← España

PS-00654-2015

1/12 Procedimiento Nº PS/00654/2015 RESOLUCIÓN: R/00986/2016 En el procedimiento sancionador PS/00654/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 09/01/2015 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara que ORANGE ESPAGNE SAU, SAU, (en adelante ORANGE), le reclama el pago de 110 euros asociado a la penalización derivada de la línea I.I.I. contratada con ORANGE pero que actualmente está con la empresa ONO. Sus datos personales han sido incluidos en el fichero ASNEF con fecha 13/12/2014. Aporta copia de la carta de fecha 24/07/2014 que remite Orange a la Secretaría de Estado de Telecomunicaciones donde realiza alegaciones a la reclamación planteada por el denunciante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EQUIFAX IBERICA, S.L.(en lo sucesivo EQUIFAX) y a ORANGE: - Con fecha 23/04/2015 se solicita información a EQUIFAX y de la respuesta facilitada se desprende que consta una incidencia asociada al denunciante por un importe de 110 euros con fecha de alta 23/01/2015 y baja el 23/01/2015 por vencimiento impagados en octubre de 2014. Asimismo, consta un alta con fecha 11/04/2014 y baja el 24/05/2014 por importe de 171,67 euros por vencimientos impagados de febrero de 2014. Otro alta con fecha 05/12/2014 y baja el 18/12/2014 por importe de 110 euros por vencimientos impagados de octubre de 2014 y otro alta con fecha 29/12/2014 y baja el 12/1/2015 por importe de 171,67 euros por vencimientos impagados de octubre de 2014. - Con fecha 23/04/2015 se solicita información a ORANGE y de la documentación aportada se desprende lo siguiente: Los datos del clientes fueron incluidos en ficheros de morosidad con fecha 04/12/2014 debido al impago por su parte de la factura de fecha 26/09/2014 generada en concepto de penalización por baja anticipada de la línea H.H.H.. Por tanto, con carácter posterior a la tramitación y resolución de la reclamación oficial interpuesta por el cliente ante la Secretaría de Estado de Telecomunicaciones, aportada por el denunciante junto a su denuncia y que fue gestionada por ORANGE el 24/07/2014. A mayor abundamiento, los datos del denunciante fueron excluidos de los ficheros a titulo cautelar mientras se realizaban las comprobaciones oportunas en orden a determinar la procedencia o no de la citada reclamación. Una vez se resolvió la reclamación, se realizaron los ajustes correspondientes y cuantas acciones se consideraron oportunas en relación con las líneas objeto de la controversia. Se procedió a dar de baja la línea H.H.H. a pesar de no constar solicitud formal por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 parte del cliente y como consecuencia de la ejecución manual de la baja se generó la factura de fecha 26/09/2014 en concepto de penalización por baja anticipada, hecho que se produce por un error de carácter involuntario por parte del agente que gestionó la reclamación. Actualmente, el cliente se encuentra al corriente de pago. TERCERO: Con fecha 23/11/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ORANGE por presunta infracción del artículo 4.3 de la Ley Orgánica de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de ORANGE en fecha 16/12/2015 formulo en síntesis las siguientes alegaciones: inexistencia de infracción del artículo 4.3 de la LOPD; ausencia de culpabilidad y diligencia por parte de ORANGE; subsidiariamente aplicación del artículo 45.5 de la LOPD y graduación de la sanción a imponer. QUINTO: En fecha 30/12/2015, se inició de un periodo de práctica de prueba acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/02265/2015. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por ORANGE y la documentación que a ellas acompaña. Solicitar al denunciante documentación que obrara en su poder relacionada con procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. SEXTO: En fecha 29/03/2016, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a ORANGE por infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de dicha norma, con multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de ORANGE mediante escrito de fecha 20/04/2016 reiteraba las alegaciones realizadas con anterioridad y mostraba su disconformidad con la sanción propuesta, señalando la ausencia de culpabilidad, el cumplimiento de la diligencia debida y, subsidiariamente, la aplicación del artículo 45.5 de la LOPD y minorando la sanción a imponer al concurrir criterios previstos en el artículo 45.4 de la misma ley. HECHOS PROBADOS PRIMERO. Con fecha de 09/01/2015 tiene entrada en esta Agencia un escrito del denunciante en el que manifiesta que ORANGE le reclama el pago de 110 euros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 asociado a la penalización por baja anticipada derivada de la línea I.I.I. que fue contratada con la citada compañía, habiendo incluido sus datos personales en el fichero ASNEF; asimismo, señala que presentada reclamación ante la SETSI, le dieron traslado de las alegaciones de ORANGE en la que indicaba que no tenía deuda con la entidad y que se encontraba al corriente de pago (folio 1 y 2). SEGUNDO. Consta copia de su DNI nº J.J.J., con domicilio en K.K.K. -Barcelona, coincidente con el que figura en el escrito de denuncia (folio 45). TERCERO. En fecha 11/05/2015, EQUIFAX como encargado del fichero ASNEF, ha informado que en el citado fichero constan cuatro incidencias asociadas al identificador J.J.J. correspondiente al denunciante, informadas por ORANGE, por operación telecomunicaciones, en la condición de titular: constando como fechas de alta y baja: primera, con fechas de alta y baja 11/04/2014-24/05/2014 por un importe de 171,67 euros; segunda, con fechas de alta y baja 05/12/2014-18/12/2014, por un importe de 110 euros; tercera, con fecha de alta 29/12/2014-12/01/2015, por un importe de 110 euros y, cuarta, con fechas de alta 23/01/2015 (no consta la baja), por un importe impagado de 110 euros (folios 21, 34, 36 y 38). La citadas incidencias fueron notificadas a la dirección C/ E.E.E., -Barcelona (folios 21, 26 a 29 y 38). CUARTO. El denunciante, en fechas 13/12/2014 y 09/01/2015, se dirigió al responsable del fichero ASNEF ejercitando el derecho de cancelación de sus datos de carácter personal, quien el 18/12/2014 y 12/01/2015 le respondía que “se ha procedido a la Baja cautelar con la/s entidad/es ORANGE en el fichero ASNEF de los datos asociados al identificador J.J.J.”. Asimismo, le informaba que sus datos habían sido consultados por Caixabank y Verti (folios 40, 41, 52 y 53). Comunicadas por ASNEF-EQUiFAX las bajas cautelares de los datos como consecuencia del ejercicio del ejercicio derecho de cancelación, ORANGE señaló que constaba deuda de 110 euros por lo que no procedía la baja de ASNEF (folios 51 y 59). QUINTO. El denunciante formuló reclamación contra ORANGE ante la SETSI, expediente RC D.D.D.; trasladada a la operadora, daba respuesta el 24/07/2014 manifestando: “Primera.- El cliente solícita revisión del importe tarificado por portabilidad de la línea I.I.I. y, de las facturas emitidas tras la petición de baja efectuada en Marzo de 2014 para el número G.G.G.. Segunda.- (…) Tercera.- Asimismo, con relación al importe tarificado por baja anticipada en la factura de fecha 21/01/14 de la línea I.I.I., les indicamos que para el número H.H.H., a fecha 5 de Marzo de 2012, se adquiere una oferta renove con un Terminal del modelo HTC WILDFIRE, este renove se tramita con los puntos de dicha línea y con parte de los puntos de la otra línea de la que es titular el Sr. A.A.A. ( I.I.I.); siendo asociado un compromiso de 18 meses para cada línea. Posteriormente, a fecha 30 de Mayo de 2012, se acepta una nueva oferta renove para el número I.I.I., siendo sumado al compromiso anterior 18 meses de permanencia, portándose ésta línea a otro operador el 1 de Diciembre de 2013. Por todo lo comentado en este punto, la factura de Enero de 2014, donde se genera el cargo por baja es correcto. No obstante, en calidad servicio, hemos procedido a anular un importe de 29,85 euros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 (impuestos incluidos), correspondiente a las facturas de fecha 21/05/14 y 21/06/14 que estaban pendientes de abono, quedando el cliente al corriente de pago con esta empresa, dicho importe es aplicado sobre el cargo por baja de la línea en la factura de fecha 21/01/14. Les desglosamos el importe anulado: -Factura de fecha 21/05/14 — por importe de 5,65 euros (impuestos incluidos). -Factura de fecha 21/06/14 — por importe de 24,20 euros (impuestos incluidos). En unos días, el cliente recibirá las facturas rectificativas, pero les adelantamos información de dicha anulación en este escrito. Igualmente, les confirmamos que hemos procedido a solicitar la exclusión de los datos personales del titular de las líneas de cualquier fichero de solvencia económica en el que pudieran haber estado incluidos a petición de nuestra empresa” Además, les indicamos que hemos efectuado un abono por transferencia por importe de 151,65 euros (impuestos incluidos) correspondiente a la diferencia hasta completar el importe tarificado por portabilidad de la línea I.I.I. de la factura de fecha 21/01/14, en la cuenta bancaria facilitada por el Sr. A.A.A. (folios 6 a 8). SEXTO. ORANGE en escrito de 16/12/2015 ha manifestado que “En fecha 24 de julio de 2014 el denunciante interpuso reclamación ante la SETSI para la revisión del importe tarificado por portabilidad de la línea I.I.I. y, de las facturas emitidas tras la petición de baja efectuada en Marzo de 2014 para el número G.G.G.. Una vez tramitada y resuelta la anterior Reclamación, y tras contactar con el denunciante, se procedió a la ejecución manual de la baja anticipada de la línea H.H.H.. Sin embargo, como consecuencia de esta baja anticipada, se generó una factura de fecha 26/09/2014 en concepto de penalización de dicha baja, hecho este que se produjo por un error de carácter involuntario par parte del agente que gestionó la Reclamación… Debido al impago por parte del denunciante de la factura de fecha 26/09/2014, sus datos de cliente fueron incluidos en ficheros de solvencia patrimonial con fecha 04/12/2014” (folio 76). SEPTIMO. Constan aportados escritos tanto de EXPERIAN, como responsable del fichero Badexcug, de 13/05/2015, como de EQUIFAX, como encargado del fichero ASNEF, de 11/05/2015, señalando en dichas fechas y en los citados ficheros no figuraba información asociada al denunciante (folios 107 y 108). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Se imputa a ORANGE en el presente procedimiento sancionador una infracción del artículo 4.3 de la LOPD, que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” El artículo 38.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Y el artículo 39 del Reglamento de desarrollo de la LOPD establece que: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Es objeto de estudio en el presente procedimiento, y por tanto cuestión a dilucidar en el mismo, si la inclusión de los datos del denunciante en los ficheros de morosos se realizó conforme determina la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 En el presente caso, de lo comunicado a esta Agencia por EQUIFAX, como encargado el fichero ASNEF, ha quedado acreditado que los datos personales del denunciante fueron informados al citado fichero por ORANGE, por producto telecomunicaciones, con fechas de alta y baja: 11/04/2014-24/05/2014 por un importe de 171,67 euros; 05/12/2014-18/12/2014, por un importe de 110 euros; 29/12/201412/01/2015, por un importe de 110 euros y, 23/01/2015 (no consta la baja), por un importe impagado de 110 euros; deuda que no era cierta, vencida, ni exigible puesto que así lo ha reconocido la entidad denunciada. Como así consta en los hechos probados ORANGE respondió a la SETSI el 24/07/2014 ante la reclamación interpuesta por el denunciante que el cliente estaba al corriente de pago con la operadora y que habían procedido “a solicitar la exclusión de los datos personales del titular de las líneas de cualquier fichero de solvencia económica en el que pudieran haber estado incluidos a petición de nuestra empresa” Además, les indicamos que hemos efectuado un abono por transferencia por importe de 151,65 euros (impuestos incluidos) correspondiente a la diferencia hasta completar el importe tarificado por portabilidad de la línea I.I.I. de la factura de fecha 21/01/14, en la cuenta bancaria facilitada por el denunciante”. La propia entidad denunciada reconoce en escritos tanto 22/07/2015 como de 16/12/2015 que “…Una vez tramitada y resuelta la anterior Reclamación, y tras contactar con el denunciante, se procedió a la ejecución manual de la baja anticipada de la línea H.H.H.. Sin embargo, como consecuencia de esta baja anticipada, se generó una factura de fecha 26/09/2014 en concepto de penalización de dicha baja, hecho este que se produjo por un error de carácter involuntario par parte del agente que gestionó la Reclamación” y cuyo impago provoco la inclusión de los datos del denunciante en los ficheros de solvencia. ORANGE, como informante de dichos datos a los ficheros de solvencia, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza, tal y como exige el artículo 4 de la LOPD; es decir, ORANGE debió haberse asegurado que los datos de carácter personal eran exactos y respondían con veracidad a la situación del afectado, antes de instar la inclusión en el fichero, dada las repercusiones personales que conlleva estar incluido y permanecer en los mismos. Estos hechos son contrarios al principio de calidad de datos y, por tanto, contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma Ley, tipificada en el artículo 43.3.
  4. c)de la citada Ley Orgánica. III Consta acreditado en esta Agencia que las entidades asociadas a los ficheros ASNEF y BADEXCUG suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en los propios ficheros automatizados de ORANGE. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados a los ficheros comunes de información sobre solvencia patrimonial, en caso de que dichos datos sean de obligados respecto de una deuda para con la entidad que insta la inclusión . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  5. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  6. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por ORANGE puede subsumirse o no en tales definiciones legales. ORANGE instó la incorporación al fichero ASNEF de los datos del denunciante, en virtud de una deuda que no respondía con veracidad a la situación actual de aquel (en aquel momento), ya que adolecía del requisito de su certeza. Dicha comunicación se realizó mediante un procedimiento que implica un tratamiento automatizado de los datos, como es su incorporación a una cinta magnética en cuyo destino también va a ser tratada automáticamente por los responsables del fichero de solvencia. Conforme a lo expuesto, ORANGE ha decidido, sobre la finalidad del tratamiento (la calificación del denunciante como deudor), el contenido de la información (los datos relativos a la deuda asociados al denunciante), y el uso del tratamiento (la incorporación del denunciante a un fichero común de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Además, todo lo anterior lo ha realizado sin que los datos comunicados y mantenidos en los ficheros fueran exactos, pues la deuda informada no era cierta, ya que ORANGE en escrito de alegaciones remitido a la SETSI el 24/07/2014 manifestaba que el cliente-denunciante no mantenía deuda alguna con la empresa de telefonía compañía y que había procedido a solicitar la exclusión de los datos personales del titular de las líneas de cualquier fichero de solvencia económica en los que se encontrara. Ello supone una clara vulneración del principio de calidad de datos, de la que debe responder ORANGE por ser responsable de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que ORANGE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con la definición del artículo 3.
  7. d)y
  8. c)de la citada Ley Orgánica. IV De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
  9. c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. ORANGE ha incurrido en la infracción descrita ya que ha vulnerado el principio consagrado en el artículo 4.3 de la LOPD, que encuentran su tipificación en el artículo 44.3.
  10. c)de la citada Ley Orgánica. V El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 supuestos:
  21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. ORANGE ha solicitado la aplicación subsidiara del artículo 45.5 de la LOPD, en atención a las circunstancias concurrentes en el presente caso por lo que debería graduarse la sanción a imponer dentro de la escala de las leves y en cuantía mínima. El articulo 45.5 deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que ORANGE ha vulnerado el artículo 4.3 de la LOPD, al informar los datos de carácter personal del denunciante al fichero BADEXCUG y ASNEF, con fechas de alta y baja en este último fichero del 11/04/2014 al 24/05/2014 por un importe de 171,67 euros; del 05/12/2014 al 18/12/2014, por un importe de 110 euros; del 29/12/2014 al 12/01/2015, por un importe de 110 euros y, del 23/01/2015 (no constando la baja), deuda que no era cierta, vencida, ni exigible por lo que la dicha actuación ha de ser objeto de sanción. Así, consta en los hechos probados quinto y sexto que ORANGE en escrito de 24/07/2014, remitido a la SETSI ante la reclamación interpuesta por el denunciante y que dió lugar al expediente D.D.D., contestaba que el cliente (denunciante) se encontraba al corriente de pago con la empresa y que habían procedido “a solicitar la exclusión de los datos personales del titular de las líneas de cualquier fichero de solvencia económica en el que pudieran haber estado incluidos a petición de nuestra empresa”. A mayor abundamiento les señalaba que “Además, les indicamos que hemos efectuado un abono por transferencia por importe de 151,65 euros (impuestos incluidos) correspondiente a la diferencia hasta completar el importe tarificado por portabilidad de la línea I.I.I. de la factura de fecha 21/01/14, en la cuenta bancaria facilitada por el denunciante”. La propia entidad denunciada ha reconocido en escritos de 22/07/2015 y 16/12/2015 que “…Una vez tramitada y resuelta la anterior Reclamación, y tras contactar con el denunciante, se procedió a la ejecución manual de la baja anticipada de la línea H.H.H.. Sin embargo, como consecuencia de esta baja anticipada, se generó una factura de fecha 26/09/2014 en concepto de penalización de dicha baja, hecho este que se produjo por un error de carácter involuntario por parte del agente que gestionó la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Reclamación”, y que debido a su impago provoco que los datos del denunciante fueran incluidos nuevamente en los ficheros de solvencia. Por tanto, no se dan las citadas circunstancias, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
  26. d)y
  27. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Tampoco se observa una actitud diligente por parte de ORANGE para resolver la irregularidad cometida a la luz de los hechos considerados probados en el procedimiento. Consta que el denunciante se dirigió al responsable del fichero ASNEF en dos ocasiones: 18/12/2014 y 12/01/2015 ejercitando el derecho de cancelación de sus datos de carácter personal; comunicadas las bajas cautelares de los datos del denunciante por ASNEF-EQUIFAX a ORANGE, le respondía que les constaba una deuda de 110 euros por lo que no procedía la baja en el fichero, a pesar de que el 24/07/2014 ORANGE había informado a la SETSI que el cliente se encontraba al corriente de pago y que habían procedido a solicitar la exclusión de los datos del denunciante de cualquier fichero de solvencia en el que pudieran haber estado incluido. Invoca la representación de ORANGE la concurrencia de criterios del artículo 45.4 de la LOPD a efectos de graduación de la sanción, destacando los esfuerzos por implantar mecanismos de protección de datos personales de sus clientes encuadrable en la circunstancia prevista en el apartado
  28. i)del artículo 45.4 de la LOPD; sin embargo, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se trató de una anomalía del funcionamiento de los mismos. Asimismo manifiesta la ausencia de daños y perjuicios al denunciante, criterio establecido en el apartado
  29. h)del artículo 45.4 de la LOPD. Sin embargo, tal manifestación tampoco puede aceptarse; la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, ha señalado que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. Por otra parte, en aras a graduar la sanción que corresponde imponer, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren la agravante prevista en el apartado
  30. a)del artículo 45.4 de la LOPD, “el carácter continuado de la infracción”, porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a ORANGE, tiene naturaleza de infracción continuada o permanente,
  31. c)del artículo 45.4 de la LOPD, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 personales tanto de sus clientes como de terceros y el apartado
  32. d)del artículo 45.4 de la LOPD “volumen de negocio” toda vez que se trata de una de las mayores entidades crediticias del país, por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular el carácter continuado de la infracción, la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal, el volumen de negocio del infractor, se propone una sanción de 50.000 € por la infracción del artículo 4.3 de la LOPD, de la que ORANGE debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE SAU, S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  33. c)de la LOPD, una multa 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE SAU, S.A.U., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.