PS-00603-2013

(5)- Reclamación presentada en fecha 21/11/2012 contra ORANGE ante el Instituto Vasco de Consumo.

(6)- Escrito de fecha 20/12/2012 por el que ORANGE informa al denunciante “Se ha verificado que actualmente la línea ***TEL.1 consta a nombre del cliente con DNI ***DNI.1, y los datos de la cuenta bancaria son correctos” y que “ha procedido a solicitar su exclusión de los ficheros de solvencia en que pudiera haber sido incluido por la entidad.”

(19). - Comunicación de fecha 28/12/2012 del Instituto Vasco de Consumo por la que informa al denunciante el archivo de su reclamación al haber sido satisfecha en parte, abriendo al denunciante la vía arbitral o jurisdiccional.(20 a 25). También aporta copia de una reclamación sin que se vea la fecha de presentación, en la OMIC de BASAURI (14 a 15) - Manifiesta en su denuncia que ha estado en contacto con la otra persona afectada, DENUNCIANTE 2, y aporta copia de movimientos de la cuenta 0182 BBVA, acabada en **9 mismo número de cuenta que al que puede acceder on line (folios 5 y 16) de DENUNCIANTE 2, emitido el 23/11/2012 en los que se aprecia el descuento de los importes de facturas emitidas por FT de 30/04 a 31/10/2012 de las siguientes cuantías: 0,90 €, 8,79 €, tres de 7,08 €, y dos de 7,26 €. - Finaliza indicando que “en el contrato pone un número de cuenta en el que ustedes han decidido no cobrar los recibos”. Con fecha 22/01/2013 aporta además el DENUNCIANTE 1 copia de las facturas mensuales emitidas por ORANGE, “extraídas de la web de ORANGE” entrando con los datos de la cuenta de su padre. En las mismas, figura la línea telefónica ***TEL.1, la suya, de fechas: 21/4 a 21/10/2012 (0,90 €, 8,79 €, tres de 7,08 €, y dos de 7,26 €) “tarifa básico 6” constando el nombre de DENUNCIANTE 2 y dirección de (C/...............1) (Vizcaya) que no es la que figura en el contrato. Como DNI, figura el del DENUNCIANTE 1 y como cuenta bancaria una que comienza por 0182 (28 y ss.). También aporta copia de facturas de 21/11/2012 en las que figura el nombre del DENUNCIANTE 1, también la línea ***TEL.1, el número de cuenta que el denunciante consignó en el contrato, pero la dirección no se corresponde con la que indicó en su contrato, sigue figurando de (C/...............1) (Vizcaya) (43 y ss.). Se advierte que en la copia de la factura de 21/12/2012 constan ya todos los datos y direcciones conforme constaban en el contrato que suscribió el denunciante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información. A) Con fecha 22/07/2013 ORANGE informa: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 Respecto de los productos que constan a su nombre: - DENUNCIANTE 1 contrató con fecha de alta 19/4/2012 el servicio de la línea móvil número ***TEL.1, que permanece activa. También le figura la línea ***TEL.2. Aporta la entidad impresión de pantalla en la que figuran asociadas al denunciante facturas emitidas entre el 21/4/2012 y el 21/5/2013, “encontrándose el denunciante al corriente en el pago de las mismas.” Aporta la entidad impresión y copia en papel de las facturas asociadas al número ***TEL.1 observándose que las emitidas en fechas 21/5/2012, 21/6/2012, 21/7/2012, 21/8/2012, 21/9/2012, 21/10/2012, están a nombre de DENUNCIANTE 2 y remitidas a la dirección de (C/...............1) (Vizcaya), y la de 11/2012 ya con los datos del denunciante y la cuenta que figura en el contrato pero también a la dirección de de CALLE (C/...............1). Respecto de las comunicaciones y contactos que han existido entre esa entidad y el cliente, aportan la siguiente información: - “En fecha 07/11/2012, el denunciante indica que sus datos no están correctos, por lo que no le llegan las facturas y no se abonan en el banco. Solicita la rectificación de sus datos para que no se produzcan impagos.” “Se realiza un estudio interno del tema y se llega a la conclusión de que en el momento de efectuar el alta del denunciante en los servicios de ORANGE, el Distribuidor, entiende la entidad que erróneamente, indicó en el contrato el número de cuenta de otra persona, D. DENUNCIANTE 2, por lo que en fecha de 27/11/2012, desde ORANGE se rectifican los datos y se realiza una transferencia por importe de 28,86 € a favor del DENUNCIANTE 2 en la cuenta bancaria facilitada por éste telefónicamente, ya que dicho importe lo debería haber abonado el denunciante .” Aportan copia del expediente en papel que consta en la entidad y que recoge las reclamaciones efectuadas por el afectado y se observa lo siguiente: - Aporta la entidad copia de una reclamación realizada por el DENUNCIANTE 1 el 2/11/2012 ante la OMIC del Ayuntamiento de Basauri con motivo de “Desde que contrató la línea no le llegan las facturas” “En una ocasión me dieron el número de la cuenta para ingresar 14,34 € correspondientes a julio y agosto y así lo hice”, “Como las facturas siguen sin llegar busco mis datos en su página y compruebo que dicho datos son erróneos, dirección y número de cuenta. Por ello llamo en varias ocasiones para corregirlos, pero a pesar de las buenas palabras, aun no lo han hecho y siguen sin llegarme las facturas que en ninguna omento me he negado a pagar”. Con fecha 6/11/2012 la OMIC citada remite la reclamación a ORANGE. Con fecha 24/1/2013 la operadora da respuesta a la citada reclamación manifestando: <<En contestación a la misma, les confirmamos que, tras las comprobaciones y gestiones realizadas, desde el 23 de Noviembre de 2012, los datos personales y bancarios asociados al cliente por la línea ***TEL.1, constan correctamente asignados. >>

(102)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 - Con fecha 29/07/2013 EXPERIAN BUREAU DE CREDITO, SA informa respecto del fichero ASNEF que no consta información respecto del denunciante, ni siquiera en el histórico. En idéntico sentido se manifestó el 31/07/2013 el responsable del fichero ASNEF. TERCERO: Con fecha 14/11/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, por la denuncia de DENUNCIANTE 1 procedimiento sancionador a FRANCE TELECOM ESPAÑA S.A. por una infracción del artículo 4.3 y otra del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.

1. c)y 44.3.d), de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 11/12/2013 la denunciada alega: 1) El hecho de que el denunciante pueda ver en la página web su línea asociada a los datos de otro cliente no supone inexactitud alguna, pues los datos de DENUNCIANTE 1 no han sido objeto de tratamiento alguno. DENUNCIANTE 1 de hecho, no recibió sus facturas, no recibió cargo de servicios en su cuenta y no fue inscrito en ficheros de solvencia. 2) La reacción cuando ORANGE fue informada de lo ocurrido fue rápida. Se comunicó el 7/11/21012, el 27/11/2012 se solventó la cuestión, de modo que el Instituto Vasco de Consumo archivó la reclamación, lo que ha de tener efectos al haberse subsanado antes de iniciar el procedimiento. 3) El error pudo proceder del Distribuidor que al dar el alta introdujo otro número de cuenta, produciéndose un cruce de datos. La diligencia exigible a ORANGE quedo atendida pues no pudo hacer más de lo que hizo. 4) Se desconoce la falta de certeza absoluta de que exista un Sr. DENUNCIANTE 2 y de que sus datos sean correctos, por lo que debe archivarse el artículo 10. 5) Existe concurso medial de infracciones según prevé el artículo 4.4 del REPEPOS, pues de la comisión de una infracción deriva necesariamente la comisión de otra, debiéndose imponer en su caso solo la sanción correspondiente a la infracción más grave cometida. Es claro que FT nunca hubiera revelado esos datos al denunciante si no hubiera sido por considerar con inexactitud y erróneamente que esos datos le correspondían, resulta indispensable que una infracción no pueda cometerse sin ejecutar las otras. Para revelar los datos ha sido imprescindible que FT los haya asociado con inexactitud al denunciante. 6) Solicita se aplique el artículo 45.5 de la LOPD Solicita como prueba testifical se requiera al DENUNCIANTE 1 para que manifieste si para acceder a la web de ORANGE tuvo que introducir un código de usuario y contraseña. La denunciante pone de manifiesto en su denuncia que le abrió a su padre en la página web de ORANGE una cuenta y de esa página logró sacar todas las facturas. Además, se aprecia que las facturas que aporta ORANGE coinciden con las resultantes del acceso que efectuó el DENUNCIANTE 1. Junto a ello, cabe atribuir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 la revelación de los datos de DENUNCIANTE 2 al DENUNCIANTE 1, ya en el correo de 14/11/2012 QUINTO Con fecha 21/01/2014 se acordó por el Director de la Agencia Española de Protección de Datos, por denuncia de DENUNCIANTE 2, iniciar procedimiento sancionador PS/00012/2014 a FRANCE TELECOM ESPAÑA S.A. por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha norma. Asimismo se acuerda la acumulación y tramitación desde su firma, en el procedimiento PS/000603/2013, por guardar relación los hechos denunciados. SEXTO: En el citado acuerdo se expone: “PRIMERO: Con fecha 24/01/2013 tiene entrada en esta Agencia una denuncia de D. DENUNCIANTE 2 (en lo sucesivo el Denunciante 2) en el que declara que FRANCE TELECOM ESPAÑA, S.A. (en lo sucesivo FRANCE TELECOM) le ha asociado como titular de una cuenta de telefonía de la que es titular otra persona de nombre DENUNCIANTE 1. Señala el denunciante 2 que fue este, quien le informó de esta situación al percatarse que los gastos de su línea le eran cobrados a otra persona. Añade el denunciante que en ningún momento facilitó sus datos personales al operador, pese a lo cual, éste le cargó en su cuenta del BBVA durante el año 2012 los recibos de la línea de la que era titular DENUNCIANTE 1. Finalmente añade que envió un burofax al operador (del que no adjunta copia) exigiendo que regularizaran la situación y le explicaran el origen de sus datos, señalando que no ha recibido respuesta. Junto con su denuncia aporta la siguiente documentación: - Copia de la factura de fecha 21/5/2012 por la línea telefónica número ***TEL.1 a nombre de DENUNCIANTE 2 y NIF ***NIF.1 (su NIF real es ***NIF.2). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a FRANCE TELECOM, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones de inspección E/2074/2013, que se transcribe: “ACTUACIONES REALIZADAS: Con fecha 25/04/20132 se solicita al operador información sobre los hechos denunciados recibiéndose respuesta en fecha de 3/7/2013 de la que se desprende lo siguiente: SOBRE LA CONTRATACION - El titular de la línea ***TEL.1 es DENUNCIANTE 1 con NIF ***NIF.1 habiéndose dado de alta dicho servicio en fecha de 19/4/2012, servicio que continua en activo y con todas las facturas pagadas a la fecha del informe del operador. - Añade el operador que en fecha de 7/11/2012 DENUNCIANTE 1 manifestó que sus datos no eran correctos ya que no le llegaban las facturas ni se presentaban para su cobro al banco, por lo que solicitaba su corrección a fin de evitar que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 produjeran impagos. - Añade también el operador que en fecha de 13/11/2012, DENUNCIANTE 1 informó que se estaban girando a su cuenta recibos que no le correspondían. - Como consecuencia de lo anterior, manifiesta el operador que realizó una investigación interna en la que concluyó que en el momento del alta de la línea a nombre de DENUNCIANTE 1, el distribuidor PHONE FOR YOU, S.L. debió de introducir erróneamente los datos de DENUNCIANTE 2 en lugar de los del verdadero titular DENUNCIANTE 1, por lo que en fecha de 27/11/2012 se procedió a la corrección de los datos y a realizar una transferencia por el importe indebidamente cargado a DENUNCIANTE 2. - Aporta el operador los siguientes documentos: o o Facturas de fechas 21/3/2012, 21/4/2012, 21/5/2012, 21/6/2012, 21/7/2012, 21/8/2012, 21/9/2012 y 21/10/2012 todas ellas a nombre de DENUNCIANTE 2. Facturas de fecha 21/11/2012, 21/12/2012, 21/1/2013, 21/2/2013, 21/3/2013, 21/4/2013 y 21/5/2013 todas ellas a nombre de DENUNCIANTE 1. o Copia del contrato de la línea ***TEL.1 suscrito por DENUNCIANTE 1. o Copia del escrito de fecha 6/11/2012 de reclamación de la OMIC del Ayuntamiento de Basauri formulado en nombre de DENUNCIANTE 1 y la contestación remitida por parte del operador en fecha de 24/1/2013. o Copia del escrito de fecha 22/10/2012 de reclamación del Instituto Vasco de Consumo en nombre de DENUNCIANTE 1 y de la contestación remitida por parte del operador en fecha de 27/11/2012.” SÉPTIMO: Con fecha 21/02/2014 la denunciada alega:
3. a)El alta del DENUNCIANTE 2 se produce en el distribuidor PHONE FOR YOU SL, que era el encargado de recabar el consentimiento del cliente y de verificar la identidad y los datos. El Distribuidor debió de volcar erróneamente los datos del. DENUNCIANTE 2 en lugar de los del verdadero titular, DENUNCIANTE 1. Este error de volcado pasó desapercibido a FRANCE TELECOM, debido a que el servicio se prestaba con normalidad sin que existiesen reclamaciones ni impagos de las facturas emitidas. No existe norma que imponga la responsabilidad objetiva por los actos de los Distribuidores.
4. b)Cuando tuvo conocimiento del tratamiento irregular procedió de manera inmediata a poner fin a dicho tratamiento corrigiendo los datos y devolviendo a DENUNCIANTE 2 las cantidades indebidamente abonadas. El 7/11/2012 fue informada de lo ocurrido, y una vez recibida la primera reclamación, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 27/11/2012 quedó solventada la situación, antes de que se hubiera notificado alguna actuación.
5. c)Añade que el hecho de que DENUNCIANTE 1 viera su línea a nombre de otra persona, DENUNCIANTE 2 con su DNI y otros datos implica que los datos de DENUNCIANTE 1 no han sido objeto de tratamiento exacto o inexacto sino que los únicos datos tratados son los de DENUNCIANTE 2.
6. d)Todas las infracciones derivan de un único hecho, el tratamiento inexacto derivado del cruce de datos. Si el Distribuidor no hubiese volcado erróneamente los datos en los sistemas de FRANCE TELECOM, el artículo 4.3, no habría tratado los datos del DENUNCIANTE 2, que causa el artículo 6.1, ni hubiese revelado estos al DENUNCIANTE 1 (artículo 10). En otros casos, la Agencia en casos similares de acceso al área clientes en la web ha sido aplicada la subsunción de ambas infracciones en una única infracción del 4.3 al considerar la originaria que ocasiona la del 10.
7. e)Se produjo un cruce de datos sin perjuicio para los afectados, inmediatamente subsanado solicitando por ello que se aplique el artículo 45.5 de la LOPD.
8. f)Solicita se pida información a DENUNCIANTE 2, en orden a precisar si a finales de 2011 o principios de 2012 contrató alguna línea de móvil con alguna operadora, y si lo hizo a través del Distribuidor PHONE FOR YOU y reitera la petición de DENUNCIANTE 1 para que manifieste DENUNCIANTE 1 si para acceder a la web de ORANGE tuvieron que introducir usuario y contraseña. OCTAVO: Con fecha 27/02/2014 se inicia el período de práctica de pruebas incorporando las actuaciones previas E/0580/2013 y E/02074/2013 así como las alegaciones de la denunciada. Además, se solicita que se aporte:
9. a)A DENUNCIANTE 1, que indique si en las ocasiones en que vio datos de la otra persona cuando accedió en Área Cliente de la web de France Telecom (ORANGE) lo hizo con claves de usuario y contraseña, y quien se las proporcionó, y si se las proporcionó ORANGE o si las cambió. Con fecha 12/03/2014, se indica que “el día que le hice usuario a mi padre DENUNCIANTE 1, rellené todos los datos que piden para convertirse en usuario y creo recordar que al rellenar los datos, solicitan que se ponga una contraseña, y no hace falta nombre de usuario porque en su lugar se utiliza el número de teléfono del cliente”.
10. b)A denunciante 2 se le solicita que informe sobre si a finales de 2011 principios de 2012 acudió a algún distribuidor o tienda de telefonía móvil para cursar algún alta en alguna línea de telefonía, en caso afirmativo detalle cómo se denominaba y donde estaba situada, y los datos que dio. Con fecha 17/03/2013 indica que “no facilitó datos ni acudió a ningún distribuidor”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 NOVENO: Con fecha 18/03/2014 se emitió propuesta de resolución con el literal: “PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U. con multa de 20.000 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave, en el artículo 44.3.
11. c)de dicha norma, de conformidad con el artículo 45.1, 2, 4 y 5 de dicha LOPD. PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE, S.A.U. con multa de 40.001 €, por la infracción del artículo 6.1 de la LOPD, tipificada como grave, en el artículo 44.3.
12. b)de dicha norma, de conformidad con el artículo 45. 2, y 4 de dicha LOPD.” DÉCIMO: Con fecha 22/04/2014 se reciben alegaciones de la denunciada que reitera que se produjo el cruce de datos entre clientes.
13. a)No se permitió proponer prueba en el PS/00012/2012, ya que ha sido acordada entes de que se evacuaran las alegaciones al acuerdo de inicio en ese procedimiento.
14. b)Reitera que concurre el artículo 4.4 del REPEPOS, pues la infracción consiste en haber tratado los datos asociados a DENUNCIANTE 1 que no correspondían a él sino a un tercero, 4.3, y en haber tratado unos datos sin consentimiento, art 6.1, Nunca se hubieran tratado los datos de DENUNCIANTE 2 si no hubiera sido por considerar con inexactitud y erróneamente que esos datos correspondían al denunciante 1. Para revelar los datos ha sido imprescindible que FT los haya asociado con inexactitud al DENUNCIANTE 1
15. c)Sobre DENUNCIANTE 1, el tratamiento efectuado no puede constituir la infracción del artículo 4.3 de la LOPD pues no se han tratado de manera inexacta, sino que los datos no fueron objeto de tratamiento alguno, como se acredita que no recibiera las facturas, el cargo de servicios ni reclamaciones de impago.
16. d)Reitera que no tuvo conocimiento de los hechos sino hasta 7/11/2012, siendo la reacción de la denunciada inmediata, y la poca transcendencia, al no revelarse consecuencias adversas.
17. e)Sobre la aplicación del artículo 45.5 de la LOPD, también debe aplicarse al artículo 6.1 pues se dan las mismas causas de reducción de antijuridicidad y culpabilidad, corrigiéndose diligentemente ambas. HECHOS PROBADOS 1) DENUNCIANTE 1 es titular de la línea de teléfono móvil ***TEL.1 con ORANGE (FRANCE TELECOM que portó desde VODAFONE) según copia del contrato que aporta, y así figura en los sistemas de France Telecom. Según FT, el alta se efectuó mediante el DISTRIBUIDOR PHONE FOR YOU (57, 85, 161, 162,164, 167). En el mismo, figura la fecha que desea para la portabilidad, 19/04/2012 así como una cuenta bancaria en la entidad 2095 acabada en 227(8, 54,57, 85-86, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 161,204-205). 2) DENUNCIANTE 1 al acceder el 30/10/2012, a su cuenta de ORANGE en Internet comprueba que los datos que figuran no se corresponden con los suyos propios que constan en el contrato que firmó, variando la dirección, el número de cuenta completo en entidad 0182 y la fecha de nacimiento y el teléfono que es el ***TEL.2 (1, 5,8, 11), según hoja impresa que aporta. La fecha de nacimiento también se ha comprobado que es la de DENUNCIANTE 2 según copia de DNI que aportó a su denuncia (152 bis). 3) En un correo electrónico enviado por ORANGE a DENUNCIANTE 1 el 14/11/2012, se reclamaba el abono de la factura acabada en 012 de 21/10/2012 de 7,26 €, pero dirigiéndose al denunciante como DENUNCIANTE 2, informándole que “Su última factura de 21/10/2012 de importe 7,26 € ha sido devuelta por su entidad financiera”. A este correo, el DENUNCIANTE 1 respondió el 19/11/2012 que no se llamaba así y que disponía de todos los datos de dicha persona y dejó su contacto telefónico

(3). 4) DENUNCIANTE 1 presentó reclamación ante el Instituto Vasco de Consumo el 21/11/2012, respondiendo FT el 20/12/2012 que “Se ha verificado que actualmente la línea ***TEL.1 consta a nombre del cliente con DNI que coincide con el del denunciante y los datos de la cuenta bancaria son correctos”. En el trámite del procedimiento figura un documento del Instituto Vasco que indica “Se envía correo electrónico para mediación el 5/12/2012. Con fecha 20/12 se recibe contestación de la operadora que se vincula al informe y se le remite al reclamante.” También interpuso reclamación el 2/11/2012 ante la OMIC de Basauri (1, 14, 15) que le consta a la denunciada (94 a 97). Figura copia de la respuesta de FT de 24/01/2013 en la que indica que “desde el 23/11/2012 los datos personales y bancarios asociados al cliente por la línea ***TEL.1, constan correctamente asignados”

(102)5) DENUNCIANTE 1 remitió copia de las facturas a las que tuvo acceso en la web de ORANGE, figurando respecto de su línea, su DNI, el nombre de DENUNCIANTE 2, una dirección que no es la que denunciante 1 consignó en el contrato, y cuenta bancaria 0182 en las de 21/04, 21/05, 21/06, 21/07, 21/08, 21/09 y 21/10/2012 (28, 30 a 42). En la emitida el 21/11/2012, figura el nombre y apellidos, su línea y DNI, una dirección que no es la consignada por DENUNCIANTE 1 en el contrato, habiéndose ya variado la cuenta bancaria que coincide con la que el denunciante 1 proporcionó en su contrato (43,44). La de 21/12/2012 figura con los datos correctos (17, 45, 46). 6) El responsable del fichero BADEXCUG indicó en escrito con fecha de entrada 29/07/2013 que no figuran datos asociados a DENUNCIANTE 1 (103 a 108). Tampoco según escrito de 31/07/2013 del responsable del fichero ASNEF figuraban sus datos, en dicho fichero. (109 a 11) 7) En los sistemas de France Telecom figuran los datos de DENUNCIANTE 1 asociados a la línea contratada ***TEL.1, de alta desde 19/4/2012 (54, 161). Figuran también en sus sistemas anotadas las facturas emitidas por FT que coinciden con las aportadas por el denunciante el 22/01/2013, que también aporta en papel FT (63 a 72, 74 a 77, 79 a 84, 159), añadiéndose además, de 1/2013 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 5/2013 (56 y 28 y ss.) (59 a 61). Para la línea ***TEL.1 FT emitió facturas mensuales desde 21/04/2012

(163), por 0,90, 8,70, 7,08 (tres), 7,26 (tres) 8) Se desprende de entre la documentación aportada por DENUNCIANTE 1 y la denunciada, que en la cuenta bancaria 0182 BBVA de DENUNCIANTE 2, que no es el DENUNCIANTE 1, han sido cargados los pagos de los recibos de la línea del DENUNCIANTE 1, ***TEL.1, desde los meses 21/4 a 21/10/2012 (0,90 €, 8,79 €, tres de 7,08 €, y dos de 7,26 €). Según se desprende de la copia de las facturas y de los movimientos de la cuenta bancaria de BBVA (28 y ss., coincidentes con las facturas emitidas por la denunciada 63 a 82 en relación con el 16. 9) DENUNCIANTE 2 denuncia el 24/01/2013 que en su cuenta bancaria de BBVA 0182 acabada en **9 (5, 16, 151,152) está recibiendo durante 2012 cargos por servicios de telefonía no demandados ni prestados, sin ser cliente de ORANGE. Señala que ORANGE le ha atribuido los gastos de un cliente suyo, identificando con nombre y apellidos a DENUNCIANTE 1 habiéndole informado esta persona a el que le están cobrando sus facturas (las de DENUNCIANTE 1). Aporta denunciante 2 copia de factura de 21/05/2012 línea ***TEL.1 por importe de 8,79 € (151-152) emitida a su cuenta bancaria. DENUNCIANTE 1 también se puso en contacto con DENUNCIANTE 2 cuando materializó su denuncia y aporta impresión de acceso a la web de ORANGE con sus datos, accediendo a datos de DENUNCIANTE 2 entre los que se hallan los de dicha cuenta. (2, 5,151). 10) La línea ***TEL.1 no es titularidad de DENUNCIANTE 2 (1, 8) sino de DENUNCIANTE 1 como lo acredita la copia del contrato y los sistemas de FRANCE TELECOM (53 a 55, 159,161, 162, 204 a 212). La cuenta bancaria para domiciliación de los recibos de la línea de de DENUNCIANTE 1 que obra en los sistemas de la denunciada era en la entidad 2095 y acabada en 227

(205). 11) FRANCE TELECOM emitió por la línea de DENUNCIANTE 1 ***TEL.1, facturas mensuales desde 21/04/2012

(163)que no fueron giradas a la cuenta de DENUNCIANTE 1 sino de DENUNCIANTE 2. En concreto han girado mensualmente desde 21/04/2012 a (63 a 85, 177 a 178, 181-182, 185 a 190, 192 a 195), y la de 25/11/2012 se había corregido excepto en el domicilio que continuaba como en las anteriores y no se correspondía con el que figuraba en el contrato y en los sistemas de la denunciada (196 – 197). 12) La denunciada reconoce que recibió el 7/11 y el 13/11/2012 noticia de los DENUNCIANTES advirtiendo de que los datos no son correctos y se están girando a una cuenta bancaria que no corresponde

(164). 13) FRANCE TELECOM no acredita que DENUNCIANTE 2 haya otorgado el consentimiento para la línea ***TEL.1 ni para cualquier otra asociada al operador, ni el modo en que sus datos obran en sus sistemas (58, 164, 165). 14) Sobre DENUNCIANTE 1, la OMIC BASAURI trasladó a la denunciada el 6/11/2012 la reclamación de DENUNCIANTE 1 (94 a 101) para que en 10 días alegara. La denunciada aporta la respuesta en escrito de 24/01/2013 señalando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 que ha efectuado gestiones, y desde el 23/11/2012 los datos se corrigieron (102, 213 a 221). DENUNCIANTE 2 presentó su reclamación ante Instituto Vasco de Consumo el 22/10/2012

(222), siendo contestado en escrito de 27/11/2012 que desvincularan la cuenta.(, 224) y no tiene ninguna relación con esta Compañía. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Respecto a que no se dejó efectuar alegaciones y proponer prueba en el procedimiento PS/00012/2014, se debe indicar que se firmó este acuerdo el 21/01/2014 acumulándose al PS/00603/2013, siendo notificado el 23, se dio traslado de expediente y se efectuaron alegaciones el 21/02/2014 teniéndose en cuenta las pruebas propuestas, no pudiéndose estimar las alegaciones de indefensión. III Por la denuncia de DENUNCIANTE 2 se imputa a la denunciada una vulneración del artículo 6.1 de la LOPD dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 6 de la LOPD requiere el consentimiento inequívoco del afectado para tratar sus datos de carácter personal para la finalidad convenida. Se trata de una garantía fundamental que sólo encuentra como excepciones aquellos supuestos que establece la ley, excepciones que no concurren en este supuesto. De acuerdo con la sentencia de la Audiencia Nacional, sala de lo contencioso administrativo, sección 1, recurso 539/2004, determina el medio de acreditación del consentimiento “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley.”, y continúa, ”Resulta, por tanto, que tal empresa demandante no sólo no ha aportado ningún elemento probatorio que acredite la celebración telefónica del contrato, sino que tampoco ha acreditado el cumplimiento de las garantías y cautelas que determinan las normas descritas”. A lo que se debe añadir que la sentencia del mismo Tribunal, recurso 476/2012“Naturalmente, el incumplimiento por parte del responsable del tratamiento de datos de carácter personal de la carga de acreditar que contaba con el consentimiento del titular de los datos, no supone per se la comisión de la infracción administrativa de tratamiento de datos personales inconsentido, pues la prueba acerca de la existencia de este consentimiento puede resultar de elementos de prueba distintos al soporte documental donde se exprese, tales como las propias manifestaciones del titular de los datos, reconociendo su existencia, aún cuando no fuera de forma indubitada y concluyente, o su propia conducta reveladora de aquiescencia en el tratamiento de sus datos. Las garantías del Derecho Administrativo Sancionador, entre las que se encuentra, el derecho a la presunción de inocencia, impiden la imposición de sanciones sin fundamento en una previa actividad probatoria lícita sobre la cual el órgano que ejerce la potestad sancionadora pueda fundamentar un juicio razonable de culpabilidad, es decir, en una actividad probatoria de cargo, directa o indiciaria, que acredite que el sancionado realizó la conducta constitutiva de infracción administrativa.” Pese a ello, en el presente procedimiento, la denunciada no acredita en modo alguno que contara con los datos del denunciante de modo consentido, pues declara este que no es ni ha sido cliente de la Compañía. Sobre la alegación de que se produjo el cruce de datos entre clientes, cabe indicar que se no se acredita que DENUNCIANTE 2 hubiese proporcionado los datos a la denunciada ni a Distribuidor alguno, no pudiéndose calificar de cliente. Fueron su nombre y apellidos en las facturas, su cuenta bancaria los que fueron C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 tratados en sus sistemas sin ser cliente, asociados a la línea del denunciante, desconociendo el origen de esos datos. Dicho tratamiento de datos vulnera el principio del consentimiento recogido en el artículo 6.1 de la LOPD. IV La infracción imputada a la denunciada aparece tipificada en el artículo 44.3.
2. b)de la LOPD que determina: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” V Se imputa a FRANCE TELECOM una infracción del artículo 4.3 de la LOPD, que determina: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Requisitos de exactitud y veracidad de los datos personales, establecidos en la repetida LOPD, que son exigibles al titular del fichero o tratamiento, según deriva del propio articulo 4.3, no solo en lo que atañe a la recogida y conservación de los datos personales en los propios ficheros, o a su comunicación a un fichero sobre solvencia patrimonial o crédito (que es el supuesto más frecuente), sino también en cualquiera de las diversas fases o modos en los que puede manifestarse el tratamiento de los datos personales. Ello, teniendo en cuenta el concepto amplio que de tratamiento deriva del articulo 3.
3. c)de la LOPD , que comprende no solo la recogida, grabación o conservación de los datos, sino también la elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. De donde resulta que en cualquiera de dichas manifestaciones, se requiere la exactitud y veracidad de los datos personales por parte del responsable del fichero o tratamiento. Según se acredita, con los datos consentidos de DENUNCIANTE 1 implícitos en la relación contractual, al acceder a la web pudo comprobar que los allí existentes no eran los suyos propios, sino de DENUNCIANTE 2 así como las facturas conseguidas en dicha web. La línea del denunciante ha sido cobrada en otra cuenta bancaria diferente a la proporcionada por este, que pertenece a DENUNCIANTE 2. Ello sucedía desde la emisión de la primera factura, 21/04/2012 de la línea de denunciante, durante 6 meses. En este caso, los datos personales de DENUNCIANTE 1 fueron tratados por la denunciada, asociados a los de otra persona que no otorga el consentimiento para que sus datos fueran tratados en dicha entidad, no coincidiendo tampoco el domicilio de las facturas con el que figuraba consignado por DENUNCIANTE 1 en el contrato. Son dos lesiones que se producen de modo diferenciado a cada denunciante y obedecen a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 principios rectores diferentes. La del DENUNCIANTE 1 afecta a la calidad de sus datos, mientras que al DENUNCIANTE 2, la denunciada no cuenta con el consentimiento para disponer de sus datos, y se tratan asignándolos a DENUNCIANTE 1. La calidad de datos de denunciante 1 se materializa en que las facturas emitidas no lo han sido a su nombre ni a su cuenta, sino a nombre de otra persona diferente a la que contrata la línea, que además, no se acredita sea o hubiese sido cliente de la entidad denunciada. El tratamiento sin consentimiento de DENUNCIANTE 2, que niega haber contratado y del que el operador no ha aportado la acreditación alguno de contar con el consentimiento, no aparece relacionado con el alta de línea alguna, pero sus datos han sido tratados. Se acredita que la denunciada ha incurrido en la falta de calidad de los datos del DENUNCIANTE 1 al tratarlos con falta de exactitud y veracidad, asociando la emisión de facturas de su línea a otra persona. Por dichos motivos, no concurre en estas dos infracciones el principio alegado del artículo 4.4 del Real Decreto 1398/1993, de 4/08, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora. VI El artículo 44.3.
4. c)de la LOPD, considera infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso, la denunciada ha incurrido en la infracción descrita ya que ha vulnerado el principio, consagrado en el artículo 4.3 de la LOPD, por tratar los datos de DENUNCIANTE 1 sin adecuarse a la veracidad y exactitud que requieren. VII La segunda infracción originada por DENUNCIANTE 1, es la del artículo 10 de la LOPD que señala: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia nº 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Sentencia de la Audiencia Nacional, de fecha 14/09/2001, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo, lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. El artículo 4.4 del Real Decreto 1398/1993, de 4/08, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” Este artículo exige, para la aplicación del concurso medial, una necesaria derivación de unas infracciones respecto de otra u otras y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que ha conferir a la expresión reglamentaria de que <una infracción derive necesariamente la comisión de otro’>. Solo en tal caso puede seguirse la consecuencia propia del concurso medial y es que únicamente se imponga la sanción correspondiente a la infracción más grave cometida. En este caso se produce junto a la falta de calidad en el tratamiento de los datos de DENUNCIANTE 1, el acceso a datos de DENUNCIANTE 2, produciéndose el conocimiento de los datos de modo inmediato pues en eso consistió la infracción, no conteniéndose los datos del DENUNCIANTE 1 sino los de otro, se dan a conocer estos. La comisión de una infracción, la de falta de calidad en el tratamiento de los datos del DENUNCIANTE 1 ha sido o ha derivado en la consecuencia de la infracción del deber de secreto de los datos de DENUNCIANTE 2, es un resultado una de la otra en unida de acción. Por ello se ha de seleccionar solo una de ellas, la más grave, y siendo en este caso ambas “graves”, se decide archivar la infracción del artículo 10. Respecto a la derivación necesaria de la comisión de las infracciones del artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 4.3 y 6.1 de la LOPD, se debe indicar que cada infracción afecta a cada denunciante y su comisión no es irremisiblemente causa o consecuencia una de la otra. Por un lado, figura la comisión respecto a DENUNCIANTE 2 de disponer de sus datos sin acreditar su consentimiento (artículo 6.1) y en lo que respecta a DENUNCIANTE 1, sus datos aparecían inexactos e inveraces, (artículo 4.3) constituyendo dos infracciones diferenciadas. VIII El artículo 45 de la LOPD, establece, en sus apartados 1 a 2 y 4 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
5. a)El carácter continuado de la infracción.
6. b)El volumen de los tratamientos efectuados.
7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
8. d)El volumen de negocio o actividad del infractor.
9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
10. f)El grado de intencionalidad.
11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Solicita la denunciada que se aplique el artículo 45.5 de la LOPD porque subsanó cuando tuvo conocimiento de los hechos de los afectados. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
20. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En lo que se refiere al tratamiento de datos de DENUNCIANTE 2 se desconoce totalmente el origen de los datos que tiene la denunciada, pues el denunciante niega los hubiera proporcionado en vistas de una contratación, disponiendo de su cuenta bancaria a la que cargó varios recibos mensuales. No obstante, al poco tiempo de conocer los hechos denunciados se corrige la facturación, procediendo aplicar el artículo 45.5 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 LOPD. En lo relativo a la infracción del artículo 4.3, DENUNCIANTE 1 se dirigió a la denunciada el 7/11/2012 y se corrigió la facturación. En la siguiente factura que tocaba emitir, la de 21/11/2012, ya no figuraban sus datos. En consecuencia, se aprecia diligencia en la corrección de los hechos, al tener conocimiento fehaciente de los mismos, por lo que procede aplicar el artículo 45.5 de la LOPD. Teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, que la no emisión de facturas a la cuenta consignada no ocasionó la inclusión en ficheros de solvencia, o de perjuicio grave, se impone una sanción de 20.000 € para la infracción del artículo 4.3 de la LOPD. Teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular que la infracción se cometió por cruce de datos, y que DENUNCIANTE 2 no sufrió perjuicios cualificados, se impone la sanción de 20.000 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
21. c)de dicha norma, una multa de 20.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
22. b)de dicha norma, una multa de 20.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución con el envío del ANEXO GENERAL a ORANGE ESPAGNE S.A.U. , a DENUNCIANTE 1, indicado en el Anexo 1, con el ANEXO 1, y a DENUNCIANTE 2 indicado en el Anexo 2 junto al ANEXO 2. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es