← España

PS-00726-2015

1/13 Procedimiento Nº PS/00726/2015 RESOLUCIÓN: R/01478/2016 En el procedimiento sancionador PS/00726/2015, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 12/01/2015 tuvo entrada en esta Agencia una denuncia de D. A.A.A. contra ORANGE ESPAGNE SAU por emitirle facturas y reclamarle el pago, pese a haber solicitado la baja de sus servicios por mal funcionamiento técnico y haber presentado reclamación ante la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI). Aporta copias de correos electrónicos mantenidos con la denunciada comprendidos entre noviembre y diciembre 2014 en los que ambas partes defienden su posición, y ya el denunciante hace saber que se ha reclamado a la SETSI, En el seno del expediente E/01480/2015, con fecha 2/06/2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos, acordando no incoar actuaciones inspectoras. Con fecha 8/07/2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos, estimando el recurso de reposición interpuesto por el denunciante. La resolución ordena a la Subdirección General de Inspección de Datos que procediera a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/04427/2015. Con el recurso presentó copia de su inclusión por ORANGE ESPAGNE SAU en los ficheros ASNEF desde 27/02/2015 (261,78 €) y BADEXCUG desde 8/02/2015 (240 €), así como copia de carta de SETSI de 8/10/2014 trasladándole la respuesta del operador (exte 138/14). También aporta copia de resolución de SETSI de 18/02/2015 expediente acabado 138/14 “paquete voz más datos” figurando una línea fija y tres móviles indicando el encabezamiento que la reclamación tuvo lugar el 4/09/2014. En cuanto al contenido de la resolución SETSI, se indica:

  1. a)En cuanto al retraso en la activación del servicio de internet procede estimar la reclamación reconociendo el derecho del interesado a solicitar la baja del contrato con eficacia inmediata, así como a no abonar la facturación emitida durante el periodo en que el servicio contratado no fue efectivamente prestado.
  2. b)Respecto al importe facturado en concepto de penalización por baja anticipada procede estimar la reclamación declarando improcedente el cargo por baja anticipada, por lo que el operador no podrá cobrar cantidad alguna por este concepto, debiendo proceder a su devolución en el supuesto de que el abonado la haya pagado ya. SEGUNDO: Con fecha 2/03/2015 tiene entrada en esta Agencia un escrito de D. A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 en el que denuncia a la entidad ORANGE ESPAGNE SAU por la imputación de una deuda con la cual no está conforme e incluir sus datos en ficheros de morosidad por la falta de pago de la citada deuda, denuncia que se gestiona en el expediente E/02917/2015. Presenta copia, producto de su ejercicio de cancelación de 16/02/2015, en la que se confirma su inclusión por ORANGE ESPAGNE SAU en el fichero BADEXCUG desde 8/02/2015 por deuda de 240 €. Además aporta copia de escrito de SETSI de 8/10/2014 dirigido al denunciante en el que le envía las alegaciones hechas por el operador en la reclamación por el iniciada. Con fecha 18/06/2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos, acordando el archivo de la denuncia señalada y no incoar actuaciones inspectoras. Con fecha 24/07/2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos, estimando el recurso de reposición interpuesto por el denunciante contra la Resolución de esta Agencia, y ordenando a la Subdirección General de Inspección de Datos de esta Agencia que procediera a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/04788/2015. TERCERO: Con fecha 7/09/2015 en el seno de las actuaciones previas E/4427/2015, el Servicio de Inspección solicita información a EQUIFAX, responsable del fichero ASNEF, sobre el NIF del denunciante ***NIF.1, teniendo entrada en esta Agencia respuesta el 10/09/2015, manifestando: 1. Actualmente no figura información del citado NIF, aportando impresión de consulta al fichero ASNEF, a 9/09/2015. 2. Impresión de consulta al fichero auxiliar de operaciones canceladas, con la información de las incidencias informadas en su momento por ORANGE, ya canceladas y bloqueadas. a. Alta 4/2/2015 y baja 16/2/2015 por deuda de 240 €. b. Alta 27/2/2015 y baja 14/3/2015 por deuda de 261,78 €. 3. En el SERVICIO DE ATENCIÓN AL CLIENTE DE EQUIFAX figuran tres expedientes de ejercicio de derechos de los que se adjuntan copia. a. 2015/21707 con la cancelación cautelar de sus datos en fecha 16/2/2015 ante la entidad ORANGE, por la existencia de reclamación previa ante la SETSI. b. 2015/49322 confirmando la no existencia de datos en el fichero a fecha 7/4/2015. c. 2015/51157 confirmando la no existencia de datos en el fichero a fecha 10/4/2015. CUARTO: Con fecha 9/09/2015 en el seno de las actuaciones previas E/4788/2015 se solicita información a EXPERIAN sobre el NIF del denunciante ***NIF.1 teniendo entrada en esta Agencia respuesta fechada a 22/09/2015, manifestando: 1. Actualmente no figura información del citado NIF, aportando impresión de consulta al fichero BADEXCUG, a 15/09/2015. 2. Información contenida en el Histórico de Actualizaciones del fichero BADEXCUG relativa a la operación de ORANGE importe 240 €: Esta deuda se dio de alta el 8/2/2015 y se dio de baja el 15/03/2015 por proceso automático semanal de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 actualización de datos. 3. Figura tres expedientes asociados al afectado en la aplicación de gestión de solicitudes de derechos. a. nº C***********8: i.Solicitud de cancelación de datos del afectado, recibida por correo certificado el día 16/02/2015. La entidad ORANGE denegó la cancelación solicitada. Se marcó en el estado de la operación impagada “NO Baja”, relativo a la operación N° *********. ii.Carta de contestación al afectado, enviada el 18/02/2015 por correo certificado, indicándole tal extremo. iii.Copia del justificante de envíos certificados remitidos por el Servicio de Protección al Consumidor, donde se encuentra el enviado al afectado. b. n° C***********2: i.Solicitud de cancelación de datos del afectado, recibida por fax el día 09/04/2015. ii.Como consecuencia de la anterior solicitud, el Servicio de Protección al Consumidor desestimó el derecho de cancelación ya que carecía de los requisitos legales exigibles, solicitando la firma manuscrita del titular. iii.Carta de contestación al afectado, enviada el mismo día por correo ordinario, indicándole tal extremo. c. Nº C***********7 i.Solicitud de cancelación de datos del afectado, recibida por fax el día 04/05/2015. ii.Como consecuencia de la anterior solicitud, el Servicio de Protección al Consumidor consultó en el fichero BADEXCUG los datos asociados al DNI del denunciante, y no se encontró ninguna operación impagada asociada a su DNI. iii.Carta de contestación al afectado, enviada el mismo día por correo ordinario, indicándole tal extremo. QUINTO: Con fecha 9/09/2015, en los expedientes E/04427/2015 y E/04788/2015 se solicita información a ORANGE sobre las inclusiones del denunciante en ficheros de solvencia en relación con la reclamación a la SETSI, no habiendo obtenido respuesta. SEXTO: De conformidad con el artículo 78 de la Ley 30/1992, se acumulan los dos procedimientos en uno solo, en el primero E/4427/2015, al guardar identidad sustancial e íntima conexión, y con fecha 29/12/2015, la Directora de la AEPD acordó iniciar procedimiento sancionador a ORANGE ESPAGNE SAU por infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  3. c)de dicha norma. SÉPTIMO: Con fecha 22/01/2016, la denunciada manifiesta: 1) El denunciante ha sido titular de los contratos ***TEL.1 del que solicitó su activación el 2/04/2014 contratando el producto ADSL 6 Mb + línea indirecto + llamadas. Con fecha 9/04/2014 quedó activado el descuento CANGURO adquiriendo un compromiso de permanencia de 12 meses. 2) Asimismo es titular desde 8/04/2014 de un contrato de telefonía móvil con tres C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 líneas ***TEL.2, y ***TEL.3 con la tarifa CANGURO 35 y ***TEL.4 con la tarifa “CANGURO 45”. Asociado a ellas constaba un compromiso de permanencia de 12 meses en tarifa. 3) El 30/08/2014 se recibió notificación por parte del cliente de una falta de servicio en el producto contratado. Se solucionó con el envío de un nuevo router y verificando el correcto funcionamiento el 1/09/2014. Durante la resolución de la incidencia se suspendió la facturación de líneas desde 30/08 a 5/09/2014, según consta en la factura de 12/09/2014. Sin embargo, el 17/09/2014, recibió una reclamación de la SETSI expediente acabado en 38/14. El denunciante indicaba que contrató la tarifa CANGURO en sus líneas móviles y fija y solicitaba que se activara de forma correcta en su línea fija, por los problemas que tenía en la conexión a Internet. El 30/09/2014 se enviaron las alegaciones a la SETSI, “adjuntando la grabación de la contratación de la tarifa Canguro”. 4) A pesar de la resolución de la incidencia y el envío de un nuevo dispositivo, el denunciante decidió resolver los contratos de telefonía y darse de baja anticipada, antes de la resolución de la SETSI. Como consecuencia de ello, se generaron unos cargos por baja anticipada, en concreto 80 euros por cada línea móvil y 101, 64 € por amortización de terminal (cancelación venta a plazos terminal), en total 341,64 € de fecha de factura 12/11/2014. 5) Posteriormente recibieron resolución el 27/02/2015 de la SETSI en que se indicaba que “En cuanto al retraso en la activación del servicio de Internet procede estimar la reclamación reconociendo el derecho del interesado a solicitar la baja del contrato con eficacia inmediata, así como a no abonar la facturación emitida durante el periodo en que el servicio contratado no fue efectivamente prestado.” “En cuanto al importe facturado en concepto despenalización por baja anticipada, procede estimar la reclamación, declarando improcedente el cargo por baja anticipada, por lo que el operador no podrá cobrar cantidad alguna por este concepto, debiendo proceder a su devolución en el supuesto de que el abonado la haya pagado. En cumplimiento de la misma se anularon todos los importes tarificados por penalización de compromisos de permanencia de las líneas móviles rectificando la factura de 12/11/2014 y los datos se excluyeron de ficheros ASNEF y BADEXCUG el 14 y 15/03/2015.” Aporta certificado de EQUIFAX en el que informa que a 23/12/2015 no figuran en el fichero ASNEF datos del denunciante informados por ORANGE y en idéntico sentido de fecha 28/12/2015 de BADEXCUG. Añade que dio de baja los datos cuando recibió petición de información de la AEPD. 6) Subsidiariamente solicita la aplicación del artículo 45.5 de la LOPD por no haberse producido daño al denunciante. OCTAVO: Con fecha 18/05/2016 se emitió la propuesta del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a ORANGE ESPAGNE SAU, con multa 50.000 € por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  4. c)de dicha norma, de conformidad con el artículo 45.2 y 4 de dicha LOPD.” Con fecha 7/06/2016 la denunciada reitera las alegaciones formuladas. HECHOS PROBADOS 1) El denunciante recibe de la denunciada o de una empresa que actúa por su cuenta requerimientos de pago por correo electrónico el 26/11, 1/12/2014 (4, 5,14, 20, 21) importe 341,64 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 2) El denunciante interpuso el 4/09/2014 contra ORANGE reclamación en la SETSI, número referencia acabado en 138/14

(22), en el que la denunciada alegó, dándose traslado al denunciante el 8/10/2014
(38)acreditándose que conocía dicha circunstancia. La resolución de 18/02/2015 indica: --Se refiere a cuatro líneas de teléfono, una fija y tres móviles: ***TEL.1, ***TEL.2, ***TEL.3 y ***TEL.4, reclamación paquetes voz + datos
(40). En el expositivo figura como motivo de la reclamación “Habiendo solicitado el alta en el servicio de Internet, el operador FRANCE TELECOM esta no se ha llevado a cabo. Asimismo manifiesta su desacuerdo con la pretensión del operador de cobrar una cantidad en concepto de baja anticipada. La resolución acredita que se produjo un incumplimiento del plazo de conexión inicial el servicio recogido en el contrato, reconociéndose el derecho del interesado a solicitar la baja del contrato con eficacia inmediata. Asimismo se reconoce el derecho del reclamante a no abonar la facturación emitida durante el periodo en que el servicio no fue efectivamente prestado.
(40). Respecto al importe facturado por penalización por baja anticipada resuelve declarar improcedente el importe facturado en concepto de penalización por baja anticipada, no pudiendo cobrar por este concepto el operador cantidad alguna
(41). 3) La denunciada tenía los datos del denunciante por la contratación de las líneas ***TEL.1 (inicio 2/04/2014). Asimismo es titular desde 8/04/2014 de un contrato de telefonía móvil con tres líneas ***TEL.2, y ***TEL.3 y ***TEL.
  1. Asociado a ellas constaba un compromiso de permanencia de 12 meses en tarifa. Como consecuencia del amplio margen de tiempo en la activación del servicio, el denunciante resolvió el contrato. La denunciada indica que como consecuencia de ello, se generaron unos cargos por baja anticipada, en concreto 80 euros por cada línea móvil (240 euros) y 101, 64 por amortización de terminal, en total 341,64 euros de fecha de factura 12/11/
  2. 4) Los datos del denunciante figuraron en el fichero ASNEF: a) Alta 4/2/2015 y baja 16/2/2015 por deuda de 240 €. b) Alta 27/2/2015 y baja 14/3/2015 por deuda de 261,78 €. c) Según EQUIFAX, el denunciante solicitó la cancelación de sus datos el 13/02/2015 (73, 74) con la cancelación cautelar de sus datos en fecha 16/2/2015 ante la entidad ORANGE, por la existencia de reclamación previa ante la SETSI, circunstancia que aparece comunicada a dicha entidad
(75)y con copia de documentación del afectado que acredita dicha reclamación (62, 63, 64, 68, 69, 71, 77, 79 a 81, 84 5) Los datos del denunciante figuraron en el fichero BADEXCUG a) Por ORANGE, importe 240 €, de alta el 8/2/2015 y se dio de baja el 15/03/2015 por proceso automático semanal de actualización de datos. (106, 125, 126, 131 ,132). Figura el ejercicio del derecho de cancelación el 16/02/2015
(126), remitiendo la documentación al informante
(126)entre la que se incluía copia de la reclamación ante SETSI (134 a 137) que fue denegada por la denunciada (127, 133, 143, 144,145). 6) La denunciada admite que el 17/09/2014, recibió una reclamación de la SETSI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 expediente acabado en 38/14. Manifiesta la denunciada que el 30/09/2014 se enviaron las alegaciones a la SETSI. Reconoce la denunciada que recibieron resolución de la SETSI el 27/02/2015. En cumplimiento de la misma se anularon todos los importes tarificados por penalización de compromisos de permanencia de las líneas móviles rectificando la factura de 12/11/2014 y los datos se excluyeron de ficheros ASNEF y BADEXCUG el 14 y 15/03/2015.” (169, 170 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Se imputa a ORANGE la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
  2. d)que “Los Estados miembros dispondrán que los datos personales sean….
  3. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte, el artículo 37.1 y 3 del RLOPD establece que: “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la LOPD, se someterá a lo establecido, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la LOPD, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. De este modo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  4. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
  5. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
  6. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…). 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. La STS de 15/07/2010 en el fundamento de Derecho decimocuarto, “procede indicar que la exigencia al inicio del apartado 1
  7. a)del artículo 38 de que la deuda sea “cierta” responde al principio de veracidad y exactitud recogido en el artículo 4.3 de la Ley 15/1999(…) Siendo el adjetivo <cierto> sinónimo de irrefutable, incontestable, indiscutible, etc.,..el tema de debate se circunscribe a si es posible sostener con éxito que, en aquellos casos en que se hubiera entablado con respecto a la deuda un procedimiento de los expresados en el artículo 1 a), puede hablarse de una deuda cierta antes de que recaiga resolución firme o se emita, en los supuestos previstos en el Reglamento de los Comisionados, el informe de correspondiente”. A tenor de las consideraciones precedentes procede estimar que la inclusión en los ficheros de solvencia ASNEF y BADEXCUG durante el período de sustanciación de la reclamación del denunciante y en el tiempo de su tramitación, teniendo conocimiento la denunciada, no suponen datos ciertos sino discutidos y encargados a un Organismo que tiene competencias para dirimir sobre la misma, constatándose la infracción del 4.3 de la LOPD. III Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  9. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” La entidad imputada trató automatizadamente en sus propios ficheros los datos relativos al denunciante y a la supuesta deuda (incierta a la postre por decisión de SETSSI); datos de los que es responsable conforme al artículo 3.
  10. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación a unos ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implicaba un tratamiento automatizado de datos cuyo destino era, a su vez, un tratamiento automatizado por parte de los responsables de los ficheros de solvencia, siendo dados de alta al culminar el proceso descrito. De lo expuesto se deduce que ORANGE ha sido responsable del tratamiento de datos del denunciante en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa al denunciante responda a los principios de calidad de datos recogidos en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Conforme a lo expuesto, la entidad imputada no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). La certeza de la deuda constituye un requisito para que los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 puedan tener acceso a los citados ficheros ex artículo 38.1.
  11. a)RDLOPD, de tal forma que si se incluye una deuda que en ese momento no es cierta se infringe el principio de calidad de datos. La denunciada en sus alegaciones reconoce que el 17/09/204 recibió la reclamación de la SETSI para efectuar alegaciones, y aunque su criterio fuese que las cantidades se adeudaban, debía respetar el período que el Organismo tiene para tramitar la misma, absteniéndose de informar cualquier dato del denunciante. No obstante, el 4 y el 8/02/2015 comienza cediendo dichos datos a los ficheros, cuando el 18/02/2015 recayó resolución. No solo los incluyó estando vedado dicha acción so pena de vulnerar la certeza de los datos, sino que los volvió a dar de alta tras una cancelación, y las mantuvo hasta 15/03/2015, hechos que vulneran el 4.3 de la LOPD. IV El artículo 44.3.
  12. c)de la LOPD, considera infracción grave:
  13. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” El principio de calidad de los datos, se configura como básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En este caso, ORANGE ha incurrido en la infracción descrita ya que ha vulnerado dicho principio, consagrado en el artículo 4.3 de la LOPD, cuando informó, para su registro en el fichero ASNEF y BADEXCUG los datos del denunciante asociados a una deuda que estaba siendo analizada por el Organismo competente. V El artículo 45.2, 4 y 5 de la LOPD establece que: "2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". En el supuesto examinado, la denunciada ha solicitado la aplicación subsidiaria del artículo 45.5 de la LOPD, estableciendo en la cuantía de la sanción la escala relativa a las infracciones leves, graduando la sanción en su cuantía mínima al no haberse producido daño al afectado y haberse excluido de ficheros de solvencia los datos del denunciante. El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Asimismo, la sentencia de 21 de enero de 2004 de la Audiencia Nacional ha señalado que dicho precepto “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos” (rec. núm. 1939/2001). Incidiendo en este aspecto, la sentencia de la Audiencia Nacional de fecha 20 de noviembre de 2013, respecto a la solitud de aplicación del apartado 5 del artículo 45 de la LOPD, dice que: “Si ello lo relacionamos con que para aminorar Ia sanción, a tenor del apartado 5 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 del artículo 45 LOPD, deben concurrir dos o más circunstancias del apartado 4 del mismo artículo 45, y además de manera “significativa”, concurrencia significativa que no se da en el presente supuesto y que por otra parte, en el mismo apartado 4, se prevé como circunstancia agravante Ia reincidencia, y es un hecho notorio Ia reiteración de conductas infractoras en materia de protección de datos por parte de XXXXXXX, de todo ello concluimos que el articulo 45.5 LOPD no puede ser aplicado en el caso” (R. núm. 279/011). La importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan,...”. En el presente caso, la inclusión en fichero se da por partida doble, y el denunciante había acudido antes a la vía administrativa de la SETSI, estando mientras tanto vedado el acceso de sus datos a dicho tipo de ficheros. Una vez incluidos, tuvo que ejercitar sus derechos ante los ficheros de solvencia y ver denegado su derecho, por lo que no puede admitirse que no ha sufrido daño. En cuanto a que los datos se excluyeron de ficheros, ello no denota una actuación diligente pues ya se había incumplido previamente con las inclusiones y no es sino lo obligado cuando no han accedido los datos a los ficheros de solvencia con arreglo al principio de calidad. Por tanto no resulta de aplicación el artículo 45.5 de la LOPD. En relación con la culpabilidad, como preceptúa el art. 130.1 de la Ley 30/1992, de 26/11, “solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos”, pero añadiendo que incluso "a título de simple inobservancia" A este respecto, el Tribunal Supremo viene declarando como en la Sentencia de 13/04/2005 -recurso nº. 241/2003 -, que es exigible a las entidades que operan en el mercado de datos de datos de carácter personal una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros. Y ello porque, siendo el de la protección de los datos personales un derecho fundamental (STC 292/2000, de 30/11), los depositarios de esos datos -más aún cuando se trata de empresas habituadas o dedicadas específicamente a la gestión de datos de carácter personal deben ser especialmente diligentes y cuidadosos a la hora de realizar operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Del examen de las circunstancias derivadas de los hechos, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 circunstancias previstas del referido artículo 45.5 de la LOPD ni se dan en el presente caso las causas alegadas para rebajar la graduación de la sanción. Se debe además tener en cuenta la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el citado artículo 45.5, Del análisis de las circunstancias a tener en cuenta para la graduación de la sanción, en la aplicación del artículo 45.4 de la LOPD, se han de tener en cuenta:
  29. a)La denunciada tuvo conocimiento de la existencia de reclamación por el afectado antes de la inclusión en ficheros de solvencia, pero sus datos fueron incluidos, no una vez sino dos en el fichero ASNEF. Además, desatendió el ejercicio del derecho de cancelación en el fichero BADEXCUG confirmando el dato, teniendo todos los elementos para atenderlo. Los datos han permanecido informados en ficheros de solvencia mas de un mes y en dos ocasiones. Concurre así la circunstancia del carácter continuado de la infracción. (45.4.
  30. a)de la LOPD).
  31. b)Según el Informe Económico de las Telecomunicaciones y del Sector Audiovisual 2015, referido al 2014, publicado en la web de la Comisión Nacional de los Mercados y de la Competencia, ORANGE es el tercer operador en líneas fijas y móviles en cuanto a ingresos, ostenta en 2014 el tercer lugar con un 9,4 % de cuotas de mercado por líneas de telefonía fija. En móviles, en, cuota de mercado por líneas activas, representa en tercer lugar con un 22.7 % representando el 19,9 % en cuotas de mercado por ingresos, en tercera posición. Se desprende pues la vinculación de la actividad de la denunciada con la realización de tratamiento de datos de carácter personal, con un importante volumen de negocio (45.4.
  32. c)y
  33. d)de la LOPD).
  34. c)En cuanto al grado de intencionalidad, se aprecia por parte de la denunciada una cualificada falta de diligencia puesta de manifiesto no solo en la inclusión de los datos antes de la resolución de la SETSI, sino en la falta de corrección de las inscripciones a través de las cancelaciones ejercitadas (45.4.
  35. f)de la LOPD). Teniendo en cuenta las circunstancias mencionadas, se impone una sanción de 50.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE SAU, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  36. c)de la LOPD, una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 multa de 50.000 €, de conformidad con lo establecido en el artículo 45.1 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ORANGE ESPAGNE SAU, y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.