de pantalla.doc: impresión de pantalla de la consulta realizada a la página web de AMENA que coincide con la aportada por el denunciante.  Video1.avi: en el figura la grabación de la consulta realizada a través de un terminal móvil, a la página web de AMENA, de los datos del denunciante asociados a la línea ***TEL.2 incluidos los bancarios, si bien las imágenes del terminal en las que constan los datos personales no son totalmente legibles. Se adjunta impresión de una muestra de imágenes. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ORANGE ESPAGNE, S.A.U.(en lo sucesivo ORANGE), teniendo conocimiento de que: De las actuaciones realizadas por la Inspección de Datos, con fecha de 07/06/2016, en el establecimiento de ORANGE se desprende lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14  En el fichero de Clientes de la operadora consta asociado al nombre, apellidos y NIF del denunciante “4” contratos y, en concreto, el nº ***CONTRATO.1 con “2” líneas asociadas:  Línea “***TEL.1”: con fecha de alta 22/11/2011 y con fecha de baja por portabilidad el 21/10/2015.  Línea “***TEL.2”: con fecha de alta en ORANGE el 25/05/2012 y con fecha de baja 28/10/2015. Dichas circunstancias se acreditan en el documento nº 1 anexo al Acta de Inspección.  Con respecto al nº de línea “***TEL.2” se ha verificado que ha tenido los siguientes titulares:  B.B.B., nº contrato ***CONTRATO.2, con fecha de alta 25/05/2012 y fecha de baja por cambio interno 06/10/2015, entre ORANGE y AMENA.  El denunciante, nº ***CONTRATO.1, con fecha de alta 06/10/2015 y fecha de baja por cambio de titular (takeover) 28/10/2015.  B.B.B., ***CONTRATO.3, con fecha de alta 28/10/2015 y sigue activa. Dichas circunstancias se acreditan en el documento nº 2 anexo al Acta de Inspección.  Por lo que se realiza un cambio de titularidad de la línea “***TEL.2” de B.B.B. al denunciante, el día 06/10/2015, por parte de un agente de la operadora y, con fecha de 28/10/2015, se realiza un nuevo cambio de titularidad a nombre de B.B.B.. Según consta en el documento nº 3 anexo al Acta de Inspección.  Se han generado de la línea “***TEL.2” a nombre del denunciante dos facturas, de los periodos comprendidos entre el 12/09/2015 al 11/10/2015 y el 12/10/2015 al 11/11/2015. Según consta en el documento nº 4 anexo al Acta de Inspección.  Entre los contactos, interacciones y reclamaciones que constan en el Sistema de Información de la operadora asociados al denunciante se encuentran los siguientes:  Con fecha 30/09/2015: Llama el cliente y le ofertan cambio a AMENA.  Con fecha 07/10/2015: SMS Amena info: Hola A.A.A., tienes realizado tu cambio a Amena, en tu próxima factura veras reflejado el abono de 8€. Gracias por confiar en nosotros.  Con fecha de 09/10/2015: Llama el cliente: tiene en su contrato una línea que no reconoce. El operador anota: Se confirman los datos y la línea que aparece en el contrato de forma irregular está a nombre de otro titular (…). Por favor validar los datos de la línea retirar la información de B.B.B. del contrato de A.A.A. y ponerlo a su nombre (…). Esto se puede comprobar en el área de clientes de ambos titulares (…).  Con fecha de 16/10/2015: Llama el cliente: Se le informa al cliente que se le aplicara abono (…). Además de que posteriormente se le hará el abono por los consumos adicionales de la línea no reconocida pero que debe estar a la espera de que cierre la incidencia que aún está en trámite. Se adjunta impresión de las citadas interacciones como documento nº 5 anexo al Acta de Inspección. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14  También consta una interacción del Sr. B.B.B., con fecha 06/10/2015, llamada del cliente pero no consta anotación al respecto, se adjunta impresión de la misma como documento nº 6 anexo al Acta de Inspección.  Las representantes de la operadora manifiestan en relación con el cambio de titularidad de la línea “***TEL.2” sin el consentimiento de los afectados lo siguiente:  AMENA es una marca comercial utilizada también por ORANGE.  Al realizar la migración de la línea del denunciante a la marca AMENA, se ha producido un cruce de datos entre los dos clientes, por error puntual del agente, que la ha realizado manualmente, asociando la migración a una línea distinta de la línea del denunciante.  No obstante, cuando el cliente se puso en contacto con la operadora se tomaron las medidas oportunas para solucionar el error y rectificar las facturas. TERCERO: Con fecha 3009/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE por presuntas infracciones de los artículos 10 y 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en los artículos 44.3.

1. d)y 44.3.
2. c)de dicha norma, pudiendo ser sancionadas cada una de ellas con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de ORANGE mediante escrito de 28/10/2016 formuló, en síntesis las siguientes alegaciones: aplicación de concurso medial de infracciones; en la infracción del artículo 4.3 de la LOPD concurrencia de circunstancia que posibilitan la aplicación del artículo 45.4 y 45.5 de la LOPD, por lo que solicita se dicte resolución imponiendo sanción dentro de las infracciones leves en cuantía mínima. QUINTO: Con fecha 02/11/2016 se inició un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/07864/2015. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por ORANGE y la documentación que a ellas acompaña. SEXTO: En fecha 28/11/2016, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a ORANGE por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
3. d)de dicha norma, con multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica y archivar la vulneración del artículo 4.3 de la LOPD, de conformidad con lo establecido en el artículo 4.4 del REPEPOS, aprobado por R.D. 1398/1993 de agosto por concurso de infracciones. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de ORANGE transcurrido el plazo establecido no había formulado alegación alguna. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 HECHOS PROBADOS PRIMERO. Con fecha de 28/02/2014 tiene entrada en esta Agencia escrito de la OMIC del Ayuntamiento de San Pedro del Pinatar (Murcia) dando traslado a la reclamación del denunciante en la que manifestaba que un cliente de ORANGE identificado como B.B.B. le había llamado por teléfono para comunicarle que habían asociado a su número de móvil sus datos personales, por lo que podía visualizar no solo los citados datos sino también los bancarios, etc., tanto en la página web como en la aplicación del móvil y que cuando llamaba a la operadora le daban sus datos personales al identificarse con su número de teléfono. Además, al tener vinculados las dos líneas (la de su móvil y la del cliente), se generaba un pago por la correspondiente al tercero que no le correspondía (folio 2, 3 y 4). SEGUNDO. El denunciante aporta impresión de pantalla de la consulta a la página web de la operadora, área de clientes, en el que figuran asociadas a sus datos personales al móvil ***TEL.2, modalidad Tu tarifa: tarifa 24,95 € (folio 5). TERCERO. El denunciante ha aportado, en soporte CD, imágenes con la grabación de la consulta realizada a través de terminal móvil, en la página web de ORANGE de los datos del denunciante asociados a la línea ***TEL.2; las imágenes del terminal móvil en las que constan los datos personales no son totalmente legíbles (folio 11 a 14). CUARTO. En el Acta de Inspección E/7864/2015-I/1, llevada a cabo en la sede de la entidad denunciada, se señala lo siguiente: (…) Las inspectoras de la Agencia informan a las representantes de la entidad que la presente inspección se realiza como consecuencia de una reclamación presentada en la Agencia Española de Protección de Datos por el denunciante en la que pone de manifiesto que, a través de un tercero, tuvo conocimiento que tenía asignado una línea móvil a sus datos personales y bancarios, pudiendo acceder a esta información ambos clientes desde la página web. 1. Las inspectoras de la Agencia solicitan a las representantes de ORANGE el acceso a los Sistemas de Información de ORANGE, realizando las siguientes comprobaciones: 1.1. Se realiza una consulta en el fichero de Clientes utilizando como argumento de búsqueda el número de NIF “***NIF.1” verificando que corresponde al denunciante como titular de “4” contratos y, en concreto del siguiente: 1.1.1.Contrato nº ***CONTRATO.1 con “2” líneas telefónica asociadas: Línea “***TEL.1”: con fecha de alta 22/11/2011 y con fecha de baja por portabilidad el 21/10/2015. Línea “***TEL.2”: con fecha de alta en ORANGE el 25/5/2012 y con fecha de baja 28/10/2015. (…). 1.2. Se realiza una consulta en el fichero de Clientes utilizando como argumento de búsqueda el nº de línea “***TEL.2” verificando que ha tenido los siguientes titulares: 1.2.1.B.B.B., nº contrato ***CONTRATO.2, con fecha de alta 25/5/2012 y fecha de baja por cambio interno 6/10/2015, entre ORANGE y AMENA. 1.2.2.El denunciante, nº ***CONTRATO.1, con fecha de alta 6/10/2015 y fecha de baja por cambio de titular (takeover) 28/10/2015. 1.2.3.B.B.B., ***CONTRATO.3, con fecha de alta 28/10/2015 y sigue activa. (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 1.3. Se accede a las modificaciones realizadas sobre la línea “***TEL.2” verificando lo siguiente: 1.3.1.Con fecha 6/10/2015, en el contrato ***CONTRATO.2, cuyo titular es B.B.B., se realiza por parte del agente un cargo por baja anticipada. Cambio de titularidad a nombre del denunciante y contrato ***CONTRATO.1 1.3.2.Con fecha 28/10/2015 se realiza un cambio de titularidad a nombre de B.B.B.. (…). 1.4. Se realiza una consulta de las facturas generadas de la línea “***TEL.2” a nombre del denunciante, verificándose que se han generado dos facturas, de los periodos comprendidos entre el 12/9/2015 al 11/10/2015 y el 12/10/2015 al 11/11/2015. (…). 1.5. Se realiza una consulta de los contactos, interacciones y reclamaciones por el criterio de NIF ***NIF.1 del denunciante, verificando que, entre otras, constan:  Con fecha 30/9/2015: Llama el cliente y le ofertan cambio a AMENA.  Con fecha 7/10/2015: SMS tienes realizado tu cambio a AMENA.  Con fecha de 9/10/2015: Llama el cliente informando que tiene una línea que no reconoce. Anotación operador: la línea que está a nombre del denunciante corresponde al Sr. B.B.B., ya que constan en los dos sistemas de información diferente titular.  Con fecha de 16/10/2015: Llama el cliente y le informan que cuando finalice la incidencia se le ajustara la facturación. (…). 1.6. Se realiza una consulta de los contactos e interacciones por el criterio de NIF ***NIF.2, del Sr. B.B.B., verificando que, entre otras, consta:  Con fecha 6/10/2015: Llamada del cliente pero no consta anotación al respecto. (…). 2. Las representantes de la entidad realizan las siguientes declaraciones ante las cuestiones planteadas por las inspectoras de la Agencia a la vista de las comprobaciones efectuadas. 2.1. AMENA es una marca comercial utilizada también por ORANGE ESPAGNE, S.A.U. 2.2. Al realizar la migración de la línea del denunciante a la marca AMENA, se ha producido un cruce de datos entre los dos clientes por error puntual del agente, que la ha realizado manualmente, asociando la migración a una línea distinta de la línea del denunciante. 2.3. No obstante, cuando el cliente se puso en contacto con la operadora se tomaron las medidas oportunas para solucionar el error y rectificar las facturas. 3. Las inspectoras de la Agencia de Protección de Datos recaban la documentación señalada anteriormente que es entregada de forma voluntaria por los representantes de la Sociedad (el subrayado corresponde a la AEPD). (folios 18 y ss). QUINTO. ORANGE no ha acreditado que hubiese obtenido el consentimiento o autorización del denunciante para la revelación de sus datos de carácter personal en relación con la vinculación al nº de telefonía móvil ***TEL.2 perteneciente a un tercero, ni que exista norma legal que justifique dicha revelación. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II Se imputa a ORANGE en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III El artículo 9 de la LOPD establece en relación con la seguridad de los datos que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. El RD/1720/2007 establece un régimen específico de “seguridad” a implantar por el responsable del fichero para salvaguardar la tutela debida a un derecho fundamental ex artículo 18.4 de la Constitución Española, de conformidad con la doctrina sentada por la STC 292/2000. Así en su artículo 80 señala que “las medidas de seguridad exigibles a los ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto.” Así en los artículos 89 a 94 del citado reglamento se recogen las medidas a implantar para datos a los que son aplicables las medidas de nivel básico y en los artículos 95 a 100 las medidas a implantar para datos a los que son aplicables las medidas de nivel medio, como en el caso presente. Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y en un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y que encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 fundamental a la protección de los datos de carácter personal. IV En el presente caso, ha quedado acreditado que ORANGE vulneró el deber de confidencialidad en relación con los datos personales del afectado, los cuales podían ser visualizados por un tercero accediendo a la página web de la operadora, en su área de clientes, de manera tal que el titular del teléfono ***TEL.2 podía consultar sus datos de carácter personal, incluidos los bancarios y de facturación. Esta información de carácter personal no podía ser facilitada a terceros, salvo con el consentimiento del afectado o existiendo una habilitación legal que permitiera su comunicación, que en el presente caso no concurre. La propia entidad denunciada tal y como consta en el punto 3 y 4 del Acta de Inspección E/04766/2014/I-1 (folio 12), ha reconocido que “Al realizar la migración de la línea del denunciante a la marca AMENA, se ha producido un cruce de datos entre los dos clientes por error puntual del agente, que la ha realizado manualmente, asociando la migración a una línea distinta de la línea del denunciante”. La persona que estuviese en posesión del número de teléfono ***TEL.2, al ser asociado a los datos personales del denunciante, pudo visualizar aquéllos así como los bancarios, facturación, etc., al acceder al área de clientes de la entidad. Por tanto, ha quedado acreditado que por parte de ORANGE se ha vulnerado el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que un tercero tuviese acceso a los datos personales del denunciante a través de su cuenta de cliente al estar asociada al número de teléfono ***TEL.2. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el caso analizado, se ha producido por ORANGE una vulneración del deber de secreto al vincular los datos del denunciante al número de teléfono ***TEL.2 que en ese momento pertenecía a un tercero también cliente de la entidad, lo que le permitía a éste visualizar cuando accedía al área de clientes de la entidad vía web los datos de carácter personal del denunciante, bancarios, etc. Es por ello, que la conducta imputada a ORANGE, como responsable del fichero, supone la vulneración del artículo 10 de la LOPD, que encuentra su tipificación en el tipo del citado artículo 44.3.d). VI En segundo lugar, se imputa a ORANGE en el presente procedimiento la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo ut supra impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Y en el apartado 4 de dicho artículo determina que: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. VII En el presente caso, consta acreditado que ORANGE ha tratado los datos del denunciante de manera inexacta y sin que respondiera con veracidad a su situación actual (en aquel momento), en relación con la línea de telefonía móvil asociada al número ***TEL.2 que permanecía vinculada a su cuenta de cliente en la operadora de telefonía; línea que no le pertenecía y que estaba asignada a otro cliente de la entidad. Además, como consecuencia de la vinculación de la citada línea a la cuenta cliente del denunciante, los servicios generados por la misma le eran cargados en su cuenta domiciliataria, importes que en ningún caso le correspondían. La Audiencia Nacional, en Sentencia de fecha 16/01/2008, manifestaba: “Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso –artículo 44.3.
5. d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos personales que iba a tratar no cumplían con los requisitos legalmente impuestos, si tenemos en cuenta que la actividad de la recurrente, por su propia naturaleza, ha de tener un cumplido conocimiento, y un escrupuloso respeto, de las normas en materia de protección de datos cuando en su actividad ordinaria se produce un manejo masivo de los mismos. Y es esta falta diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la naturaleza de los datos personales a los que se tiene acceso es una circunstancia que ha de hacerse previamente y de modo riguroso antes de proceder al tratamiento de los mismos, pues se trata de la salvaguarda de un derecho fundamental, el derecho a la protección de los datos previstos en l. Artículo 18.4 de la Constitución.” Por tanto, de conformidad con el artículo 4.3 de la LOPD, correspondía a ORANGE adoptar las medidas necesarias para que la situación acaecida no se produjera. Este comportamiento supone una vulneración del principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, de la que ORANGE debe responder por ser responsable de la veracidad y exactitud los datos que sujetos a su tratamiento. VIII El “tratamiento” de datos personales exige que se lleve a cabo de conformidad con los principios de “calidad de los datos”, es decir, que los datos tratados han de ser “exactos y puestos al día”, requisitos que no se han cumplido en el caso analizado. En este sentido, la Audiencia Nacional ha declarado en numerosas sentencias, entre otras la de fecha 13/03/2009, que señala: “El principio de calidad del dato, como esta Sala ha reiterado en numerosísimas ocasiones, se infringe no solo cuando se facilitan los datos erróneos a un fichero que presta información a terceros sobre el incumplimiento de obligaciones dinerarias (Art. 4.3 LOPD en relación con el artículo 29 de la misma) sino también cuando los datos existentes en los propios ficheros de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 entidad acreedora son inexactos y no actuales. La resolución de la Agencia impugnada, en su fundamentación jurídica, considera que ha quedado acreditado que Jazztel giró facturas correspondientes a un número de teléfono por unos servicios que, si bien se habían solicitado por el denunciante, no se habían prestado por la operadora. Los datos personales referidos al denunciante que figuraban en sus ficheros dejan de ser exactos en el momento en que figuran en ellos datos de servicios no prestados e importes no debidos realmente. Después de advertirlo, siguieron siendo inexactos los datos reclamándole el pago de facturas por ese servicio no prestado. Y esos datos inexactos son comunicados a la empresa de impagados para que realice su actuación”. Por lo tanto, ha quedado acreditado que el tratamiento de los datos inexactos del denunciante realizado por parte del ORANGE, no respondía con veracidad a la situación de aquella, incurriendo por ello en una vulneración del principio de calidad de datos recogido en el artículo 4.3 de la LOPD, que encuentra su tipificación en el artículo 44.3.
6. c)de la citada Ley Orgánica IX El artículo 44.3.
7. c)de la LOPD considera infracción grave: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. ORANGE ha incurrido en la infracción grave descrita al tratar datos inexactos y no veraces de la denunciante en relación con la línea de telefonía móvil número ***TEL.2 que no le correspondía y cuyo titular era un tercero, de nombre B.B.B., lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. X El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En tal caso, y siempre que no exista regulación específica para resolver dicho concurso ideal de infracciones, se aplicaría la técnica jurídica penal propia del concurso ideal de delitos. (STS de 9 de junio de 1999 y de 10 de marzo de 2003). El precepto anterior exige una necesaria derivación de una infracción/es respecto de otra/s y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que ha de conferirse a la expresión contenida en el precepto de que “una infracción derive necesariamente la comisión de otra u otras”. Pues bien, en el caso estudiado ORANGE trato los datos de la denunciante de manera inexacta, datos de los que es responsable de conformidad con el artículo 3.
8. d)de la LOPD, asociándolos a una línea que no le correspondía pues pertenecía a otro usuario de la compañía, lo que provocaba que sus datos fueran desvelados al mismo cuando accedía a la web de ORANGE, área de clientes a través de su número de móvil, lo que comporta una vulneración tanto del artículo 4.3 como del artículo 10 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 siendo medio para cometer esta última infracción, la infracción del principio de calidad del dato. Es decir, no pueden disgregarse una infracción respecto de la otra, pues si los datos no hubieran sido tratados de manera inexacta no se habría producido la vulneración del deber de secreto. A falta de regulación específica, la solución dada por la jurisprudencia contencioso-administrativa, basándose en las previsiones del Código Penal, es la de imponer la sanción correspondiente a la infracción más grave. No obstante lo anterior, en atención a que ambas infracciones son tipificadas de igual gravedad, se impone la sanción por la comisión de una, en este caso, por la infracción del principio revelación de secreto, consagrado en el artículo 10 de la LOPD. XI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. ORANGE ha solicitado la aplicación del artículo 45.5.
24. b)al haber reconocido su responsabilidad en los hechos acaecidos con ocasión de la inspección realizada en la sede de la entidad; además, considera que su actuación fue diligente al regularizar la situación creada, debiendo ser graduada la sanción a imponer teniendo en cuenta las circunstancias concurrentes del artículo 45.4 de la LOPD. Hay que señalar que el apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso presente, de las actuaciones practicadas ha quedado acreditado que ORANGE vulneró el artículo 4.3 y 10 de la LOPD, en su condición de responsable del tratamiento, al asociar al número ***TEL.2 sus datos de carácter personal y vincularlo a su cuenta de cliente y cargando en su cuenta domiciliaria las facturas de la citada línea que no le correspondían; datos inexactos y que no respondían con veracidad a la situación del denunciante, en relación con la línea de telefonía móvil ***TEL.2 asociada a su cuenta de cliente y cuyo titular en ese momento era un tercero que le permitía acceder al área de clientes de la web de la compañía, visualizando su nombre y apellidos, NIF, domicilio, datos bancarios, facturación, llamadas, etc. La propia entidad ha reconocido que “Al realizar la migración de la línea del denunciante a la marca AMENA, se ha producido un cruce de datos entre los dos clientes por error puntual del agente, que la ha realizado manualmente, asociando la migración a una línea distinta de la línea del denunciante”. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido a la concurrencia de la circunstancia prevista en el apartado
25. d)“Cuando el infractor haya reconocido espontáneamente su culpabilidad” ya que ORANGE ha reconocido los hechos como consecuencia de la inspección llevada a cabo en su sede, admitiendo en el Acta llevada a cabo el error cometido y que ya había sido reconocido con anterioridad con motivo de la llamada del cliente de fecha 09/10/2015 advirtiendo a la compañía de una línea que no reconocía como propia, procediendo establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Además, hay que señalar otras circunstancias que atenúan aún más la culpabilidad de la entidad denunciada, reconducibles a efectos de graduación de la sanción a imponer en el criterio señalado en el artículo 45.4.
26. j)“Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”, puesto que ORANGE cuando el cliente se puso en contacto con la compañía informándole que tenía una línea C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 asignada que no reconocía reaccionó diligentemente ajustándole la facturación en un breve periodo de tiempo. Por otra parte, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Entre ellas cabe citar el apartado
27. c)“la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeñan las entidad denunciada se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado
28. d)“volumen de negocio o actividad del infractor”, toda vez que se trata de una de las mayores operadores de telefonía del país por volumen de negocio. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 20.000 €, por la infracción del artículo 10 de la LOPD, de la que ORANGE debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
29. d)de la LOPD, una multa de 20.000 (veinte mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada LOPD. SEGUNDO: ARCHIVAR a la entidad ORANGE ESPAGNE, S.A.U., por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
30. c)de la misma Ley, de conformidad con lo señalado en el artículo 4.4 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, aprobado por R.D. 1398/1993 de 4 de agosto. TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es