1/6 Procedimiento nº.: E/05302/2013 ASUNTO: Recurso de Reposición Nº RR/00730/2014 Examinado el recurso de reposición interpuesto por D.ª A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05302/2013 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 4 de septiembre de 2014 se dictó resolución por el Director de la Agencia Española de Protección de Datos (AEPD) en el expediente de actuaciones previas de inspección E/05302/2013, procediéndose al archivo de las actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución fue notificada a D.ª A.A.A. en fecha 17 de septiembre de 2014 como lo acredita el acuse de recibo que obra en el expediente. SEGUNDO: D.ª A.A.A. (en lo sucesivo la recurrente) ha presentado en la AEPD, en fecha 8 de octubre de 2014, recurso de reposición, fundamentándolo, básicamente, en los mismos argumentos expuestos en la denuncia. La recurrente discrepa de la resolución dictada y expone que Orange sólo ha facilitado a la AEPD las actuaciones realizadas en relación con el terminal contratado a su nombre, C.C.C., pero sin que se haya hecho una investigación a fondo sobre cómo se realizan esos cambios de correos y contraseñas. Afirma que de todos los cambios de claves de seguridad efectuados por ORANGE ella “sólo puso una” y reconoce que “ella (refiriéndose a la supuesta suplantadora, D.D.D..) cambiaba las contraseñas y las direcciones de correo para ella acceder a los datos y así cuando yo llamase a cambiarlos al no disponer de las contraseñas que ella había puesto yo no podía telefónicamente cambiarlo de nuevo, sí que es verdad que puse varias alertas, pero al tener ella mis datos y hacerse pasar por mi persona (…) daba igual lo que yo hiciese telefónicamente siendo yo titular real de la línea con Orange”. Acompaña con su recurso abundante documentación relativa a las investigaciones llevadas a cabo en el marco de las Diligencias Previas 1281/2012 seguidas ante el Juzgado de Primera Instancia e Instrucción número 1 de Santa Fe, Granada. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La competencia que la AEPD tiene atribuida por la LOPD es “velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos”, (artículo 37.
- a)En consonancia con las funciones que corresponden a este organismo, a la vista de las denuncias recibidas tanto de D.ª A.A.A. (identificada en la resolución impugnada como B.B.B.) como por otros cinco denunciantes más, se practicaron actuaciones de investigación dirigidas a determinar si los hechos expuestos por los denunciantes podían ser contrarios a la LOPD y normas de desarrollo, pues, como se ha indicado, es a esta materia a la que se circunscribe la competencia atribuida a la AEPD. Como resultado de las investigaciones efectuadas por la Subdirección de Inspección de Datos se verificó que no constaban en ORANGE líneas de prepago vinculadas a los datos personales de la denunciante y que la única línea que figuraba a su nombre es el número C.C.C., que la denunciante reconoce como suyo. Asimismo, se investigó si ORANGE vulneró la normativa de protección de datos, en particular la obligación de adoptar las medidas de seguridad que garantizaran la custodia de los datos tratados (artículo 9) y el deber de secreto (artículo 10). Las investigaciones realizadas condujeron a la conclusión de que no existían indicios de que la entidad denunciada hubiera infringido las citadas obligaciones. Nos remitimos a estos efectos a los Fundamentos Jurídicos II a IV de la resolución impugnada: <<II La LOPD establece en su artículo 9, “Seguridad de los datos”: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El artículo 10 de la LOPD, “Deber de secreto”, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. La obligación impuesta por el artículo 10 de la LOPD tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de datos no consentidas por sus titulares. El Tribunal Superior de Justicia de Madrid en Sentencia de 19 de julio de 2001 afirma que “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En el mismo sentido se ha pronunciado la Audiencia Nacional, que en Sentencias de 14 de septiembre de 2001 y 29 de septiembre de 2004 ha afirmado que “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la “intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. Este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000), que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. III En el supuesto que nos ocupa los denunciantes consideran que ORANGE ha permitido que un tercero (al que algunos denunciantes identifican como D.D.D..) acceda a los datos de facturación de uno de los clientes de la operadora (la B.B.B.) y haciéndose pasar por ella cambie su contraseña y modifique sus datos recibiendo de este modo las facturas del servicio telefónico titularidad de la B.B.B., hecho que le habría permitido obtener información de sus números de teléfono. Las actuaciones de investigación practicadas por la Agencia en las dependencias de ORANGE han permitido comprobar que entre septiembre de 2012 y abril de 2013 se registraron varias modificaciones de los datos de su cliente ( B.B.B.), como son las contraseñas de acceso y la dirección electrónica. No obstante, se ha comprobado también que la operadora habilitó un procedimiento de autenticación especial; no solo porque activó una contraseña para el acceso a los datos de la cuenta de su cliente ( B.B.B.) sino también porque registró hasta cinco alertas relacionadas con la protección de los datos de este cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Debe traerse a colación el artículo 93 del Reglamento de desarrollo de la LOPD, aprobado por el R.D. 1720/2007 (RLOPD), conforme al cual “El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios”. Y añade que “Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad”. El resultado de las investigaciones practicadas durante la Inspección confirman que ORANGE adoptó las medidas necesarias para garantizar la seguridad de los datos de su cliente ( B.B.B.) y se atuvo a las obligaciones que le impone el artículo 93 del RLOPD. En este orden de ideas debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en STS de 26 de octubre de 1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por su parte el Tribunal Constitucional en STC 24/1997 ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor de manera que, en lo que concierne a la presunta infracción del deber de secreto del artículo 9 de la LOPD, dada la ausencia de evidencias o indicios razonables de su comisión por ORANGE procede acordar el archivo de las actuaciones de investigación practicadas. En relación a la presunta infracción del deber de secreto que el artículo 10 de la LOPD impone al responsable del fichero, vulneración que los denunciantes atribuyen a ORANGE por haber permitido que un tercero accediera a los datos asociados a uno de sus clientes (la B.B.B.), tampoco obran en el expediente pruebas de que esta revelación hubiera llegado a producirse ni de la responsabilidad de la operadora denunciada en tales hechos IV A la vista de lo expuesto en los párrafos precedentes y habida cuenta de la falta de pruebas de las que se infiera la comisión de una infracción de los artículos 9 y /o 10 de la LOPD ni de la responsabilidad que en ellos pudiera haber tenido ORANGE, procede acordar el archivo de las presentes actuaciones. >> III Por lo tanto, dado que en el presente recurso no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, proce acordar su desestimación Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 4 de septiembre de 2014 en el expediente de actuaciones previas de inspección E/05302/2013. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es