← España

PS-00605-2017

1/13 Procedimiento Nº: PS/00605/2017 RESOLUCIÓN R/00177/2018 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00605/2017, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por D. C.C.C. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22 de diciembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ORANGE ESPAGNE, S.A.U., mediante el Acuerdo que se transcribe: <<HECHOS PRIMERO: Con fecha 30/12/2016 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. C.C.C. (en lo sucesivo, el denunciante) en el que manifiesta que ORANGE ESPAGNE, S.A.U., entidad de la que niega haber sido cliente, ha tratado sus datos personales sin su consentimiento vinculados al alta de una línea fija y ADSL, línea J.J.J., y los ha comunicado a ficheros de solvencia patrimonial por una deuda a la que es ajeno. Ha aportado anexos al escrito de denuncia y, posteriormente, en el trámite de subsanación, copia de los documentos siguientes: -DNI. - La denuncia presentada en la Policía el 20/10/2016 en la que expone que el 19/10/2016 recibió un SMS en su móvil ( L.L.L.) reclamándole 200 euros en nombre de ORANGE; que puesto en contacto con la operadora conoció que la línea estaba dada de alta a su nombre y con un domicilio en calle A.A.A., que no coincide con el suyo. - Copia de los documentos recibidos de ORANGE en los que le informan de los servicios contratados a su nombre y le remiten copia de seis facturas en las que constan sus datos (nombre, apellidos y NIF como titular). - Copia del escrito de reclamación presentado ante la Dirección General de Consumo de la Consejería de Economía, Empleo y Hacienda de la CAM y justificante de la presentación en ese organismo el 29/12/2016. - Captura de pantalla de un terminal móvil con el SMS de fecha 19/10/2016, remitido desde el número 1470, que dice: “ORANGE informa: Vamos a proceder a la baja de su servicio por mantener la situación de impago. Su penalización es de 150 euros. Llámenos para evitarlo…”. No consta en la captura de pantalla el número de móvil destinatario del SMS ni tampoco el denunciante ha informado de ese extremo. - Reclamación del denunciante remitida a ORANGE mediante correo certificado con acuse de recibo en la que niega haber sido cliente de la operadora, pide la cancelación de sus datos de sus ficheros y adjunta copia de la denuncia policial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 - Facturas emitidas por ORANGE, contrato ***CONT.1, en las que constan como datos del cliente el NIF, nombre y dos apellidos del denunciante, un domicilio en A.A.A., y una cuenta bancaria en la entidad ***ENT.1. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ORANGE teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección: ENTIDADES INVESTIGADAS: ORANGE ESPAGNE, S.A.U.  Se solicitó a ORANGE el 18/10/2017 que facilitara a esta Agencia diversa información y documentación. Responde en escrito remitido por correo postal el 23/11/2017, con entrada en la AEPD el 01/12/2017, en el que manifiesta: 1 2 3 4 5 6 En sus sistemas se encuentran registrados los datos de C.C.C., con NIF G.G.G.. El domicilio asociado es calle A.A.A.. En sus sistemas consta registrada, vinculada a los datos personales precitados, la cuenta cliente G.G.G. y la línea de telefonía fija J.J.J.. Indica que el número de cuenta bancaria es E.E.E.. Aporta impresión de pantalla en la que figura una casilla con la rúbrica “Método de pago” en la que está activado el apartado “Banco”. En la casilla “Domiciliación bancaria”, constan los veinte dígitos de la cuenta y las siguientes indicaciones: “Verificar Banco”, “La Caixa”. Productos y servicios contratados con fechas de alta y baja.  ORANGE informa de que en sus sistemas figura a nombre del denunciante “el producto de línea fija e internet asociado a la numeración J.J.J.” La línea se dio de alta el 03/03/2016 siendo el producto contratado VOZ IP+ADSL. La baja de los servicios es de 12/04/2017. Relación de facturas emitidas:  ORANGE informa que se emitieron un total de siete facturas, de las que cinco fueron abonadas quedando pendientes de pago la de 12/07/2016 (número ***FACT.1) y la de 12/08/2016 (número ***FACT.2)  Que recibida la reclamación del Sr. C.C.C., con la que adjuntaba copia de su denuncia en la Policía, en la que niega haber contratado con la operadora, “se procedió a anular el importe correspondiente a las dos facturas mencionadas y que se corresponde a la cantidad de 131,85 euros”.  Aporta relación de las facturas emitidas, siete en total: la primera de fecha 12/03/2016 y la última de 12/11/2016 (número ***FACT.3), rectificativa (131,85 euros), en la que se anula el importe facturado a su nombre. Reclamaciones efectuadas por el afectado  ORANGE menciona, aunque dice que no es una reclamación oficial, la reclamación enviada el 29/10/2016, a través de email, número ***RECL.1, en la que el denunciante manifiesta no reconocer la línea dada de alta a su nombre, número J.J.J., y le hace llegar copia de la denuncia presentada en la Policía. ORANGE afirma que recibida la reclamación “fue escalada al departamento de Análisis de Riesgos, desde donde se realizó un estudio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 7 8 ….concluyendo el mismo con la catalogación del contrato como fraudulento y ordenando los ajustes correspondientes a los importes que figuraban en estado de impago.” -ORANGE manifiesta haber realizado comprobaciones, tales como que el número de contacto que el reclamante le ofreció pertenecía a JAZZTEL y estaba asociado a una dirección postal distinta de la que constaba en los sistemas de líneas fijas de ORANGE. Verificó que no existía vinculación por tráfico en las facturas de JAZZTEL y ORANGE. - ORANGE afirma que por ese motivo se suspendió la línea catalogando su activación como fraudulenta y autorizando la anulación de facturas pendientes (julio y agosto de 2016)  Reclamación presentada por el denunciante ante la Dirección Gral. de Consumo de la CAM. Asunto con número de referencia ***REF.1, de 11/04/2017. La reclamación versó sobre el alta sin su consentimiento de la línea J.J.J. y solicitó anulación de las facturas que le reclaman y la exclusión de sus datos de los ficheros de solvencia en los que hubiera estado incluido. ORANGE respondió a la Dirección Gral. de Consumo mediante carta (que adjunta) de fecha 24/04/2017, en la que indica que la línea J.J.J. se activó el 03/03/2016 y que ha cursado baja en la fecha del escrito (24/04/2017). Informa que ORANGE anuló el 29/10/2016 las facturas pendientes de abono, de 12/07/2016, por 65,87 euros y de 12/08/2016 por 65,98 euros. Contratos suscritos:  ORANGE expone que la contratación de la línea J.J.J. “fue formalizada por SMS certificado”  Aporta “SMS certificado” que según dice “acredita la contratación realizada el 01 de marzo de 2016…” Aporta como documento 4 un escrito con los anagramas de “digitel” y “Camerfirma Certificado Digital”. En el documento se certifica que “Por mandato de Orange Espagne, S.A.U., ha remitido con número + H.H.H. un SMS al usuario con documento de identidad K.K.K. el día 01/03/2016 a las 09:35 (GMT+01) al número + I.I.I. con el siguiente texto: ORANGE facilita una impresión de pantalla con el texto del mensaje enviado y el número de Has. Informa de que el usuario respondió afirmativamente con un SMS desde el número + I.I.I. el 01/03/2016 al número + H.H.H. con el texto “Sí”. Aporta el Hash de la respuesta. ORANGE expone que el procedimiento de contratación vía SMS implantado cumple con lo dispuesto en el Reglamento UE 910/2014 del Parlamento Europeo y del Consejo, de 23/07/2014, Relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas. Además, cumple los requisitos exigidos por la CNMC el 19/02/2015.  La operadora detalla las fases que sigue el procedimiento de contratación de las que destaca, por lo que aquí interesa, la segunda, en la que una vez que el usuario ha manifestado su interés en contratar indica que el agente del operador lleva a cabo las siguientes acciones. A partir de aquí, la entidad diferencia dos hipótesis: a C/ Jorge Juan, 6 28001 – Madrid “Que no cuente con los datos identificativos del usuario, por no ser cliente previo, y además no realice ninguna portabilidad”. Para este www.agpd.es sedeagpd.gob.es 4/13 9 supuesto dice que se realiza “la toma de dichos datos a través de una llamada en conferencia con un sistema de grabación, siendo dicha toma de datos grabada telefónicamente por parte del agente que realiza el ofrecimiento comercial al usuario”. b “Si el operador ya cuenta con los datos del cliente en el sistema (por ser ya cliente de otros productos y/o servicios”. Para tal hipótesis dice: “DIGITEL, por mandato de Orange remite automáticamente al usuario un SMS con la información precontractual requerida por la normativa vigente, solicitándole al usuario su aceptación expresa e inequívoca mediante SMS”. Y añade que, con el fin de garantizar la integridad del contenido del SMS remitido al usuario, el sistema de DIGITEL lleva a cabo el cálculo de valor HASH. Las restantes fases de esta vía de contratación son la contestación del usuario en un plazo de 72 horas mediante el envío de un SMS con la palabra “sí”, en caso de que desee contratar. Tras lo cual, DIGITEL, en calidad de tercero de confianza, genera el certificado de contratación, firmado electrónicamente y sellado temporalmente. Finalmente, DIGITEL en nombre de Orange, remite al usuario un SMS en el que le confirma la contratación realizada. Inclusión en ficheros de morosidad ORANGE manifiesta que los datos personales del denunciante fueron incluidos en el fichero de solvencia ASNEF con fecha de alta 06/10/2016 y que la incidencia se dio de baja el 04/11/2016, una vez que la contratación fue catalogada de fraudulenta. FUNDAMENTOS DE DERECHO I Los hechos expuestos podrían suponer la comisión por ORANGE de sendas infracciones de los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), preceptos que disponen: Artículo 6: “1.El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado Artículo 4.3: “Los datos de carácter personal serán exactos y puestos al día de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 forma que respondan con veracidad a la situación actual del afectado”. Artículo 29.4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. A su vez, el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD), en su artículo 38.1 establece: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

  1. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…)” El artículo 38.3 del RLOPD y el artículo 43.1 del RLOPD (“Responsabilidad”) disponen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. El artículo 44.3.
  2. b)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. El artículo 44.3.
  3. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Las infracciones graves pueden ser sancionadas con multa de 40.001 € a 300.000 €, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. II A tenor de las Actuaciones de Investigación practicadas por la Inspección de Datos consta acreditado que ORANGE incorporó a sus ficheros y trató los datos personales del denunciante -DNI, nombre y dos apellidos- asociados a la contratación de una línea telefónica y de ADSL en fecha 03/03/2016. Se requirió a ORANGE en el curso de las Actuaciones de Investigación Previa para que aportara la copia del contrato suscrito por quien facilitó como suyos los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 personales del denunciante y para que remitiera la copia del DNI, pasaporte o cualquier otro documento que hubiera recabado para acreditar su identidad. Se solicitó asimismo a la denunciada en el curso de la investigación previa que si la contratación se había efectuado por internet informara a la AEPD del procedimiento que para validar la identidad del contratante tuviera implementado. ORANGE no aportó ningún documento acreditativo de la identidad del contratante. Informó que la línea J.J.J. se contrató mediante “SMS certificado” sobre el que comenta “acredita la contratación realizada el 01 de marzo de 2016…” La documentación facilitada ha consistido en un escrito con los anagramas de “digitel” y “Camerfirma Certificado Digital” en el que se certifica que “Por mandato de Orange Espagne, S.A.U., ha remitido con número + H.H.H. un SMS al usuario con documento de identidad K.K.K. el día 01/03/2016 a las 09:35 (GMT+01) al número + I.I.I. con el siguiente texto…”. La denunciada ha facilitado una impresión de pantalla que incluye el texto íntegro del mensaje enviado y el número de Has; la respuesta del usuario, que fue afirmativa, realizada mediante un SMS enviado desde el número + I.I.I. el 01/03/2016 al número + H.H.H.. Aporta el Hash de la respuesta y el Hash del envío. A tenor de tal documentación, la operadora afirma que queda acreditado que el contratante aceptó los servicios de ORANGE. Facilita también una impresión de pantalla que incluye dos archivos adjuntos -denominados “solicitud_de_portabilidad_.pdf” y “detalle_de _mi_oferta.pdf”- indicando que tales archivos adjuntos “han sido comunicados con el link del SMS remitido al número + I.I.I.” La documentación descrita, que ORANGE ha remitido a la Inspección de Datos, no aporta ningún elemento que evidencie que se realizó alguna actividad tendente a verificar la identidad de la persona que otorgó el consentimiento a la contratación. Se añade a lo anterior que, según las explicaciones de ORANGE, en el procedimiento de contratación a través de SMS Certificado pueden plantearse dos situaciones distintas. Una de ellas cuando el operador no cuenta con los datos identificativos del cliente y además no se realiza una portabilidad. En tal caso, los datos personales se recabarán a través de una llamada telefónica que se graba. Medida que constituiría una muestra de diligencia en el cumplimiento de la obligación que impone el artículo 6.1 LOPD. Sin embargo, en el presente caso, ORANGE no ha remitido a la AEPD copia de ninguna grabación telefónica. La otra hipótesis que se contempla se produce cuando ORANGE “cuenta con los datos del cliente en el sistema (por ser ya cliente de otros productos y/o servicios)”. En tal caso la operadora explica que se acude directamente al SMS Certificado para la contratación. Pues bien, dado que la operadora no ha aportado ninguna grabación -lo que es imprescindible según el protocolo descrito si el contratante no es ya cliente de la entidad- cabría suponer que estamos ante la segunda hipótesis. Más aún si se tiene en cuenta que la entidad ha aportado un SMS Certificado en referencia a la contratación de la línea controvertida. Esto supondría, en consonancia con la explicación ofrecida, que el contratante ya era cliente de la entidad por lo que ORANGE debía de tener en su poder, recabado con ocasión de la contratación inicial, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 y conservar a disposición de la AEPD, la copia de los documentos que permitieran acreditar su identidad. Por el contrario, ORANGE, además de no haber acreditado que con ocasión de la contratación de la línea que ha dado origen al presente expediente hubiera adoptado ninguna medida tendente a validar la identidad de la persona que presta el consentimiento a la contratación, tampoco ha aportado copia de la documentación que debía tener en su poder por cuanto el contratante de la línea, a tenor de sus declaraciones, era ya cliente de la compañía. Como ORANGE conoce bien, la Audiencia Nacional, Sala de lo Contencioso Administrativo, viene considerando que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia. Puede citarse en tal sentido una antigua SAN, de 11/05/2001, que señalaba que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” (El subrayado es de la AEPD). Reiteradamente ha afirmado la Audiencia Nacional que el responsable del tratamiento de datos de terceros debe recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Cabe citar, por todas, la SAN de 31/05/2006 (rec. 539/2004) que en su Fundamento de Derecho Cuarto dice: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” Las razones expuestas justifican que se atribuya a ORANGE una infracción del principio del consentimiento, tipificada en el artículo 44.3.
  4. b)LOPD. Por otra parte, ORANGE ha reconocido que comunicó los datos personales del denunciante al fichero ASNEF con fecha de alta 06/10/2016 y que dio de baja la incidencia el 04/11/2016, al catalogar la contratación como fraudulenta a raíz de que recibiera, mediante un email del denunciante de 29/10/2016, la copia de la denuncia presentada por estos hechos en la Comisaría de Policía el 20/10/2016. En tanto ORANGE no ha acreditado que el denunciante otorgara el consentimiento a la contratación, la deuda asociada a sus datos personales incluida en ASNEF no reunía el requisito de certeza que exige el artículo 38.1.
  5. a)del RLOPD en relación con el artículo 4.3 y 29.4 de la LOPD. Conducta que es subsumible en el tipo sancionador del artículo 44.3.
  6. c)LOPD. III De las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, estimamos que han de graduarse las sanciones a imponer con arreglo a los artículos 45.5 y 45.4 LOPD en los términos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 se detallan a continuación: El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario que concurra bien una cualificada disminución de la culpabilidad el imputado, bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el asunto que nos ocupa, a la luz de lo manifestado por ORANGE, resulta que la entidad dio de baja la incidencia informada al fichero ASNEF asociada al denunciante en fecha 04/11/2016, sólo unos días más tarde de haber conocido, a través del email que el denunciante le remitió el 29/10/2016, que había interpuesto una denuncia en la Policía el 20/10/2016 por suplantación de identidad en la contratación. Por tal razón, y sin perjuicio del resultado de las pruebas que se practiquen, se estima procedente la aplicación de la atenuante cualificada del artículo 45.5.
  7. b)LOPD, “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”. Así pues, la sanción a imponer por las infracciones de las que se responsabiliza a ORANGE (ex artículo 43.1 LOPD) tipificadas en los artículos 44.3.b y 44.3.c LOPD estará comprendida dentro de los márgenes que el artículo 45.1 LOPD fija para las infracciones leves: de 900 a 40.000 euros. En la determinación de la sanción se toman en consideración las siguientes circunstancias agravantes descritas en el artículo 45.4 LOPD: -“El carácter continuado de la infracción” (apartado a), circunstancia que es de aplicación en aquellos casos en los que la infracción cometida tenga carácter permanente, naturaleza que la Audiencia Nacional atribuye a la infracción de los artículos 6.1 y 4.3 LOPD. En el presente caso, los datos personales del denunciante permanecieron incluidos en el fichero ASNEF, informados por ORANGE, sin justificación legal para ello – habida cuenta de que respecto al afectado la deuda no era cierta- entre el 06/10/20016 y el 04/11/2016. ORANGE anuló las facturas pendientes de pago y emitió factura rectificativa el 12/11/2016. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c). La actividad empresarial de ORANGE, por su propia naturaleza, exige un continuo tratamiento de datos personales de sus clientes. La Audiencia Nacional en SAN de 17/10/2007 (Rec. 63/2006), exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia y precisa que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. -- “El volumen de negocio o actividad del infractor” (apartado d). Señalar a este respecto que es un hecho notorio, sobre el que no es necesaria prueba, que ORANGE tiene la condición de gran empresa dentro del sector en el que desarrolla su actividad empresarial y es una de las principales operadoras de telecomunicaciones del mercado nacional e internacional. - “El grado de intencionalidad” (apartado, f), expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador …”. En el presente caso, como evidencian los hechos relatados, ORANGE obró con una “grave” falta de diligencia toda vez que omitió aquella que las circunstancias del caso exigían y el estado de la técnica aconsejaba a fin de garantizar el respeto al principio de culpabilidad; lo que extrapolado a los hechos que se denuncian implicaba haber recabado y conservado a disposición de la AEPD un documento, cualquiera que fuese el soporte, que acreditara que la persona que otorgó el consentimiento a la contratación era el titular de los datos personales que había facilitado como suyos. Grave falta de diligencia que también se aprecia en relación con la infracción del artículo 4.3 LOPD vinculada al artículo 38.1.a del RLOPD. Debe tomarse en consideración que los artículos 38.3 del RLOPD y 43.1 refuerzan la diligencia que ha de desplegar en el cumplimiento de las obligaciones que le impone el artículo 38.1 RLOPD quien informa a un fichero de solvencia datos de terceros. Los preceptos exigen expresamente al informante que conserve la documentación acreditativa de su cumplimiento y que “se asegure” de que cumple los requisitos los artículos 38 y 39 antes de informar datos de terceros a ficheros de esa naturaleza. - “La reincidencia por comisión de infracciones de la misma naturaleza” (apartado g). ): Precepto que ha de integrarse con la norma del artículo 29.3. d, de la Ley 40/2015, de Régimen Jurídico del Sector Público, que al referirse a la aplicación del principio de proporcionalidad advierte que se deberán tomar en consideración, entre otros criterios, “La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa”. Al hilo de lo anterior se constata que ORANGE fue sancionada por infracción del artículo 6.1 LOPD, entre otras ocasiones, en las resoluciones dictadas en los PS/394/2016, dictada el 14/02/2017, y PS/430/2016, dictada el 01/02/2017. Por infracción del articulo 4.3 LOPD podemos citar a título de ejemplo la resolución del PS/430/2016 y la del PS/315/2016, de 16/01/2017. Todas ellas firmes en vía administrativa. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a ORANGE ESPAGNE, S.A.U., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la LOPD y en relación, asimismo, con el artículo 38.1.
  8. a)del RLOPD, tipificadas ambas como infracciones graves en los artículos 44.3.
  9. b)y 44.3.
  10. c)de la citada Ley Orgánica, respectivamente. 2. NOMBRAR Instructora a F.F.F. y Secretario a D.D.D., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; documentos todos ellos que integran el expediente E/00418/2017. 4. QUE a los efectos previstos en el art. 64.2
  11. b)de la ley 39/2015, de 1 de octubre y artículo 127 letra
  12. b)del RLOPD, la sanción que pudiera corresponder sería de 32.000 euros (treinta y dos mil euros) por la primera infracción y de 32.000 euros (treinta y dos mil euros) por la segunda, lo que supone una sanción de 64.000 euros (sesenta y cuatro mil euros), sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a ORANGE ESPAGNE, S.A.U., indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
  13. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
  14. f)y 85 de la LPACAP, se le informa de que si no efectuara alegaciones en plazo al acuerdo de inicio, éste podrá ser considerado propuesta de resolución. También se le informa de que, a tenor de lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio, lo que llevará aparejada una reducción del 20% de la sanción que proceda imponer, equivalente, en este caso, a 12.800 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 51.200 euros (cincuenta y una mil doscientos euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo, podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a12.800 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 51.200 euros (cincuenta y una mil doscientos euros) y su pago implicará la terminación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 38.400 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente ( 51.200 o 38.400) de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento sancionador (PS/00605/2017) y la causa de reducción del importe de la sanción a la que se acoge y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De acuerdo con lo establecido en los artículos 37.
  15. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno.>> SEGUNDO: En fecha 12/01/2018 la entidad ORANGE ESPAGNE, S.A.U. ha procedido al pago de la sanción en la cuantía de 38.400 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 12/01/2018 tuvo entrada en esta Agencia escrito de la entidad ORANGE ESPAGNE, S.A.U., en el que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00605/2017, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., con CIF A82009812. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.