← España

PS-00641-2016

1/15 Procedimiento Nº PS/00641/2016 RESOLUCIÓN: R/02011/2017 En el procedimiento sancionador PS/00641/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 26/01/2016 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que JAZZTEL –nombre comercial de JAZZ TELECOM, S.A.U.-, entidad con la que nunca ha tenido relación contractual, ha incluido sus datos personales en el fichero de solvencia patrimonial ASNEF por una deuda que no le pertenece y ha vinculado sus datos a un domicilio en calle (C/...1), que no es ni ha sido su domicilio. Añade que no fue informado de la inclusión de sus datos en ASNEF y que ha tenido conocimiento de este hecho cuando intentaba cambiar de compañía telefónica. JAZZ TELECOM, S.A.U., fue absorbida por ORANGE ESPAGNE, S.A.U., (en adelante, ORANGE o la denunciada) en virtud de un acuerdo de fusión por absorción de ambas compañías elevado a Escritura Pública el 08/02/2016 que consta inscrito en el Registro Mercantil el 18/02/2016. El denunciante anexa copia de la siguiente documentación: - Escrito -que lleva impreso un sello de Correos y Telégrafos y la fecha 09/09/2015-, en el que detalla los hechos denunciados y solicita la cancelación de sus datos personales. Copia de su DNI que lleva impreso un sello de Correos y Telégrafos y aparece compulsado por el Director de la Oficina de Correos de Tortosa. Un certificado expedido por la Sociedad Estatal Correos y Telégrafos, S.A., oficina de Tortosa, relativo al envío con fecha 09/09/2015 de un burofax (***BUROFAX.1) remitido por el denunciante a JAZZTEL. - Escrito de EQUIFAX IBERICA, S.L., enviado a la dirección electrónica ***EMAIL.1, de fecha 02/09/2015, mediante el que responde al acceso solicitado por el denunciante y del que resulta que en fecha 02/09/2015 sus datos constan incluidos en el fichero ASNEF (nombre, apellidos y NIF), con fecha de alta 22/01/2015, informados por JAZZTEL, por un saldo actualmente impagado de 456,12 euros. Como dirección vinculada a él figura la calle (C/...2). - La denuncia presentada por esos mismos hechos el 07/09/2015 en la Policía -dependencias de Valencia-Centro-Oficina de denuncias- con número de atestado 6123/15. - Escrito de reclamación presentado por el denunciante en la Oficina de Atención al Usuario de Telecomunicaciones de la Secretaría de Estado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Telecomunicaciones y para la Sociedad de la Información (SETSI), el 11/11/2015. El denunciante aportó con su reclamación la copia de la denuncia que había presentado en la Policía, del DNI y del burofax enviado a JAZZTEL. - Resolución dictada por la SETSI el 10/12/2015, recaída en el expediente ***EXPEDIENTE.1, que resuelve “inhibirse del presente asunto, quedando expedito el derecho del interesado a dirigirse, si lo estima conveniente, ante la Agencia Española de Protección de Datos.” SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de la AEPD, se practicaron actuaciones de investigación encaminadas a su esclarecimiento teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que se reproduce: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En el registro mercantil consta fusión por absorción de ORANGE ESPAGNE, S.A.U. a JAZZ TELECOM SA, inscrita con fecha 18/2/2016. La empresa ORANGE ESPAGNE, S.A.U. en su escrito de fecha de registro 5/4/2016 (número de registro 125920/2016) ha remitido información relativa al denunciante de la que se desprende:  Respecto de los datos personales del denunciante que constan en los sistemas. Consta el nombre, apellidos, NIF del denunciante. Consta como dirección de contacto (C/...2) (MADRID), que coincide con la que figura en el fichero ASNEF y que el denunciante manifiesta que no le corresponde. También constan, asociados al denunciante, un número de cuenta bancaria, una dirección de correo electrónico y un número de teléfono.  Respecto de los productos que constan de alta a su nombre: Consta el alta de la línea ***TEL.1 el 16/05/2014 (según manifiesta a raíz de una portabilidad) y baja en fecha 03/03/2015 por impago. Consta también solicitud de alta de servicios de ADSL y telefonía fija asociados a la línea ***TEL.2, si bien expone que dichos servicios no llegaron a activarse (en la impresión de pantalla de los sistemas que incluye en el inscrito consta el texto “Alta - Cancelada”). La contratación de la línea ***TEL.1 se formalizó a través de teléfono. La “activación de la oferta” asociada a la línea ***TEL.2 se realizó a través de teléfono. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 Se aporta copia de dos grabaciones (señala que “fueron realizadas en fecha “14/05/2014”) de conversaciones telefónicas mediante las que se contratan los servicios en las que: o En la primera de ellas el interlocutor del agente comercial responde afirmativamente cuando éste le cuestiona sobre si sus datos personales son los que enumera. También le solicita aceptación de las condiciones de los servicios contratados. o En la segunda de ellas el interlocutor del agente comercial responde afirmativamente cuando éste le cuestiona sobre si sus datos personales son los que enumera. También le solicita aceptación de la portabilidad de la línea de teléfono a “Orange”. Las grabaciones las realizó una tercera empresa verificadora.  Respecto de las comunicaciones y contactos que han existido entre esa entidad y el cliente, manifiesta que “respecto a la línea móvil únicamente constan 3 interacciones, pero están archivadas, por lo que no podemos acceder a su contenido”. Dichas comunicaciones se habrían producido (según impresión de pantalla contenida en el escrito) en las fechas 18/6/2014, 20/5/2014 y 16/5/2014.  Respecto de las reclamaciones por escrito efectuadas por el denunciante manifiesta que “no consta ninguna reclamación por escrito”.  Se han emitido cinco facturas (adjuntadas como documento numerado “1”) en relación con la línea ***TEL.1. Las fechas de dichas facturas son: 21/5/2014, 21/6/2014, 21/8/2014, 21/9/2014 y 21/3/2015. Manifiesta que no se ha anulado ninguna factura y que mantiene un importe pendiente de pago de 154,36 euros derivado de impagos de las facturas del 21/8/2014, 21/9/2014 y 21/3/2015. Actualmente, la deuda contraída no se encuentra condonada.  Respecto de las causas que han motivado la inclusión de los datos personales del afectado en ficheros sobre la solvencia patrimonial y crédito manifiesta que “no constan fechas de inclusión ni exclusión a nombre de A.A.A. con NIF ***NIF.1 en los Ficheros de Solvencia Patrimonial y Crédito”.>> TERCERO: La Directora de la AEPD dictó Acuerdo de Inicio del expediente sancionador que nos ocupa el 18/01/2017, que fue notificado a ORANGE el 20/01/2016, con el siguiente contenido: << SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a ORANGE ESPAGNE, S.A.U., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 44.3.

  1. b)de la citada Ley. 2. INICIAR PROCEDIMIENTO SANCIONADOR a ORANGE ESPAGNE, S.A.U., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 4.3, en relación con el 29.4, de la LOPD, tipificada como infracción grave en el artículo 44.3.
  2. c)de la citada Ley. 3. NOMBRAR como Instructora a B.B.B. y Secretario a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 4.INCORPORAR al expediente sancionador, a efectos probatorios la denuncia presentada en la AEPD el 26/01/2016 y los documentos adjuntos, la documentación recaba por la Inspección de Datos ante ORANGE, la documentación incorporada por el Inspector actuante mediante diligencia de fecha 02/12/2016 y el Informe de Actuaciones Previas; documentos que integran el expediente E/01092/2016. 5. QUE a los efectos previstos en el art. 64.2
  3. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), y art. 127 letra
  4. b)del RLOPD, la sanción que pudiera corresponder por las infracciones descritas sería de 30.000 euros para la primera infracción y de 30.000 euros para la segunda, lo que supone una sanción de 60.000 euros (sesenta mil euros), sin perjuicio de lo que resulte de la instrucción. 6. NOTIFICAR el presente Acuerdo a ORANGE ESPAGNE, S.A.U., indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
  5. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
  6. f)y 85 de la LPACAP, se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 12.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 48.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 12.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 48.000 euros y su pago implicará la terminación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 36.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (48.000 euros o 36.000 euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00641/2016 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
  7. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno.>> CUARTO: En fecha 03/02/2017 tuvo entrada en la AEPD un escrito de ORANGE en el que formula sus alegaciones al Acuerdo de Inicio del procedimiento sancionador y expone lo siguiente: 1.- En primer término la entidad denunciada deja constancia de que existió una confusión al facilitar a la AEPD la información requerida en el curso del expediente de investigación E/1092/2016, pues la AEPD no hizo mención alguna a JAZZTEL y, dado que la información que le fue requerida aludía a una persona que también tiene cuentas abiertas en ORANGE, la entidad se limitó a aportar información que concernía a esta última compañía. Explica que ha sido con la recepción del acuerdo de inicio del procedimiento sancionador cuando han tenido noticia de que los hechos y por tanto, también, la información requerida por la Inspección de la AEPD, se refería a contratos celebrados por JAZZTEL y no por ORANGE. Concluye que la no aportación en el trámite de actuaciones previas de la documentación relativa a JAZZTEL se ha debido a una falta de “información no imputable a ORANGE” y que “aclarados los términos de la solicitud de información, se adjunta como DOCUMENTO Nº 2 la grabación de la contratación de la línea ADSL hasta 12 Mb+ Llamadas y Mantenimiento de Línea Jazztel por parte del reclamante, A.A.A., con fecha de activación 20/032014 y fecha de baja 30/05/2014.” (El subrayado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 es de la AEPD) 2.- Considera la denunciada que a través del documento que aporta “Queda acreditado que JAZZTEL realizó la contratación cumpliendo con toda la normativa vigente (…) y que, por tanto, el tratamiento de los datos ha estado en todo momento legitimado, por lo que la posible sanción de 30.000 euros por infracción del artículo 6.1 LOPD debe ser eliminada” (El subrayado es de la AEPD) 3.- Respecto a la vulneración del artículo 4.3, en relación con el 29.4 de la LOPD y 38.1.a, del RLOPD, ORANGE reconoce voluntariamente su responsabilidad por infracción de la citada disposición. Indica que “En este acto mi representada reconoce la falta de diligencia al no excluir los datos de la deuda del reclamante del fichero ASNEF una vez conocida la existencia de reclamación ante la SETSI. (…) Por ello, mi representa considera oportuno reconocer nuestra responsabilidad de forma voluntaria en cuanto a la infracción del artículo 4.3de la LOPD” Además, informa que tiene intención de llevar a cabo el pago voluntario de la sanción derivada de dicha infracción y añade que ha dado de baja los datos personales del afectado del fichero ASNEF. QUINTO: En fecha 07/03/2017 la entidad ORANGE procedió al pago de la sanción correspondiente a la infracción del artículo 4.3, en relación con el 29.4 de la LOPD, y en relación también con el artículo 38.1.
  8. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.c), en la cuantía de 18.000 euros (dieciocho mil euros) haciendo uso de las dos reducciones previstas en el artículo 85 de la LPACAP recogidas en el Acuerdo de inicio, lo que conlleva su renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de su responsabilidad en los hechos. HECHOS PROBADOS PRIMERO: D. A.A.A., con NIF ***NIF.1 y domicilio en (C/...3) (Badajoz) denuncia a JAZZ TELECOM, S.A.U., por haber incluido sus datos personales en el fichero de solvencia patrimonial ASNEF, por una deuda que no le pertenece, ya que nunca ha sido cliente de esa operadora. SEGUNDO: Obra en el expediente un documento remitido al denunciante por “EQUIFAX”, en respuesta al acceso ejercitado, en el que consta que, a fecha 02/09/2015, asociado al NIF ***NIF.1 y al nombre y dos apellidos del denunciante, existe una incidencia informada por “JAZZTEL”, por un producto de telecomunicaciones y por un saldo actualmente impagado de 456,12 euros, siendo la fecha de alta el 22/01/2015. La dirección postal que figura en el fichero ASNEF vinculada a los datos del denunciante es calle (C/...2). TERCERO: El denunciante interpuso denuncia en la Dirección General de la Policía, Comisaría de Valencia Centro, en fecha 07/09/2015, en la que manifiesta que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 “efectuando las gestiones para tramitar el cambio de compañía móvil, ha sido notificado vía email por la asnef que tiene una deuda contraída de 456,12 euros hacia la compañía Jazztel, figurando todos sus datos de filiación siendo el domicilio de notificaciones calle (C/...2). Que el dicente desea manifestar que en ningún momento ha tenido contratado con la compañía Jazztel algún tipo de servicio por lo que no es posible que la citada cantidad se repercuta a su nombre” CUARTO: El denunciante presentó reclamación contra JAZZTEL, en fecha 11/11/2015, ante la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI) por incluir sus datos en el fichero ASNEF pese a que nunca ha sido cliente de esa operadora. La reclamación se tramitó con la referencia RC/1029312/15/OTR. En fecha 10/12/2012015 la SETSI resolvió inhibirse en favor de la Agencia Española de Protección de Datos al carecer de competencia para pronunciarse sobre la reclamación formulada por el denunciante. QUINTO: ORANGE ha aportado con sus alegaciones al acuerdo de inicio del expediente sancionador un CD con una grabación relativa a la contratación de una línea fija y ADSL de hasta 12 Megas “por parte del reclamante”, A.A.A., con fecha de activación 20/03/2014 y fecha de baja 30/05/2014. SEXTO; Se reproducen los siguientes fragmentos de la grabación aportada por ORANGE con las alegaciones al acuerdo de inicio del expediente sancionador. “- En esta llamada vamos a finalizar la contratación de tus servicios con JAZZTEL. Confirmamos que los datos de tu oferta son los que has solicitado. Para tu seguridad esta conversación mantenida hoy el 10 de marzo de 2014 a las 15.43 está siendo grabada. Tu nombre completo es A.A.A. y tu NIF es ***NIF.1. -Correcto. - ***NOMBRE.1, has contratado un ADSL de 12 Megas con un alta nueva de fijo en la dirección calle (C/...2), por un importe mensual de 30,94 euros, más impuestos indirectos que incluye ADSL y llamadas fijas nacionales, la cuota de mantenimiento de la línea, treinta minutos al mes de llamadas a móviles y el equipo router del ADSL (…) Te confirmamos que el equipo que has contratado sobre tu servicio fijo es una Tablet Samsung Galaxy …10.0, White, en régimen de gestión de uso, con las siguientes condiciones: 24 cuotas mensuales de 4,96 euros más impuestos indirectos. Compromiso de permanencia de 24 meses en tu servicio fijo o el máximo de 348,99 euros, impuestos indirectos incluidos, si solicita la baja de su servicio fijo antes de esos 24 meses. Te recuerdo que tendrás que abonar 9,95 euros más impuestos indirectos en concepto de gastos de envío. Por favor, confírmame que tu teléfono de contacto es ***TEL.1 -Correcto. - ***NOMBRE.2, cuando finalice la conversación recibirás un correo electrónico, en tu caso un correo postal, con el que nos podrás dar tu autorización para la domiciliación en tus facturas en la cuenta que nos has facilitado”. SÉPTIMO: ORANGE ha declarado en las alegaciones al acuerdo de inicio del expediente sancionador que la información que remitió a la Inspección de la AEPD, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 curso de las actuaciones de investigación previa, era errónea, pues no hacían referencia a contratos de JAZZTEL. Explica que el error deriva de que la AEPD “no especificaba” en su solicitud de información que se refería a un servicio contratado con JAZZTEL, por lo que la respuesta que facilitó hizo referencia únicamente al tratamiento efectuado por ORANGE respecto a cuentas abiertas a nombre del denunciante en esa entidad. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  9. g)en relación con el artículo 36 de la LOPD. II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. La LOPD se refiere en su artículo 6 al principio del consentimiento en el tratamiento de los datos de carácter personal y dispone, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en su apartado 4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  10. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. A su vez, el artículo 43.1 del RLOPD (“Responsabilidad”) dispone: “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. El artículo 44.3.
  11. b)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. El artículo 44.3.
  12. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III En el acuerdo de inicio del expediente sancionador que nos ocupa se atribuyó a ORANGE la comisión de dos infracciones de la LOPD: artículos 6.1 y 4.3 en relación con el 29.4 LOPD y en relación también con el artículo 38.1.a, RLOPD, tipificadas, como infracciones graves, respectivamente, en los artículos 44.3.
  13. b)y 44.3.
  14. c)de la Ley Orgánica 15/1999. A. La infracción del principio del consentimiento (ex artículo 6.1 LOPD), que se imputó a ORANGE en el acuerdo de inicio del expediente sancionador, se funda en que el denunciante negó haber contratado con JAZZTEL algún servicio y, en tal circunstancia -según las reglas que sobre la carga de la prueba del consentimiento al tratamiento tiene establecidas la Sala de lo Contencioso Administrativo de la Audiencia Nacional- correspondía a ORANGE (antes JAZZTEL) acreditar que recabó y obtuvo el consentimiento del titular de los datos para ese tratamiento. Sin embargo, ORANGE, en el curso de las actuaciones de investigación previa, y pese al requerimiento efectuado a tal fin por la Inspección de la AEPD, no aportó ningún documento del que pudiera inferirse la existencia de consentimiento para el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 realizado: el alta en JAZZTEL de una línea fija y del servicio de ADSL a nombre del denunciante. Así las cosas, la AEPD estimó que, el tratamiento por ORANGE de los datos personales del denunciante vinculados a un contrato entre él y JAZZTEL, constituía una infracción del artículo 6.1 LOPD. Y en consecuencia, la inclusión de los datos personales del afectado en un fichero de solvencia, informados por JAZZTEL, y vinculados a la deuda derivada del contrato suscrito a su nombre, en tanto no constaba su consentimiento a dicho tratamiento, incumplía la exigencia del artículo 38.1.a, del RLOPD: que la deuda fuera cierta, vencida y exigible, habida cuenta de que tal deuda no lo era, respecto al denunciante, ajeno al contrato del que procedía. Ahora bien, la calificación jurídica de los hechos objeto de la denuncia cambia radicalmente a la luz del documento sonoro que ORANGE ha facilitado a esta Agencia en el trámite de alegaciones al acuerdo de inicio del expediente sancionador. La denunciada explica en su escrito de alegaciones al acuerdo de inicio (ver, Antecedente de Hecho cuarto) que al recibir el acuerdo de inicio fue consciente de que había incurrido en un error cuando respondió al requerimiento informativo de la Inspección, durante las Actuaciones de Investigación Previa. En la creencia de que se le preguntaba por la conducta de ORANGE, facilitó la información que obraba en los ficheros de esa entidad vinculados al NIF, nombre y apellidos del denunciante. Advierte que el error no es responsabilidad suya pues, dice, no se especificó en la solicitud de información que se le hizo durante las actuaciones de investigación que se estaba preguntado por la actuación de JAZZTEL. Este error parece comprensible si tenemos en cuenta que la fusión entre JAZZTEL y ORANGE data de febrero de 2016 (la inscripción en el Registro Mercantil es del 18 de febrero) y que la AEPD hizo el requerimiento a ORANGE poco tiempo después, exactamente el 01/03/2016. Conocido el error, ORANGE procedió a examinar los archivos comprobando que la contratación entre JAZZTEL y el denunciante de una línea fija y el servicio ADSL estaba acreditada, pues obraba en su poder una grabación de la contratación realizada telefónicamente en fecha 10/03/2014. El CD con la citada grabación ha sido aportado en el trámite de alegaciones al acuerdo de inicio del expediente. La audición del documento sonoro revela la fecha y hora en la que tiene lugar la grabación (10/03/2014 a las 15:43 horas); que con ella se finalizaba el proceso de contratación; que el objeto del contrato se detalla con precisión y comprende el alta de una nueva línea fija, el ADSL de 12 Megas y también la entrega de una Tablet vinculada a un compromiso de permanencia en la línea fija de 24 meses. El interlocutor de la operadora en esa contratación se identificó por el nombre, dos apellidos y NIF del denunciante y facilitó como domicilio de contacto la calle (C/...2). A tenor del documento aportado por ORANGE en el trámite de alegaciones al acuerdo de inicio, quedaba acreditado que la entidad recabó el consentimiento a la contratación de la persona que se identificó con los datos personales del denunciante y que conservó la prueba del consentimiento otorgado por él a disposición de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 Así pues, la entidad denunciada obró en este caso con la diligencia que es exigible atendidas las circunstancias del caso y que se estima suficiente con objeto de entender cumplida la obligación impuesta por el artículo 6.1 LOPD. Indicar sobre este particular que en la contratación que JAZZTEL celebró telefónicamente con quien se identificó con los datos personales del denunciante, no se portaba ningún número de línea –se daba de alta una nueva línea- de manera que no resultan de aplicación al caso las disposiciones de la Circular 1/2009 de la CMT que regula el consentimiento verbal con verificación por terceros. En supuestos como el que aquí se plantea –contratación telefónica en la que no hay portabilidad de numeración- la AEPD ha estimado suficiente, a efectos de entender acreditado el consentimiento para el tratamiento de los datos personales de quien se identifica como contratante, una grabación de la conversación telefónica mantenida entre el empleado de la operadora y el cliente, en la que conste la fecha en la que aquélla tuvo lugar, el producto o servicio contratado y los datos personales que identifican al cliente. En definitiva, ha quedado acreditado que JAZZTEL (ahora ORANGE) trató los datos personales del denunciante en la legítima creencia de que quien se había identificado ante la operadora como A.A.A., con NIF ***NIF.1, con ocasión de una contratación telefónica en fecha 10/03/2014, era su verdadero titular. B. La Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) dispone en su artículo 89.1 que se “resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:” “
  15. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad” (El subrayado es de la AEPD) El artículo 89.1 de la LPACAP, transcrito, viene a establecer que, cuando en la instrucción del procedimiento sancionador se ponga de manifiesto que la persona responsable aparece exenta de responsabilidad, se procederá a la resolución con archivo de las actuaciones. El precepto de la LPACAP está en consonancia con el criterio vigente en nuestro ordenamiento jurídico conforme al cual es imprescindible que exista culpabilidad del sujeto infractor para que nazca responsabilidad sancionadora, lo que impide imponer sanciones basadas en una responsabilidad objetiva. La responsabilidad sancionadora lleva implícita la existencia de una conducta antijurídica descrita en el tipo sancionador y del elemento subjetivo de la infracción. La presencia de este último, como condición para que nazca responsabilidad sancionadora, ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible para imponerlas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 La Ley 40/2015, de Régimen Jurídico del Sector Público, dispone en el artículo 28.1 que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, (…), que resulten responsables de los mismos a título de dolo o culpa”. ORANGE/JAZZTEL trató los datos personales del denunciante en el marco de un contrato de telefonía fija y de ADSL suscrito por quien facilitó como suyos los datos personales de aquél y, además, conservó la prueba del consentimiento recabado a disposición de la AEPD. La diligencia desplegada por ORANGE/JAZZTEL, con ocasión de la contratación de sus servicios por quien proporcionó como propios los datos personales del denunciante, priva a su conducta del necesario elemento de la culpabilidad, en cualquiera de sus manifestaciones, negligencia grave o mera falta de diligencia. Elemento que ha de concurrir para que pueda exigirse responsabilidad sancionadora. Igualmente, y por lo que concierne a la infracción del artículo 4.3 LOPD, cuando JAZZTEL decide incluir en el fichero ASNEF los datos personales de quien consta en sus ficheros como contratante del servicio impagado, tenía a su disposición el documento sonoro que se ha aportado, del que se infiere, al menos en apariencia, que se cumplía la condición del artículo 38.1.a del RLOPD, “deuda cierta, vencida y exigible que haya resultado impagada”. Señalar también que la operadora denunciada cumplió con las exigencias de los artículos 38.3 y 43.1 del RLOPD, que, respectivamente, advierten que quien comunica a un fichero de morosidad datos personales de terceros está obligado a conservar a disposición de la AEPD “documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo (artículo 38) y del requerimiento previo al que se refiere el artículo siguiente”, y que el acreedor “deberá asegurarse” que se cumplen esos requisitos (los del artículo 38.1 del RLOPD) cuando informa los datos personales a un fichero de morosidad. A propósito del actuar diligente y la ausencia de culpabilidad, entendida como elemento subjetivo de la infracción, podemos traer a colación la Sentencia de la Audiencia Nacional de 29/04/2010 en la que el Tribunal, en un supuesto análogo al que nos ocupa, manifestó lo siguiente (Fundamento de Derecho SEXTO): “Es cierto que el denunciante no ha dado su consentimiento para el tratamiento de sus datos de carácter personal por parte de (...), pero no lo es menos que nos hallamos ante un supuesto de uso fraudulento de su identidad por parte de un tercero (…) que se hizo pasar por D. Teodulfo (…) por lo que nada hacía sospechar que dicha persona no era quien aparentaba ser. Así, al igual que razonamos en nuestra sentencia de fecha 29 de octubre de 2009, a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) en la actuación de la entidad recurrente, que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada para el tratamiento de sus datos de carácter personal”. La misma Sentencia afirma también que “La cuestión no es dilucidar si la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) Por más que la conducta de JAZZTEL que se somete a la valoración de esta Agencia pueda entrañar un tratamiento de datos sin consentimiento de su titular o una vulneración del principio de calidad de los datos - lo que sucedería si el “contratante” no es el titular de los datos sino que lo es un tercero, que suplanta su identidad y facilita como suyos los datos personales del denunciante-, en la medida en la que la entidad que trata los datos obra con la diligencia que es exigible, el tratamiento efectuado no es merecedor de reproche o sanción administrativa con arreglo a la LOPD. Esto, porque como expone reiteradamente el Tribunal Constitucional (por todas STC 76/1999) es esencial la presencia del elemento subjetivo de la infracción para exigir responsabilidad en el marco del Derecho Administrativo sancionador. C. De la exposición precedente ha de concluirse que en tanto consta acreditado que JAZZTEL, ahora ORANGE, obró al contratar los servicios de telefonía y ADSL a nombre del denunciante desplegando en su actuación la diligencia que está obligada a observar para garantizar el cumplimiento de la LOPD y normas de desarrollo, corresponde acordar el archivo de las presentes actuaciones seguidas contra ORANGE por infracción del artículo 6.1 LOPD, infracción grave tipificada en el artículo 44.3.
  16. b)de la citada Ley Orgánica. IV El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 reglamentariamente” ORANGE, en sus alegaciones al acuerdo de inicio del expediente sancionador ha reconocido que obró con falta de diligencia al haber mantenido los datos personales del denunciante en el fichero ASNEF hasta el 02/02/2017, pese a que tuvo conocimiento de la existencia de una reclamación del denunciante ante la SETSI el 11/11/2015. La operadora denunciada reconoció su responsabilidad en la vulneración del artículo 4.3 LOPD, en relación con el 29.4, y en relación con el artículo 38.1.a, RLOPD por la conducta observada entre el 11/11/2015 y el 02/02/2017. Respecto a la infracción del principio de calidad de datos, ORANGE, además de declarar expresamente que reconoce su responsabilidad a los efectos del artículo 85.1 LPACAP se acogió al pago voluntario de la sanción (ex artículo 85.2 LPACAP) prevista para dicha infracción en el Acuerdo de Inicio del expediente. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: En relación a la infracción del artículo 6.1 LOPD, tipificada en el artículo 44.3.
  17. b)de la citada Ley Orgánica, acordar el archivo de las actuaciones de investigación practicadas, por cuanto, al estar ausente el elemento subjetivo de la infracción, no procede exigir responsabilidad sancionadora por el tratamiento de los datos personales efectuado. SEGUNDO: En relación a la infracción del artículo 4.3 LOPD, en relación con el 29.4, y en relación con el artículo 38.1.a, RLOPD, DECLARAR la terminación del procedimiento PS/00613/2016, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U., y a D. A.A.A.. CUARTO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. En relación a la resolución de archivo por vulneración del artículo 6.1 LOPD, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.