1/8 Procedimiento Nº PS/00554/2017 RESOLUCIÓN: R/00377/2018 De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ORANGE ESPAGNE SAU (JAZZTEL), en virtud de denuncias presentadas por D. A.A.A., y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 23/05/17, tiene entrada en esta Agencia, escrito de D. A.A.A., (denunciante-1), donde indica que: “JAZZTEL ha tramitado la portabilidad de su línea telefónica ***TLF.1 contratada con otro operador sin su consentimiento. Ha denunciado el asunto en la Policía Autonómica, en la OMIC local y en la Secretaría de Estado de Telecomunicaciones y S.I. (SETSI). El denunciante aporta, entre otra, la siguiente documentación: Escrito, de fecha 29/12/16, que remite la OMIC de la Mancomunidad de Servicios Uribe Kosta (OMIC UK), a JAZZTEL y a MOVISTAR, a raíz de la reclamación interpuesta por el denunciante. Contestación de JAZZTEL dirigida a la OMIC UK, fechada el 11/01/17, donde se indica que el denunciante contrató los servicios asociados a la línea ***TLF.1 , el 16/12/16 y fueron desactivados con fecha 29/12/16, habiendo recibido solicitud de portabilidad donante a favor de otro operador. Instan a interponer denuncia en lo relativo a la usurpación de identidad. No se consideran competentes para valorar si el abonado ha sido objeto de suplantación o robo de datos; sin embargo, estiman que la contratación se ajustó a lo establecido en la Circular 1/2009 de la CMT y adjuntan grabación donde consta el consentimiento del abonado. Denuncia interpuesta ante la Ertzaintza (Policía Autonómica), el 02/01/17. En ella denuncia la contratación indebida por suplantación de identidad. Escrito de fecha 12/01/17, que remite la OMIC UK a JAZZTEL y a MOVISTAR en el que se adjunta la denuncia ante la Ertzaintza interpuesta días antes. Contestación de JAZZTEL dirigida a la OMIC UK con fecha 24/01/17. En ella le ofrecen ajustes en las facturas, pero no entran a abordar la cuestión de la usurpación de identidad, por no considerarse competentes para ello. Contestación de MOVISTAR dirigida a la OMIC UK, con fecha 12/01/17. En ella le explican que están obligados a aceptar todas las solicitudes de portabilidad cuyos parámetros de titular y tipo de línea coincidan con los que tienen almacenados en sus sistemas. Afirman que el cliente ya ha recuperado el servicio con MOVISTAR el día 07/01/17. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Escrito, fechado el 06/02/17, de la OMIC UK dirigido a JAZZTEL en el que se discute la cantidad ajustada. Consta contestación de JAZZTEL con fecha 09/02/17 en la que se ratifican en los ajustes realizados. Escrito, fechado el 23/02/17, de la OMIC UK dirigido a la Secretaría de Estado de Telecomunicaciones y Sociedad de la Información (SETSI), con el mismo contenido que las anteriores reclamaciones y explicación de todo lo ocurrido. Contestación de la empresa denunciada JAZZTEL dirigida a la SETSI con fecha 15/03/17. Se ratifican en todo lo dicho hasta el momento, centrando la cuestión en los ajustes y las devoluciones. A la vista de los hechos denunciados, en fase actuaciones previas, la empresa JAZZTEL, remite, entre otras, la siguiente información, referida al denunciante-1: En los sistemas de información de su empresa, constan los datos del denunciante que coincide con los que él proporciona en su denuncia. El servicio contratado consistió en línea telefónica fija ***TLF.1 . La fecha de contratación fue el 27/12/16 y la fecha de baja el 11/01/17, tras la comunicación efectuada por él, no reconociendo la contratación de los servicios, sin penalización alguna, por encontrarse dentro del período de desistimiento. Solo se llegó a emitir una factura real, con fecha 02/01/17, de importe 4,94 euros. Esta fue ajustada posteriormente con sendos ajustes a raíz de la recepción de la denuncia policial del denunciante y la revisión del caso por parte del Equipo de Análisis y Riesgos, concluyendo con la categorización de la contratación como fraudulenta y la anulación de las facturas. Aportan una grabación de la parte final de la contratación de la mencionada portabilidad, no se trata de una grabación de verificación. Según el escrito de alegaciones, la grabación fue realizada con fecha 17/12/16, pero no se escucha ninguna fecha en la grabación. En la misma, la operadora da por supuesto que el interlocutor tiene el nombre, apellidos y DNI del denunciante, sin esperar confirmación por parte del interlocutor, y tampoco pregunta si el interlocutor es el titular de la línea a portar. Después de describir los servicios contratados, confirma el teléfono de contacto ( ***TLF.2) y pregunta por una dirección electrónica de contacto, que el interlocutor dice no tener. No se menciona domicilio, código de solicitud, número a portar, ni operador de procedencia. Se indica que la verificación de la contratación fue realizada por la empresa TRIA GLOBAL SERVICE S.L. (QUALYTEL), cumpliendo los requisitos establecidos en las circulares 1/2009 y 1/2008 de la CMT. SEGUNDO: Con fecha 25/05/17, tiene entrada en esta Agencia, escrito de D. A.A.A., (denunciante-2), donde indica que: “La empresa JAZZTEL ha tramitado la portabilidad de su línea telefónica ***TLF.3 contratada con otro operador sin su consentimiento. Ha denunciado el asunto en la Policía Autonómica, en la OMIC local y en la Secretaría de Estado de Telecomunicaciones y S.I. (SETSI). El denunciante aporta, entre otra, la siguiente documentación: Reclamación, fechada el 29/12/16, ante la OMIC de la Mancomunidad de Servicios Uribe Kosta (OMIC UK), contra las empresas MOVISTAR y JAZZTEL, por la baja de la línea contratada en MOVISTAR ( ***TLF.3) y su alta en JAZZTEL sin su autorización. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Contestación de JAZZTEL dirigida a la OMIC UK, con fecha 11/01/17, donde se indica que se contrataron los servicios asociados a la línea ***TLF.3 con fecha 13/12/16 y fueron desactivados con fecha 29/12/16, habiendo recibido solicitud de portabilidad donante a favor de otro operador. Instan a interponer denuncia en lo relativo a la usurpación de identidad. No se consideran competentes para valorar si el abonado ha sido objeto de suplantación o robo de datos; sin embargo, estiman que la contratación se ajustó a lo establecido en la Circular 1/2009 de la CMT y dicen adjuntar grabación donde consta el consentimiento del abonado. Contestación de la empresa MOVISTAR dirigida a la OMIC UK con fecha 12/01/17 y 19/01/17 donde Informan de que la solicitud de portabilidad de la línea en cuestión se recibió el 19/12/16, y, tras realizar las validaciones oportunas, se portó la línea el 27/12/16 y el 02/01/17 la línea fue recuperada. Denuncia interpuesta ante la Ertzaintza (Policía Autonómica) con fecha 13/01/17. En ella denuncia una suplantación de identidad. Contestación de JAZZTEL dirigida a la OMIC UK, con fecha 26/01/17. Indican que como el servicio para la línea ***TLF.3 no llegó a portarse completamente, no llegó a generar facturación. El denunciante no consta como cliente de la compañía. Carta de la Secretaría de Estado para la Sociedad de la Información y la Agenda Digital (SESIAD), el 15/02/17, de apertura de expediente sobre las líneas telefónicas asociadas ***TLF.3. Contestación de JAZZTEL dirigida a la SESIAD con fecha 23/02/17. Indican que el denunciante se encuentra al corriente de pago con ellos. Contestación de TELEFONICA dirigida a la SESIAD con fecha 17/02/17 donde indican que la línea ***TLF.3 causó baja por portabilidad el 27/12/16, atendiendo a la petición recibida el 19/12/16, correctamente validada y sin causa de denegación, según la normativa vigente. Todas las cuotas han sido compensadas. En relación con la línea ***TLF.3, no ha sido portada y no consta que haya habido interrupción alguna en el servicio. Resolución de la SESIAD, de fecha 03/04/17. En ella se estima que el proceso de portabilidad de la línea no ha sido regular, al no haberse tenido en cuenta lo dispuesto en el art. 44 del RD 2296/2004, de 10 de diciembre, donde se requiere la conformidad del abonado. Contestación de la empresa denunciada JAZZTEL dirigida al denunciante con fecha 21/04/17. Informan de que han recibido resolución de la SESIAD y en cumplimiento de la misma le comunican que la línea ***TLF.3 no está activa en JAZZTEL y que no hay cargos emitidos asociados a la misma. A la vista de los hechos denunciados, en fase actuaciones previas, la empresa ORANGE ESPAGNE SAU (JAZZTEL), remite, entre otras, la siguiente información, referida al denunciante 2: No existe en sus sistemas ningún cliente cuyo identificador coincida con el del denunciante. Tampoco consta contrato alguno suscrito con su nombre y DNI. La línea ***TLF.3, se encuentra asociada a la ficha de otro cliente, consta portada a ORANGE con fecha 27/12/16 y dada de baja el 02/01/17. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 En los contactos con el denunciante, constan: o Con fecha 29/12/16 reciben su reclamación a través de un Servicio de Consumo. JAZZTEL instan a interponer denuncia en lo relativo a la usurpación de identidad. No se consideran competentes para valorar si el abonado ha sido objeto de suplantación o robo de datos. o Con fecha 16/01/17 reciben la denuncia policial. El Grupo de Análisis y Fraude no calificó la contratación como fraudulenta por no encontrar facturación generada alguna en relación con la línea en cuestión. Sin embargo, al confirmar que la factura se encontraba en período de facturación, se procedió a realizar el ajuste oportuno. o Con fecha 15/02/17 reciben la reclamación de la SESIAD. Es en este momento en el que el Grupo de Análisis y Fraude califica la contratación como fraudulenta y proceden a realizar el ajuste oportuno. Aportan dos facturas en las que se hicieron cargos y ajustes relacionados con esta contratación. Ambas están dirigidas a otra persona, en el periodo comprendido entre el 23/01/17 y 21/03/17. Defienden que no tienen ninguna responsabilidad en el hecho objeto de la denuncia, (en la portabilidad de la línea fija de número ***TLF.3), puesto que: “cuando el portador donante recibe la petición de portabilidad, ha de constatar los datos del cliente para evitar este tipo de casos fraudulentos”. No acreditan de ningún modo (grabación, contrato en papel) el consentimiento del titular de la mencionada línea fija (i.e. el denunciante) para realizar la portabilidad de dicha línea a la empresa denunciada. TERCERO: Con fecha 01/12/17, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad JAZZTEL, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de la entidad denuncia, mediante escrito de fecha 03/01/18, formuló, en síntesis las siguientes alegaciones: “<< Respecto de la supuesta infracción en relación con el denunciante-1 indica que los datos del denunciante fueron utilizados de mala fe por un tercero para la contratación de la línea ***TLF.1 . En este sentido, existe una contratación perfectamente válida y conforme a la normativa vigente, así como a la propia doctrina de esa Agencia y de la Audiencia Nacional. Por error, en el marco del expediente de actuaciones previas se aportó únicamente la grabación de la contratación previa a la verificación de la portabilidad y por este motivo, en el Acuerdo de Inicio se indica este hecho. Se adjunta a estas alegaciones la grabación de la verificación de la contratación de la línea ***TLF.1 realizada por JAZZTEL el día 16/12/16 que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 realizó de conformidad con los requisitas establecidos legalmente realizando la verificación la empresa Tris Global Service, S.L. (Qualytel), Por todo lo anterior, ORANGE actuó con la diligencia debida y trató los datos del denunciante en virtud de la presunta relación contractual existente entre las partes, con la creencia de contratar con el verdadero titular de los mismos, debiendo en consecuencia esa Agencia archivar las actuaciones contra mi representada en aplicación de la doctrina de la Audiencia Nacional y de la propia de esa Agencia: resolución R/022227/2015 del P510029812016; resolución R/022227/2015 del PS/00588/2016 y resolución R/03012/2017 del PS/00289/2016. Respecto de la infracción en relación con el denunciante-2, se indica que: “Por medio del presente escrito, procedemos a reconocer la responsabilidad de ORANGE a los efectos de lo dispuesto en el artículo 85.1 LPACAP al pago voluntario de la sanción de 36.000€, tras la aplicación de lo dispuesto en el referido artículo 85.1 LPACAP, así como en el artículo 85.2 de dicha norma, renunciando ORANGE a cualquier acción o recurso en vía administrativa contra la sanción. Solicita por último que se dicte resolución acordando el ARCHIVO DE LAS ACTUACIONES en relación con el denunciante-1 y la resolución de terminación de procedimiento sancionador por pago voluntario del denunciante-2>>”. En la mencionada grabación de la verificación de la contratación aportada junto a estas alegaciones se puede apreciar que: fue realizada el 16/12/16, realizada por tercera empresa, se manifiesta en el curso de la misma: que se van a finalizar la contratación de los servicios con JAZZTEL con código ***COD.1; que la conversación va a ser grabada, que el nombre es: A.A.A.; que realiza la portabilidad de la línea ***TLF.1 desde la compañía Telefónica. QUINTO: Con fecha 22/01/17, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/3949/17 y E/4386/17 y b).dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00554/2017, presentadas por la representación de la entidad denunciada. SEXTO: Con fecha 12/02/18, se notifica la propuesta de resolución consistente en que, por parte de la Directora de la Agencia Española de Protección de Datos, se sancionara a la entidad ORANGE/JAZZTEL por una infracción del artículo 6.1) de la LOPD tipificada como grave en el artículo 44.3.
- b)de dicha norma, con una multa de 45.000 (cuarenta y cinco mil euros) de conformidad con lo establecido en el artículo 45.2 y 4.) de la citada ley Orgánica y con la reducción que en su caso proceda conforme a lo dispuesto en el artículo 85.2 de la Ley 39/2015. SEPTIMO: Notificada la propuesta de resolución, la entidad ORANGE/JAZZTEL, presenta, en el periodo concedido para ello, alegaciones a la propuesta, en la que indican: “Conformidad con la Propuesta de Resolución: Orange se muestra conforme con la propuesta de resolución de 45.000 euros y con la correspondiente reducción indicada en el artículo 85.2 de la Ley 39/2015, quedaría reducida a 36.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Orange ya ha procedido al pago voluntario de la sanción de 36.000 euros el 09/01/18. Se adjunta justificante del pago efectuado. Se solicita, por tanto, que se dicte resolución de terminación del procedimiento por pago voluntario. HECHOS PROBADOS Respecto del denunciante-1: a).- En los sistemas de información de JAZZTEL, constan los datos del denunciante que coincide con los que proporciona en su denuncia. b).- El servicio contratado consistió en portabilidad de la línea telefónica fija ***TLF.1 . La fecha de contratación fue el 27/12/16 y la fecha de baja el 11/01/17, tras la comunicación efectuada por denunciante 1 no reconociendo la contratación de los servicios por encontrarse dentro del período de desistimiento. c).- Solo se llegó a emitir una factura real, con fecha 02/01/17, de importe 4,94 euros, ajustada cuando se declaró como fraude. d).- Aportan una grabación de la contratación de la mencionada portabilidad, no se trata de una grabación de verificación. e).- En fase de alegaciones al acuerdo de inicio Jazztel aporta grabación de verificación por la entidad TRIA GLOBAL SERVICE S.L. (QUALYTEL), cumpliendo los requisitos establecidos en las circulares 1/2009 y 1/2008 de la CNMC, donde se aprecia que: “se va a finalizar la contratación de los servicios con JAZZTEL con código ***COD.1; que la conversación va a ser grabada, que el nombre es: A.A.A.; que realiza la portabilidad de la línea ***TLF.1 desde la compañía Telefónica y que tiene 14 días para desistir del mismo, aceptando el interlocutor todos los datos, así como las condiciones del contrato que le son explicadas. Respecto del denunciante-2: a).- No existe en sus sistemas ningún cliente cuyo identificador coincida con el del denunciante. Tampoco consta contrato alguno suscrito con su nombre y DNI. b).- La línea ***TLF.3, se encuentra asociada a tercera persona, constando portada a ORANGE desde Movistar con fecha 27/12/16 y dada de baja el 02/01/17. c).- Aportan dos facturas en las que se hicieron cargos y ajustes relacionados con esta contratación. Ambas están dirigidas a otra persona, y corresponden al periodo comprendido entre el 23/01/17 y 21/03/17. d).- No acreditan el consentimiento en la contratación del titular de la mencionada línea ( ***TLF.3). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. ORANGE7JAZZTEL, es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita por razones de competencia relacionados con el artículo 6.1) de la LOPD, donde se establece la obligación del consentimiento previo del afectado al tratamiento de sus datos personales. No obstante, ORANGE/JAZZTEL, en sus alegaciones a la incoación del expediente presenta, respecto del primer caso (denunciante-1), una grabación de verificación de datos personales e indica que: “actuó con la diligencia debida y trató los datos del denunciante en virtud de la presunta relación contractual existente entre las partes, con la creencia de contratar con el verdadero titular de los mismos (…)” y que esta Agencia deberá archivar dicho caso en aplicación de la doctrina de la AN y de la propia Agencia, véase las resoluciones: R/022227/2015 del P510029812016; R/022227/2015 del PS/00588/2016 y R/03012/2017 del PS/00289/2016. En este caso, (denunciante-1), de las pruebas aportadas durante el procedimiento, consta acreditada la diligencia debida por parte de Jazztel en la contratación habida cuenta que ha presentado tanto grabación de contratación como de verificación por entidad independiente conforme a la circular 12/2009 de la CNMC, así como haber procedido a la regularización de forma diligente de la situación irregular denunciada. Respecto del denunciante-2, procede a reconocer su responsabilidad a los efectos de lo dispuesto en el artículo 85.1 LPACAP, renunciando a cualquier acción o recurso en vía administrativa contra la sanción, solicitando, respecto de este segundo denunciante la resolución de terminación del procedimiento sancionador por pago voluntario. III Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción del presente expediente, no procede en este caso atender a lo estipulado en el artículo 45.5.
- b)de la LOPD. Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el artículo 45.4 de la LOPD: El carácter continuado de la infracción, al estar al estar activas las líneas telefónicas, durante varias semanas sin haber realizado la verificación de los clientes de forma debida, (apartado 4.a). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c). Por el volumen de negocio de la entidad denunciada, (apartado 4.d). La empresa ha mostrado una falta de diligencia en la adopción de medidas adecuadas para gestionar el seguimiento del tratamiento de los datos personales sus cliente, máxime si se valora que como entidad conocedora de la normativa de protección de datos le resulta exigible un especial rigor y cuidado en orden a garantizar el respeto a los derechos y principios establecidos en la LOPD y, sin embargo, su conducta no se ha ajustado, desde el punto de vista de la protección de datos, a las exigencias mínimas que derivan de su actividad, de la que se infiere un continuo tratamiento de datos personales, (apartado f). La reincidencia por comisión de infracciones de la misma naturaleza de la entidad denunciada, (apartado 4.g). La empresa ha mostrado una ineficaz gestión en el proceso de verificación y validación de los datos personales de los clientes y/o futuros clientes y una ausencia importante en el rigor que se debe poner en ello para que se impida la comisión de infracciones de similar naturaleza (criterio j). De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE/JAZZTEL, una sanción de 45.000 (cuarenta y cinco mil euros), por infracción del artículo 6.1) de la LOPD, de conformidad con lo establecido en el artículo 45 de la citada Ley. SEGUNDO: ACEPTAR la solicitud de ORANGE/JAZZTEL, de acogerse a la reducción de la sanción en un 20%, conforme a lo establecido en el artículo 85.2 de la Ley 39/2015 LPACAP , y al pago efectuado el 09/01/18, de 36.000 euros. TERCERO: DECLARAR la terminación del procedimiento: PS/554/2017, de conformidad con lo establecido en el artículo 85.2 de la LPACAP. CUARTO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE SAU. (JAZZTEL) De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es