← España

PS-00512-2025

1/23  Expediente Nº: EXP202406777 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de diciembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE ESPAGNE, S.A.U. (en adelante, ORANGE), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202406777 IMI Reference: A56ID 634749 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, A.A.A.) interpuso reclamación ante la autoridad de control de Dinamarca contra ORANGE ESPAGNE, S.A.U. con NIF A82009812 (en adelante, ORANGE). Los motivos en que basó la reclamación fueron los siguientes: A.A.A. manifiesta que, desde el año 2023, recibe en su correo electrónico facturas de la marca Jazztel, subsidiaria de ORANGE, a nombre de otra persona (B.B.B.) con la que no tiene relación. Afirma no haberse suscrito a Jazztel, ni haber estado en España. El 19 de diciembre de 2023 solicitó a través de correos electrónicos dirigidos a distintas direcciones de la entidad la supresión de sus datos, recibiendo una respuesta el 3 de enero de 2024 en la que le indicaban que su solicitud había sido atendida. Sin embargo, señala que el 16 de enero de 2024 y el 16 de febrero de 2024 recibió nuevas facturas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/23 Junto a la reclamación aportó la siguiente documentación: - Impresión de correo electrónico, de 19 de diciembre de 2023 a las 00:04 horas, remitido por A.A.A. (***EMAIL.1), con el asunto “(traducción no oficial, en inglés el original) RGPD: Derecho de supresión” hacia las direcciones electrónicas: app.jazztel@orange.com, jazztel@orange.com, info@jazztel.com, abuse@jazztel.com, gdpr@jazztel.com, security@jazztel.com, legal@jazztel.com y support@jazztel.com. El contenido es el siguiente (traducción no oficial, en inglés el original): “Hola Jazztel, Sigo recibiendo facturas por una suscripción telefónica que no es mía. Los correos electrónicos se envían a esta dirección de correo electrónico. No vivo en España, y nunca he sido cliente de Jazztel, pero estoy recibiendo facturas que parecen pertenecer a una persona llamada "B.B.B.". No tengo ni idea de quién es esta persona. El contrato parece tener el número: (…) Dado que tiene mi correo electrónico archivado y me envía facturas, considero que está procesando mi información personal (correo electrónico). No he dado mi consentimiento para este procesamiento de mi información personal y, por lo tanto, me gustaría solicitar que se me olvide en virtud del RGPD. Saludos cordiales. A.A.A.” - - Impresiones de correos electrónicos, de 19 de diciembre de 2023 a las 00:05 horas, de las contestaciones del servidor recibidas por A.A.A. (***EMAIL.1). En síntesis: o jazztel@orange.com (traducción no oficial, en inglés el original): “Dirección no encontrada. Su mensaje no fue recibido por jazztel@orange.com porque la dirección no se pudo encontrar o no puede recibir correos.” o support@jazztel.com, info@jazztel.com, security@jazztel.com, legal@jazztel.com y gdpr@jazztel.com (traducción no oficial, en inglés el original): “Mensaje bloqueado. Su mensaje ha sido bloqueado. Mire los detalles técnicos de abajo para más información.” Impresión de correo electrónico, de 3 de enero de 2024 a las 11:40 horas, remitido por orangeproteccion.dat@es.orange.com a A.A.A. (***EMAIL.1). El contenido es el siguiente (traducción no oficial, en inglés el original): “Buenos días: Le comunicamos que hemos realizado la petición solicitada por usted. Igualmente, le informamos que este buzón está habilitado para el tratamiento y gestión de las solicitudes recibidas de los interesados para el ejercicio de los derechos establecidos en el Reglamento General de Protección de Datos (RGPD) relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos. Este Reglamento recoge los derechos de acceso, rectificación, oposición, supresión, limitación del tratamiento, portabilidad y de no ser objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/23 decisiones individualizadas que los interesados podrán ejercer ante Orange, a través de esta dirección de correo electrónico. Para disponer de más información sobre política de privacidad, puede consultar nuestra página web: http://www.orange.es/politicaprotecciondatos.html. Atentamente. Servicio al cliente ORANGE. ORANGE ESPAGNE, S.A.U.” SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 2 de mayo de 2025 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) al día siguiente. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que ORANGE tiene su establecimiento único o principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Dinamarca, la autoridad de Italia. Esta en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de esta autoridad de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 3 de junio de 2024, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por A.A.A. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) El 8 de abril de 2025 se recibió en esta Agencia escrito de respuesta en nombre de ORANGE al requerimiento de información en el que aportaba, entre otra, la siguiente información: - Declaración de que “la dirección de correo electrónico perteneciente al reclamante se había incluido, por un error manual puntual del agente en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/23 contratación, como email de contacto de un cliente de cartera, en particular, de B.B.B., ya que se confundió el dominio “***DOMINIO.1” por “***DOMINIO.2”, siendo el nombre de usuario, idéntico en ambas cuentas “***USUARIO.1”, tanto en la del Reclamante, como la de B.B.B..” También, indica que la contratación de B.B.B. se produjo en el año 2022. Aporta (I) un recorte de pantalla de una contratación previa de “B.B.B.” con ORANGE en la que figura como email ***USUARIO.1@***DOMINIO.1., y (

  1. ii)un recorte de pantalla de la contratación realizada por esta con la marca Jazztel en la que figura como email ***EMAIL.1. - Declaración de que “en consecuencia de ello, esta mercantil se ha puesto en contacto telefónicamente con la misma, en fecha 28 de marzo de 2025, indicándole lo sucedido y, ofreciéndole proceder desde ORANGE con el cambio de dirección de correo. Sin embargo, B.B.B. prefirió ser ella misma la que realizara la rectificación de la dirección de correo electrónico desde su Área Privada de Cliente. Hasta que dicho cambio se realice correctamente, el correo electrónico de contacto de ésta se ha sustituido por uno sintético “(…)”, de forma que quede correctamente rectificado y no conste en ningún caso el perteneciente al Reclamante”. Aporta un recorte de pantalla de los sistemas de Jazztel en los que se aprecia que su cliente “B.B.B.” tiene asociado el email “(…)”. - Con respecto a la solicitud de supresión de los datos personales del reclamante, ORANGE señaló que “remitió respuesta en fecha 3 de enero de 2024 (…). No obstante, en la solicitud trasladada por el Reclamante se ponía de manifiesto la voluntad de ejercitar su derecho de supresión cuando, a esta mercantil no le constaban datos del mismo, al no haber formado parte en ningún momento como cliente de esta compañía.” También, indicó que “una vez conocidas las circunstancias particulares del caso que nos ocupa a raíz de la remisión del requerimiento de información de referencia, como se mencionaba en los párrafos previos, el derecho de rectificación ha quedado atendido, rectificado el correo electrónico del Reclamante de los sistemas de esta mercantil”. Junto al escrito, aportó la siguiente documentación: - Copia de la política de privacidad vigente en el momento en que A.A.A. realizó presentó su solicitud de ejercicio de derecho de supresión de sus datos (19 de diciembre de 2023). La fecha de publicación que figura es el 7 de febrero de 2021. En el apartado “7. EJERCICIO DE DERECHOS” se indica lo siguiente: “Los interesados podrán ejercer sus derechos enviando un escrito a ORANGE ESPAGNE, S.A.U., Paseo del Club Deportivo 1, Parque Empresarial La Finca, Edificio 8, 28223 - Pozuelo de Alarcón (Madrid), con la Ref. “Protección de Datos”, o bien a través del correo electrónico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/23 orangeproteccion.datos@es.orange.com adjuntando copia de su documento de identidad. Así mismo, el cliente podrá revocar en cualquier momento los consentimientos otorgados a través del Área de Clientes en el Portal de Privacidad o bien a través del correo electrónico orangeproteccion.datos@es.orange.com adjuntando copia de su documento de identidad” 2) El 7 de mayo de 2025 se recibió en esta Agencia escrito de respuesta en nombre de ORANGE al requerimiento de información en el que aportaba, entre otra, la siguiente información: Declaración de que “el derecho de rectificación ha quedado atendido, rectificando el correo electrónico del Reclamante de los sistemas de esta mercantil. El cual, como se ha puesto de manifiesto previamente, fue incluido debido a un error manual puntual del agente, que cambió el dominio “***DOMINIO.1” por “***DOMINIO.2” de la dirección de contacto de un cliente de cartera, quien compartía nombre de usuario con A.A.A.. No obstante lo anterior, una vez recibido este nuevo requerimiento de información, y dada la información requerida en este caso, se ha procedido a remitir respuesta al Reclamante vía correo electrónico a través del departamento de gestión de derechos en materia de protección de datos, atendiendo su derecho de rectificación de sus datos personales e informándole de ello.” Junto al escrito aportó la siguiente documentación: - Impresión de correo electrónico, fechada el 7 de mayo de 2025, remitido a A.A.A. (***EMAIL.1) con el siguiente contenido (traducción no oficial, en inglés el original): “Estimado A.A.A.: Le informamos que, de conformidad con la legislación vigente en materia de protección de datos, ha ejercido su derecho a rectificar sus datos personales con Orange Espagne, S.A.U. (en adelante, "ORANGE"), con NIF: A-82009812, domicilio social: Paseo del Club Deportivo n.o1. Parque Empresarial La Finca. Edificio 8. 28223 - Pozuelo de Alarcón (Madrid). De conformidad con el artículo 16 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en lo sucesivo, «RGPD»), relativo al ejercicio del derecho de rectificación, le informamos de que su correo electrónico ***EMAIL.1 se elimina de las bases de datos de Jazztel. En cualquier caso, le informamos de que puede ponerse en contacto con el DPO escribiendo a la dirección de Orange o a través del correo electrónico «orangeproteccion.datos@es.orange.com». Asimismo, le informamos que podrá ejercer en cualquier momento su derecho de acceso, supresión, limitación, portabilidad y objeto de sus datos personales de acuerdo con la normativa vigente. Asimismo, puede presentar una reclamación ante la Agencia Española de Protección de Datos o a través del sistema de mediación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/23 de la Asociación para la Autorregulación de la Comunicación Comercial (AUTOCONTROL) en el siguiente enlace www.autocontrol.es/servicios/mediación. Le recordamos que esta comunicación pretende ser una respuesta a su solicitud. Le saluda con sinceridad, Servicio al Cliente ORANGE.” - Recorte de pantalla de los sistemas de información de Jazztel, concretamente, del CRM (“Customer Relationship Management”), en la que aparecen los siguientes comentarios relacionados con el cliente “B.B.B.”: “El 28 de marzo de 2025: “SE CONTACTA TELEFÓNICAMENTE CON B.B.B. EN LA LINEA ***TELÉFONO.1 PARA CONFIRMAR SU CORREO ELECTRÓNICO. NOS INDICA QUE EL CORREO QUE TENEMOS REGISTRADO NO ES SUYO. SOLICITAMOS NUEVA CUENTA DE CORREO ELECTRÓNICO PARA ACTUALIZAR EN SISTEMAS. NOS CONFIRMA QUE NO LO HARÁ ELLA A TRAVÉS DE LA APP DE JAZZTEL POR SEGURIDAD. MANTENEMOS EL E-MAIL REGISTRADO ANTERIORMENTE” “El 31 de marzo de 2025: “CONFIRMAMOS QUE LA TITULAR NO HA REALIZADO EL CAMBIO DE CUENTA DE CORREO ELECTRÓNICO POR LA APP TAL Y COMO NOS CONFIRMÓ TELEFÓNICAMENTE EL VIERNES DÍA 28/03/2025”. HASTA QUE REALICE DICHO CAMBIO DEJAMOS EN SISTEMAS EL E-MAIL GENÉRICO “(…)” 3) El 16 de septiembre de 2025 se realizó una navegación a través de internet en el sitio web https://web.archive.org acerca del contenido histórico de la política de privacidad del sitio web https://www.jazztel.com/, de 18 de enero de 2024. Se obtiene, entre otra, la siguiente información: - En el apartado “6. ¿Cuáles son sus derechos?” se facilita como dirección de correo electrónico para ejercer los derechos de protección de datos: orangeprotección. datos@es.orange.com. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ORANGE ESPAGNE, S.A.U. es una filial de grupo constituida en el año 1998, y con un volumen de negocios de 4.307.836.000 euros en el año 2024. SEXTO: Con fecha 19 de noviembre de 2025, la Presidencia de la AEAP adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/23 autoridades están de acuerdo con dicho proyecto y están vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  2. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/23 indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ORANGE realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas como el correo electrónico. ORANGE realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que ORANGE está establecida en España, si bien presta servicio en otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, ORANGE tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. IV Obligación incumplida. Exactitud El artículo 5.1.
  3. d)“Principios relativos al tratamiento” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/23 “1. Los datos personales serán: (…)
  4. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);” Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones indica que: “

(39)(…) para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos”. Y el considerando 71 del RGPD: “ (...) a fin de garantizar un tratamiento leal y transparente respecto del interesado, teniendo en cuenta las circunstancias y contexto específicos en los que se tratan los datos personales, el responsable del tratamiento debe utilizar procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles, aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que se corrigen los factores que introducen inexactitudes en los datos personales y se reduce al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar a medidas que produzcan tal efecto". Por tanto, se consagra en estos preceptos el principio de “exactitud”, que impone al responsable del tratamiento que verifique la exactitud de los datos del interesado a través de la implementación de medidas adecuadas En el presente caso, una de las cuestiones que plantea A.A.A. se refiere a que desde el año 2023 está recibiendo correos electrónicos con facturas de una persona desconocida (…) emitidas por Jazztel. Así, en diciembre de 2023 el reclamante puso en conocimiento de ORANGE esta situación. Por su parte, ORANGE reconoció en sus escritos de 8 de abril de 2025 y 7 de mayo de 2025 estos hechos cuando confirmó que se había incluido como email de contacto de su cliente el correo electrónico de A.A.A. (***EMAIL.1). Si bien ORANGE justifica el incidente en un “error manual puntual del agente” al transcribir el correo de su cliente durante una contratación realizada en el año 2022 y cuya dirección electrónica correcta era ***USUARIO.1@***DOMINIO.1; ello no desvirtúa la realidad de los hechos ocurridos ni exime a ORANGE de su responsabilidad como responsable de tratamiento de los datos personales de sus clientes. A mayor abundamiento, y contrario a lo que señala ORANGE, el correo electrónico de los afectados, no solo no coincidía en la terminación (@***DOMINIO.2 y @***DOMINIO.1), tampoco en el nombre de usuario (***USUARIO.2 y ***USUARIO.1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/23 Todo ello pone de manifiesto que el dato personal de correo electrónico de la cliente afectada por el incidente en cuestión no era exacto. Asimismo, y tal y como se desprende de lo manifestado por ORANGE en ambos escritos, el incidente no se solucionó hasta, como mínimo, el 31 de marzo de 2025 cuando se sustituyó en el sistema el correo electrónico perteneciente al reclamante y vinculado al de la clienta, por “(…)”. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a ORANGE, por vulneración del artículo 5.1.
  1. d)del RGPD. V Tipificación de la infracción del artículo 5.1.
  2. d)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  3. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  4. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción por la infracción del artículo 5.1.
  5. d)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/23 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  6. a)a
  7. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  8. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  9. b)la intencionalidad o negligencia en la infracción;
  10. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  11. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  12. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  13. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  14. g)las categorías de los datos de carácter personal afectados por la infracción;
  15. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  16. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  17. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  18. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  19. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  20. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/23
  21. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  22. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  24. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  25. f)La afectación a los derechos de los menores.
  26. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  27. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
  28. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de ORANGE de 4.307.836.000 euros. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de ORANGE es de 172.313.440 de euros. Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones habrá de estar forzosamente entre los 0 y 172.313.440 de euros. Asimismo, en relación con el nivel de gravedad en los términos del RGPD, sin perjuicio de lo que resulte de la instrucción, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): por la inexactitud del dato personal de correo electrónico de su clienta que perduró, al menos, desde la contratación en el año 2022 hasta el 31 de marzo de 2025. Además, el impacto de la materialización del riesgo se ha puesto de manifiesto (
  29. i)con el uso del dato del reclamante indebidamente sin legitimación para ello, incluso tras haber solicitado la supresión de sus datos personales y (
  30. ii)en la pérdida de disposición y control de los datos personales de la afectada (titular C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/23 del contrato) que ha podido no tener acceso a las facturas que han sido remitidas a otra persona, amén del conocimiento por parte del reclamante de sus datos personales. Asimismo, la duración de la infracción fue de varios años lo que hace que las posibles consecuencias, el impacto de la materialización del riesgo para los interesados, sean de mayor consideración, lo cual también se tiene en cuenta a la hora de graduar la posible sanción. - La intencionalidad o negligencia en la infracción (artículo 83.2, letra b), del RGPD): ORANGE fue gravemente negligente toda vez que los hechos conocidos revelan una ausencia total de controles en relación con dicha exactitud, ya que una mera comprobación de los datos habría permitido constatar la irregularidad. A ello se suma que el reclamante puso en conocimiento de la entidad esta situación en diciembre de 2023 y no fue hasta que esta Agencia le envió un requerimiento de información sobre el incidente en marzo de 2025 cuando adoptó las medidas necesarias. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - Toda infracción anterior cometida por el responsable o el encargado del tratamiento (artículo 83.2, letra e), del RGPD): esta Agencia ha constatado infracción del RGPD por parte de ORANGE en los procedimientos sancionadores PS/00255/2022, PS/00297/2022, PS/00052/2023, PS/00307/2023 y PS/00332/2023 (por realizar duplicados de tarjeta SIM por parte de ORANGE sin comprobar adecuadamente la identidad de los solicitantes, suplantando su identidad). - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): ORANGE ofrece servicios de telecomunicaciones que implican necesariamente la realización de forma habitual y continua de tratamientos de datos de carácter personal de un elevado número de clientes. Esto supone forzosamente operaciones de tratamiento de datos personales de las personas físicas. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  31. d)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 15.000€ (quince mil euros). VII Obligación incumplida. Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión, establece lo siguiente: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/23 obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  32. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  33. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  34. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  35. d)los datos personales hayan sido tratados ilícitamente;
  36. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  37. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  38. a)para ejercer el derecho a la libertad de expresión e información;
  39. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  40. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  41. h)e i), y apartado 3;
  42. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  43. e)para la formulación, el ejercicio o la defensa de reclamaciones.” Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Al igual que el resto de los derechos del interesado, el derecho de supresión es un derecho personalísimo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/23 Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. En el presente caso, otra de las cuestiones planteadas por A.A.A. se refiere a que el 19 de diciembre de 2023 envió un correo electrónico a 8 direcciones electrónicas con dominio @orange.com
(1)y @jazztel.com
(7)donde solicitaba la supresión de sus datos después de estar recibiendo facturas a nombre de otra persona desconocida, y no tener suscrito ningún servicio con Jazztel. El 3 de enero de 2024 el reclamante recibió un correo electrónico desde la dirección orangeproteccion.dat@es.orange.com, en el que se le informaba que su petición había sido atendida. Sin embargo, y según lo manifestado por el reclamante, el 16 de enero de 2024 y el 16 de febrero de 2024 recibió nuevas facturas. Si bien ORANGE en sus escritos de 8 de abril de 2025 y 7 de mayo de 2025 confirmó haber recibido la solicitud de supresión del reclamante y su respuesta remitida el 3 de enero de 2024; existen contradicciones en sus manifestaciones respecto a cuándo se atendió debidamente la solicitud de supresión del reclamante. Por un lado, ORANGE asume como propia la respuesta que recibió el reclamante a su solicitud de supresión en los términos que figuran en la impresión de pantalla aportada por el reclamante. Es decir, reconoce que en su respuesta de 3 de enero de 2024 le comunicó al reclamante que su petición había sido realizada y de lo que se puede entender que el correo electrónico del reclamante (***EMAIL.1) ya no figuraría más como email de contacto de la clienta afectada. No obstante, tal y como prueban los recortes de pantalla de los sistemas de información de Jazztel aportados por ORANGE, no fue hasta el 31 de marzo de 2025 cuando el correo del reclamante dejó de estar vinculado a los datos de la clienta, y fue sustituido por otro temporal “(…)”. Hasta esa fecha no existe ninguna evidencia en la documentación obrante en el expediente administrativo de que el correo electrónico del reclamante fuera eliminado de los sistemas de información de ORANGE con anterioridad. A mayores, ha de indicarse que ORANGE no comunicó al reclamante la eliminación de su correo electrónico de la base de datos de Jazztel hasta el 7 de mayo de 2025. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/23 Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a ORANGE, por vulneración del artículo 17 del RGPD. VIII Tipificación de la infracción del artículo 17 del RGPD y calificación a efectos de prescripción De confirmarse, la citada infracción del artículo 17 del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  1. b)los derechos de los interesados a tenor de los artículos 12 a 22;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  2. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679." IX Propuesta de sanción por la infracción del artículo 17 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/23 A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como del artículo 76.2 de la LOPDGDD, anteriormente reproducidos. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
  3. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de ORANGE de 4.307.836.000 euros. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de ORANGE es de 172.313.440 de euros. Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones habrá de estar forzosamente entre los 0 y 172.313.440 de euros. Asimismo, en relación con el nivel de gravedad en los términos del RGPD, sin perjuicio de lo que resulte de la instrucción, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): por haber transcurrido más de dos años desde que el reclamante presentó su solicitud de supresión hasta que ORANGE la atendió conforme a la normativa de protección de datos de carácter personal. - La intencionalidad o negligencia en la infracción (artículo 83.2, letra b), del RGPD): ORANGE fue gravemente negligente toda vez que recibió directamente del reclamante su solicitud de supresión —como reconoce la propia entidad— y no fue hasta que esta Agencia le envió un requerimiento de información sobre esta cuestión cuando la atendió debidamente. A mayor abundamiento, la conducta de ORANGE dificultó gravemente la debida atención de la solicitud de supresión del reclamante en los plazos y con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/23 contenido previstos en la normativa. No solo transcurrieron más de dos años desde que atendió de manera correcta la petición de supresión, sino que la entidad en su primera respuesta de 3 de enero de 2024 informó erróneamente al reclamante sobre su cumplimiento para con su petición. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): ORANGE ofrece servicios de telecomunicaciones que implican necesariamente la realización de forma habitual y continua de tratamientos de datos de carácter personal de un elevado número de clientes. Esto supone forzosamente operaciones de tratamiento de datos personales de las personas físicas. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 17 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 10.000 (diez mil euros). Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ORANGE ESPAGNE, S.A.U., con NIF A82009812, por: - La presunta infracción del artículo 5.1.
  4. d)del RGPD, tipificada en el artículo 83.5 del RGPD. - La presunta infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a, a C.C.C. y, como secretario/a, a D.D.D., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el artículo 64.2
  5. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción, serían de: - Multa administrativa de 15.000€ (quince mil euros), por la presunta infracción del artículo 5.1.
  6. d)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/23 - Multa administrativa de 10.000€ (diez mil euros), por la presunta infracción del artículo 17 del RGPD. QUINTO: NOTIFICAR el presente acuerdo a ORANGE ESPAGNE, S.A.U., con NIF A82009812, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 20.000€ (veinte mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 20.000€ (veinte mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 15.000€ (quince mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (20.000€ o 15.000€), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/23 1479-021025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 16 de marzo de 2026, ORANGE ha procedido al pago de la sanción en la cuantía de 15.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/23 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 15.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, ORANGE ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/23 PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 25.000,00 euros. Tras haber procedido ORANGE ESPAGNE, S.A.U. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 15.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202406777, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  7. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  8. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaeps.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/23 936-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.