PS-00484-2013

(44). También tiene acceso según la impresión que aporta, a los datos de configuración del ADSL de la línea ***TEL.1

(46)C.C.C.. 7) Copia de denuncia presentada ante la Guardia Civil el 01/06/2012, denunciando que el 21/02/2012, contrató con ORANGE la línea ***TEL.3 del servicio “ADSL 6 MB mas llamadas”. Añade que en la misma fecha le dieron de alta la línea ***TEL.1 sin su consentimiento figurando en las facturas los datos de C.C.C., su NIF y su número de cuenta, sin conocer a esta persona

(47). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información. FRANCE TELECOM ESPAÑA S.A con fecha 29/07/2013 indica: SOBRE LA CONTRATACIÓN: - ORANGE expone que el denunciante figura en sus sistemas como titular de la línea ***TEL.1, dada de alta con fecha 11/01/2012 y de baja con fecha 31/10/2012, y vinculada al servicio ADSL máxima velocidad + llamadas con línea Orange. Como dirección principal consta (C/.....................2), Murcia, y como teléfonos de contacto ***TEL.1 y ***TEL.4. Como dirección de facturación consta (C/.....................1), Almería. Se aportan impresiones de pantalla al respecto. - ORANGE manifiesta que la verdadera titular de la línea ***TEL.1 era D.D.D., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 quien envió un fax solicitando un cambio de titularidad en favor de C.C.C.. Sin embargo, en la tramitación de ese cambio de titularidad se produjo un error y se vinculó la línea al denunciante, en lugar de a C.C.C.. ORANGE expone que está intentando localizar el citado fax, habiéndoselo requerido al proveedor de su centro de logística documental. - ORANGE expone que en relación a la contratación de la línea ***TEL.1, no puede aportar copia de contrato o grabación alguna dado que, como se ha expuesto, lo que se produjo fue un error al tramitar el cambio de titularidad solicitado por D.D.D. en favor de C.C.C.. SOBRE LOS CONTACTOS: - ORANGE expone que en su sistema consta la entrada de llamadas telefónicas realizadas por el afectado en las siguientes fechas: o o o o o o o 28/05/2012. Expone que acaba de ser consciente de que asociado a su DNI figura una línea que no ha contratado y que quiere dar de baja. 29/05/2012. Expone que recibe facturas a nombre de una persona que no conoce llamada C.C.C.. 05/09/2012. Expone de nuevo los hechos. El operador le facilita un fax para reclamar. 24/09/2012. Expone de nuevo los hechos y solicita la baja. Se verifica que el número de cuenta no es de la persona que figura como titular, constando un impago en agosto y septiembre. 25/09/2012. Reitera los hechos y su voluntad de dar de baja el servicio. Se verifica que es cliente con la línea ***TEL.3 y que el número cuya titularidad niega pertenece a D.D.D.. Se comprueba que en enero se realizó un cambio de titularidad. 09/10/2012. Se resuelve el caso estimando la reclamación. 22/10/2012. Solicita la baja. Se aportan impresiones de pantalla al respecto. - ORANGE expone que le consta la interposición de una reclamación por parte del afectado a través de la OMIC de Caravaca de la Cruz, y que se recibió el 10/10/2012. Aporta copia del expediente de reclamación (idéntico en su composición al de la denuncia formulada ante esta Agencia) así como de la respuesta ofrecida por la compañía con fecha 07/11/2012, en la que se informa de que se ha procedido a rectificar los datos obrantes en sus sistemas. En una carta posterior remitida a la OMIC, y de la que se aporta copia, se informa de que se ha procedido a anular el compromiso de permanencia existente en relación a la línea ***TEL.3, procediendo a la baja de la línea sin penalización, tal y como solicitaba el cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 SOBRE LA FACTURACIÓN: - ORANGE expone que si bien las facturas se emitieron a nombre del denunciante, las mismas se cargaban en el número de cuenta de C.C.C.. Tal y como se deriva de la reclamación ante la OMIC, se produjeron impagos en relación a ese producto durante el período de suspensión, pero no existe deuda pendiente alguna ya que la factura reclamada fue anulada, y la línea ***TEL.3 dada de baja con fecha 17/11/2012. Así se expone en la carta de la denunciada de 12/04/2013 remitida a la OMIC de Caravaca de la Cruz, de la que se aporta copia. TERCERO: Con fecha 20/09/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a FRANCE TELECOM ESPAÑA S.A. por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 16/10/2013, la denunciada alega: 1) No se trata de un alta de la línea 65 a nombre del denunciante sino que por un breve espacio de tiempo se modificó la titularidad de una línea atribuyéndosela al DNI del denunciante, pudiendo ver este en el área web esos datos de un tercero. Al denunciante no se le ha cobrado cantidad indebida alguna, las facturas se cargaban en la cuenta de C.C.C., ni sus datos se han dado de alta en ficheros de solvencia. Se anuló el compromiso de permanencia y se le dio de baja de su propia línea sin penalización. El haber solucionado la cuestión antes de la incoación de un procedimiento hace que no exista infracción alguna. 2) Solicita la aplicación del artículo 45.5 de la LOPD, por la puesta en marcha de las medidas documentadas por los Servicios de Inspección en el acta 952/2006, añadiendo que el perjuicio ocasionado al denunciante fue leve, y los hechos han sido reconocidos por la denunciada. QUINTO: Con fecha 22/11/2013 se inicio período de apertura de pruebas incorporando las actuaciones previas y alegaciones al acuerdo de inicio, además se solicitó a denunciada: 1) Sobre las líneas que reconoce el denunciante ***TEL.3 y la ***TEL.2, fechas de alta y baja, adjuntando impresión de los datos de sus sistemas. 2) Sobre la línea ***TEL.3, si estuvo interrumpido el servicio, motivo y desde que fecha a qué fecha. 3) Respuesta que se dio a la OMIC recibido por esa entidad el 10/10/2012, su escrito folio 146 corresponde a otra persona, no es el denunciante. 4) Con que petición se corresponde el folio por ustedes aportado 144, copia del antecedente que origina esa respuesta. Sobre dicho folio, aclaración de “fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 de activación del servicio de acceso a internet y llamadas: 18/08/2010, ya que la línea ***TEL.3 paso al denunciante a partir de petición de noviembre 2011. “ 5) Copia de facturas de mayo a noviembre 2012 emitidas a la línea ***TEL.1. 6) Copia del fax en el que sobre la línea ***TEL.1 se solicitó el cambio de titularidad. 7) Informe sobre si todas las facturas de la línea ***TEL.1 se emitieron con el DNI del denunciante, que aparece en el listado, según se desprende de folio 59, se manda folio 58 y 59. Transcurrido el período otorgado, no se facilitaron los documentos e información requeridos. SEXTO: Con fecha 21/01/2014 se formuló propuesta de resolución, con el literal “Que por el Director de la Agencia Española de Protección de Datos se sancione a FRANCE TELECOM ESPAÑA S.A. con multa de 50.000 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c), de conformidad con el artículo 45.2 y 4 de dicha norma.” SÉPTIMO: Con fecha de entrada 17/02/2014, la denunciada reitera sus alegaciones en el sentido de que una vez advertida la incidencia de manera inmediata se repararon sus efectos, rectificando los datos, anulando el compromiso de permanencia asociado a otra de las líneas y cursando la baja sin penalización, sin causar perjuicio económico al denunciante pues las cantidades se cargaban a la Sra. C.C.C. y añade:
2. a)Están de acuerdo con que la infracción no estaría incardinada en el artículo 6.1, pero no se infringe tampoco la calidad de datos del 4.3 pues no se ven afectados datos personales tratándose de un cruce de cambio de línea solicitado por la titular de la línea ***TEL.1 C.C.C.. “Los únicos datos afectados pero que son irrelevantes son el NIF del denunciante que fue asociado a la Sra. C.C.C.”, pudiendo ser que ese NIF sea también de la Sra. C.C.C., extremo que no ha quedado acreditado. Aporta un trabajo titulado “Estimación de los DNI duplicados en España”, publicado por el INE en el numero 141, 1996 de Estadística Española. Continua reseñando que también se ligaba al denunciante la línea ADSL ***TEL.1 contratada por la Sra. C.C.C., y el importe de la deuda generada por dicho servicio cargado a la cuenta de la Sra. C.C.C. que fueron impagados.
3. b)Indica que el NIF en este caso por sí solo, no es un dato de carácter personal pues se trató de forma disociada de los demás datos, sin permitir hacer identificable al titular de los datos.
4. c)Respecto a la asociación al NIF del denunciante de la deuda de la Sra. C.C.C., la deuda era desconocida por el propio denunciante. El tratamiento de un dato que no se manifiesta a nadie no afecta a los principios de protección de datos y no está dentro del campo a proteger por la LOPD, no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 siendo infracción
5. d)Con el cambio de calificación la Agencia persigue que se considere al denunciante como deudor sin que este lo hubiera denunciado cuando lo cierto es que el denunciante denuncia que sus datos han sido tomados para la contratación de una línea y revelados a otro cliente y a él los de aquella.
6. e)No se acredita que el denunciante viera interrumpido el servicio.
7. f)Reitera la petición del artículo 45.5 de la LOPD por concurrir el 45.5. a),
8. b)y
9. d)a efectos del 45.4 LOPD indica que la infracción no es de carácter continuado pues se perfecciona en un momento dado que es cuando se pone en conocimiento de un tercero el dato, con independencia de que pudiera tener consecuencias lesivas para el titular del dato en un momento posterior. Añade que el volumen de tratamientos debe ser considerado atenuante por el elevado volumen d datos gestionados tratándose de una incidencia puntual HECHOS PROBADOS 1) El denunciante era titular con France Telecom (marca comercial ORANGE) de la línea móvil ***TEL.2, y de la fija ***TEL.3, esta última que su padre cambió de titularidad a su hijo, el denunciante, el 24/11/2011, (1,6, 8). La primera factura emitida por la denunciada al denunciante de dicha línea ***TEL.3, servicio “Línea + ADSL 6Mb + llamadas” se emitió el 5/02/2012 con los datos correctos del denunciante, incluyendo como Banco la entidad 2090, (4, 6,9, 10,47). Aporta también como facturas emitidas con sus datos las de 5/03 a 5/05/2012 (4, 6, 9, 10, 17 a 22,47). 2) Con fecha 27/05/2012, el denunciante al entrar en la web ORANGE, área de cliente con su contraseña y usuario, se apercibe que figuran sus datos: nombre y apellidos, DNI, e- mail de contacto y su dirección de Murcia, como contacto su línea móvil que acaba en 66 y su teléfono fijo que acaba en 74, y también la línea ***TEL.1, servicio “ADSL Máxima velocidad + Llamadas con línea ORANGE”, fecha alta 2/07/2009 que manifiesta no ha contratado aportando impresión de dichas consultas. (5, 6, 9 a 11, 12,47). 3) El servicio de la línea de teléfono acabada en 65,

(54)figuraba en los sistemas de ORANGE asociado a los datos del denunciante, y como fecha activación 1/01/2012 desactivado el 31/10/2012 (55,56, 57) y como cuenta bancaria una de Caja Rural de Almería (36,56) entidad 30**, (55,56) servicio “ADSL Máxima velocidad + llamadas línea Orange.”, domicilio de facturación una dirección en ***POBLACIÓN.1. De acuerdo con la versión de la denunciada, la titular de la línea acabada en 65, D.D.D., solicitó por fax un cambio de titularidad a favor de C.C.C., haciéndose el cambio a los datos del denunciante (57,58). No se envía copia del citado fax. 4) El denunciante entrando con su usuario y contraseña accede a su cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 web de ORANGE, área de cliente pudiendo ver los datos del servicio no contratado, manifestándolo a la denunciada telefónicamente. Así, acredita que puede acceder además de a su servicio contratado, a: a) Facturas mensuales unificadas, de sus líneas, emitidas el 5 y 21/02/2012 (9, 14, 15) y de 5/02 a 5/05/2012 (17 a 22). b) Facturas mensuales de 5/02, a 5/5/2012 de la línea acabada en 65, que contiene datos de C.C.C., su dirección en Almería y cuenta bancaria de esta, pero no completa pues los últimos dígitos se hallan anonimizados, con el DNI del denunciante (36 a 44). Las facturas de la línea ***TEL.1 figuran a abonar en la cuenta de Caja Rural de Almería (36,56) entidad 30**.

(59). c) Datos del servicio contratado de la línea acabada en 65, referidos a la configuración del ADSL (45, 46) de C.C.C.. 5) En los sistemas de ORANGE, aparece una reclamación telefónica del denunciante fechada el 28/05/2012 “Cliente ha visto que con su DNI aparece dos productos asociados, desconoce la procedencia de uno de ellos, y quiere darlo de baja pero no puede pues desde retención no pasa política”, (60,61) que se reitera el día 29 del mismo mes citado anteriormente, indicando el nombre de C.C.C..

(61). Se reitera comunicado de 5/09/2012 en el que identifica la línea que no es suya, acabada en 65, el 24, 25 y 28/09/2012 (62,63) con la anotación de error “C.C.C. también nos ha llamado con el caso”, (65.66) y el 9/10/2012 “procede reclamación” “Cliente de todo en uno con línea ***TEL.3. En su ficha de cliente aparece activa una línea que él no solicito, la ***TEL.1, que es de D.D.D.. “Aparece como si se hubiese hecho un cambio de titular en enero” Ahora, la línea ***TEL.1 tiene impagos

(66).” En el folio 70, el 6/11/2012, figura que “En el mes de mayo miro en área de clientes y aparecía él como titular de dos líneas. Se puso en contacto con atención a clientes y nunca le dieron solución. Le llegaron SMS del adeudo de otra línea y se le suspendió el servicio. Como no le han dado solución a lo de las dos líneas se dará de baja”. 6) A la denunciada, le consta registrada la entrada de la reclamación OMIC del Ayuntamiento de Caravaca de la Cruz de 10/10/2012 junto a la documentación (71, 77,78, y ss.) en el que pedía la reactivación del ADSL que le había sido cortado y que el impago no era de su línea. No consta que la denunciada contestara a dicho escrito. También consta un correo electrónico de la misma OMIC de 27/12/2012.

(147). Se adjunta copia de una respuesta a dicha OMIC, de 12/04/2013, referida a que la línea ***TEL.3 fue activada el 11/01/2012 siendo cursada la baja el 17/11/2012.

(148). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 Se imputa a FRANCE TELECOM ESPAÑA S.A.una vulneración del artículo 6.1 de la LOPD dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Se aprecia, que no solo el denunciante podía acceder en su área de cliente a los datos de la otra línea y su otro titular, facturas incluidas, sino que claramente y así la ratifica la denunciada la línea que no era de su titularidad, acabada en 65 figura en sus sistemas asociada al denunciante y también así figura en los accesos en la web área cliente que efectúa el denunciante, debido, según la denunciada a que otra persona pidió un cambio de esa línea y se atribuyó al denunciante durante un período. Por tanto no procedería la infracción del artículo 6.1 sino la del artículo 4.3 de la LOPD. Debe observarse además que los datos del denunciante ya figuraban en la base de datos de la denunciada, y resulta que los de otro cliente a partir de un momento dado se asocian a los del denunciante. En este sentido, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 No discutiendo que el denunciante había previamente proporcionado sus datos para un contrato, se aprecia que FRANCE TELECOM da de alta otro servicio cuyo coste se introduce en la factura de la línea si contratada del denunciante. El denunciante se apercibe de los hechos al navegar por el área cliente de la web de ORANGE. Por tanto, se trata de la facturación de servicio adicional al denunciante, atribuyéndole la titularidad de una línea por un tiempo que conlleva un servicio por el que se facturó, y no se acredita que usara el denunciante. Por tanto, los datos del denunciante sí que se dieron para la contratación de una línea, si bien temporalmente se han usado también para atribuirle en su base de datos dicha línea y facturar por tal servicio no prestado, lo que no constituye en sí una infracción de falta de consentimiento del artículo 6.1 de la LOPD, sino que se ha de variar la calificación de los hechos para quedar incluidos en la infracción del artículo 4.3 de la LOPD. Ello se asemeja a las tesis mantenidas en las sentencias de la Audiencia Nacional recursos 425/2007 de 25/03/2009, que en su Fundamento jurídico SEGUNDO declara “resulta que el acceso de los datos de la denunciante a los ficheros de la entidad ahora recurrente procedieron del alta voluntaria en un determinado servicio. Otra cosa será que se giren facturas por un servicio que no se ha prestado, y ello independientemente de las razones por las que no se ha prestado ese servicio; el acceso de los datos encuentra una justificación clara en el propio escrito de la denuncia donde se reconoce por la denunciante que ella se dio de alta en un servicio. Por lo tanto, no procede imponer sanción alguna, dejando sin efecto la sanción impuesta que se ha basado en que la recurrente no disponía del consentimiento inequívoco de la titular de los datos y ello pues dicho consentimiento si obra acreditado. Este criterio se confirma en las sentencias del mismo Tribunal, recurso 812/2010 de 30/06/2011 y recurso 921/2010 de 14/09/2010. En la primera se trata de una persona que había proporcionado los datos para la contratación de un servicio y le facturan un servicio añadido no contratado, ADSL, indicando que las deudas derivadas de tal servicio en las facturas no responden al principio de calidad (Fundamento tercero). Abunda en ello la sentencia recurso 921/2010 de 14/09/2010, “…A tal efecto consta en el expediente administrativo que el denunciante había suscrito un contrato con dicha entidad para la prestación de un servicio de telefonía (preasignación de línea telefónica) el 15 de mayo de 2000 autorizando a dicha compañía para el tratamiento de sus datos personales en relación con dicha línea telefónica. El propio denunciante reconoce en el expediente la autenticidad de la firma que figura en el contrato aportado por la compañía, lo cual entra en abierta contradicción con lo manifestado en su denuncia negando haber sido cliente nunca ni haberles dado sus datos personales. Es por ello que el tratamiento de los datos personales del denunciante por dicha compañía estaba autorizado y constaba con el consentimiento del afectado en base a una previa relación contractual, cuestión distinta es si dicha compañía había obtenido su autorización para facturarle por un nuevo servicio. Se trataría, en definitiva, de la indebida facturación por un servicio no contratado utilizando los datos personales que ya constaban en sus ficheros por la previa existencia de una relación contractual. Debe tomarse también en consideración que France Telecom anuló las facturas discutidas el 19 de mayo de 2009, esto es, dos meses después de que se presentase la denuncia por el interesado ante la Agencia pero antes de que le fuera notificado el inicio de las actuaciones previas de investigación por parte de la Agencia de protección de Datos (13/10/2009) sin que sus datos fueran aportados a un fichero de solvencia patrimonial. Este Tribunal ha considerado en casos como el que nos ocupa que no nos encontramos ante una infracción referida al tratamiento de datos inconsentido sino, en todo caso, ante la eventual vulneración del principio de calidad del dato por cuanto el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 tratamiento de los datos del afectado estaba autorizado en base a la existencia de una relación contractual previa, cuestión distinta es el hecho de haber facturado indebidamente por unos servicios diferentes o mayores que los contratados que puede suponer una vulneración del principio de calidad del dato. Así en nuestra sentencia de SAN, Sala Contencioso-administrativo, Sección 1ª, de 30 de Junio del 2011 rec. 812/2010) en la que se abordaba un tema similar al que nos ocupa en el que Telefónica trato los datos de un cliente (que ya era cliente y por tanto, no requería del consentimiento para tratar sus datos) para facturar por unos servicios no contratados, se impuso una sanción por el principio de calidad del dato pero no por tratamiento inconsentido. Y en similares términos en nuestra sentencia de 25 de Marzo del 2009 (Recurso: 425/2007) se consideró que no existía infracción de tratamiento de datos cuando el denunciante mantenía una relación contractual con la entidad a la que prestó el consentimiento para el tratamiento de sus datos aunque después se le facturasen por unos servicios no prestados, afirmándose “Por lo tanto, resulta que el acceso de los datos de la denunciante a los ficheros de la entidad ahora recurrente (sucesora de la inicial contratante) procedieron del alta voluntaria de …en un determinado servicio. En consecuencia, la denunciada disponía de los datos de la denunciante por haber proporcionado sus datos para la contratación de la línea ***TEL.2, luego se agregó el producto de la línea fija de su padre a nombre del denunciante, línea ***TEL.3 por lo que no se puede apreciar falta de consentimiento en el tratamiento llevado a cabo. A tal efecto se varia la tipificación de la infracción imputada a FRANCE TELECOM en el sentido de que los hechos son constitutivos de infracción del principio de calidad de datos que determina en su artículo 4.3 de la LOPD:”Los datos de carácter personal serán exactos y puestos al día de forma que respondan como veracidad a la situación actual del afectado.” Como la Audiencia Nacional ha declarado con reiteración, y así consta en la sentencia de 30/04/2010, recurso 728/2009 “… la razón de ser de dicho articulo 4.3 LOPD, relacionándolo con los principios de proporcionalidad y finalidad, que igualmente se contemplan en el mismo precepto (Art 4.2 LOPD) y a los que alude también la demanda, es la de garantizar y proteger la calidad de la información sometida a tratamiento (exacta y puesta al día) por la que debe velar quien recoge y trata datos de carácter personal. Requisitos de exactitud y veracidad de los datos personales (pues la inexactitud de un dato puede acarrear su separación de la finalidad para la que se recogió), que son exigibles al titular del fichero o tratamiento, según deriva del propio artículo 4.3, no solo en lo que atañe a la conservación de los datos personales en los propios ficheros, o a su comunicación a un fichero de solvencia patrimonial o crédito, sino también en cualquiera de las diversas fases o modos en los que puede manifestarse el tratamiento de los datos personales, teniendo en cuenta el concepto amplio que de "tratamiento" deriva del articulo 3.
2. c)de la LOPD que comprende no solo la recogida, grabación o conservación de los datos, sino también la elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias, y en cualquiera de dichas manifestaciones, se requiere la exactitud y veracidad de los datos personales por parte del responsable del fichero o tratamiento. “ Se acredita que la denunciada ha incurrido en la falta de calidad de los datos de la denunciante al tratarlos con falta de exactitud y veracidad, asociando en las facturas de su línea contratada una línea telefónica de datos no contratada por la que se facturaban unos conceptos o servicios que el denunciante no recibió. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Los hechos sucedidos tras el alta de la línea reconocida, se incardinan en lo que las sentencias mencionadas detallan, disponibilidad de los datos por haberlos proporcionado el denunciante y la suscripción de alta de un servicio añadido no solicitado, con emisión de cargos en la misma factura de la línea reconocida, que además no son prestados al denunciante, llegando a la conclusión de que se trata en ese caso de infracción de dicho principio de calidad de datos. III Respecto a que el DNI de la Sra. C.C.C. podría ser el mismo que el del denunciante, no deja de ser una conjetura de la denunciada, pues según la denunciada, el fax que la verdadera titular de la línea D.D.D., de la que no aporta prueba alguna de ello, pidiendo el cambio a C.C.C. no ha sido aportado tratándose de un documento importante en el tratamiento de datos dicho cambio de titularidad que precisaría cerciorarse de la identidad de la persona que da sus datos, y la denunciada nada ha acreditado en este sentido que permita llegar a la conclusión que alega. Se reafirma esta tesis por ejemplo en el folio 72 en que la denunciada indica que “al realizar el cambio de titularidad de D.D.D. a Sra. C.C.C., se asignó el DNI ***DNI.1 el cual pertenece al denunciante. También se aprecia que en la relación de resultados de búsqueda, folio 58, que aportó la denunciada, consta un NIF a C.C.C. que nada tiene que ver con el del denunciante. No cabe olvidar que la atribución de una línea de la que no se es titular, como la acabada en 65, a un DNI, en este caso del denunciante supone tratar datos de carácter personal, igual que la emisión de facturas con ese DNI. A la postre el impago de las facturas de la línea puede llevar, entre otros aspectos, al acceso del DNI del denunciante a ficheros de solvencia, verificándose que se trata de datos de carácter personal. Respecto a que no existen datos de carácter personal afectados en el procedimiento, se precisa que no es que al denunciante le constaran sus productos suscritos con sus datos, sino que además, le constaban los datos de otro producto asignado a el de otra titular, es decir como “Mis productos contratados” una línea de “ADSL + llamadas” con datos de otra cliente, su nombre y apellidos, su domicilio, facturación, y datos de configuración asignados al ADSL (folio 46). Por deficiente praxis en el tratamiento de datos, resulta infringida la calidad de los datos del denunciante que ya era cliente de antes de suceder la infracción. Los pagos de su línea no pudieron ser atendidos por el mismo en la cuenta proporcionada. Sobre que ha sido un tratamiento interno, se indica que ello no es así pues los datos almacenados han de cumplir la calidad de los mismos, y además no es interno pues el denunciante puede acceder y los conoce durante varios meses. En cuanto a la infracción continuada, se debe precisar que la misma no se comete en un instante, sino que a cada mes que las facturas han sido emitidas, se ha reproducido nuevamente la falta de calidad de datos, y que esta ha durado mientras que la denunciada no puso los medios arreglando la situación. Concurre el requisito de pluralidad de acciones, en las que persiste la falta de calidad. La emisión mensual de las facturas con los datos erróneos ha perdurado. Ello es así con independencia de que el denunciante al acceder un una fecha concreta puede ver las anteriores facturas vencidas hasta la fecha. La situación errónea ha perdurado hasta 31/10/2012 fecha de desactivación de la línea ADSL máxima velocidad + llamadas Orange según se refiere en hechos probados. En cuanto a la tipificación de la infracción como falta de calidad de datos, ello no obsta a que se han conocido por el denunciante una serie de datos bastante completos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 de E.E.E. que podrían haber sido constitutivos de infracción del deber de secreto de los datos de esta, sin que proceda analizar ahora si concurriría la aplicación del artículo 4.4 del Real Decreto 1398/1993, de 4/08, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora (REPEPOS.) IV El artículo 44.3.
3. c)de la LOPD, considera infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso, la denunciada ha incurrido en la infracción descrita ya que ha vulnerado el principio, consagrado en el artículo 4.3 de la LOPD, por tratar los datos del afectado sin adecuarse a la veracidad y exactitud que requieren, asociando una línea de telefonía al denunciante durante un período al ir a efectuar un cambio de titularidad de otro cliente. V El artículo 45 de la LOPD, establece, en sus apartados 1, 2, 4 a 5, lo siguiente: 1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 4. criterios: La cuantía de las sanciones se graduará atendiendo a los siguientes euros. euros.
4. a)El carácter continuado de la infracción. b El volumen de los tratamientos efectuados.
5. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
6. d)El volumen de negocio o actividad del infractor.
7. e)Los beneficios obtenidos como consecuencia de la comisión de la
8. f)El grado de intencionalidad.
9. g)La reincidencia por comisión de infracciones de la misma naturaleza. infracción.
10. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
11. i)La acreditación de que con anterioridad a los hechos constitutivos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
12. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5 El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
13. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
14. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
15. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
16. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
17. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La dneunciada ha solicitado la aplicación del artículo 45. 5 de la LOPD, por las medidas documentadas por los Servicios de Inspección en el acta 952/2006, el perjuicio ocasionado al denunciante fue leve, y los hechos han sido reconocidos por la denunciada. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En cuanto a la batería de medidas reflejadas en el citado acta de 2006, no pueden servir para la aplicación pretendida. La SAN 3188/2012, recurso: 831/2010, de 13-07-2012 FUNDAMENTO JURIDICO SEXTO señala: “Tampoco es posible asumir que su conducta excluya o aminore su responsabilidad a los efectos de reducir el importe de la sanción. Y ello por cuanto esta misma empresa ha sido sancionada por este motivo en varias ocasiones, que han sido confirmadas por sentencias de este tribunal, lo que pone de manifiesto que el incumplimiento de su deber de diligencia no es un hecho aislado. El hecho de que en anteriores resoluciones administrativas se hubiese tomado en consideración la adopción de medidas para que no se vuelvan a producir situaciones conculcatorias de las normas de protección de datos no puede perpetuarse en el tiempo y esta inicial consideración referida a un periodo inicial no permite seguir aplicando una causa de atenuación de responsabilidad indefinidamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 Y por otra parte, tal y como ha señalado este Tribunal en anteriores sentencias, " no puede constituir un elemento de atenuación de la responsabilidad sino que se nos presenta como el cumplimiento de una obligación ordinaria exigible a las empresas que trabajan con grandes volúmenes de datos personales, sin que pueda considerarse la adopción de estas medidas como base para la apreciar disminución de la culpabilidad ó de la antijuridicidad ". En cuanto al perjuicio ocasionado al denunciante como leve, en una de las reclamaciones ante OMIC declara que se le suspendió el servicio por el impago de facturas, cuando resulta que la denunciada desde mayo tenía conocimientos de los hechos según sus sistemas, que se reiteraron en varias ocasiones, desactivando finalmente la asociación de línea no reconocida el 30/10/2012, por tanto no se pueden considerar leves. Por otro lado, en ningún extremo figura que la denunciada haya reconocido los hechos sino una vez culminado el proceso de reclamaciones llevado a cabo por el denunciante. Respecto a que actuó con inmediatez cuando conoció los hechos comunicados por el denunciante ello no parece ser cierto por cuanto dos días consecutivos, 28 y 29/05/2012 se reflejan en sus sistemas que el cliente vio productos no contratados por él y dio el nombre de la persona cuyos datos veía, reiterando la reclamación el 5/09/2012, 24 y 25/09/2012. Respecto a la suspensión del servicio sufrido por el denunciante, efectivamente en los sistemas de la denunciada, folio 70, consta la manifestación del denunciante el 6/11/2012 frente a lo que decide darse de baja en las dos líneas por no habérsele dado solución, así como la petición de la reactivación del ADSL y de la línea suspendida en septiembre 2012, se aprecia no solo en su denuncia sino también como petición en la reclamación OMIC del denunciante (5, 72,78-79, 81) en la que se detalla que los impagos que dieron lugar a la misma, fueron de agosto y septiembre 2012, de la línea que no era suya, ***TEL.1. Estos elementos suponen indicios muy probables, y que la denunciada no ha combatido, solicitándose expresamente información en pruebas que no fue explicada en absoluto. Sin embargo, como se aprecia, esta no es la única causa que se tiene en cuenta para graduar la aplicación de la sanción. No procede pues la aplicación del artículo 45.5 de la LOPD. Procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave. En los informes anuales desde 2007 a 2011 de la Comisión del Mercado de las telecomunicaciones, se recoge que ORANGE tuvo unos ingresos totales en el sector de: 4146,78 millones de Euros en 2007 3944,20 millones de Euros en 2008 3871,08 millones de Euros en 2009 3847,88 millones de Euros en 2010 4013,19 millones de Euros en 2011 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 En el presente caso, deben tenerse en consideración entre los criterios de graduación de las sanciones establecidos en el artículo 45.4, el importante volumen de tratamiento de la entidad, acostumbrada al manejo habitual de datos, a la que se presupone una profesionalidad en el uso de los mismos, y que si bien tenía noticia de forma reiterada de los datos erróneos, en la segunda llamada telefónica del denunciante, 29/05/2012, consta además la identificación de la persona a la que se emiten las facturas

(61)y el 5/09/2012 la línea, sin que se acredite actuación alguna por su parte, persistiendo en la infracción, y en definitiva, permaneciendo en el tiempo. Junto a ello, el volumen de negocio de la entidad, imponiéndose una sanción de 50.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c) de dicha norma, una multa de 50.000€, de conformidad con lo establecido en el artículo 45. 2) y 4) de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es