← España

PS-00519-2017

1/12 Procedimiento Nº PS/00519/2017 RESOLUCIÓN: R/00329/2018 En el procedimiento sancionador PS/00519/2017, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U. (JAZZTEL), vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: El 31 de mayo de 2017 tiene entrada en la Agencia Española de Protección de Datos, escrito de denuncia de A.A.A. con domicilio en ***DIRECCIÓN.1 y ***NIF.1, en el que denuncia a ORANGE ESPAGNE, S.A.U. (JAZZTEL) porque el 27/03/2017, su entidad bancaria le denegó el uso de tarjeta de crédito, por encontrarse inscrito en el fichero de solvencia patrimonial de ASNEF-EQUIFAX. El denunciante manifiesta que hasta el 24/04/2017 no tuvo conocimiento de que la deuda causante de su inclusión en el fichero ASNEF, derivaba de una deuda requerida por ORANGE ESPAGNE, por un importe de 514,78 € generada por una contratación de servicios, no reconocida por el denunciante, formalizada en febrero de 2015, consistente en una línea fija y otra móvil (***TLF.1 y ***TLF.2) así como la adquisición de una Tablet y un teléfono móvil, que fueron enviados a la dirección ***DIRECCIÓN.2, distinta a la suya. El denunciante aporta, entre otra, copia de la siguiente documentación:  Diligencia de inicio por denuncia de infracción penal mediante comparecencia, de fecha 27/03/2017.  Consulta a EQUIFAX, de fecha 27/03/2017, donde se refleja la deuda pendiente de pago, con fecha de alta 19/05/2016.  Respuesta a la solicitud de cancelación remitida a EQUIFAX por el denunciante, de fecha 09/05/2017, en la que se le informa que se procede a la baja cautelar de sus datos en el fichero ASNEF.  Ampliación de la denuncia de diligencias, de fecha 24/04/2017. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ORANGE ESPAGNE, S.A.U. (JAZZTEL), quien ha remitido lo siguiente: Datos relativos a nombre, apellidos, domicilios y direcciones de contacto y cuentas bancarias  Nombre y apellidos: A.A.A.  NIF: ***NIF.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12  Domicilio: ***DIRECCIÓN.2-MADRID No coincidente con la del denunciante: o ***DIRECCIÓN.1  Cuenta bancaria: ***CC.1 Productos y/o servicios contratados con fecha de alta y baja de cada uno de ellos.  El pack Ahorro Internet Máxima Velocidad + línea + llamadas asociado al número ***TLF.1, y adicionalmente una Tablet Wolder Mitab Baltimore 9 Negro o Con fecha de alta y baja 28/01/2015 y 23/02/2016 respectivamente  Tarifa Pack Ahorro 100 minutos + 1GB gratis asociado al número ***TLF.2 o Con fecha de alta y baja 28/01/2015 y 18/02/2016 respectivamente Facturas emitidas especificando las que han sido pagadas, las que se encuentran pendientes de pago y las que se han anulado, indicando el motivo de anulación.  Todas las facturas giradas al cliente fueron devueltas pero tras presentarse reclamación ante la OMIC, esta entidad decide dar de baja los servicios por considerar que fueron contratados de forma fraudulenta, y eliminar la deuda del denunciante, por lo que no constan facturas pendientes de pago. Copia de las comunicaciones y contactos que hayan existido entre esta entidad y el cliente, detallando el contenido, fecha y las acciones realizadas en cada caso.  El 25/04/2017, el cliente indica que no va a pagar las facturas porque le han suplantado la identidad. Solicita un correo postal para enviar los documentos a fin de calificar la contratación como fraudulenta. Contratos suscritos por el afectado, incluyendo las condiciones generales y particulares aplicables, así como la copia del DNI, pasaporte o cualquier otro documento recabado que acredite la identidad del contratante.  Se aporta copia del contrato de las líneas ***TLF.1 y ***TLF.2. Reclamaciones por escrito efectuadas por el afectado o por terceros en su nombre, conclusiones y resoluciones que se hayan adoptado al respecto.  10/05/2017, el denunciante remite fax comunicando la denuncia policial presentada, por motivo de la presunta usurpación de identidad, mediante la cual han sido contratados y/o adquiridos servicios y productos de telefonía móvil y fija en esta mercantil.  07/06/2017, se recibe reclamación del denunciante presentada ante la SETSI, por suplantación de identidad.  04/07/2017, se recibe correo de la OMIC, en este mismo sentido. A este respecto, ORANGE el 10/07/2017, responde a dicho Organismo, que se procede a cursar la baja de servicios contratados de forma fraudulenta, así como eliminar la deuda asociada al denunciante.  21/07/2017, se recibe resolución de la SETSI, declarando la inexistencia de la deuda reclamada. La contratación ha sido telefónica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12  Se aporta grabación de fecha 28/01/2015, en la que se realiza la contratación telefónica de las líneas ***TLF.1 y ***TLF.2 Los datos personales del denunciante han sido incluidos en ficheros de morosidad, por lo que se solicita la siguiente información  Los datos del denunciante fueron comunicados a los ficheros de solvencia patrimonial el 19/05/2016, tras la emisión del preceptivo requerimiento de pago, remitido mediante carta de fecha 12/04/2016, donde se le indica al denunciante que en caso de no proceder al pago en un plazo de 30 días, sus datos podrán ser incluidos en ficheros de solvencia patrimonial.  Se aporta albarán de entrega de correos del requerimiento de pago, de fecha 13/04/2016, así como certificado de EQUIFAX, constatando la no devolución de la carta de requerimiento de pago remitida al denunciante el 12/04/2016 por ORANGE. A través de las actuaciones de investigación practicadas, se ha constatado que ORANGE solicita la inclusión en ficheros el 19/05/2016, tras la emisión del preceptivo requerimiento de pago, en las condiciones más abajo señaladas, remitido mediante carta de fecha 12/04/2016, donde se le indica al denunciante que en caso de no proceder al pago en un plazo de 30 días, sus datos podrán ser incluidos en ficheros de solvencia patrimonial, constatándose su recepción mediante albarán de entrega de correos y certificado de EXPERIAN, acreditando la no devolución de la carta de requerimiento de pago. Sin embargo, la recepción del citado requerimiento de pago, se pone en duda, ya que según indica ORANGE se remite a la ***DIRECCIÓN.2-MADRID en lugar de al domicilio que afirma tener el denunciante ***DIRECCIÓN.1 . Los datos del denunciante son incluidos en el fichero ASNEF de solvencia patrimonial el 19/05/2016, hasta el 10/05/2017, momento en que ORANGE ESPAGNE, S.A.U. (JAZZTEL), procedió a catalogar la contratación objeto de este caso como fraudulenta. TERCERO: Con fecha 20 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE, S.A.U. (JAZZTEL), por presunta infracción del artículo 6.1 de la LOPD, tipificada como GRAVE en el artículo 44.3

  1. b)de dicha norma, pudiendo ser sancionada con multa de 32.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica, en relación con el artículo 45.5 e). CUARTO: Con fecha 20 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE ESPAGNE, S.A.U. (JAZZTEL), por presunta infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.2 y en relación, asimismo, del artículo 38.1.
  2. c)del RLOPD, tipificada como GRAVE en el artículo 44.3
  3. c)de dicha norma, pudiendo ser sancionada con multa de 70.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica.). QUINTO: Notificado el acuerdo de inicio, ORANGE ESPAGNE, S.A.U. (JAZZTEL) mediante escrito de fecha 13 de diciembre de 2017 formuló alegaciones, significando, que la verificación de la solicitud de contratación de las líneas ***TLF.1 y ***TLF.2 cumplió escrupulosamente con todos y cada uno de los requisitos establecidos en la regulación de telecomunicaciones, por lo que ORANGE ESPAGNE, S.A.U. (JAZZTEL) actuó con la diligencia debida y trató los datos del denunciante en virtud de la presunta relación contractual existente entre las partes, con la creencia de contratar con el verdadero titular de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 SEXTO: Con fecha 19 de diciembre de 2017 se inició el período de práctica de pruebas, acordándose incorporar al expediente del procedimiento la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/03607/2017. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00519/2017 presentadas por ORANGE ESPAGNE, S.A.U. (JAZZTEL). Todo ello con su correspondiente documentación adjunta. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Respecto a la contratación fraudulenta: El 10/05/2017, el denunciante remite a ORANGE ESPAGNE, S.A.U. (JAZZTEL) fax comunicando la denuncia policial presentada, por motivo de la presunta usurpación de identidad, mediante la cual han sido contratados y/o adquiridos servicios y productos de telefonía móvil y fija en esta mercantil, momento en el que procede a catalogar la contratación como fraudulenta y cursar la baja de los datos del denunciante en el fichero ASNEF. El denunciante presenta el 07/06/2017 y el 04/07/2017, reclamación ante la SETSI, y la OMIC respectivamente, por suplantación de su identidad en una contratación de servicios con ORANGE ESPAGNE, S.A.U. (JAZZTEL). Respecto a la inclusión en ficheros: Los datos del denunciante son incluidos en el fichero ASNEF de solvencia patrimonial el 19/05/2016, hasta el 10/05/2017, momento en que ORANGE ESPAGNE, S.A.U. (JAZZTEL), procedió a catalogar la contratación objeto de este caso como fraudulenta. ORANGE ESPAGNE, S.A.U. (JAZZTEL) solicita la inclusión en ficheros el 19/05/2016, tras la emisión del preceptivo requerimiento de pago, mediante carta de fecha 12/04/2016, donde se le indica al denunciante que en caso de no proceder al pago en un plazo de 30 días, sus datos podrán ser incluidos en ficheros de solvencia patrimonial, constatándose su recepción mediante albarán de entrega de correos y certificado de EXPERIAN, acreditando la no devolución de la carta de requerimiento de pago. Sin embargo, la recepción del citado requerimiento de pago, se pone en duda, ya que según indica ORANGE ESPAGNE, S.A.U. (JAZZTEL) se remite a la dirección facilitada en la contratación realizada telefónicamente - ***DIRECCIÓN.2-MADRID – diferente de la dirección indicada por el denunciante como propia- ***DIRECCIÓN.1 -. OCTAVO: Con fecha 06/02/2018 se formuló propuesta de resolución, proponiendo que la Directora de la Agencia Española de Protección de Datos sancione a ORANGE ESPAGNE, S.A.U. (JAZZTEL) con NIF ***NIF2, con dos multas, una de "32.000" € (treinta y dos mil euros) por la infracción del artículo "6.1" de la LOPD, tipificada como "GRAVE" en el artículo "44.3 b)" de dicha norma y otra multa de “70.000" € (setenta mil euros) por la infracción del artículo "4.3" de la LOPD, en relación con el artículo 29.2 y en relación, asimismo, del artículo 38.1.
  4. c)del RLOPD, tipificada como GRAVE en el artículo 44.3
  5. c)de dicha norma. NOVENO: Con fecha 15/02/2018, ORANGE ESPAGNE, S.A.U. (JAZZTEL) formula alegaciones a la propuesta de resolución, manifestando que el único argumento de la AEPD para rechazar la grabación de verificación aportada es que el contratante tenía voz femenina, por lo que rechaza dicho argumento e insiste en que la verificación de la solicitud de contratación de las líneas ***TLF.1 y ***TLF.2 cumplió escrupulosamente con todos y cada uno de los requisitos establecidos en la regulación de telecomunicaciones, por lo que ORANGE ESPAGNE, S.A.U. (JAZZTEL) actuó con la diligencia debida y trató los datos del denunciante en virtud de la presunta relación contractual existente entre las partes, con la creencia de contratar con el verdadero titular de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En lo relativo a la inclusión en ficheros de solvencia patrimonial, debemos de tener en cuenta el artículo 4.3 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD) en relación con el artículo 29.4 de la misma norma, preceptos que disponen: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 Artículo 4.3: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Artículo 29.4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. A su vez, el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) en su artículo 38.1 establece: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
  7. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Por otra parte, indicar que los artículos 38.3 y 43.1 del RLOPD disponen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que le permita acreditar la efectiva realización de los envíos”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 39 del RLOPD bajo la rúbrica “Información previa a la inclusión”, dispone: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  8. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias.” IV En el supuesto que nos ocupa, el tratamiento de datos realizado por la entidad denunciada no puede acreditarse que haya sido llevado a cabo empleando una diligencia razonable, ya que la contratación denunciada se realizó por teléfono, según grabación aportada de fecha 28/01/2015, en la que una voz de mujer, se identifica como A.A.A., por lo que la verificación debió de ser negativa. ORANGE ESPAGNE, manifiesta que los datos del denunciante fueron comunicados al fichero de solvencia patrimonial ASNEF, el 19/05/2016, tras haber recibido el preceptivo requerimiento de pago de fecha 12/04/2016, según certificado de EQUIFAX, donde se le informaba que en caso de no proceder al pago en un plazo de 30 días, sus datos podrían ser incluidos en ficheros de solvencia patrimonial El denunciante manifiesta que nunca se le requirió el pago de deuda por ORANGE ESPAGNE, y que hasta que no realizó una consulta al fichero EQUIFAX el 27/03/2017 no tuvo conocimiento de la inclusión de sus datos en el fichero ASNEF. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 V En relación a una posible contratación fraudulenta, los hechos expuestos podrían ser constitutivos de una infracción, imputable a ORANGE ESPAGNE, S.A.U de una infracción del artículo el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.”, infracción tipificada como GRAVE en el artículo 44.3.
  9. b)de dicha norma, que considera como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. VI Respecto a la inclusión en ficheros de solvencia patrimonial, los hechos expuestos podrían suponer la comisión por parte de ORANGE ESPAGNE, S.A.U de una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), que señala que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, en relación con los artículos 38.1 a), 39 y 43 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD) ; infracción tipificada como grave en el artículo 44.3.
  10. c)de la LOPD, que considera como tal: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica, estos dos últimos artículos según redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible. VII La entidad denunciada en escrito de alegaciones de fecha 13 de diciembre de 2017 manifiesta que la verificación de la solicitud de contratación de las líneas ***TLF.1 y ***TLF.2 cumplió escrupulosamente con todos y cada uno de los requisitos establecidos en la regulación de telecomunicaciones, por lo que ORANGE ESPAGNE, S.A.U actuó con la diligencia debida y trató los datos del denunciante en virtud de la presunta relación contractual existente entre las partes, con la creencia de contratar con el verdadero titular de los mismos. VIII En fase de instrucción se procede a examinar la documentación presentada, consistente en una grabación de 28 de enero de 2015 verificando los datos del titular del contrato, en la que una voz de mujer, se identifica como el denunciante - A.A.A.-, por lo que la verificación debió de ser negativa. Se ha constatado que los datos del denunciante son incluidos en el fichero ASNEF de solvencia patrimonial el 19/05/2016, hasta el 10/05/2017, momento en que ORANGE ESPAGNE, S.A.U. (JAZZTEL), procedió a catalogar la contratación objeto de este caso como fraudulenta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 ORANGE ESPAGNE, S.A.U. solicitó la inclusión en ficheros el 19/05/2016, tras la emisión del preceptivo requerimiento de pago, mediante carta de fecha 12/04/2016, donde se le indica al denunciante que en caso de no proceder al pago en un plazo de 30 días, sus datos podrán ser incluidos en ficheros de solvencia patrimonial, constatándose su recepción mediante albarán de entrega de correos y certificado de EXPERIAN, acreditando la no devolución de la carta de requerimiento de pago. Sin embargo, la recepción del citado requerimiento de pago, se pone en duda, ya que según indica ORANGE ESPAGNE, S.A.U. (JAZZTEL) se remite a la ***DIRECCIÓN.2MADRID en lugar de dirigirlo a ***DIRECCIÓN.1 pese a ser este último, el domicilio del denunciante. IX Tras el estudio pormenorizado de toda la documentación obrante en el presente procedimiento, señalar que en la grabación aportada no se escucha en ningún momento cuales son las líneas objeto de contratación - ***TLF.1 y ***TLF.2 –. Además en la grabación se indica como teléfono de contacto la línea móvil ***TLF.3 y como correo electrónico de contacto ***EMAIL.1, pese a que en el pantallazo remitido por ORANGE ESPAGNE, S.A.U. (JAZZTEL), consta como correo electrónico de contacto, otro distinto ***EMAIL.2, sin que se haya señalado que ello se debe a un cambio solicitado por el cliente, y así se haya acreditado documentalmente. Señalar además que pese a indicarse en la grabación y manifestarse así por parte de la entidad denunciada, no se ha aportado albarán de entrega de la adquisición de la Tablet Wolder Mitab Baltimore 9 Negro, de manera que no se puede constatar su recepción por parte del denunciante. Añadir a todo lo anteriormente señalado que además, de la audición de la grabación de la verificación de los datos de la contratación telefónica aportada por ORANGE ESPAGNE, S.A.U. (JAZZTEL), se desprende de manera notoria que la voz que se escucha es de mujer, aunque se identifica como A.A.A., principalmente cuando dicha persona trata de corregir a la operadora respecto del correo electrónico indicado, ***EMAIL.1, sobre si se trata de una “m” o una “n”. Sobre este último aspecto, la Audiencia Nacional en su recurso contencioso administrativo 129/2013, dictó resolución el 12 de mayo de 2014 destacando en su fundamento cuarto lo siguiente: “(…) esta sala entiende que no puede considerarse cumplido el requisito del consentimiento inequívoco del artículo 6.1 LOPD, y ello por los siguientes motivos. De un lado la audición del CD que obra en el expediente administrativo, efectivamente hace alusión a una fecha (26 de mayo de 2010) y después una voz femenina indica que el contrato está a nombre de Amanda con domicilio en la calle 000 (num…) de Ermua. Una voz masculina dice que sí y corrige a la operadora el número de la calle. Grabación telefónica a la que no puede otorgarse validez a efectos de consentimiento inequívoco, no sólo porque no se hace alusión a dicho consentimiento sino, sobre todo porque tal consentimiento del art. 6.1 LOPD ha de ser de la titular de los datos personales y en el presente supuesto es evidente que no lo es, puesto que la voz que figura en la grabación es masculina y no femenina. (…) Así pues, y conforme a la reiterada y consolidada doctrina de esta Sala, puesto que correspondía a la entidad actora acreditar que contaba con el consentimiento del denunciante para el tratamiento de sus datos personales, y dicha carga de la prueba no ha tenido lugar en autos, necesariamente se ha de concluir que Naturgas ha tratado los datos de la Sra Amanda sin su consentimiento, en clara contravención de los dispuesto en el art. 6.1 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 la LOPD, por lo que tal vulneración del principio de consentimiento ha de ser confirmada por la Sala”. Así las cosas, una vez analizadas las pruebas documentales aportadas, cabe concluir que ORANGE ESPAGNE, S.A.U., no ha acreditado haber actuado diligentemente en la contratación de los servicios objeto de este caso, al no indicarse las líneas objeto de contratación a lo largo de toda la grabación, al no coincidir el correo electrónico dado en la grabación de la contratación con el que aparece en la base de datos de ORANGE ESPAGNE, S.A.U., al no constar albarán de entrega de uno de los productos adquiridos –Tablet- y al desprenderse de la audición de la grabación de la verificación de los datos de la contratación telefónica aportada, que es una voz de mujer la que se identifica como A.A.A., por lo que la verificación debió de ser negativa. Por otro lado se constata, que pese a ello, los datos del denunciante son incluidos a solicitud de ORANGE ESPAGNE, S.A.U., en el fichero ASNEF de solvencia patrimonial el 19/05/2016, hasta el 10/05/2017, es decir, casi un año. X El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. XI En relación a una posible contratación fraudulenta, tras las evidencias obtenidas en la fase de investigaciones previas, se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, ya que en el registro mercantil consta fusión por absorción de ORANGE ESPAGNE, S.A.U. a JAZZ TELECOM SA, inscrita con fecha 18/2/2016, procediendo entonces aplicar el artículo 45.5 e), pasando dicha infracción a calificarse de grave a leve, sancionada con una multa entre 900 a 40.000 €. Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 45.4 de la LOPD. Como agravantes:  Por el carácter continuado de los hechos constatados (apartado 4.a), ya que pese al fax de 10/05/2017, remitido por el denunciante con la denuncia presentada ante la policía por suplantación de personalidad, así como la reclamación de 07/06/2017 presentada ante la SETSI, hasta el 10/07/2017, no se procede a la baja de los servicios contratados con ORANGE y anulación de la deuda, en respuesta al escrito del denunciante presentado ante la OMIC el 04/07/2017.  Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa.  En relación con el volumen de negocio de la entidad infractora (apartado 4.d), ya que la entidad ORANGE ESPAGNE, S.A.U es una gran empresa del sector de las telecomunicaciones.  Por reincidencia (apartado 4.
  26. g)en infracciones de la misma naturaleza en este último año.  Porque tuvo que acudir a la policía, presentar reclamación ante la SETSI y ante la OMIC, para que la entidad procediese a solventar la situación denunciada (apartado 4.
  27. h)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 XII Asimismo, respecto a la inclusión en ficheros de solvencia patrimonial, tras las evidencias obtenidas en la fase de investigaciones previas, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 45.4 de la LOPD. Como agravantes:  Por el carácter continuado de los hechos constatados (apartado 4.a), ya que los datos del denunciante estuvieron incluidos en ASNEF del 19/05/2016 hasta el 10/05/2017.  Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa.  En relación con el volumen de negocio de la entidad infractora (apartado 4.d), ya que la entidad ORANGE ESPAGNE, S.A.U es una gran empresa del sector de las telecomunicaciones.  Por reincidencia (apartado 4.
  28. g)en infracciones de la misma naturaleza en este último año.  Porque tuvo que acudir a la policía, presentar reclamación ante la SETSI y ante la OMIC, para que la entidad procediese a solventar la situación denunciada (apartado 4.
  29. h)XIII En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. En cuanto a la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD y, en especial, la falta de intencionalidad, procede proponer que se imponga las sanciones en su cuantía mínima. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U con NIF ***NIF2, dos multas, una de "32.000" € (treinta y dos mil euros) por la infracción del artículo "6.1" de la LOPD, tipificada como "GRAVE" en el artículo "44.3 b)" de dicha norma y otra multa de “70.000" € (setenta mil euros) por la infracción del artículo "4.3" de la LOPD, en relación con el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 29.2 y en relación, asimismo, del artículo 38.1.
  30. c)del RLOPD, tipificada como GRAVE en el artículo 44.3
  31. c)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. con NIF ***NIF2 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  32. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.