PS-00610-2014

1/12 Procedimiento Nº PS/00610/2014 RESOLUCIÓN: R/01085/2015 En el procedimiento sancionador PS/00610/2014, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U., vista la denuncia presentada por Dña. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 04/02/2014, tiene entrada en la Agencia Española de Protección de Datos (AEPD) escrito remitido por Dña. A.A.A. (en lo sucesivo la denunciante), en el que denuncia a ORANGE ESPAGNE S.A.U. (en lo sucesivo ORANGE) manifestando que han utilizado sus datos personales sin su consentimiento para realizar una contratación tal y como se indica en la Resolución de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI). La SETSI Resuelve en relación con la reclamación presentada por la denunciante, con fecha de 30 de diciembre de 2013, lo siguiente: reconocer el derecho de la reclamante a obtener la baja en el servicio no solicitado así como no abonar las facturas y la devolución en el supuesto de que las hubiera pagado. En la tramitación de dicha reclamación ORANGE ha comunicado a la SETSI, con fecha de 21 de marzo de 2013, que la línea ***TEL.1 fue dada de baja el 29 de noviembre de 2012 y que la factura de noviembre de 2012 fue anulada el día 4 de febrero de 2013. La compañía ORANGE da respuesta a la Oficina de Información al Consumidor del Ayuntamiento de Alcázar de San Juan (en adelante OMIC), el día 4 de febrero de 2013, en relación con la reclamación formulada por la denunciante en la que solicita la baja y la anulación de los importes generados con la línea ***TEL.1 comunicando que consta desactivada desde el 3 de enero de 2013 y la factura de noviembre de 2012 se ha anulado. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a ORANGE, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas de inspección E/1908/2014 que se transcribe: “ACTUACIONES PREVIAS DE INVESTIGACIÓN La compañía ORANGE ha comunicado a la Inspección de Datos, con fecha de 19 de mayo de 2014, en relación con la contratación de la línea ***TEL.1 lo siguiente:  En el Sistema de Información de Clientes de la compañía consta la línea ***TEL.1, vinculada al contrato ***CONTRATO.1, asociada a la denunciante: nombre, apellidos, NIF y domicilio postal. La línea fue activada como consecuencia de un cambio de titularidad el 12 de abril de 2012 y fue dada de baja por fraude con fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 2 de octubre de 2012. Sin embargo, con fecha 6 de noviembre de 2012 fue activada y dada de baja nuevamente por fraude el 3 de enero de 2013. Se emitieron facturas hasta el 26 de noviembre de 2012 y fue anulada la factura de noviembre de 2012 el día 4 de febrero de 2013 por lo que no tiene deuda pendiente.  En el Servicio de Atención al Cliente consta una llamada de la denunciante el 15 de junio de 2012 en la que manifiesta que no reconoce la línea ***TEL.1 y finalmente conllevó la suspensión temporal de la línea. También, con fecha 18 de septiembre de 2012 reciben una nueva llamada de la denunciante en la que se le informa de la suspensión por fraude.  La línea ***TEL.1 fue contratada por D. B.B.B., ex marido de la denunciante, el 16 de diciembre de 2010, dejando de estar a su nombre por un cambio de titularidad.  Como consecuencia de la reclamación interpuesta por la denunciante la operadora ha recabado la información a través del Punto de Venta que llevó a cabo el citado cambio de titularidad, que según manifiesta el distribuidor, Tiendas Conexión, S.L., la denunciante y su ex cónyuge acudieron al punto de venta con la intención de intercambiar las líneas de las que eran titulares, el Sr. B.B.B. de la línea ***TEL.1 y la Sra. A.A.A. de la línea ***TEL.2, debido al uso cruzado que hacían de las mismas. Sin perjuicio de que el cambio fue llevado a cabo, el contrato no pudo ser firmado en ese instante por dificultades técnicas, de manera que, contraviniendo las precisas instrucciones emitidas por la compañía a sus distribuidores en cuanto al procedimiento y requisitos necesarios para realizar cambios de titularidad.  Tan pronto se recibió la reclamación interpuesta ante la OMIC se procedió a la suspensión cautelar de las líneas ***TEL.1 y ***TEL.2. Tras la recepción de dicha reclamación, contactaron telefónicamente con el Punto de Venta así como con la reclamante quien, para gran sorpresa de la operadora, manifestó en ese momento, su deseo de seguir haciendo uso de la línea ***TEL.1. Ante tal inesperada circunstancia, se procedió a la reactivación de la línea y se solicitó una aclaración al respecto del motivo exacto de la reclamación interpuesta ante la OMIC, según consta en el escrito de fecha 17 de diciembre de 2012 dirigido por la operadora a la OMIC. Con fecha de 4 de febrero de 2013 se da respuesta a la reclamación de la OMIC informando de la desactivación de la línea el día 3 de enero de 2013.  También, la operadora da respuesta a la SETSI, con fecha de 21 de marzo de 2013, comunicando que la línea ***TEL.1 fue dada de baja el 29 de noviembre de 2012 y con fecha de 4 de febrero de 2013 anulada la factura de noviembre de 2012.  El Contrato ***CONTRATO.1, en el que consta activada la línea objeto de reclamación, fue dada de alta a través del SF10 (código de distribuidor): ********, que corresponde al Punto de Venta del Canal de Distribución de ORANGE, cuya Razón Social es Tiendas Conexión, S.L., con domicilio fiscal sito en (C/........1) (Cantabria). La ubicación física del distribuidor es (C/........2) (Ciudad Real).” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 TERCERO: Con fecha 06/11/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma. CUARTO: Notificado el acuerdo de inicio, ORANGE efectuó las siguientes alegaciones: 1. La denunciante portó el 25/10/2011 la línea ***TEL.2 a ORANGE por lo que, en consecuencia, prestó el consentimiento para el tratamiento de sus datos personales. La línea de dio de baja como consecuencia de un cambio de titularidad del que entonces era su marido, D. B.B.B.. Por su parte la línea ***TEL.1 había sido dada de alta por parte de D. B.B.B. el 16/12/2010. El 12/04/2012 los entonces esposos, Sra. A.A.A. Y Sr. B.B.B. se intercambiaron la titularidad de las líneas de teléfono móvil que respectivamente tenían contratadas con ORANGE. La denunciante prestó su consentimiento para el tratamiento de sus datos personales hasta en dos ocasiones, con ocasión de la portabilidad de la línea ***TEL.2 y como consecuencia del cambio de titularidad de la línea ***TEL.1 que hasta ese momento pertenecía a su esposo. Dicho cambio de titularidad de produjo a través del punto de venta correspondiente al distribuidor TIENDAS CONEXION, S.L., aunque no fue posible la firma del cambio. La denunciante interpuso una reclamación ante la OMIC motivo por el cual se suspendió la línea. Sin embargo, poco después la denunciante se pone en contacto con ORANGE y confirma que la línea ***TEL.1 quiere mantenerla a su nombre y la línea ***TEL.2 a nombre de su marido del que se está separando. Por tanto consta, tanto el consentimiento expreso de la denunciante para el tratamiento de sus datos, como el derivado de sus propios actos citados anteriormente (consentimiento tácito). 2. Ausencia de culpabilidad y presunción de inocencia. 3. Subsidiariamente aplicación del artículo 45.5 de la LOPD QUINTO: En fecha 20/04/2012 se emitió propuesta en el sentido de archivar el procedimiento conforme a lo dispuesto en el artículo 19 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora HECHOS PROBADOS PRIMERO: Con fecha 04/02/2014, tiene entrada en la Agencia Española de Protección de Datos (AEPD) escrito remitido por la denunciante, en el que denuncia a ORANGE manifestando que han utilizado sus datos personales sin su consentimiento para realizar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 una contratación (línea ***TEL.1) (folio 1) SEGUNDO: En el sistema de Información de Clientes de ORANGE consta la línea ***TEL.2, vinculada al contrato ***CONTRATO.1, dada de alta en fecha 25/10/2011 por la denunciante. En fecha 12/04/2012 se produce un cambio de titularidad pasando a figurar como tal D. B.B.B. (marido de la denunciante). La línea fue suspendida en fecha 20/06/2012 (folios 102-103, 134) TERCERO: En el Sistema de Información de Clientes de ORANGE consta la línea ***TEL.1, vinculada al contrato ***CONTRATO.1, dada de alta en fecha 16/12/2010 por D. B.B.B.. Desde fecha 12/04/2012 figura asociada a la denunciante: nombre, apellidos, NIF y domicilio postal como consecuencia de un cambio de titularidad. La línea fue suspendida en fecha 20/06/2012 como consecuencia de reclamación telefónica de la denunciante, reactivada el 22/06/2012 tras contactar con ésta y manifestar su deseo de seguir haciendo uso de la línea, y dada de baja por fraude con fecha 02/10/2012. Con fecha 06/11/2012, tras contactar con la cliente, la línea fue activada nuevamente, suspendida al día siguiente 07/11/2012 y dada de baja definitivamente por fraude el 03/01/2013 (folios 23-26, 31, 38-39, 101-104, 134-135) CUARTO: El cambio de titularidad de las líneas ***TEL.2, y ***TEL.1 efectuado el 12/04/2012 se llevó a cabo en el distribuidor TIENDAS CONEXIÓN, S.L., que manifestó que la denunciante y su ex cónyuge (Sr. B.B.B.) acudieron al punto de venta con la intención de intercambiar las líneas de las que eran titulares, el Sr. B.B.B. de la línea ***TEL.1 y la denunciante de la línea ***TEL.2, debido al uso cruzado que hacían de las mismas. Los datos referidos a la cuenta bancaria de pago y dirección de facturación no se cambiaron. El contrato no pudo ser firmado en ese instante por dificultades técnicas quedando los adquiriendo los clientes el compromiso de remitir el contrato firmado. (folios 29-30, 38-39, 136) QUINTO: En el sistema de Información de Clientes de ORANGE constan las siguientes facturas de la línea ***TEL.1 emitidas a la denunciante: - Factura de fecha 26/04/2012 por importe de 60,16 €, pagada. Factura de fecha 26/05/2012 por importe de 20,92 €, pagada. Factura de fecha 26/06/2012 por importe de 18,38 €, pagada. Factura de fecha 26/07/2012 por importe de 21,32 €, pagada. Factura de fecha 26/08/2012 por importe de 17,15 €, pagada. - Factura de fecha 26/09/2012 por importe de 10,81 €, pagada, anulada el 04/02/2013 y devuelto su importe. - Factura de fecha 26/11/2012 por importe de 18,46 €, pagada, anulada el 04/02/2013 y devuelto su importe. Se constata que en la factura de fecha 26/09/2013 existen llamada y mensajes SMS remitidos a la línea ***TEL.2 (folios 5-7, 27, 35-37) SEXTO: En fecha 20/06/2012 la denunciante formuló reclamación en la OMIC de Alcázar de San Juan señalando que sin su autorización se había contratado a su nombre la línea ***TEL.2,. Manifiesta que “….simplemente antes venían las facturas a nombre de otra persona y ahora vienen a mi nombre”, y que ha solicitado el contrato a ORANGE pero no se lo envían. En fecha 17/12/2012 ORANGE respondió C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 informando que se habían puesto en contacto con la denunciante quién había manifestado su intención de hacer uso de la línea ***TEL.2 lo cual contradecía lo indiciado en su reclamación por lo que ORANGE, reactiva la línea y solicita que ésta indique por escrito cual es el motivo exacto de su reclamación y exponga claramente las líneas en las que desea se realicen las gestiones necesarias, a lo cual la denunciante respondió solicitando la baja y anulación de los importes generados por la citada línea. En fecha 04/02/2013 ORANGE respondió informando que la citada línea constaba desactivada desde el 03/01/2013, y que anulaban la factura de fecha 26/11/2012 que constaba pendiente de pago por importe de 18,46 €, quedando al corriente de pago (folios 2-7, 40-41) SEPTIMO: En fecha 20/02/2013 la denunciante presentó reclamación ante la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI) en la que exponía que ORANGE había procedido a dar de alta a su nombre y sin su consentimiento la línea ***TEL.1 Manifiesta en su reclamación que “..a pesar de no haber contratado, he ido pagando facturas aun sin haber tenido servicio”. ORANGE alegó a la SETSI que la citada línea había sido dada de baja a fecha 29/11/2012, y que con fecha 04/02/2013 se había anulado la factura de fecha 26/11/2012 que constaba pendiente por importe de 18,46 €. La SETSI dictó resolución en fecha 30/12/2013 en la que reconoce el derecho de la denunciante a no abonar las facturas emitidas por ORANGE y a proceder a su devolución en caso de que hubieran sido abonadas. En fecha 04/02/2014 ORANGE informó a la denunciante que la línea ***TEL.1 había generado dos facturas, una en fecha 26/11/2012 (18,46 €) anulada en fecha 04/02/2013, y otra en fecha 26/09/2012 (10,41 €) anulada en la misma fecha (folios 8-17, 43-48, 136) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Se imputa a ORANGE el tratamiento sin consentimiento de los datos personales del denunciante. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el articulo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular” III De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por ORANGE puede subsumirse o no en tales definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso afirmativo si está o no legitimada para el tratamiento de datos de la denunciante, y por ende verificar la prestación del consentimiento de ésta o la ausencia del mismo. IV Consta en los sistemas de información de ORANGE los datos personales del denunciante, asociados a un servicio que presta aquella, en concreto, la controvertida línea ***TEL.1, además de la línea ***TEL.2. Los sistemas de información de la denunciada han de conjugarse con la definición de fichero, que de conformidad con el artículo 3.
3. b)como “todo conjunto organizado de datos de carácter personal, cualquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso. Se puede afirmar por tanto, que ORANGE tiene en sus ficheros, los datos personales del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Todo esto sitúa a ORANGE como responsable del fichero y se evidencia un tratamiento de datos, de conformidad con las definiciones legales señaladas en el fundamento jurídico anterior. Por lo que de conformidad con el artículo 43 de la LOPD, ORANGE se sitúa bajo el régimen de responsabilidad de la ley orgánica de tanta cita. V En el presente caso la denunciante niega haber solicitado un cambio de titularidad de la línea ***TEL.1, no obstante lo cual debe tomarse en consideración un cúmulo de elementos indiciarios en contra del tal afirmación y que constituirían elementos de prueba suficientes para admitir la existencia de una presunción de consentimiento para el tratamiento de datos de la denunciante por parte de ORANGE. Estos elementos se concretan en los siguientes hechos: - La existencia, en fecha 12/04/2012, de un cambio de titularidad (en favor del cónyuge) de las líneas ***TEL.1 y ***TEL.2, de tal modo de la línea ***TEL.1, (en origen titularidad del Sr. B.B.B. (esposo de la denunciante) pasó a ser titularidad de ésta, y a su vez la línea ***TEL.2, en origen titularidad de la denunciante, pasó a ser titularidad del Sr. B.B.B.. - Las manifestaciones de la denunciante en su reclamación ante la OMIC en el sentido de afirmar que las facturas de la línea ***TEL.1 “…antes venían a nombre de otra persona…” omitiendo deliberadamente la identidad del titular de la misma (Sr, B.B.B.) y su relación con tal persona (era su esposa). A ello se une el hecho de que la denunciante omite que asimismo en fecha 12/04/2012 la línea ***TEL.2, de la cual era titular pasó a ser titularidad del Sr. B.B.B.. - Las manifestaciones de la denunciante en su reclamación ante la SETSI, afirmado que a pesar de no ser titular de la línea ***TEL.1 pagó las facturas OMIC, lo que acreditan los sistemas de ORANGE en los que constan pagadas las 7 facturas emitidas con posterioridad al cambio de titularidad negado por la denunciante. - Las manifestaciones efectuadas por el responsable del punto de contratación que gestionó los cambios de titularidad en el sentido que la denunciante y el Sr. B.B.B. acudieron y efectuaron el citado cambio, si bien por un problema técnico no pudo imprimirse el contrato, efectuándose no obstante el cambio de titularidad quedando a expensas que ambos clientes remitieran el contrato firmado. La existencia de llamada y mensajes SMS entre las líneas ***TEL.1 y ***TEL.2 Recordemos que la LOPD define el consentimiento en su artículo 3: “Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 En este sentido, se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de LOPD y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. El consentimiento, en consecuencia, puede ser tanto expreso como tácito, dado que siguiendo la Jurisprudencia del Tribunal Supremo se puede admitir el consentimiento tácito con carácter general salvo que una norma indique la obligatoriedad de que sea expreso. La Sentencia de la Audiencia Nacional de 28/02/2007, recuro 236/2005 señala: “…cualquiera que sea la forma que revista el consentimiento -expreso, presunto o tácitoéste ha de aparecer como evidente, inequívoco -que no admite duda o equivocación-, pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento, de manera que el establecimiento de presunciones, como la falta de denuncia de los hechos por el afectado o las demás circunstancias a las que se alude en la demanda, equivaldría a establecer un sistema de suposiciones que pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser "equívoco", es decir, que su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular. Además, y en este sentido, el titular de los datos personales puede hacer públicos aquellos que tenga por conveniente, a los efectos ahora examinados, pues tal es el poder de disposición sobre los mismos que le confiere este derecho fundamental, según reiteradamente ha declarado el Tribunal Constitucional, lo que no significa, en modo alguno, que los demás pueden deducir de ahí que ha prestado el consentimiento para la publicación o divulgación general de todos su datos personales o de parte de ellos, burlando las exigencias que establece la Ley Orgánica 15/1999.” La Sentencia del Tribunal Supremos de 26/05/1986 de la sala de lo civil se refiere a la declaración de voluntad tácita “Existirá declaración de voluntad tácita cuando el sujeto, aun sin exteriorizar de modo directo su querer mediante la palabra escrita u oral, adopta una determinada conducta que al presuponer el consentimiento por una deducción razonable basada en los usos sociales y del tráfico, ha de ser valorada como expresión de la voluntad interna; en definitiva, se trata de los llamados hechos concluyentes (acta concludentia,) y como tales inequívocos que sin ser medio directo de exteriorización del interno sentir lo da a conocer sin asomos de duda, de suerte que "el consentimiento puede ser tácito cuando del comportamiento de las partes resulta implícita su aquiescencia a una determinada situación" (el subrayado es de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Si bien corresponde a ORANGE aportar la acreditación de algún modo de haber obtenido y contar con el consentimiento del titular de los datos: De acuerdo con este criterio, cabe citar la Sentencia de la Audiencia Nacional de fecha 11/05/2001 en la que se afirma que “quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado –art. 6 LO 5/1992-, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción”. Criterio también mantenido por la Audiencia Nacional en su Sentencia de 15/12/2001 que señala que “Los inspectores de la APD comprueban que los datos de ... figuran registrados en una copia del fichero de clientes. Datos personales que fueron utilizados por ... para remitir las susodichas revistas al menor. Dichos hechos no han sido negados por la actora, es más los admite, sin embargo sostiene que la falta de consentimiento para el tratamiento de datos no ha sido acreditado por la APD, y ésta al tenerlos como tales a la espera de que los probara el inculpado ha invertido la carga de la prueba. Argumento de todo punto insostenible, porque de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la APD probó el hecho constitutivo que era el tratamiento automatizado de datos personales del menor ... , y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo.... Es decir, ..., debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que en el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/21992. Y nada de esto ha sucedido.” En consecuencia las pruebas obrantes en el expediente acreditan la existencia de un consentimiento tácito de la denunciante para el tratamiento de sus datos en relación con el servicio de la línea ***TEL.1. A ello debe añadirse que hemos de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, lo visto anteriormente en aplicación del principio de presunción de inocencia, impiden imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación, o a sensu contrario, se acredita la existencia de indicios probatorios suficientes que permiten albergar la existencia de una duda razonable acerca de la comisión de la infracción imputada, como en el presente caso se produce al existir elementos indiciarios que acreditarían la existencia de un consentimiento tácito de la denunciante para el tratamiento de sus datos personales. Procede en definitiva proponer el archivo de la infracción del artículo 6.1 de la LOPD, dada la existencia de indicios probados de consentimiento del denunciante. Vistos los hechos y fundamentos de derecho anteriores no cabe inferir que ORANGE vulneró lo dispuesto en el artículo 6.1 de la LOPD, por lo que procede el archivo del presente procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00610/2014. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U. y A.A.A.. Dña. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es