1/8 Procedimiento Nº PS/00709/2015 RESOLUCIÓN: R/01149/2016 En el procedimiento sancionador PS/00709/2015, instruido por la Agencia Española de Protección de Datos a la entidad Orange Espagne SAU (antes Jazz Telecom SAU), vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas 6 de febrero y 16 de abril de 2015 se reciben en esta Agencia escritos de A.A.A., en el que denuncia que Jazz Telecom SAU (Jazztel) le reclama el pago de una deuda por penalización por baja anticipada que no le corresponde, pues la penalización por baja anticipada no estaba prevista en contrato alguno. Sus datos personales han sido incluidos en el fichero Asnef con fecha 22/01/2015. Adjunta copia de las reclamaciones presentadas a Jazztel y las respuestas recibidas, requerimiento de pago de empresa de empresa de recobros P&LEX, oficio de la SETSI sobre la reclamación presentada y comunicación de Equifax notificándole la inclusión en Asnef. Posteriormente aporta comunicación de Equifax de baja cautelar el 05/03/15 e informe de 31/03/15 en que consta anotación con los mismos datos que la anterior. SEGUNDO: A la vista de los hechos denunciados se inician actuaciones previas de investigación por el Servicio de Inspección de esta Agencia solicitando informe a Equifax, Jazztel y SETSI. Una vez recibidos es emitido el correspondiente informe. TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Jazztel realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos, al incluirlos asociados a una deuda en el fichero Asnef sin tener en cuenta que la cantidad reclamada estaba pendiente de resolución ante la SETSI, y no había transcurrido el plazo de seis meses para resolver. CUARTO: Con fecha 23/12/15 la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a Jazz Telecom SAU con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 4.3 en relación con el 29.4 de la LOPD y el 38.1 del RLOPD, tipificada como grave en el artículo 44.3.
- c)en la citada ley orgánica. QUINTO: Notificado el acuerdo de inicio, Jazztel presentó escrito de alegaciones en el que solicita se imponga una sanción por el importe mínimo de las leves, tras el reconocimiento voluntario de la responsabilidad y actuación con ausencia de beneficios y de intencionalidad. SEXTO: Por oficio de 13/01/16 se notificó a Jazztel el acuerdo de práctica de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 pruebas, consistente en el expediente de actuaciones previas y las alegaciones de la imputada. SÉPTIMO: Al haber reconocido la entidad investigada la responsabilidad en los hechos que se le imputan, se procede a elevar a la Directora de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. De las actuaciones practicadas en el presente procedimiento sancionador procede declarar los siguientes HECHOS PROBADOS 1 --- 23/06/14, Jazztel emite factura a nombre del denunciante por importe de 142,38 €, en la que incluye 120,00 € por "Penalización por incumplimiento de permanencia en ADSL". 2 --- 17/07/14, Jazztel comunica a la persona denunciante que tiene pendiente de pago 142,38 €. 3 --- 02/09/14, Jazztel –ante la reclamación del denunciante- le comunica que no puede proporcionarle la grabación que le solicita y que la cantidad que reclama corresponde a penalización por incumplir la permanencia en alta de 12 meses asociada a los descuentos recibidos. 4 --- 02/10/14, Jazztel, por medio de la empresa de recobros (P&LEX), le requiere el pago de 142,38 €. 5 --- 14/11/14, el denunciante presenta reclamación ante la SETSI por la facturación y reclamación del pago por penalización por baja anticipada. 6 --- 09/12/14, Jazztel –tras recibir el traslado de la reclamación- comunica a la SETSI que el importe por penalización que se le reclama es consecuencia de que desde el alta el 26/07/13 hasta la baja solicitada por el denunciante el 20/06/14 no ha transcurrido el plazo de 12 meses de permanencia fijado al inicio de la relación contractual, tal como se le comunicó por correo electrónico el mismo día del alta. 7 --- 22/01/15, Jazztel incluye en Asnef los datos personales del denunciante asociados a una deuda de 142,38 €. 8 --- 05/03/15, ante la solicitud de cancelación del denunciante, Equifax le comunica que con esa fecha se ha procedido a la baja cautelar de los datos del denunciante. 9 --- 12/03/15, Jazztel incluye por segunda vez en Asnef los datos personales del denunciante asociados a una deuda de 142,38 €. 10 --- 23/04/15, Jazztel recibe la notificación del oficio de la Inspección de Datos recabando información de los hechos denunciados por A.A.A.. 11 --- 15/05/15, Jazztel cancela la anotación de los datos personales del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 denunciante en Asnef. 12 --- 20/05/15, fecha de la resolución de la SETSI que desestima la reclamación del denunciante al tener en cuenta "que el operador ha demostrado que la cantidad que pretende cobrar se corresponde con beneficios realmente disfrutados por el reclamante". 13 --- 05/01/16, Jazztel, en su escrito de alegaciones al acuerdo de inicio, hace constar que "reconoce espontáneamente su culpabilidad" y solicita la aplicación del 45.5.
- d)de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora (Aprobado por Real Decreto 1398/93, de 4 de agosto), dispone: "Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda". El artículo 45.5.
- d)de la LOPD establece una opción similar y esta norma ha sido la invocada por la entidad denunciada. En aplicación de los anteriores preceptos y teniendo en cuenta que Jazztel ha reconocido la culpabilidad en los hechos acaecidos, procede resolver el procedimiento iniciado fijando la sanción correspondiente. III Se imputa a Jazztel en el presente procedimiento la comisión de una infracción del artículo 4.3 de la LOPD, que dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. El apartado 2 del artículo 29 de la LOPD habilita al acreedor o a quien actué por su cuenta o interés para que, sin consentimiento del deudor, facilite los datos de carácter personal de sus deudores a ficheros comunes de solvencia patrimonial y crédito, siempre y cuando concurran los requisitos establecidos en el artículo 38.1 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, cuyo apartado
- a)requiere para la inclusión de datos personales en este tipo de ficheros la existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. La exigencia de que la deuda sea "cierta" responde al principio de calidad de datos recogido en el artículo 4.3 de la LOPD, al expresar que "los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar datos de carácter personal, relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a ficheros comunes de solvencia patrimonial y crédito, siempre que la información registrada en este tipo de ficheros respete el principio de veracidad y exactitud del mencionado artículo 4.3 de la LOPD. Por ello, la impugnación de la deuda, cuestionando su existencia o certeza, ante los órganos administrativos, arbitrales o judiciales competentes para declarar la existencia o inexistencia de la misma, a través de resoluciones de obligado cumplimiento para las partes, impide que pueda hablarse de una deuda cierta hasta que recaiga resolución firme, y por tanto, la inclusión de la misma en los ficheros de solvencia patrimonial y crédito. El Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. El acreedor o quien actúe por su cuenta o interés será responsable de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda anotada realmente existe. Jazztel no ha cumplido los requisitos pues la facturación, la reclamación del pago y la anotación en los ficheros de morosos no respondía con veracidad a la situación real entre las partes, pues estaba pendiente de resolución de la SETSI y no había concluido el plazo para resolver cuando efectuó la inclusión en Asnef. IV El artículo 44.3.
- c)de la LOPD considera infracción grave: "Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave". Jazztel ha incurrido en la infracción grave descrita al haber realizado el tratamiento de datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos cuando incluyó en Asnef antes de concluyera el plazo de seis meses de la Setsi para resolver la reclamación pendiente. V El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)
- e)infracción.
- f)C/ Jorge Juan, 6 28001 – Madrid El volumen de negocio o actividad del infractor. Los beneficios obtenidos como consecuencia de la comisión de la El grado de intencionalidad. www.agpd.es sedeagpd.gob.es 6/8
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.» .5. : El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad En el supuesto examinado, Jazztel ha solicitado en su alegación única al acuerdo de inicio la aplicación del artículo 45.5.
- d)de la LOPD, estableciendo la cuantía de la sanción dentro de la escala relativa a las infracciones leves, graduando la sanción en su cuantía mínima. Con ese fin manifiesta que reconoce espontáneamente su culpabilidad en los hechos denunciados constitutivos de la infracción que se le imputa. Este reconocimiento permite la aplicación de lo dispuesto contemplada en el citado 45.5.d), y establecer una sanción de "la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", es decir, de las leves. Para fijar el importe de la sanción han de ser examinadas las circunstancias del apartado 4 del art. 45 de la LOPD. El tratamiento de los datos personales de la persona denunciante asociados a una deuda pendiente de resolución de la SETSI -teniendo conocimiento del procedimiento de la SETSI abierto el 25/11/14- se inicia con la anotación en Asnef el 22/01/15. Sin embargo el plazo de seis meses para la SETSI concluía el 25/05/15. A instancias del denunciante se cancela la anotación en Asnef; siete días mas tarde vuelve a incluirle en Asnef por segunda vez. La cancelación de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 datos en Asnef se produce después de la resolución de la SETSI, de la denuncia en AEPD, la petición de informe de la Inspección y su posterior respuesta, el 15/05/15. En total la anotación indebida de los datos personales de la denunciante en Asnef se prolongó durante casi cuatro meses, excluyendo los siete días de la baja cautelar del 05 al 12/03/15.. Ha de resaltarse como una circunstancia agravante (45.4.a)). No hay constancia del motivo de la cancelación en Asnef, no se ha acreditado que la deuda a la que se refiere la SETSI haya sido saldada. Sobre la improcedencia de facturar en concepto de penalización por baja anticipada es clara la doctrina de la SETSI: no puede exigirse si no se acredita que la cantidad que pretende cobrar la operadora se corresponde con beneficios realmente disfrutados por el cliente. No es este el caso, y la denunciada es sabedora de esa doctrina y por tanto no debió facturarlo. Esta circunstancia ha de considerarse como agravante al relacionarla con el gran numero de tratamientos similares dado el volumen de negocio de la operadora y su vinculación con la realización de tratamiento de datos personales, que desemboca en reiteración de infracciones de la misma naturaleza (45.4.g)). Teniendo en cuenta el reseñado reconocimiento de la responsabilidad de la imputada en la inclusión indebida en el fichero de morosos y valoradas las demás circunstancias en relación a los criterios de graduación de las sanciones establecidos en el artículo 45.4, invocados por la entidad denunciada, procede imponer una sanción de 30.000 €, por vulneración del artículo 4.3 de la LOPD, de la que Jazztel (ahora Orange Espagne SAU) debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Orange Espagne SAU (antes Jazz Telecom SAU), por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, una multa de 30.000 € (treinta mil euros), de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a Orange Espagne SAU, y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es