← España

PS-00628-2014

1/17 Procedimiento Nº PS/00628/2014 RESOLUCIÓN: R/00100/2015 En el procedimiento sancionador PS/00628/2014, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE S.A.U., vista la denuncia presentada por denunciante 1 y denunciante 2 en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 28/11/2013 y 09/12/2013 tienen entrada en la Agencia Española de Protección de Datos escritos de A.A.A. (en lo sucesivo denunciante 1) y B.B.B. (en lo sucesivo la denunciante 2), en el que se pone de manifiesto los siguientes hechos: La denunciante 1 señala que en junio de 2013 contrata con ORANGE tarifa “Canguro 45” y al acceder a su área personal en la web de la compañía puede acceder a números móviles que no son suyos y que pertenecen a la denunciante 2, recibiendo en su domicilio sus facturas, así como accediendo a las facturas datos de años anteriores. Puesta en contacto con la compañía no le dan ninguna explicación, por lo que decide presentar reclamación por escrito sin que tampoco haya obtenido respuesta. Por último, decide presentar reclamación ante la SETSI. La denunciante 2 señala que con objeto de acogerse a una tarifa denominada “Canguro 45” de ORANGE ESPAGNE, S.A. (en adelante ORANGE), un tercero (C.C.C.) realizó un cambio de titularidad a favor de la denunciante 2 para la línea ***TEL.1 en una tienda ORANGE. Por ello, en mayo de 2013, la denunciante 2 tiene a su nombre las líneas ***TEL.2, ***TEL.1 y la línea fija ***TEL.3 todas ellas asociadas a la mencionada tarifa “Canguro 45”, así como la línea prepago ***TEL.4. El 13/06/2013, la denunciante cede la titularidad de la línea prepago ***TEL.4 al denunciante 1 y este cambio también se realiza en una tienda ORANGE. El 29/07/2013, al acceder a la web de ORANGE comprueba que todas sus líneas se encuentran asociadas a la denunciante 1. Por este motivo contacta telefónicamente con ORANGE y al no resolverse el problema acude a una tienda de ORANGE para realizar una reclamación. Con fecha 05/08/2013, remite reclamación por escrito a ORANGE que fue recibida en ORANGE el 7 de agosto, no obstante, en septiembre de 2013 no había recibido respuesta, por lo que interpone reclamación ante la Secretaria de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI). Con fecha 7 de noviembre detecta que al acceder a la web toda la información es correcta excepto en el apartado de Renove donde constan a su nombre los puntos asociados a la denunciante 1. Adjunto a la denuncia se ha aportado copia de las reclamaciones ante la SETSI y ORANGE, copia del contrato de la línea ***TEL.2 a nombre de la denunciante 2 de fecha 30/07/2009, copia del cambio de titularidad de la línea ***TEL.1 del tercero (C.C.C.) a favor de la denunciante 2, facturas emitidas a denunciante 1 en el periodo comprendido entre julio y octubre de 2013 para las líneas ***TEL.2 y ***TEL.1. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección se ha tenido conocimiento de lo siguientes hechos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 En fecha 14/07/2014 se realiza inspección en los locales de ORANGE. Tal y como consta en el Acta de Inspección E/1479/2014-I/1: 1. La tarifa CANGURO asocia servicios de comunicación fijos y móviles: línea fija con ADSL y al menos una línea de telefonía móvil. También se puede asociar televisión. La tarifa CANGURO obliga a que todas las líneas sean del mismo titular. 2. Se ha verificado que la denunciante 2 figura en los Sistemas de ORANGE como titular de un contrato (***CONTRATO.1) asociado a las líneas telefónicas: 2.1. ***TEL.2 con fecha de alta 06/08/2009 y en baja por portabilidad con fecha 4/06/2014. 2.2. ***TEL.1 con fecha de alta 23/06/2003 y en baja por portabilidad con fecha 04/06/2014 2.3. Línea prepago con fecha de expiración 07/10/2013. Asimismo consta como titular de la línea de telefónica fija ***TEL.3 con fecha de alta 20/01/2012 y en baja con fecha 01/06/2014. Respecto de la línea ***TEL.1 se ha comprobado que ha estado asociada a tres titulares: la denunciante 1, un tercero (C.C.C.) y la denunciante 2. 3. Se ha verificado que el contrato ***CONTRATO.1, único contrato de la denunciante 2 ha sufrido las siguientes modificaciones: • Con fecha 15/06/2013 consta una modificación del nombre y apellidos de la denunciante 2 quedando registrado el nombre y apellidos de la denunciante 1 y su DNI. También se modifica el domicilio postal • Con fecha 28/10/2013 consta una modificación de DNI y del nombre y apellidos quedando registrado el nombre y apellidos de la denunciante 2 y su DNI. También se modifica el domicilio postal. 4. Se ha verificado que en las facturas correspondientes a las líneas ***TEL.2 y ***TEL.1, las emitidas en julio, agosto, septiembre y octubre de 2013 constan a nombre de denunciante 1, con su número de DNI y domicilio postal. 5. Se ha verificado que consta denunciante 1 como titular de tres contratos: 5.1. Una línea prepago. 5.2. Contrato número ***CONTRATO.2 asociado a tres líneas. La primera de ellas corresponde con una línea prepago desactivada en fecha 23/04/2011. La segunda línea en baja por portabilidad en fecha 23/03/2006 y la tercera línea en baja por portabilidad en fecha 23/07/2009. 5.3. Contrato número ***CONTRATO.3 asociado a las líneas ***TEL.5 y ***TEL.6 ambas en situación de Activo desde el 27/12/2011. 6. Se ha verificado que, con fecha 27/09/2013 figura la recepción de una reclamación oficial de la denunciante 2 en la que pone de manifiesto que sus líneas ***TEL.2 y ***TEL.1 se encuentran a nombre de denunciante 1. En el estudio de dicha reclamación consta que se ha realizado un cambio de los datos de DNI, nombre y apellidos y domicilio a favor de denunciante 1 sin modificarse el dato de cuenta bancaria. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 Asimismo consta esta anotación “Esto se produce al establecer los datos del prepago que pasa a nombre de otra persona en lugar de crear en el punto de venta un contrato nuevo, le modificaron los datos directamente en BSCS y cambiaron a todas las líneas incluidas en el contrato”. En la Resolución consta que se excluye del contrato la línea de prepago ***TEL.4 y se modifican los datos en BSCS para el contrato ***CONTRATO.1 con las líneas ***TEL.2 y ***TEL.1 dejándolas a nombre de la denunciante 2 y se envía carta al Organismo. Como fecha de la resolución figura el 28/10/2013. Dicha fecha es la que figura en las modificaciones de datos de la cuenta de la denunciante 2 cuando se vuelve a asignar a las líneas ***TEL.2 y ***TEL.1 los datos de la denunciante 2. A este respecto, ORANGE manifiesta que el punto de venta no ha cumplido las instrucciones y el procedimiento establecido por ORANGE para llevar a cabo el cambio de titularidad solicitado por la cliente sobre la línea prepago ***TEL.4, ya que en lugar de generar un nuevo contrato para la nueva cliente se procedió a modificar los datos de la denunciante 2 directamente sobre el contrato ***CONTRATO.1, arrastrando dicha modificación a todas las líneas incluidas en el mismo, esto es las líneas ***TEL.2 y ***TEL.1 y por ello dichas líneas quedaron asociadas a la denunciante 1 como titular. TERCERO: Con fecha 27/11/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE, por presunta infracción de los artículos 4.3 y 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

  1. c)y 44.3.
  2. d)de dicha norma, pudiendo ser sancionada con multas de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de ORANGE no formuló alegaciones al acuerdo de inicio, por lo que es de aplicación lo señalado en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, que establece: “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento”, por lo que se procede a dictar Resolución. HECHOS PROBADOS En relación con el denunciante 1: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 PRIMERO. En fecha 28/11/2013 ha tenido entrada en esta Agencia escrito de la denunciante 1 en el manifiesta que en junio de 2013 tras contratar con ORANGE tarifa “Canguro 45”, al entrar a su área personal en la web de la operadora tiene acceso a dos líneas de telefonía móvil números ***TEL.2 y ***TEL.1 que no le corresponden (contratos, datos personales listados de llamadas, cuentas bancarias, facturación, etc.), y que pertenecen a la denunciante 2, recibiendo además en su domicilio sus facturas. Puesta en contacto con la compañía y al no darle explicación alguna de estos hechos decide presentar reclamación por escrito sin que tampoco haya obtenido respuesta; por último, decide presentar reclamación ante la SETSI (folio 79 y 80). SEGUNDO. El denunciante 1 aporta copia de su DNI nº ***DNI.1 (folio 81). TERCERO. Consta que la denunciante 1 presentó reclamación el 05/08/2013 ante el Departamento de Reclamaciones de ORANGE por los mismos hechos anteriormente manifestados (hecho primero), solicitando además que se le desvinculara de la titularidad de las líneas de telefonía móvil que no le pertenecían y la anulación de la permanencia en la compañía como consecuencia de la mala calidad del servicio prestado (folios 82 a 84). CUARTO. Consta que la denunciante 1 presentó el ante la SETSI escrito de reclamación, lo que dio lugar al expediente RC********/13/TLM que trasladada la a ORANGE alegaba el 17/12/2013: “Primero.- Que la denunciante 1, solicita que las líneas ***TEL.2 y ***TEL.1, no le pertenecen y que queden establecidas a nombre del titular correcto. Segunda.- Que con fecha 29/11/2013 las líneas mencionadas quedaron establecidas a nombre del titular correcto. Tercera.- Asimismo, les confirmamos que en la actualidad a nombre de la denunciante 1 las únicas líneas activadas a su nombre en relación a la telefonía móvil son ***TEL.7 y ***TEL.6. Cuarta.- Que, la cliente, a día de hoy se encuentra al corriente de pago con esta compañía” (folio 60 y 61). QUINTO: La denunciante 1 ha aportado copias de facturas relativas a las líneas de telefonía móvil asociadas a los números ***TEL.2 y ***TEL.1 que no le correspondían: Nº ***FACTURA.1, de 08/10/2013, por importe de 60,62 euros Nº ***FACTURA.2, de 08/09/2013, por importe de 59,29 euros Nº ***FACTURA.3, de 08/08/2013, por importe de 60,02 euros Nº ***FACTURA.4, de 08/07/2013, por importe de 60,74 euros En todas ellas figura como cliente la denunciante 1, su domicilio y nº de NIF, y como dirección de facturación la denunciante 1 y su domicilio. Además, figuran los desgloses de conceptos por línea, detalles de consumo, llamadas realizadas, etc. (folios 11 a 22). El Acta de Inspección E/1479/2014-I/1 señala “1.7. Se acceden a las facturas emitidas y facturadas a las líneas ***TEL.2 y ***TEL.1 verificando que las facturas emitidas en julio, agosto, septiembre y octubre de 2013 constan emitidas a nombre de la denunciante 1, con su número de DNI y domicilio postal” (folio 27). SEXTO: La denunciante 1 ha aportado impresiones de pantalla área privada, de la web de ORANGE donde figuran asociadas a su contrato ***CONTRATO.3 las líneas de telefonía móvil ***TEL.2 y ***TEL.1, el consumo, puntos acumulados a los citadas líneas, etc. (folios 109 a 112). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 En relación con el denunciante 2: SEPTIMO: En fecha 09/12/2013 ha tenido entrada en esta Agencia escrito de la denunciante 2 manifestando que al entrar en la web de la operadora, área de clientes, ha observado que puede acceder tanto a sus datos de carácter personal como a los datos personales pertenecientes a la denunciante 1, además de aquellos relacionados con sus llamadas sin que se le hay ofrecido solución alguna por lo que decidió interponer reclamación ante la compañía de la cual no ha obtenido respuesta, por lo que interpuso reclamación ante la SETSI ( folios 1 y 2). OCTAVO: La denunciante 2 aporta copia de su DNI nº ***DNI.2 (folio 3). NOVENO: Consta que la denunciante 2 presentó el ante el Departamento de Reclamaciones de ORANGE escrito de fecha 05/08/2013 señalando que con objeto de acogerse a una tarifa denominada “Canguro 45” un tercero (C.C.C.) tuvo que realizar un cambio de titularidad a su favor de la línea ***TEL.1 en una tienda ORANGE. Por ello, desde mayo de 2013, tiene a su nombre las líneas ***TEL.2, ***TEL.1 y la línea fija ***TEL.3 todas ellas asociadas a la mencionada tarifa “Canguro 45”, así como la línea prepago ***TEL.4. Posteriormente, el 13/06/2013, la denunciante 2 cede la titularidad de la línea de prepago ***TEL.4 a la denunciante 1, cesión que también se realiza en una tienda ORANGE. No obstante, al acceder a la web de ORANGE, área de clientes e introduciendo su clave, comprobó que todas sus líneas se encontraban asociadas a la denunciante 1, por lo que contactó telefónicamente con ORANGE a fin de que le resolvieran el problema. Además, cuando accedía a la citada área, era posible visionar tanto sus datos personales como a los relativos a la denunciante 1, así como la denunciante 1 podía acceder a sus datos de carácter personal, por lo que solicitó se corrigiera dicho error y se anulara su permanencia en la compañía dada la mala calidad del servicio (folios 5 y 6). DECIMO: Consta que la denunciante 2 presentó el ante la SETSI escrito de fecha 23/09/2013 denunciando los hechos anteriores (folios 7, 8 y 4), lo que dio lugar al expediente RC********/13/PVD, trasladado la reclamación a ORANGE alegaba el 28/10/2013: Primero.- Que la denunciante 2, solicita que las líneas ***TEL.2 y ***TEL.1, queden establecidas a su nombre como contrato. Segunda.- En relación a dicha petición les confirmamos que tras comprobar la documentación recibida con fecha 28/10/2013, hemos establecido nuevamente las líneas ***TEL.2 y ***TEL.1 a nombre de la denunciante 2… Tercera.- Que, la cliente, a día de hoy se encuentra al corriente de pago con esta compañía (folio 56 y 57). UNDECIMO: La denunciante 2 aporta solicitud de cambio de titular telefonía móvil de la línea ***TEL.1, de fecha 10/05/2013, en el que figura como antiguo titular C.C.C. y como nuevo titular la denunciante 2 (folio 10). También aporta copia de la solicitud de portabilidad de la línea nº ***TEL.2 desde Movistar a ORANGE (folio 9). DUODECIMO. En el Acta de Inspección E/1479/2014-I/1 se indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 “Los inspectores de la Agencia informan a los representantes de la entidad que la presente inspección se realiza como consecuencia de una reclamación presentada en la AGPD por la denunciante 2 en la que se pone de manifiesto que a través de la web de ORANGE puede acceder a los datos personales y a las facturas de la denunciante. 1. Los inspectores de la Agenda solicitan a los representantes de ORANGE el acceso los Sistemas de Información de ORANGE, realizando las siguientes comprobaciones: 1.1. Se realiza una consulta en el fichero de Clientes utilizando como argumento de búsqueda el número de NIF ***DNI.2 verificando que corresponde a la denunciante 2, como titular de un contrato (***CONTRATO.1) asociado a las líneas telefónicas: 1.1.1. ***TEL.2 con fecha de alta 06/08/2009 y en baja por portabilidad con fecha 4/06/2014. 1.1.2. ***TEL.1 con fecha de alta 23/06/2003 y en baja por portabilidad con fecha 04/06/2014 1.1.3. Línea prepago con fecha de expiración 07/10/2013. Se verifica que la línea ***TEL.1 ha estado asociada a tres titulares: denunciante 1, C.C.C. y denunciante 2. (…) 1.2. Se realiza una consulta en el fichero de Clientes utilizando como argumento de búsqueda el número de NIF "***DNI.1” verificando que corresponde a la denunciante 1 como titular de tres contratos: 1.2.1. Una Línea prepago. 1.2.2. Contrato número ***CONTRATO.2 asociado a tres Líneas. La primera de ellas corresponde con una línea prepago desactivada en fecha 23/04/2011. La segunda línea en baja por portabilidad en fecha 23/03/2006 y la tercera línea en baja por portabilidad en fecha 23/07/2009. 1.2.3. Contrato número ***CONTRATO.3 asociado a las líneas ***TEL.5 y ***TEL.6 ambas en situación de Activo desde el 27/12/2011. (…) 1.3. Se accede a las modificaciones realizadas sobre el único contrato del cliente la denunciante 2 (***CONTRATO.1) verificando que: • Con fecha 15/06/2013 consta una modificación del nombre y apellidos quedando registrado el DNI ***DNI.1 y el nombre y apellidos de la denunciante 1. También se modifica el domicilio postal. • Con fecha 28/10/2013 consta una modificación de DNI y del nombre y apellidos quedando registrado el DNI ***DNI.2 y el nombre y apellidos de la denunciante 2. También se modifica el domicilio postal. (…) 1.4. Se accede a las modificaciones realizadas sobre los datos del cliente la denunciante 1 verificando que no consta ninguna modificación sobre sus datos personales (DNI, nombre y apellidos, domicilio postal). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 1.5. Se realiza una consulta a los contactos, interacciones y reclamaciones del cliente la denunciante 2 verificando que, entre otras, constan: • Con fecha 27/09/2013 consta la recepción de una reclamación oficial en relación con la modificación de la titularidad de sus líneas ***TEL.2 y ***TEL.1 que se encuentran a nombre de la denunciante 1. En el estudio de dicha reclamación figura que se ha realizado un cambio de los datos de DNI, nombre y apellidos y domicilio a favor de la denunciante 1 sin modificarse el dato de cuenta bancaria. Asimismo consta esta anotación "Esto se produce al establecer los datos del prepago que pasa a nombre de otra persona en lugar de crear en el punto de venta un contrato nuevo, le modificaron los datos directamente en BSCS y cambiaron a todas las líneas incluidas en el contrato". En la Resolución consta que se excluye del contrato la línea de prepago ***TEL.4 y se modifican los datos en BSCS para el contrato ***CONTRATO.1 con las líneas ***TEL.2 y ***TEL.1 dejándolas a nombre de la denunciante 2 y se envía carta al organismo. Consta la resolución el 28/10/2013. (…) 1.6. Se realiza una consulta a los contactos e interacciones de la cliente la denunciante 1 verificando que, entre otras, constan: con fecha 27/09/2013 consta la recepción de una reclamación oficial en la que se pone de manifiesto que al acceder a través del área de cliente de la web se visualizan a los datos de otra persona. Asimismo consta que ya se había gestionado una reclamación previa procedente también de la SETSI del cliente implicado en el error de volcado de datos de la denunciante 2. En la resolución consta que se excluyó la línea prepago ***TEL.4 y se modifican los datos para el contrato ***CONTRATO.1 con las líneas ***TEL.2 y ***TEL.1 dejándolas a nombre de la denunciante 2 y que se quedan recogidas las líneas ***TEL.5 y ***TEL.6 a nombre de la denunciante 1. (…) 1.7. Se acceden a las facturas emitidas y facturadas a las líneas ***TEL.2 y ***TEL.1 verificando que las facturas emitidas en julio, agosto, septiembre y octubre de 2013 constan emitidas a nombre de la denunciante 1, con su número de DNI y domicilio postal. (…) 2. Los inspectores de la Agencia solicitan a los representantes de ORANGE el acceso los Sistemas de Información de ORANGE donde se recoge la información para los clientes de telefonía fija, realizando las siguientes comprobaciones: 2.1. Se realiza una consulta utilizando como argumento de búsqueda la línea número "***TEL.3" verificando que consta como titular la cliente denunciante 2 con fecha de alta 20.01.2012 y en baja con fecha 01.06.2014. Los representantes de la entidad manifiestan que esta línea solo ha estado asignada a este cliente ya que en caso contrario la primera pantalla que el Sistema hubiera visualizado seria el histórico de titulares de dicha línea. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 2.2. Se accede a las reclamaciones asociadas a esta línea, comprobando que existe una reclamación recibida de la SETSI con fecha 27 de septiembre de 2013 y fecha de resolución 28 de octubre de 2013. Se comprueba que la resolución y respuesta es idéntica que la que consta de la misma fecha, asociada a las líneas de telefonía móvil de la denunciante. (…) 3. Los representantes de la entidad realizan las siguientes declaraciones ante las cuestiones planteadas por los inspectores de la Agencia a la vista de las comprobaciones efectuadas. 3.1. La tarifa CANGURO asocia servicios de comunicación fijos y móviles: línea fija con ADSL y al menos una línea de telefonía móvil. También se puede asociar televisión. 3.2. La tarifa CANGURO obliga a que todas las líneas sean del mismo titular. 3.3. Tal y como consta en las comprobaciones, el punto de venta no ha cumplido las instrucciones y el procedimiento establecido por ORANGE para llevar a cabo el cambio de titularidad solicitado por la cliente sobre la línea prepago ***TEL.4, ya que en lugar de generar un nuevo contrato para la nueva cliente se procedió a modificar los datos de la cliente denunciante 2 directamente sobre el contrato ***CONTRATO.1, arrastrando dicha modificación a todas las líneas incluidas en el mismo, esto es las líneas ***TEL.2 y ***TEL.1 y por ello dichas líneas quedaron asociadas a la denunciante 1 como titular. 4. Los inspectores de la Agenda de Protección de Datos recaban la documentación señalada anteriormente que es entregada de forma voluntaria por los representantes de la Sociedad”. (el subrayado es de la AEPD). (folios 25 a 28). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 13 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, en su punto 2º, dispone: “2. El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento”. En aplicación del anterior precepto y teniendo en cuenta que no se han formulado alegaciones al acuerdo de inicio, procede resolver el procedimiento iniciado. III En primer lugar, se imputa a ORANGE en el presente procedimiento la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. IV El artículo 9 de la LOPD establece en relación con la seguridad de los datos que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. El RD/1720/2007 establece un régimen específico de “seguridad” a implantar por el responsable del fichero para salvaguardar la tutela debida a un derecho fundamental ex artículo 18.4 de la Constitución Española, de conformidad con la doctrina sentada por la STC 292/2000. Así en su artículo 80 señala que “las medidas de seguridad exigibles a os ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto.” Así en los artículos 89 a 94 del citado reglamento se recogen las medidas a implantar para datos a los que son aplicables las medidas de nivel básico y en los artículos 95 a 100 las medidas a implantar para datos a los que son aplicables las medidas de nivel medio, como en el caso presente. Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y en un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y que encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho fundamental a la protección de los datos de carácter personal. V En el presente caso, ha quedado acreditado que ORANGE vulneró el deber de confidencialidad en relación con los datos personales de las afectadas, los cuales podían ser visualizados accediendo a la página web de la operadora en su área de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 clientes, de manera tal que la denunciante 1 podía consultar tanto sus datos de carácter personal como los datos relativos a la denunciante 2 e inversamente la denunciante 2 podía consultar tanto sus datos de carácter personal como los relativos a la denunciante 1. Esta información de carácter personal no podía ser facilitada a terceros, salvo con el consentimiento del afectado o existiendo una habilitación legal que permitiera su comunicación, que en el presente caso no concurre. La propia entidad denunciada tal y como consta en el punto 3.3 del Acta de Inspección E/1479/2014-I/1 (folios 27 y 28), ha reconocido que “el punto de venta no ha cumplido las instrucciones y el procedimiento establecido por ORANGE para llevar a cabo el cambio de titularidad solicitado por la cliente sobre la línea prepago ***TEL.4, ya que en lugar de generar un nuevo contrato para la nueva cliente se procedió a modificar los datos de la cliente denunciante 2 directamente sobre el contrato ***CONTRATO.1, arrastrando dicha modificación a todas las líneas incluidas en el mismo, esto es las líneas ***TEL.2 y ***TEL.1 y por ello dichas líneas quedaron asociadas a la denunciante 1 como titular”. Por tanto, queda acreditado que por parte de ORANGE, se ha vulnerado el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que ambas denunciantes tuviesen acceso a los datos personales de cada una de ellas. VI De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el caso analizado, se ha producido por ORANGE una vulneración del deber de secreto ya que al vincular los datos de la denunciante 2 -relativos a las líneas de telefonía móvil asociados a los números ***TEL.5 y ***TEL.6- a una cuenta de cliente que no le correspondía y que pertenecía a un tercero también cliente de la entidad, la denunciante 1, le permitía visualizar cuando accedía al área de clientes de la entidad vía web sus datos y los de la denunciante 2 (datos personales, facturación, llamadas, consumos, etc.) y a la denunciante 2, cuando accedía al área de clientes de la entidad vía web , visualizar tanto sus datos como los de la denunciante 1. Es por ello, que la conducta imputada a ORANGE, como responsable del fichero, supone la vulneración del artículo 10 de la LOPD, que encuentra su tipificación en el tipo del citado artículo 44.3.d). VII En segundo lugar, se imputa a ORANGE en el presente procedimiento la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo ut supra impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 Y en el apartado 4 de dicho artículo determina que: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. En el presente caso, consta acreditado que ORANGE ha tratado los datos de la denunciante 2 en relación con las líneas de telefonía móvil asociados a los números ***TEL.2 y ***TEL.1 vinculándolos a una cuenta de cliente nº ***CONTRATO.3 que no le correspondía y cuyo titular era una tercera persona, la denunciante 1, permitiendo a la citada cliente acceder a los datos personales de la denunciante 2, e inversamente, la denunciante 2 podía acceder tanto a sus datos de carácter personal como a los datos personales pertenecientes a la denunciante 1. La Audiencia Nacional, en Sentencia de fecha 16/01/2008, manifestaba: “Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso –artículo 44.3.
  4. d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos personales que iba a tratar no cumplían con los requisitos legalmente impuestos, si tenemos en cuenta que la actividad de la recurrente, por su propia naturaleza, ha de tener un cumplido conocimiento, y un escrupuloso respeto, de las normas en materia de protección de datos cuando en su actividad ordinaria se produce un manejo masivo de los mismos. Y es esta falta diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la naturaleza de los datos personales a los que se tiene acceso es una circunstancia que ha de hacerse previamente y de modo riguroso antes de proceder al tratamiento de los mismos, pues se trata de la salvaguarda de un derecho fundamental, el derecho a la protección de los datos previstos en l. Artículo 18.4 de la Constitución.” Por tanto, de conformidad con el artículo 4.3 de la LOPD, correspondía a ORANGE adoptar las medidas necesarias para que la situación acaecida no se produjera. Este comportamiento supone una vulneración del principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, de la que ORANGE debe responder por ser responsable de la veracidad y exactitud los datos que sujetos a su tratamiento. VIII El “tratamiento” de datos personales exige que se lleve a cabo de conformidad con los principios de “calidad de los datos”, es decir, que los datos tratados han de ser “exactos y puestos al día”, requisitos que no se han cumplido en el caso analizado. En este sentido, la Audiencia Nacional ha declarado en numerosas sentencias, entre otras la de fecha 13/03/2009, que señala: “El principio de calidad del dato, como esta Sala ha reiterado en numerosísimas ocasiones, se infringe no solo cuando se facilitan los datos erróneos a un fichero que presta información a terceros sobre el incumplimiento de obligaciones dinerarias (Art. 4.3 LOPD en relación con el artículo 29 de la misma) sino también cuando los datos existentes en los propios ficheros de la entidad acreedora son inexactos y no actuales. La resolución de la Agencia impugnada, en su fundamentación jurídica, considera que ha quedado acreditado que Jazztel giró facturas correspondientes a un número de teléfono por unos servicios que, si bien se habían solicitado por el denunciante, no se habían prestado por la operadora. Los datos personales referidos al denunciante que figuraban en sus ficheros dejan de ser exactos en el momento en que figuran en ellos datos de servicios no prestados e importes no debidos realmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 Después de advertirlo, siguieron siendo inexactos los datos reclamándole el pago de facturas por ese servicio no prestado. Y esos datos inexactos son comunicados a la empresa de impagados para que realice su actuación”. Por lo tanto, ha quedado acreditado que el tratamiento de los datos inexactos de los denunciantes realizado por parte del ORANGE, no respondía con veracidad a la situación de aquellos, incurriendo por ello en una vulneración del principio de calidad de datos recogido en el artículo 4.3 de la LOPD, que encuentra su tipificación en el artículo 44.3.
  5. c)de la citada Ley Orgánica IX El artículo 44.3.
  6. c)de la LOPD considera infracción grave: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. ORANGE ha incurrido en la infracción grave descrita al tratar datos inexactos y asociar los datos de la denunciante 2 en relación con las líneas de telefonía móvil asociados a los números ***TEL.2 y ***TEL.1 vinculados a una cuenta de cliente, nº ***CONTRATO.3 que no le correspondía y cuyo titular era la denunciante 1, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. X El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En tal caso, y siempre que no exista regulación específica para resolver dicho concurso ideal de infracciones, se aplicaría la técnica jurídica penal propia del concurso ideal de delitos. (STS de 9 de junio de 1999 y de 10 de marzo de 2003). El precepto anterior exige una necesaria derivación de una infracción/es respecto de otra/s y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que ha de conferirse a la expresión contenida en el precepto de que “una infracción derive necesariamente la comisión de otra u otras”. Pues bien, en el caso estudiado ORANGE trato los datos del denunciante 2 de manera inexacta, datos de los que es responsable de conformidad con el artículo 3.
  7. d)de la LOPD, asociándolos a una cuenta cliente que no le correspondía por pertenecer a otra persona desvelando sus datos a la denunciante 1, e inversamente la denunciante 2 podía acceder tanto a sus datos de carácter personal como a los datos personales pertenecientes a la denunciante 1, lo que comporta una vulneración tanto del artículo 4.3 como del artículo 10 de la LOPD, siendo medio para cometer esta última infracción, la infracción del principio de calidad del dato. Es decir, no pueden disgregarse una infracción respecto de la otra, pues si los datos no hubieran sido tratados de manera inexacta no se habría producido la vulneración del deber de secreto. A falta de regulación específica, la solución dada por la jurisprudencia contencioso-administrativa, basándose en las previsiones del Código Penal, es la de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 imponer la sanción correspondiente a la infracción más grave. No obstante lo anterior, en atención a que ambas infracciones son tipificadas de igual gravedad, se impone la sanción por la comisión de una, en este caso, por la infracción del principio de calidad del dato, consagrado en el artículo 10 de la LOPD. XI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  8. a)El carácter continuado de la infracción.
  9. b)El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 La representación de ORANGE no ha dado respuesta al Acuerdo de Inicio del procedimiento, notificado el 28/12/2014 (folio 129). Hay que señalar que el apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso presente, de las actuaciones practicadas ha quedado acreditado que ORANGE vulneró el artículo 4.3 y 10 de la LOPD, en su condición de responsable del tratamiento, al asociar los datos de la denunciante 2 referidos a las líneas de telefonía móvil asociados a los números ***TEL.2 y ***TEL.1 vinculándolos a una cuenta de cliente, nº ***CONTRATO.3 que no le correspondía y cuyo titular era una tercera persona, también cliente de la entidad la denunciante 1, lo que permitía a esta última acceder a los datos personales de la denunciante 2 (nombre y apellidos, NIF, domicilio, datos bancarios), así como al historial de facturación de las líneas pudiendo contemplar el consumo, su desglose por línea, detalle del consumo, llamadas realizadas, puntos acumulados, etc., además de recibir documentalmente en su domicilio las facturas de las citadas líneas, por lo que su actuación ha de ser objeto de sanción. Asimismo, la denunciante 2 podía acceder a los datos personales pertenecientes a la denunciante 1(nombre y apellidos, NIF, domicilio, datos bancarios), así como al historial de facturación de las citadas líneas, por lo que su actuación ha de ser objeto de sanción. La propia entidad denunciada ha reconocido que “el punto de venta no ha cumplido las instrucciones y el procedimiento establecido por ORANGE para llevar a cabo el cambio de titularidad solicitado por la cliente sobre la línea prepago ***TEL.4, ya que en lugar de generar un nuevo contrato para la nueva cliente (denunciante 2), se procedió a modificar los datos de la cliente denunciante 2 directamente sobre el contrato ***CONTRATO.1, arrastrando dicha modificación a todas las líneas incluidas en el mismo, esto es las líneas ***TEL.2 y ***TEL.1 y por ello dichas líneas quedaron asociadas a la denunciante 1 como titular” (folios 27 y 28). Por tanto, no se dan las citadas circunstancias, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
  23. d)y
  24. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Tampoco se observa una actitud diligente de la entidad para la resolución de la situación irregular creada. En primer lugar, la representación de la entidad no ha contestado al acuerdo de inicio del procedimiento a pesar de constar su notificación en el expediente y, en segundo lugar, tampoco consta que atendiera ninguna de las reclamaciones planteadas por cada una de las denunciantes ante el departamento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 reclamaciones de ORANGE en las que le exponían los hechos acaecidos y solicitaban se diera solución a los errores cometidos, lo que provocó reclamaciones ante la SETSI, el 05/08/2013, informando sobre la situación creada, organismo al que ORANGE trasladaba los correspondientes escritos de alegaciones señalando, en relación con la petición de la denunciante 2 “les confirmamos que tras comprobar la documentación recibida con fecha 28/10/2013, hemos establecido nuevamente las líneas ***TEL.2 y ***TEL.1” a su nombre (folio 56), y en relación con la petición de la denunciante 1 “Segunda.- Que con fecha 29/11/2013 las líneas mencionadas quedaron establecidas a nombre del titular correcto”. Asimismo, le confirmaban que a su nombre figuraban líneas de telefonía móvil distintas (folio 60). Por otra parte, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Entre ellas cabe citar el apartado
  25. c)“la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeñan las entidad denunciad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado
  26. d)“volumen de negocio o actividad del infractor”, toda vez que se trata de una de las mayores operadores de telefonía del país por volumen de negocio. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 50.000 €, por la infracción del artículo 10 de la LOPD, de la que ORANGE debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  27. d)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: EXONERAR a la entidad ORANGE ESPAGNE S.A.U., por una infracción del artículo 4.3 de la LOPD tipificada como grave en el artículo 44.3.
  28. c)de dicha norma, de conformidad con el artículo 4.4 del REPEPOS. TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE S.A.U., y el Anexo I y, notificar a cada uno de los denunciantes, la resolución y exclusivamente el anexo que le corresponda en el que se incluye su identificación. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.