← España

PS-00549-2015

1/12 Procedimiento Nº PS/00549/2015 RESOLUCIÓN: R/00409/2016 En el procedimiento sancionador PS/00549/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 6 de noviembre de 2014 tiene entrada en esta Agencia un escrito de D. A.A.A. (en adelante el denunciante) en el que declara que ORANGE ha estado cargando en su cuenta bancaria recibos que corresponden a otro titular cuyo nombre aparece en el adeudo bancario “B.B.B.” que no conoce. Tras el primer cargo en agosto de 2014 se puso en contacto con la compañía para indicar lo que estaba ocurriendo. Sin embargo en septiembre recibe un nuevo cargo a nombre de ese mismo titular, por lo que realiza hasta seis llamadas a la compañía. Sin embargo, en noviembre vuelve a recibir otro cargo. Aporta copia de recibos bancarios de fechas 20-08-14, 18-09-14 y 17-10-14 que incluyen el concepto “ORANGE MOVIL” correspondientes al cliente “B.B.B.” (no aparece en el recibo la “t” del nombre y apellidos). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ORANGE ESPAGNE SAU, teniendo conocimiento de que: 1. Realizada una inspección a “ORANGE ESPAGNE, S.A. SOCIEDAD UNIPERSONAL” (en adelante ORANGE ) los inspectores de la Agencia solicitan a los representantes de la entidad el acceso a sus Sistemas de Información, realizando las siguientes comprobaciones: 1.1. Se realiza una búsqueda en SIEBEL (CRM) del DNI del denunciante. Se comprueba que es cliente de telefonía fija y móvil. El cliente ha tenido tres líneas de telefonía móvil: línea con baja por portabilidad en noviembre de 2014 línea de numeración ***TEL.1. línea ***TEL.2 activa en la actualidad. Se comprueba que el número de cuenta que consta para la domiciliación bancaria es el ***CCC.1. 1.2. Se realiza una consulta sobre las interacciones anotadas en SIEBEL respecto al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 denunciante verificando que figuran múltiples anotaciones, entre ellas las siguientes: 12/08/2014, 11:02 llamada en la que el cliente desea que se realice cambio de domiciliación bancaria. Se realiza gestión. El operador que ***NÚM.1. 24/09/2014, 28/10/2014 dos incidencias donde el cliente pone de manifiesto que recibe cargos en su cuenta corriente de otro cliente. 1.3. Se consulta el histórico de modificaciones realizadas sobre los datos del denunciante en facturación de líneas móviles BSCS (histórico denominado libreta roja) comprobando que constan múltiples modificaciones de datos. Se verifica que no se encuentra ningún reflejo de fecha 12/08/2014. 1.4. Se realiza una consulta en facturación de líneas móviles (BSCS) utilizando como argumento de búsqueda el número de cuenta bancaria ***CCC.1. Se obtiene que dicha cuenta ha estado asignada a dos clientes: el denunciante y B.B.B. (en lo sucesivo B.B.B.). 1.5. Se realiza una consulta en facturación de líneas móviles (BSCS) utilizando como argumento de búsqueda el código de cliente ***CLIENTE.1, correspondiente a B.B.B.. Se verifica en la libreta roja que el 12/08/2104 a las 11:03 el agente ***NÚM.1 realiza el cambio de cuenta corriente de cargo a dicho cliente, consignando como nueva cuenta ***CCC.1. 1.6. Se realiza una consulta sobre las interacciones anotadas en SIEBEL respecto a B.B.B. verificando que figuran múltiples anotaciones, no encontrándose ninguna de fecha 12/08/2014 1.7. Se realiza una consulta sobre las interacciones anotadas en PEOPLESOFT (líneas fijas) respecto a B.B.B., ya que la tarifa canguro incluye conjuntamente líneas fijas y móviles, verificando que figura una anotación de fecha 12/08/2014, donde el cliente se enoja y manifiesta que no va a seguir pagando. 1.8. Se realiza una consulta sobre las interacciones anotadas en PEOPLESOFT (líneas fijas) respecto al B.B.B., que también tiene una línea fija, verificando que figura una anotación de fecha 12/08/2014, a las 11:15 horas, por un agente de Recobros, donde el cliente solicita realizar un pago por tarjeta. 2. A la vista de las resultados obtenidos los representantes de ORANGE realizaron las siguientes manifestaciones: 2.1. “Con los datos existentes, no se puede explicar el motivo por el cual consta una interacción registrada el 12/08/2014 en el cliente el denunciante en la que el cliente desea que se realice cambio de domiciliación bancaria, y sin embargo no tiene reflejo en su libreta roja. Sin embargo sí consta en la libreta roja de B.B.B. el cambio de domiciliación bancaria que produjo los cargos en la cuenta corriente del denunciante. 2.2. Dado que ambas anotaciones están realizadas por el mismo código de agente (***NÚM.1) todo induce a que el mismo ha cometido un error, asignando la cuenta corriente de un cliente a otro. 2.3. Otra posibilidad es que el propio Sr. B.B.B. facilitó la cuenta corriente del Sr. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 A.A.A. intencionadamente. “ TERCERO: Con fecha 07/10/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE por presunta infracción del artículo 4.3 de la Ley Orgánica de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de ORANGE en fecha 30/10/2015 formulo en síntesis las siguientes alegaciones: inexistencia de infracción del artículo 4.3 de la LOPD; ausencia de culpabilidad y existe3ncia de diligencia por parte de ORANGE; subsidiariamente aplicación del artículo 45.5 de la LOPD. QUINTO: En fecha 23/11/2015, por la Directora de la Agencia Española de Protección de Datos se acordó cambio de instructor del procedimiento siendo notificado a las partes. SEXTO: El 01/12/2015 se inició de un periodo de práctica de prueba acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/01324/2015. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por ORANGE y la documentación que a ellas acompaña. Solicitar al denunciante documentación que obrara en su poder relacionada con procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. El 29/12/2015 el denunciante dio respuesta a la prueba practicada cuyo contenido se encuentra en el expediente. SEPTIMO: En fecha 01/02/2016, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a ORANGE por infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de dicha norma, con multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de ORANGE mediante escrito de fecha 19/02/2016 reiteraba las alegaciones realizadas con anterioridad y mostraba su disconformidad con la sanción propuesta, solicitando el archivo o, en caso contrario, la graduación de la sanción atendiendo a las circunstancias concurrentes. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 PRIMERO. En fecha 06/11/2014 tiene entrada en la AEPD escrito del denunciante en el que manifiesta que ORANGE, compañía de la que es cliente, le está cargando en cuenta bancaria de su titularidad recibos que corresponden a otro cliente que en el adeudo bancario responde al nombre de B.B.B. (folio 1). SEGUNDO. El denunciante ha aportado copia de su DNI nº ***DNI.1, con domicilio en (C/....1)-Alicante, coincidente con el que figura en el escrito de denuncia (folio 10). TERCERO. El denunciante ha aportado 3 copias de Cargo Por Adeudo Directo emitidos por la entidad BBVA, con fechas de vencimiento 20/08/2014, 18/09/2014 y 17/10/2014, contra la cuenta titularidad del denunciante nº ***CCC.1 en las que figura como acreedor ORANGE y deudor B.B.B., en concepto de Orange Móvil 0814, por importes de 78,78 euros, 96,96 euros y 106,47 euros (folios 3 y 4). CUARTO. Consta que el denunciante presento reclamación ante la OMIC del Ayuntamiento de Elda (Alicante) contra ORANGE el 16/02/2015, referencia *******, en la que señalaba que era titular de tres líneas de telefonía móvil contratadas con la citada operadora hasta que en octubre de 2014 dejó de ser cliente de la misma como consecuencia de haberle cargado en su cuenta facturas correspondientes a otro cliente; que le están reclamando una deuda de 235,11 euros, habiendo recibido solo la factura nº ***FACTURA.1, de 12/11/2014, por importe de 138,42 euros, que sí reconoce; que ha solicitado le remitan las facturas deudoras y proceder a su abono en caso de conformidad, sin que hayan sido atendidas sus peticiones; que le siguen reclamando la deuda pendiente a pesar de que sus peticiones no son atendidas por lo que solicitaba, además de que le fueran remitidas las facturas, la paralización de cualquier acción de recobro o inclusión en ficheros de solvencia patrimonial (folio 89 y 90). No consta, ni la respuesta de ORANGE a la reclamación ante la Omic, ni el envío de las facturas deudoras cargadas en su cuenta correspondiente al tercero, también cliente de la entidad. QUINTO. El denunciante ha aportado copia de la factura nº ***FACTURA.1, de 12/11/2014, por importe de 138,42 euros, correspondientes a consumos de las líneas de su titularidad ***TEL.3 y ***TEL.2 emitida por ORANGE y cuyo importe es reconocido por éste (folio 85 y 86). También aporta justificante transferencia ordenada por el denunciante el 17/02/2015, con cargo a cuenta de su titularidad siendo beneficiario de la misma ORANGE por importe de 138,42 euros, más una comisión de 3,75 (folios 84). SEXTO. El denunciante formulo reclamación contra ORANGE ante la SETSI el 21/05/2015, expediente RC********/15/TLM, siendo trasladada a la operadora, dando respuesta el 12/05/2015, por la que se le enviaba la factura de fecha 12/12/2014, por importe de 96,69 euros que se encontraba pendiente de pago y, además le informaba que habían procedido a solicitar la exclusión de los datos personales del cliente de cualquier fichero de solvencia económica, en el que pudieran haber estado incluido a petición de nuestra empresa. El denunciante aporta copia de la factura ***FACTURA.2, de 12/12/2014, por importe de 96,69 euros, correspondientes a consumos de las líneas de su titularidad ***TEL.3 y ***TEL.2 emitida por ORANGE, cuyo importe fue reconocido y abonado por el denunciante en la cuenta de la entidad mediante transferencia de 22/06/2015 (folios 91 a 93). SEPTIMO. Consta Acta de Inspección E/1324/2015-I/1, de 01/07/2015, realizada en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 sede de ORANGE, señalando que: 1. Los inspectores de la Agencia informaron a los representantes de la entidad que la inspección se realiza como consecuencia de una reclamación presentada en la Agencia Española de Protección de Datos, en la que el denunciante afirma que le facturan la línea de un tercero (otro cliente). Aporta copia de adeudos en los que constan datos de ese cliente. 2. Los inspectores de la Agencia solicitan a los representantes de ORANGE el acceso a los Sistemas de Información de ORANGE, realizando las siguientes comprobaciones: 2.1. Se realiza una búsqueda en SIEBEL (CRM) del DNI ***DNI.1. Se comprueba que la referida persona es cliente de telefonía fija y móvil. El cliente ha tenido tres líneas de telefonía móvil: • línea con baja por portabilidad en noviembre de 2014 • línea de numeración ***TEL.1. • línea ***TEL.2 activa en la actualidad. Se comprueba que el número de cuenta que consta para la domiciliación bancaria es el ***CCC.1. (…) 2.2. Se realiza una consulta sobre las interacciones anotadas en SIEBEL respecto el denunciante verificando que figuran múltiples anotaciones, entre ellas las siguientes: • 12/08/2014, 11:02 llamada en la que el cliente desea que se realice cambio de domiciliación bancaria. Se realiza gestión. El operador que ***NÚM.1. (…) • 24/09/2014, 28/10/2014 dos incidencias donde el cliente pone de manifiesto que recibe cargos en su cuenta corriente de otro cliente. (…) 2.3. Se consulta el histórico de modificaciones realizadas sobre los datos del cliente el denunciante en facturación de líneas móviles BSCS (libreta roja) comprobando que constan múltiples modificaciones de datos, entre ellas. Se verifica que no se encuentra ningún reflejo de fecha 12/08/2014. (…) 2.4. Se realiza una consulta en facturación de líneas móviles (BSCS) utilizando como argumento de búsqueda el número de cuenta bancaria ***CCC.1. Se obtiene que dicha cuenta ha estado asignada a dos clientes: el denunciante y B.B.B.. (…) 2.5. Se realiza una consulta en facturación de líneas móviles (BSCS) utilizando como argumento de búsqueda el código de cliente ***CLIENTE.1, correspondiente a B.B.B.. Se verifica en la libreta roja que el 12/08/2104 a las 11:03 el agente ***NÚM.1 realiza el cambio de cuenta corriente de cargo a dicho cliente, consignando como nueva cuenta ***CCC.1. (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 2.6. Se realiza una consulta sobre las interacciones anotadas en SIEBEL respecto B.B.B. verificando que figuran múltiples anotaciones, no encontrándose ninguna de fecha 12/08/2014. (…) 2.7. Se realiza una consulta sobre las interacciones anotadas en PEOPLESOFT (líneas fijas) respecto B.B.B., ya que la tarifa canguro incluye conjuntamente líneas fijas y móviles, verificando que figura una anotación de fecha 12/08/2014, donde el cliente se enoja y manifiesta que no va a seguir pagando. (…) 2.8. Se realiza una consulta sobre las interacciones anotadas en PEOPLESOFT (líneas fijas) respecto el denunciante, que también tiene una línea fija, verificando que figura una anotación de fecha 12/08/2014, a las 11:15, por un agente de Recobros, donde el cliente solicita realizar un pago por tarjeta. (…) 3. Ante las comprobaciones efectuadas los representantes de ORANGE realizan las siguientes manifestaciones: 3.1. Con los datos existentes, no se puede explicar el motivo por el cual consta una interacción registrada el 12/08/2014 en el cliente el denunciante en la que el cliente desea que se realice cambio de domiciliación bancaria, y sin embargo no tiene reflejo en su libreta roja. Sin embargo sí consta en la libreta roja de B.B.B. el cambio de domiciliación bancaria que produjo los cargos en la cuenta corriente del denunciante. 3.2. Dado que ambas anotaciones están realizadas por el mismo código de agente (***NÚM.1) todo induce a que el mismo ha cometido un error, asignando la cuenta corriente de un cliente a otro. 3.3. Otra posibilidad es que el propio B.B.B. facilitó la cuenta corriente del denunciante intencionadamente” (los subrayados corresponden a la AEPD). (folios 11 a 13). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Se imputa a ORANGE en el presente procedimiento una infracción del artículo 4.3 de la LOPD, que señala que "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". La obligación establecida en el artículo 4.3 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 En este caso, ORANGE vinculó los datos de un tercero, cliente de la entidad, a un número de cuenta bancaria a efectos de domiciliación de recibos cuya titularidad correspondía al denunciante, también cliente de la entidad, circunstancia que motivo que los recibos con vencimientos 20/08/2014, 18/09/2014 y 17/10/2014 le fueran cargados en dicha cuenta, en los que figuraba como acreedor ORANGE y como deudor el tercero, cuyo nombre responde a B.B.B., en concepto de Orange Móvil 0814 y cuyos importes ascendían a 78,78 euros, 96,96 euros y 106,47 euros, respectivamente. Este comportamiento de ORANGE, supone una vulneración del principio de calidad de datos, recogido en el artículo 4.3, ya que las deudas asociadas al denunciante, ni eran ciertas ni respondían con veracidad a la situación actual del denunciante (en aquel momento). III Alega la representación de ORANGE la ausencia de culpabilidad en los hechos imputados, habiéndose producido como consecuencia de un error material cometido por el operador actuante al cruzar los datos de la cuenta del denunciante y los datos de facturación de B.B.B.. Sin embargo, tal alegato no puede ser admitido, ya que no cabe atribuir a dicha incidencia la condición de simple error material e involuntario, puesto que no se desprende de la conducta de la denunciada la existencia de un error invencible. Y esto, porque en el caso en cuestión, cuando la actividad de la entidad denunciada es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En el caso que nos ocupa el asignar y vincular un misma cuenta corriente a personas distintas y sin ninguna relación entre las mismas, consecuencia de la interacción de una de ellas, la domiciliación de sus pagos y como consecuencia imputar al denunciante deudas que no eran suyas, constituye una grave falta de diligencia de una entidad que por el volumen de datos tratados y su especialización debería actuar con un especial cuidado. Por ello la información tratada por ORANGE en sus ficheros no se ajustó al principio de exactitud y veracidad que proclama el artículo 4.3 de la LOPD. Es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia. A este respecto, debe considerarse lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual “... sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Pues bien, en el supuesto examinado ORANGE no actuó con la diligencia que le era exigible pues asocio los datos de facturación de un tercero, cliente de la entidad, en la cuenta bancaria titularidad del denunciante lo que provocó que fueran domiciliados y cargados en la misma tres recibos de telefonía móvil que no le correspondían. Esta falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a ORANGE, sin que sea necesario que exista dolo en su actuación. ORANGE en ningún caso debió vincular las citadas deudas al denunciante, debiendo poner especial cuidado en garantizar el principio de calidad del dato y de veracidad. IV De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
  4. c)tipifica como infracción grave "Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave". A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el supuesto que nos ocupa, la conducta de ORANGE ha vulnerado el principio de calidad del dato, artículo 4.3 de la LOPD; infracción que, tras la reforma introducida por la Ley 21/2011, se encuentran tipificada en el artículo 44.3.
  5. c)de la Ley Orgánica 15/1999. ORANGE ha incurrido en las infracción descrita ya que ha vulnerado dicho principio, consagrado en el artículo 4.3 de la LOPD, cuando vinculó los datos de facturación de un tercero asociándolos a la cuenta bancaria del denunciante, recibos que no le correspondían y que encuentran su tipificación en el artículo 44.3.
  6. c)de la citada Ley Orgánica. V El artículo 45.2, 4 y 5 de la LOPD establece que: "2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". ORANGE ha solicitado la aplicación subsidiaria del artículo 45. 5 de la LOOPD, como consecuencia de las circunstancias concurrentes en el presente caso (diligencia, e implantación de mecanismos de protección de datos), que disminuyen de forma cualificada la antijuridicidad y la culpabilidad de la entidad denunciada. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que ORANGE ha vulnerado el artículo 4.3 de la LOPD, al vincular los datos de un tercero, B.B.B. que también era cliente de la entidad, al número de cuenta bancaria titularidad del denunciante aportado a efectos de domiciliación de recibos, circunstancia que motivó que los datos de facturación de aquel, en concreto los recibos con vencimientos 20/08/2014, 18/09/2014 y 17/10/2014 cuyos importes ascendían a 78,78 euros, 96,96 euros y 106,47 euros fueran cargados en la citada cuenta, deudas que no le correspondían por lo que su actuación ha de ser objeto de sanción. Por tanto, no se dan las citadas circunstancias, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
  22. d)y
  23. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). ORANGE ha invocado la concurrencia de la letra
  24. b)del artículo 45.5 de la LOPD señalando que procedió a subsanar de forma inmediata la situación denunciada en cuanto tuvo conocimiento de la misma y la implementación de mecanismos de protección de los datos personales de sus clientes. Sin embargo, tales alegatos no puede aceptarse a la vista de los hechos considerados probados en el procedimiento. En relación con la primera de las cuestiones, lo que se observa es todo lo contrario a lo manifestado por la representación de la entidad, es decir, una absoluta falta de diligencia de la entidad por resolver la situación creada ante las continuas llamadas del denunciante para poner en conocimiento de la entidad la irregularidad de los cargos realizados en su cuenta y la falta de respuesta a la OMIC del Ayuntamiento de Elda (Alicante), lo que motivó la interposición de la reclamación ante la SETSI. En cuanto a la implantación de continuos mecanismos a fin de proteger los datos de carácter personal de la clientela, circunstancia prevista en el apartado
  25. i)del artículo 45.4 de la LOPD, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se trató de una anomalía del funcionamiento de los mismos, situación que debería mejorar con medidas adicionales para no incurrir en hechos similares a los imputados y que no pudieron ser evitados. Por otra parte, se advierten otras circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las agravantes previstas en los apartados c), del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de los clientes como de terceros; el apartado
  26. d)del artículo 45.4, “volumen de negocio” toda vez que se trata una de las grandes compañías de telefonía del país por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, en particular la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal (apartado b), el volumen de negocio del infractor (apartado d), se impone una sanción de 50.000 € por la infracción del artículo 4.3 de la LOPD de la que ORANGE debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE SAU, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  27. c)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE SAU, y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.