PS-00553-2017

1/10 Procedimiento Nº: PS/553/2017 RESOLUCIÓN R/00292/2018 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/553/2017, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE SAU. (ORANGE), vista las denuncias presentadas por Dª. A.A.A.; D. B.B.B.; Dª C.C.C. y D. D.D.D., y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 22/12/17, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ORANGE, mediante el acuerdo que se transcribe: <<” PRIMERO: Con fecha 27/12/16, tiene entrada en esta Agencia, escrito de Dª. A.A.A., (denunciante 1), donde indica que: “el día 16/12/16 recibe un “SMS” de ORANGE, informándole de las cuotas correspondientes a la compra de un terminal modelo IPHONE 7, sin haber contratado ningún terminal con ellos. Denuncia los hechos ante la Policía Nacional y ante la OMIC de ***LOC.1 (***LOC.2). Envía la copia de las denuncias a ORANGE el 23/12/16”. Aporta, entre otra, la siguiente documentación: a).- Denuncia interpuesta ante la Policía Nacional, el 22/12/16. b).- Escrito de fecha 05/01/17, dirigido a ORANGE donde vuelve a denunciar los hechos e indica que vuelve a enviar la denuncia interpuesta ante la Policía. c).- Factura 26/12/16; importe 31,25 euros: “Cuota mensual Terminal IPHONE 7”. d).- Factura 26/01/17; devolución 31,25 euros: “Abono devolución Terminal”. A la vista de los hechos denunciados, en fase actuaciones previas, la empresa ORANGE, remite, entre otra, la siguiente información: a).- Tras recibir la denuncia, ORANGE procedió a catalogar el mismo como fraude con fecha 12/01/17, y realizó los ajustes necesarios en la facturación. b).- Indica que la contratación del terminal se realizó a través de su web, “ECARE ORANGE”. Adjunta comprobante de la contratación del “renove” sobre el terminal IPhone 7. En éste figuran los datos de la denunciante, del terminal y las condiciones de pago con el texto: “Aceptado por el cliente electrónica o telefónicamente el 16/12/16”. c).- Con respecto al proceso implementado para validar la identidad del contratante, indica que se han implantado medidas adicionales con el fin de asegurar el consentimiento en la contratación y, en consecuencia, la identidad del titular que manifiesta el consentimiento. d).- Respecto a las interacciones mantenidas con la denunciante en relación a la compra del terminal, detalla las siguientes: a).- el 21/12/16, la entidad le envía un SMS indicando que debe remitir la denuncia por la compra fraudulenta a la dirección ***EMAIL.1 y b).- el 05/01/17, la entidad se pone en contacto con la denunciante para comunicarle cómo debe enviar la denuncia por la compra fraudulenta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 e).- Se aporta el albarán de entrega de la empresa de mensajería con fecha 20/12/17 del dispositivo móvil adquirido, en el domicilio (C/...1), constando como destinatario la denunciante con número de DNI ***DNI.1. SEGUNDO: Con fecha 19/04/17, tiene entrada en esta Agencia, escrito de D. B.B.B., (denunciante 2), donde indica que: “ORANGE ha tramitado a su nombre una portabilidad de una línea telefónica, la adquisición de un terminal móvil y el alta de un servicio de SmartTV, sin su consentimiento. Ha denunciado los hechos ante Policía Nacional y ante la OMIC del Ayuntamiento de ***LOC.2”. Aporta copia de la siguiente documentación: a).- Denuncia ante la Policía Nacional fechada a 04/04/17. b).- Reclamación en la OMIC del Ayuntamiento de ***LOC.2 con fecha 19/04/17. c).- Contrato de portabilidad conseguido de ORANGE a nombre del denunciante, en el que se puede leer en la sección inferior de firmas que ha sido “aceptado por el cliente electrónica o telefónicamente” con fecha de 05/12/16. En el área relacionada con la portabilidad figuran los datos de otra persona distinta al denunciante, E.E.E., con el mismo DNI del denunciante. En lo relativo a los datos de contacto del denunciante, figura un domicilio distinto al que se observa en la denuncia ante la AEPD. d).- Justificante del cargo realizado en la cuenta bancaria del denunciante a beneficio de ORANGE, el 14/02/17 y por importe de 47,20 euros. A la vista de los hechos denunciados, en fase actuaciones previas, la empresa ORANGE, remite, entre otra, la siguiente información: a).- Los datos personales relativos al denunciante que obran en sus sistemas y que coinciden con los que figuran en el contrato fraudulento. b).- Informan de que la contratación se llevó a cabo por el canal Internet. Detallan el procedimiento de activación de las líneas y portabilidades (ESHOP), y el procedimiento de verificación de la identidad de los contratantes. c).- El alta de la línea móvil ***TELF.1 se llevó a cabo el 09/12/16 y la cancelación de la línea tuvo como origen la comunicación telefónica del denunciante, el 03/04/17 y la recepción de la denuncia ante la Policía Nacional, recibida el 17/05/17. Tras la revisión del caso por parte del equipo de Análisis de Riesgos, el contrato fue categorizado como fraudulento y la línea telefónica fue dada de baja el 12/06/17. Asimismo, se han anulado todas las facturas emitidas. d).- Se aporta el albarán de entrega de la empresa de mensajería SEUR con fecha 07/12/16 del dispositivo móvil adquirido, en el domicilio (C/...2), constando como destinatario el denunciante con número de teléfono ***TELF.2 El albarán está firmado el 09/12/16. TERCERO: Con fecha 27/04/17, tiene entrada en esta Agencia, escrito de Dª. C.C.C., (denunciante 3), donde se indica que: “ORANGE ha tramitado a su nombre el alta de dos líneas telefónicas y la adquisición de un terminal móvil sin su consentimiento. Ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 denunciado los hechos en la Policía Autonómica y en el Instituto Vasco de Consumo”. Aporta copia de la siguiente documentación: a).- Denuncia ante la Policía Autonómica (Ertzaintza), el 19/04/17, b).- Reclamación ante el Instituto Vasco de Consumo, el 21/04/17. A la vista de los hechos denunciados, en fase actuaciones previas, la empresa ORANGE, remite, entre otras, la siguiente información: a).- Informan de que la contratación se llevó a cabo por el canal Internet. Detallan el procedimiento de activación de las líneas y portabilidades (ESHOP), y el procedimiento de verificación de la identidad de los contratantes. b).- Remite los contratos de portabilidad a nombre de la denunciante (constan su nombre, apellidos y su DNI), en el que se puede leer en la sección inferior de firmas que han sido “aceptados por el cliente electrónica o telefónicamente” con fechas 27/12/16 y 30/12/16. En el área relacionada con la portabilidad de ambos contratos figuran los datos de la denunciante con su mismo DNI. En la sección inferior de firmas se puede leer que la portabilidad ha sido “aceptada por el cliente (del operador donante) electrónica o telefónicamente”. En lo relativo a los datos de contacto de la denunciante, figura un domicilio distinto al que se observa en la denuncia ante la AEPD, c).- La categorización del contrato como fraudulento y la consiguiente cancelación de las líneas tuvo lugar en fecha 19/05/17 en base a las comunicaciones telefónicas de la denunciante (con fechas 19/04/17 y 20/04/17), la remisión de la denuncia ante la Ertzaintza, recibida con fecha 20/04/17, así como la reclamación ante el Gobierno Vasco, recibida con fecha 03/05/17. Asimismo, han procedido a anular todas las facturas emitidas. CUARTO: Con fecha 08/05/17, tiene entrada en esta Agencia, escrito de D. D.D.D., (denunciante 4), donde indica que: “ORANGE ha tramitado a su nombre el alta de una línea telefónica y la adquisición de un terminal móvil sin su consentimiento. Ha denunciado los hechos ante la Policía Nacional”. Aporta copia de la siguiente documentación: a).- Contrato de portabilidad conseguido de ORANGE a nombre del denunciante en el que se puede leer en la sección inferior de firmas que ha sido “aceptado por el cliente electrónica o telefónicamente” el 26/12/16. En el área relacionada con la portabilidad figuran también los datos del denunciante. En la sección inferior de firmas también consta que la portabilidad ha sido “aceptada por el cliente (del operador donante) electrónica o telefónicamente”. En lo relativo a los datos de contacto del denunciante, figura un domicilio distinto al que se observa en la denuncia ante la AEPD. b).- Denuncia ante la Policía Nacional fechada a 05/05/17. c).- Copia de los contactos por correo electrónico establecidos con la entidad. A la vista de los hechos denunciados, en fase actuaciones previas, la empresa ORANGE, remite, entre otras, la siguiente información: a).- Informan de que la contratación se llevó a cabo por el canal Internet. Detallan el procedimiento de activación de las líneas y portabilidades (ESHOP), y el procedimiento de verificación de la identidad de los contratantes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 b).- Los datos personales relativos al denunciante que obran en sus sistemas coinciden con los que figuran en el contrato fraudulento. c).- El alta de la línea móvil se llevó a cabo en fecha 28/12/16, y la baja tuvo lugar a raíz de la comunicación telefónica del denunciante, el 05/05/17 y tras ser revisado el caso por parte del equipo de Análisis de Riesgos, el alta de la línea fue categorizada como fraudulenta y las facturas fueron anuladas. d).- Se aporta copia de las facturas, que fueron enviadas a la dirección (C/...3). En la segunda factura, 506 euros responden a la cancelación de la venta a plazos del terminal iPhone 7 Plus. Se aporta también copia de las dos facturas rectificativas, emitidas con fecha 08/05/2017 y 17/05/2017 y de importe 0 euros, con las que acreditan que las originales han sido anuladas. e).- Se aporta el albarán de entrega de la empresa de mensajería SEUR con fecha 27/12/16 del dispositivo móvil adquirido, en el domicilio (C/...4), constando como destinatario el denunciante con número de teléfono ***TELF.3. El albarán está firmado el 28/12/16. f).- Los datos personales del denunciante no han sido inscritos en ningún fichero de solvencia por impago de la facturación mencionada. FUNDAMENTOS DE DERECHO En el presente caso, se denuncia a ORANGE por haber tratado los datos personales de los denunciantes, sin su consentimiento. A tenor del artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con su consentimiento inequívoco. Este consentimiento se dispensa al responsable del fichero cuando el tratamiento se refiere a las partes de un contrato y es necesario para su cumplimiento. Esto es porque el consentimiento está implícito en la propia contratación, pero únicamente si quien facilita los datos personales con ocasión de ello es efectivamente quien dice ser. Con la finalidad de que ORANGE pudiera demostrar que recabó y obtuvo de los denunciantes el consentimiento para el tratamiento de sus datos personales asociados a la contratación, o bien que con ocasión de la contratación había adoptado las medidas que la diligencia exige para asegurarse de que la persona que otorga el consentimiento es efectivamente el titular de los datos, se le requirió por la Inspección de Datos de la AEPD para que aportara información que acreditase estos extremos. ORANGE manifestó que la contratación se hizo a través de su página web cuyo protocolo implementado para validar la identidad de los contratantes, se fundamenta en que: “un cliente puede realizar un pedido de una alta nueva, migración o portabilidad. El cliente debe aceptar las condiciones generales y de contratación para que su pedido se haga en firme. La entrega del pedido sólo se realizará al titular del pedido o persona autorizada, previa presentación de documento original de identidad. El cliente deberá firmar el albarán de entrega en el momento de la entrega. Tras la activación, se enviará al cliente un correo electrónico informándole de la activación y facilitándole copia del contrato y la factura de compra de su pedido. Finalmente ORANGE incorpora la copia del contrato asociado al cliente en un sistema de Gestión Documental, junto con el albarán de entrega del bien adquirido”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 ORANGE expone también las medidas adicionales implantadas en el momento de la contratación a través de Internet. En este caso indican que: “requieren los códigos MRZ del DNI y fecha de caducidad del mismo. También se realiza la entrega de pedidos en las oficinas de Correos y puntos de venta pertenecientes al canal de distribución de la compañía, opción que se ofrece de forma voluntaria a los clientes que ya tienen algún otro servicio contratado con ORANGE y de forma imperativa a nuevas contrataciones que conllevan la adquisición de un terminal de alta gama”. Incumbe a ORANGE la carga de acreditar que ha recabado el consentimiento inequívoco del titular de los datos objeto de tratamiento o, al menos, que ha adoptado las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD, artículo 6.1. II Pues bien, en el presente caso, con respecto a las denuncias presentada por Dª. A.A.A. y por Dª. C.C.C., a pesar de que en los contratos figura que: “fueron aceptados electrónica o telefónicamente”, por las denunciantes, ORANGE no ha aportado prueba de que tal contratación se realizase por estas personas; esto es, acreditación de las marcas realizadas a la hora de realizar la contratación por web (log de la contratación) o que indiquen que se cumplieron los protocolos de actuación a la hora de validar los datos personales tal y como argumenta la compañía en sus escritos (código de MRZ o fecha de caducidad del DNI, por ejemplo), ni ha aportado albarán alguno de entrega del pedido (en el caso de Dª C.C.C.), ni el envío de correos electrónicos informando de la activación del servicio, ni documento alguno acreditativo de la identidad de los contratantes. Con respecto a la denuncias presentadas por D. B.B.B. y por D. D.D.D., a pesar de que en el contrato figura que: “fue aceptado electrónica o telefónicamente”, por los denunciantes, ORANGE no ha aportado prueba de que tal contratación se realizase por estas personas; esto es, acreditación de las marcas realizadas por el contratante (log de la contratación) que indiquen que se cumplieron los protocolos de actuación a la hora de validar los datos personales tal y como argumenta la compañía en sus escritos, como el código de MRZ o fecha de caducidad del DNI, por ejemplo, ni el envío de los correos electrónicos informando de la activación del servicio y facilitando copia del contrato. Aporta albarán de entrega del pedido en domicilios diferentes al que los interesados indican en sus denuncias, firmados pero sin la indicación completa de quien los recibe. En atención a lo expuesto en los párrafos precedentes y tomando en consideración que la entidad denunciada no ha presentado ninguna prueba del consentimiento inequívoco de los denunciantes en la contratación por vía electrónica, ni ha aportado tampoco prueba alguna que demuestre que articuló los mecanismos necesarios que evitaran el fraude en dicha contratación, se concluye que la conducta de ORANGE descrita vulnera el principio que proclama el artículo 6.1 de la LOPD. Esta infracción se encuentra tipificada como "GRAVE" en el artículo 44.3.

1. b)de la LOPD, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.3 de la citada Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción del presente expediente, no procede en este caso atender a lo estipulado en el artículo 45.5.
2. b)de la LOPD. Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD: a).- El carácter continuado de la infracción, al estar activas las líneas telefónicas, durante varias semanas sin haber realizado la verificación de los clientes de forma debida, (apartado 4.a). b).- Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c). c).- Por el volumen de negocio de la entidad denunciada, (apartado 4.d). d).- La empresa ha mostrado una falta de diligencia en la adopción de medidas adecuadas para gestionar el seguimiento del tratamiento de los datos personales sus cliente, máxime si se valora que como entidad conocedora de la normativa de protección de datos le resulta exigible un especial rigor y cuidado en orden a garantizar el respeto a los derechos y principios establecidos en la LOPD y, sin embargo, su conducta no se ha ajustado, desde el punto de vista de la protección de datos, a las exigencias mínimas que derivan de su actividad, de la que se infiere un continuo tratamiento de datos personales, (apartado f). e).- La reincidencia por comisión de infracciones de la misma naturaleza de la entidad denunciada, (apartado 4.g). f).- La empresa ha mostrado una ineficaz gestión en el proceso de verificación y validación de los datos personales de los clientes y/o futuros clientes y una ausencia importante en el rigor que se debe poner en ello para que se impida la comisión de infracciones de similar naturaleza (criterio j). Se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios atenuantes, que establece el artículo 45.4 de la LOPD: a).- La empresa, cuando recibe notificación de las reclamaciones por fraude en la usurpación de la identidad regulariza de forma diligente la situación. En el primer caso, con 5 días de diferencia (05/01/17 al 12/01/17); en el segundo caso con 25 días de diferencia (17/05/17 al 12/06/17); en el tercer caso, con 15 días de diferencia (03/5/17 al 19/05/17) y en el último caso, tras la recepción de la reclamación por parte del denunciante, el 05/05/17. Todas ellas, incluso antes de la recepción del requerimiento de información por parte de esta Agencia (apartado j). El balance de las circunstancias contempladas en el artículo 45 de la LOPD, permite fijar una sanción conjunta por las cuatro denuncias, de 200.000 euros (dos cientos mil euros). SE ACUERDA: 1. INICIAR: PROCEDIMIENTO SANCIONADOR a la empresa ORANGE ESPAGNE SAU, con arreglo a lo dispuesto en el artículo 127 de RLOPD, por la presunta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 infracción del artículo 6.1 de la LOPD, en relación con el tratamiento de los datos personales, tipificado como GRAVE en el artículo 44.3
3. b)de la citada Ley. 2. NOMBRAR: como Instructor a D. F.F.F., (y Secretario, en su caso a D. G.G.G.), indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR: al expediente sancionador, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE: a los efectos previstos en el art. 64.2
4. b)de la LPACAP y art. 127 letra
5. b)del RLOPD, y atendiendo a lo señalado en el artículo 45 de la LOPD, la sanción que pudiera corresponder sería de 200.000 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR: el presente Acuerdo a ORANGE ESPAGNE SAU, indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
6. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
7. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 40.000 euros. Con la aplicación de esta educción, la sanción quedaría establecida en 160.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 40.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 160.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 120.000 EUROS. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (160.000 o 120.000 EUROS), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/553//2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
8. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. SEGUNDO: Con fecha 01/02/18, tuvo entrada en esta Agencia escrito de la entidad ORANGE, en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. TERCERO: Con fecha 07/02/18, la entidad ORANGE, ha procedido al pago de la sanción en la cuantía de 120.000 euros, haciendo uso de las reducciones previstas en el acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento: conformidad con lo establecido en el artículo 85 de la LPACAP. PS/553/2017, de SEGUNDO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es