1/5 Procedimiento Nº PS/00515/2017 RESOLUCIÓN: R/03458/2017 En el procedimiento sancionador PS/00515/2017, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por C.C.C., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24/04/2017 se dicta la resolución R/01179/2017 en relación con el procedimiento PS/00488/2016 y con fecha 2/08/2017 se resuelve estimar el Recurso de Reposición RR/00464/2017 y realizar actuaciones previas de inspección en base a los siguientes hechos puestos de manifiesto por C.C.C. (en adelante la denunciante):
- El 2/11/2015 ORANGE ESPAGNE, S.A.U., en adelante ORANGE, realiza una llamada al teléfono ***TLF.1 para reclamar una supuesta deuda. Al no encontrarse la denunciante en casa respondió su hijo.
- El 4/11/2015 vuelve a llamar ORANGE y en esta ocasión informa a su hijo sobre el importe de la deuda de la denunciante, la fecha de la factura e incluso solicitan a este que la pague.
- Entiende que ORANGE ha vulnerado el deber de secreto al proporcionar esa información a su hijo. Junto con el escrito de denuncia, aporta la siguiente documentación: Una página con enlaces para descargar las grabaciones las llamadas. Dos certificados emitidos por LOGALTY SERVICIOS DE TERCERO DE CONFIANZA, S.L. respecto de la grabación de las llamadas cuyo emisor es CALLSTAMP COMMUNIUCATIONS SL. Una transcripción de la conversación contenida en las grabaciones.
- Mediante escrito recibido en esta Agencia el 20/01/2016 la denunciante aporta además la siguiente información: Las llamadas se recibieron en la línea ***TLF.1 siendo la línea origen la ***TLF.2 y las fechas/horas exactas en las que se recibieron las llamadas el 02/11/2015 a las 18:02:09 y el 04/11/2015 a las 09:11:13 horas. ORANGE es la operadora que presta servicio a la línea ***TLF.1 , de la que es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 titular su hijo A.A.A. con NIF G.G.G..
- Con fecha 20/02/2016 tiene entrada un segundo escrito de subsanación de denuncia en el que se aporta un disco compacto con las conversaciones grabadas que no pudieron ser recuperadas de los enlaces proporcionados inicialmente.
- En las actuaciones realizadas de referencia E/7957/2015 que dio lugar al PS/00488/2016 se puso de manifiesto, entre otros, los siguientes hechos: a. LOGALTY SERVICIOS DE TERCERO DE CONFIANZA SL, es una sociedad que proporciona entre sus servicios uno de grabación certificada de llamadas. El escrito de denuncia viene acompañado de dos certificados de dicho servicio. Los certificados indican que los ficheros que conservan corresponden con grabaciones de comunicaciones establecidas entre el número ***TLF.2 (llamante) y el número ***TLF.1 (llamado) los días 2 de noviembre de 2015 a las 18:03:12 y 4 de noviembre de 2015 a las 09:13:
- Los certificados tienen un control de integridad basado en aplicar una función resumen sobre el fichero de audio almacenado, denominados ***FICH.1 y ***FICH.
- b. En la primera de las grabaciones aportadas, alguien que dice llamar de “ORANGE telefonía móvil”, pregunta por la denunciante y cuando la persona que le atiende, que se identifica posteriormente como “ A.A.A.”, le informa de que no está disponible solicita que se le facilite un número en el que pueda localizarla. El interlocutor le indica que puede contactar con ella en ese mismo número pero más tarde, a las nueve o nueve y cuarto. c. En la primera de las grabaciones aportadas, quien se identifica como E.E.E. del “departamento de cobros de ORANGE” pregunta por la denunciante y es informada de que no se encuentra disponible. A continuación la persona del departamento de cobros requiere a su interlocutor, que se identifica posteriormente como “ A.A.A.”, la letra final del DNI de la denunciante para “poderle informar con respecto a las facturas”. Cuando este niega conocer tal dato le pregunta en qué banco abona la denunciante sus facturas y éste nuevamente niega saberlo. Es en ese momento cuando la persona del departamento de cobros informa a su interlocutor de que la denunciante tiene pendiente de pago una factura de 16 de septiembre por un importe que inicialmente describe como de 141,6 y después como de 107,87 euros y pregunta a su interlocutor si dispone de una tarjeta para abonar esa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 factura. El interlocutor dice desconocer nada sobre la deuda y se niega a pagarla, momento en el cual se le requiere un teléfono de contacto de la denunciante y nuevamente se indica a la persona del departamento de cobros que puede contactar con ésta en ese mismo número de teléfono pero a las nueve de la noche o, a mediodía, a eso de las dos. d. Según la información facilitada por ORANGE: Con fecha 4/11/2015 la denunciante mantenía una deuda de 107,87 euros correspondiente a parte de la factura de 16 de septiembre de 2015, cuyo importe total ascendía a 141,63 euros y del que se habían abonado el 1 de octubre de 2015, 33,76 euros (las líneas que figuran en la factura corresponden a: ***TLF.3 y ***TLF.4). El titular de la línea ***TLF.1 en el momento de los hechos y a fecha del informe de Actuaciones Previas de Inspección es A.A.A.. El titular de la línea ***TLF.2 en el momento de los hechos es TRANSCOM WORLDWIDE SPAIN SLU. En el sitio web de TRANSCOM WORLDWIDE SPAIN SLU se informa de que presta servicios de centro de llamadas para distintos clientes, entre los que se encuentra ORANGE. e. El 13/10/2016 ORANGE notifica por correo electrónico a esta Agencia que no les consta registro de que se hayan realizado llamadas con origen en la línea ***TLF.2 y destino en la línea ***TLF.1 en el periodo del 2 al 4 de noviembre de
- SEGUNDO: De acuerdo con lo resuelto en el Recurso de Reposición RR/464/2017 de 2/08/2017, por los Servicios de Inspección de esta Agencia se practican diligencias teniendo conocimiento de que:
- Con fecha 2/10/2017 se solicita información a LOGALTY SERVICIOS DE TERCERO DE CONFIANZA SL y de la respuesta recibida en fecha 10/10/2017 se desprende: LOGALTY manifiesta que no puede hacer entrega de las grabaciones requeridas por la Agencia porque queda afectado el derecho fundamental al secreto de las comunicaciones por lo que “solo están habitado para entregar el contenido de las conversaciones, o bien a la persona que contrató nuestros servicios, en su condición de interviniente en el proceso comunicativo, o bien al órgano judicial que mediante auto motivado nos requiera para ello”. Respecto de la función resumen utilizada para la acreditación de la integridad de los ficheros (contenidos de las grabaciones) que figura en los certificados, LOGALTY manifiesta que corresponde a “aplicar el algoritmo SHA-256 al fichero que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 contiene la grabación, incorporando la referencia GUID que aparece en el certificado”
- Los certificados aportados por la denunciante referenciados en el punto 6.a antes citado acreditan que se produjeron las llamadas que se denuncian. TERCERO: En fecha de 26/11/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE ESPAGNE, S.A.U. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3 d) de la citada Ley. CUARTO: Según consta en el Certificado del Servicio de Notificaciones, el Acuerdo de inicio del procedimiento fue notificado en fecha de 20/11/
- QUINTO: En fecha de 5/12/2017, por la representación de ORANGE ESPAGNE, S.A.U., se presentó escrito de alegaciones en el que manifiestan que las infracciones que se imputan están prescritas, por haberse superado el plazo de dos años que previene el art. 47 de la LOPD para las infracciones graves. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g) en relación con el artículo 36 de la LOPD. II En el presente caso se atribuye a ORANGE ESPAGNE SAU la comisión de la infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo, tipificada como grave en el artículo 44.3 d) de dicha norma, que considera como tal La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley., Establece el artículo 47 de la LOPD, bajo la rúbrica “Prescripción” en sus apartados 1y 2 lo siguiente:
- Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.
- El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Las llamadas realizadas por ORANGE ESPAGNE, SAU que se estima que vulneran el deber de secreto previsto en el art. 10 de la LOPD cuya infraccion esta prevista como infracción grave en el art. 44.3 d), se producen en fechas de 2 y 4 de noviembre de 2015, por lo que la prescripción de la infracción se entiende producida en fechas de 2 y 4 de noviembre de
- Habiéndose notificado el Acuerdo de inicio en fecha de 20 de noviembre de 2017 las infracciones cometidas por ORANGE ESPAÑA, S.A.U, han de considerarse prescritas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR EL PROCEDIMIENTO a la entidad ORANGE ESPAGNE, S.A.U. por la prescripción de la infracción del artículo 10 de la LOPD de conformidad con lo establecido en el artículo 47 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es