PS-00597-2017

1/8 Procedimiento Nº PS/00597/2017 RESOLUCIÓN: R/00663/2018 En el procedimiento sancionador PS/00597/2017, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U. (JAZZTEL), vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: PRIMERO: En fecha 18/05/2017 tiene entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a ORANGE ESPAGNE, S.A.U. (JAZZTEL) (en lo sucesivo la denunciada) ya que le reclama el pago de dos teléfonos móviles que se adquirieron usurpando su identidad. Acompaña, entre otros, copia de los siguientes documentos: - Fotocopia de su D.N.I. donde el domicilio de ***DIRECCIÓN.1 (Madrid). - Denuncia presentada el 8/03/2017 ante la Dirección General de Policía en las dependencias de la Oficina de Denuncias de Parla, en la que pone de manifiesto los hechos referidos, y en la que se recoge que por información de la compañía telefónica los terminales fueron entregados en la calle ***DIRECCIÓN.2. También manifiesta que nunca ha extraviado su documentación personal. - Formulario de reclamación de 19/04/17 presentado en la Oficina Municipal de Información al Consumidor (OMIC) del Ayuntamiento de Parla. - Solicitud de Arbitraje a la Junta Arbitral Regional de Consumo de la Comunidad de Madrid de 19/04/2017, solicitando además “daños y perjuicios ocasionados por quebrantamiento de lo establecido en la ley de protección de datos”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad denunciada, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas E/03966/2017 que se transcribe: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 La empresa ORANGE ESPAGNE, S.A.U. (JAZZTEL) en su escrito de fecha de registro 10/08/2017 (número de registro ***REG.1) ha remitido la siguiente información pertinente a los efectos de la investigación:  Impresión de pantalla con los datos del denunciante que obran en sus sistemas. Se observan dos domicilios: ***DIRECCIÓN.2, a efectos de “información” y “envío logística”, y ***DIRECCIÓN.1 en las categorías de “facturación”, “envío contrato”, “información”, “instalación”, “Envío facturas”, “Envío logística” y “Sede Social”. El teléfono móvil de contacto registrado es ***TLF.1 y el correo electrónico ***EMAIL.1  El histórico de servicios contratados por el denunciante es como sigue:  o Línea telefónica fija con Internet, asociado al número ***TLF.2. Consta alta con fecha 21/10/2015 y baja con fecha 04/05/2015 (debe ser un error tipográfico; según se lee en las facturas aportadas debería ser 04/05/2017) o Sendas líneas telefónicas móviles con datos, asociadas a los números ***TLF.3 y ***TLF.4. Consta alta con fecha 06/11/2015 y baja con fecha 08/05/2017. o Sendas líneas telefónicas móviles con datos, asociadas a los números ***TLF.5 y ***TLF.6. Consta alta con fecha 09/05/2017 (debe existir error tipográfico; según se lee en las facturas aportadas debería ser 09/02/2017) y baja con fecha 05/03/2017. o El detalle de la adquisición de los terminales se encuentra a medio redactar. Solo se puede leer el comienzo de una frase: “Se adquiere”. En lo relativo a las facturas generadas, se muestra una larga lista, de las cuales son relevantes las siguientes (se aporta copia de las mismas): o o C/ Jorge Juan, 6 28001 – Madrid Factura emitida con fecha 16/02/2017 de importe 128,10 euros. En ella se observan cargos relativos a los números de teléfono considerados fraudulentos:  Cargo de 21,4880 euros (sin impuestos) por la primera cuota asociada al pago aplazado del dispositivo Samsung S7 Edge Negro con el servicio de línea de número ***TLF.7. La tarifa móvil de dicho número, que da servicio desde 09/02/2017, tiene un descuento del 100%, con lo que no se hace ningún cargo por este concepto.  Cargo de 21,4880 euros (sin impuestos) por la primera cuota asociada al pago aplazado del dispositivo Samsung S7 Edge Negro con el servicio de línea de número ***TLF.6. La tarifa móvil de dicho número, que da servicio desde 09/02/2017, tiene un descuento del 100%, con lo que no se hace ningún cargo por este concepto.  Cargo de 9,95 euros (sin impuestos) por los gastos de envío de los terminales. Factura emitida con fecha 16/03/2017 de importe -6,79 euros. En esta se ha incluido un abono sobre la factura anterior, por valor de 52,91 euros (sin impuestos). Este importe resulta de sumar los cargos www.agpd.es sedeagpd.gob.es 3/8 asociados al pago de la primera cuota de los dos terminales adquiridos fraudulentamente y los gastos de envío. En esta factura se visualizan las dos líneas telefónicas fraudulentas pero sin gastos asociados. Se colige, por tanto, que con esta factura la empresa regulariza la situación creada por el suplantador con la adquisición de los terminales y el alta de las líneas asociadas.    o Factura emitida con fecha 16/04/2017 de importe 0 euros. En esta se observa un abono sobre la factura anterior, de 47,2971 euros, pero no se aporta la razón por la cual se realiza dicho abono. No se observan ya los números de línea telefónica contratados fraudulentamente. o Factura emitida con fecha 16/05/2017, de importe 42,77 euros. Esta factura es la última emitida para el denunciante, ya que con fechas 04/05/2017 y 08/05/2017 se da de baja de todos sus servicios contratados. Los cargos responden todos a consumo real, y no se observan los números de línea telefónica contratados fraudulentamente. La empresa apunta que esta factura es la única que a día de redacción del escrito no ha sido abonada por el cliente, con lo que éste se encuentra en deuda actualmente con ellos. Las comunicaciones con el denunciante han sido las siguientes: o Con fecha 27/02/2017, el cliente se pone en contacto con la empresa en relación a la factura generada, ya que se le están cobrando dos terminales que él no ha solicitado. El cliente solicita la baja. o Con fecha 03/03/2017, el cliente indica que no va a pagar la factura, por tratarse de un caso de usurpación de la identidad. o Con fecha 20/03/2017, se recibe fax del cliente con la denuncia policial. La contratación se realizó por vía telefónica. La empresa aporta grabación de la verificación de la contratación llevada a cabo supuestamente con fecha 06/02/2017. La grabación consta de dos pistas de audio. o La primera está relacionada con la adquisición de los terminales. El operador pregunta al interlocutor si su nombre, apellidos y DNI son los del denunciante, contestando éste afirmativamente. El operador pregunta si la dirección de envío de los terminales va a ser ***DIRECCIÓN.1 y el interlocutor asiente. Tras la descripción de los servicios y productos contratados, confirma el teléfono de contacto real del denunciante (***TLF.3) y una dirección de correo electrónico distinta (***EMAIL.2), a la que le mandarán la orden de domiciliación bancaria. o La segunda es la verificación de la portabilidad de las dos líneas telefónicas móviles. El operador indica código de solicitud y fecha y hora de la grabación (17:23 del día 06/02/2017). El operador pregunta al interlocutor si su nombre, apellidos y DNI son los del denunciante y si es titular de las líneas a portar, cuyos números son ***TLF.5 y ***TLF.6. El interlocutor asiente. El operador pide confirmación de la dirección ***DIRECCIÓN.1 y el interlocutor asiente. La procedencia de las líneas es el operador ORANGE. En el CD que se aporta como soporte de la grabación, también se encuentran dos documentos PDF con los contratos generados de forma automática a partir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 de las grabaciones. En ellos se puede observar que las líneas a portar efectivamente procedían del operador ORANGE pero eran de pre-pago. En el área de firma de ambos se lee “Contratación aceptada mediante VPT (telefónicamente) el 06/02/2017 a las 17:33:09”. No se especifica la dirección fraudulenta a la que finalmente fueron enviados los terminales.  La empresa afirma que la verificación de la contratación fue realizada por la empresa TRIA GLOBAL SERVICE S.L. (QUALYTEL), con CIF B83919506 y cumpliendo los requisitos establecidos en las circulares 1/2009 y 1/2008 de la CMT. No aportan el contrato de prestación de servicios con dicha empresa por haberlo proporcionado en expedientes anteriores, pero queda a disposición de la AEPD si este organismo lo necesita.  La empresa denunciada defiende que ha adoptado las medidas necesarias para identificar a la persona que realizaba la contratación.  A pesar de que a día de redacción del escrito, el denunciante se encuentra en deuda con la empresa (no ha abonado la última factura, emitida con fecha 16/05/2017), no se han incluido sus datos en ficheros de solvencia patrimonial y de crédito. La empresa ORANGE ESPAGNE, S.A.U. (JAZZTEL) en su escrito de fecha de registro 21/11/2017 (número de registro ***REG.2) ha remitido la siguiente información pertinente a los efectos de la investigación:  Con fecha 06/02/2017 el cliente se pone en contacto con la empresa para realizar un cambio en la dirección logística, cambiando la que constaba, ***DIRECCIÓN.1, por ***DIRECCIÓN.2.  Aportan impresión de pantalla de sus sistemas donde vienen registrados los datos de la comunicación entrante, producida con fecha 06/02/2017 y hora 17:36 (es decir, 13 minutos después de la verificación de la portabilidad descrita anteriormente). El asunto es “Asignada nueva dirección logística al teléfono…”, y se han abierto dos entradas idénticas en el sistema, una por cada línea dada de alta.  Sin embargo, no se proporciona ninguna grabación que acredite el consentimiento para el cambio de dirección postal.  Adicionalmente, se aporta copia del albarán de entrega de los terminales móviles en la nueva dirección, con fecha 08/02/2017”. TERCERO: Con fecha 21/02/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ORANGE ESPAGNE, S.A.U. (JAZZTEL), con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD), por la presunta infracción del artículo 6.1, tipificada como GRAVE en el artículo 44.3.

1. b)en la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio del procedimiento sancionador el 26/02/2018, la entidad denunciada NO presenta alegaciones al mismo en el periodo concedido para ello, que finalizó el 12/03/2018. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 HECHOS PROBADOS  Entre los datos que figuran en los sistemas de ORANGE ESPAGNE, S.A.U. (JAZZTEL) relativos al denunciante, su dirección es ***DIRECCIÓN.1, que es la confirmada en las grabaciones aportadas por la empresa denunciada.  Se produce un cambio en la dirección logística el 6/02/2017, de la mencionada anteriormente a ***DIRECCION.2, sin que se proporcione ninguna grabación o documentación que acreditó el cambio.  Actuación diligente en la regularización de facturas de las líneas contratadas fraudulentamente. El denunciante se puso en contacto con la empresa denunciada el 27/02/2017 y la factura de 16/03/2017 se emite ajustada y en la de 16/04/2017 ya no aparecen dichas líneas. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 64.2 de la Ley 39/2015, de 1 de octubre, señala en su apartado
3. f)que “… en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. En el presente caso no consta que ORANGE ESPAGNE, S.A.U. (JAZZTEL) haya presentado alegaciones en el periodo concedido para ello y que finalizó el 12/03/2018. III La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a ORANGE ESPAGNE, S.A.U. (JAZZTEL), que ha quedado reflejada en los hechos declarados probados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 ORANGE ESPAGNE, S.A.U. (JAZZTEL) es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia a lo establecido en el artículo 6.1 de la LOPD, donde se establece que el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. En el presente caso no queda acreditado el consentimiento para el cambio de dirección y teniendo como consecuencia la no detección de una contratación fraudulenta con entrega de dos terminales móviles en otro domicilio, denota la existencia de un protocolo ineficaz que debe ser corregido. IV Se estima aplicable la atenuante cualificada del artículo 45.5.b): “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”. El denunciante se puso en contacto con la denunciada el 27/02/2017, y ésta en la factura de 16/03/17 la emite ajustada y en la de 16/04/2017 ya no aparecen las líneas contratadas fraudulentamente. El efecto jurídico que deriva de la aplicación del artículo 45.5 de la LOPD es la imposición de la sanción de acuerdo con la escala prevista para las infracciones que preceden en gravedad a la infracción realmente cometida por lo que la sanción que corresponde imponer en el presente caso deberá estar comprendida dentro de los márgenes que el artículo 45.1 de la LOPD fija para las infracciones leves: de 900 a 40.000 euros. Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD. Operan como circunstancias agravantes de la conducta que se enjuicia: -El apartado
4. a)“El carácter continuado de la infracción” pues los datos personales del denunciante fueron tratados sin consentimiento desde el 6/02/2017 a 16/03/2017. -El apartado
5. c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” ya que la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. -El apartado
6. d)“El volumen de negocio o actividad del infractor”, toda vez que estamos ante uno de los principales operadores de telecomunicaciones. -El apartado
7. h)“La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas”, en el presente caso el denunciante así lo ha requerido ante distintas instancias. - El apartado
8. g)“Reincidencia en la comisión de infracciones de la misma naturaleza”, habida cuenta que la entidad ha sido sancionada por la AEPD por vulneración del artículo 6.1 de la LOPD al tratar datos personales sin el consentimiento previo de su titular. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Por todo ello, se establece una sanción por vulneración del artículo 6.1 de la LOPD, en la cuantía de 32.000 euros. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U. (JAZZTEL) con NIF *****9812 por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
9. b)de la LOPD, una sanción de 32.000 (TREINTA Y DOS MIL euros), de conformidad con lo establecido en el artículo 45.4 y 5 de la citada Ley. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U. (JAZZTEL). TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
10. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es