1/7 Procedimiento nº.: PS/00020/2016 ASUNTO: Recurso de Reposición Nº RR/00430/2016 Examinado el recurso de reposición interpuesto por la entidad ORANGE ESPAGNE, S.A.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00020/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 16/06/2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00020/2016 , en virtud de la cual se imponía a la entidad ORANGE ESPAGNE SAU (antes JAZZ TELECOM SAU), por una infracción del artículo 4.3 de la LOPD, en relación con el 29.4 de la misma, tipificada como grave en el artículo 44.3.c) de la LOPD, una multa de 24.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 20/06/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12 (en lo sucesivo RLOPD). SEGUNDO: Como hechos probados del citado PS/00020/2016, quedó constancia de los siguientes: procedimiento sancionador, 1. La denunciante era cliente de la denunciada y el 20/08/2014 interpone frente a la SETSI una reclamación sobre “paquete voz + datos” de la línea ***TEL.1 por “reclamación de 120 euros en concepto de penalización por compromiso de permanencia” (5 a 9). 2. A la denunciada le consta impagada de la denunciante, la factura de 23/06/2014
(18)periodo 22/05 a 21/06/2014
(20). En la factura se incluyen 120 euros de penalización por compromiso de permanencia
(20), y adicionalmente 16,6 € por la cuota mensual. El total de la factura es de 140,11 €.
- JAZZ TELECOM informó los datos de la denunciante al fichero ASNEF por el impago de 140,11 € con fecha de alta 22/01/2015 y baja 07/04/2015 (3,31, 32, 36, 37)
- La denunciada dispone, y aporta la copia del traslado de la reclamación de la denunciante efectuada por la SETSI el 1/09/
- La denunciada aporta copia de su respuesta a dicho traslado, fechado el 10/09/2014 (21,22). La reclamación se presentó el 20/08/2014 según reza en la citada resolución
(24). 5. La denunciada aporta copia de la resolución SETSI de 16/02/2015, si bien ya antes los datos de la denunciante habían sido incluidos por ella misma, el 22/01/2015, sin que hubieran transcurridos los 6 meses de plazo que para resolver dispone el Organismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 La resolución estima las pretensiones de la denunciante, declarando improcedente el cargo facturado en concepto de penalización por baja anticipada. (24, 25). TERCERO: ORANGE ESPAGNE, S.A.U. ha presentado en fecha 23/06/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en: 1) En propuesta de resolución se proponían 20 mil euros en aplicación del artículo 45.5
- d)de la LOPD, y en la resolución se ha impuesto bajo el mismo 45.5) 24 mil euros. En base al principio de congruencia, se impide que en los procedimientos sancionadores, la resolución pueda agravar la situación inicial del interesado. Debería haberse devuelto el procedimiento al Instructor para que formulara nueva propuesta de resolución, debiendo dar nuevo traslado al interesado, así lo dispone el artículo 20.3 del Reglamento de procedimiento para ejercicio de potestad sancionadora aprobado por Real Decreto 1398/1993, de 4/08 (RPPOS). 2) Se ha incurrido en nulidad, habiéndose infringido el principio de congruencia y legalidad, causando indefensión al imponer una sanción sin posibilidad de alegar. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II El artículo 20.1) a 4) del Reglamento de procedimiento para ejercicio de potestad sancionadora aprobado por Real Decreto 1398/1993, de 4/08, “1. Antes de dictar resolución, el órgano competente para resolver podrá decidir, mediante acuerdo motivado, la realización de las actuaciones complementarias indispensables para resolver el procedimiento. El acuerdo de realización de actuaciones complementarias se notificará a los interesados, concediéndoseles un plazo de siete días para formular las alegaciones que tengan por pertinentes. Las actuaciones complementarias deberán practicarse en un plazo no superior a quince días. El plazo para resolver el procedimiento quedará suspendido hasta la terminación de las actuaciones complementarias. No tendrán la consideración de actuaciones complementarias los informes que preceden inmediatamente a la resolución final del procedimiento. 2. El órgano competente dictará resolución que será motivada y decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del procedimiento. La resolución se formalizará por cualquier medio que acredite la voluntad del órgano competente para adoptarla. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 La resolución se adoptará en el plazo de diez días, desde la recepción de la propuesta de resolución y los documentos, alegaciones e informaciones obrantes en el procedimiento, salvo lo dispuesto en los puntos 1 y 3 de este artículo. 3. En la resolución no se podrán aceptar hechos distintos de los determinados en la fase de instrucción del procedimiento, salvo los que resulten, en su caso, de la aplicación de lo previsto en el número 1 de este artículo, con independencia de su diferente valoración jurídica. No obstante, cuando el órgano competente para resolver considere que la infracción reviste mayor gravedad que la determinada en la propuesta de resolución, se notificará al inculpado para que aporte cuantas alegaciones estime convenientes, concediéndosele un plazo de quince días. 4. Las resoluciones de los procedimientos sancionadores, además de contener los elementos previstos en el artículo 89.3 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, incluirán la valoración de las pruebas practicadas, y especialmente de aquellas que constituyan los fundamentos básicos de la decisión fijarán los hechos y, en su caso, la persona o personas responsables, la infracción o infracciones cometidas y la sanción o sanciones que se imponen, o bien la declaración de no existencia de infracción o responsabilidad.” III Se han de examinar si existe alguna diferencia en la propuesta de resolución que eleva el Instructor a la Directora, con la resolución y seguidamente valorar si se produce un agravamiento de la situación del denunciado y si esta es susceptible de producir la nulidad u otro efecto distinto. En el acuerdo de inicio, firmado el 27/01/2016, se invitaba a la denunciada a reconocer su responsabilidad a los efectos previstos en el artículo 8 del Real Decreto 1398/1993, para pasar a establecer la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que precede inmediatamente en gravedad a aquella en que se integra la considerada, alegando la denunciada dicho extremo. En la propuesta, se aplicó la citada reducción del 45.5
- d)de la LOPD. Además, se tuvo en cuenta para la gradación del 45.4) de la LOPD que la denunciada es una entidad de relevancia en el manejo habitual de datos que es parte esencial de su actividad y como tal debe se presupone que conoce la normativa aplicable y como profesional ha de conocer y aplicar correctamente la normativa, añadiéndose que la inclusión en ficheros de solvencia es un acto expreso y voluntario en el que se han de examinar si se cumplían los requisitos para ello. En la resolución, una vez considerado que se aplicaba el artículo 45.5 de la LOPD, se indicaba: “Se han de tener en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, en particular: 1. El importante volumen de negocio (apartado
- d)ya que como operador telefónico es un hecho notorio. 2. La vinculación de la actividad de la denunciada con la realización de tratamientos de datos personales (apartado
- c)pues es evidente que en el desarrollo de la actividad que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros potenciada por la relevancia de los bienes jurídicos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro. 3. En cuanto a la falta de intencionalidad, la denunciada conoce la aplicación de la LOPD y maneja habitualmente datos, y el acto de incluir en ficheros datos de deudores es un acto expreso y voluntario debiendo haber examinado mejor si se cumplían los requisitos para ello. La ausencia de beneficios por sí sola no es determinante para una reducción de la sanción. 4. La denunciada, conociendo que había sido interpuesta la reclamación, haciendo alegaciones, no esperó 6 meses para su resolución (entendiéndose entonces desestimada), incluyendo los datos antes de dicho transcurso. 5. Una vez tuvo conocimiento de la resolución de la SETSI de 16/02/2015 mantuvo los datos indebidamente en el fichero ASNEF durante más de dos meses. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones reseñados, para la denunciada, se impone una sanción de 24.000 €.” La referencia en la propuesta a que la denunciada es una entidad de relevancia en el manejo habitual de datos se desglosa, motiva y se pone de manifiesto en párrafos concretos en la resolución en los apartados en los que se menciona que la denunciada conoce la aplicación de la LOPD y maneja habitualmente datos, está relacionada con el tratamiento habitual de datos personales, 45.4.c y por su posición tiene un importante volumen de negocio 45.4. d). Se motivan las circunstancias adicionales que ya figuraban como hechos probados, a saber:
- a)La denunciada, conociendo que había sido interpuesta la reclamación, haciendo alegaciones, no esperó 6 meses para su resolución (entendiéndose entonces desestimada), incluyendo los datos antes de dicho transcurso.
- b)Una vez tuvo conocimiento de la resolución de la SETSI de 16/02/2015 mantuvo los datos indebidamente en el fichero ASNEF durante más de dos meses. Motivación que se desprende de los hechos probados invariables y contenidos ya en la propuesta y que se tienen en cuenta para la elevación de la cuantía como circunstancias de considerable gravedad que no se tuvieron en cuenta en la propuesta. Asimismo, no se considera que existe indefensión pues ha tenido ocasión de conocer las circunstancias relacionadas con la agravación de la responsabilidad que se desprenden objetivamente de los hechos probados, valorándose de forma motivada en la resolución. Hay que añadir que la cuantía elevada se encuentra dentro de los márgenes del tercio medio de la escala aplicable resultando proporcional y respetando el principio de defensa así como el de congruencia del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Conviene además, traer a colación, sobre un supuesto similar, la reciente sentencia de la Audiencia Nacional, Sala de lo contencioso administrativo, sección1, de 12/03/2016, recurso 312/2016 que en su fundamento de derecho TERCERO, indica: “En segundo lugar, el otro motivo de impugnación invocado por la sociedad recurrente en relación con el procedimiento sancionador, consiste en determinar si en los expedientes administrativos sancionadores la Administración puede, sin dar audiencia al expedientado, imponer finalmente mayor sanción que la anunciada en la propuesta de resolución, que sirve a la función de informar debidamente de la acusación, a fin de que quien se ve sometido al expediente sancionador pueda defenderse. En el caso que nos ocupa, en relación con la infracción del art. 6.1 de la LOPD referente al tratamiento de los datos personales de la perjudicada al dar de alta un producto de la parte actora, se elevó en la resolución sancionadora la cuantía de la sanción a 50.000 euros de los 40.001 euros fijada en la propuesta de resolución. Tanto la propuesta de resolución como la resolución sancionadora, se basan en las mismas circunstancias para la determinación de la cuantía de la sanción: "Finalmente, en cuanto al tratamiento de datos personales consistente en el alta de un producto de EON, resulta de especial gravedad, que a pesar de la literalidad de la locución obrante en el folio 185, de la que se infiere que la potencial cliente en modo alguno está tomando conocimiento del producto ofrecido ni lo que supondrá su aceptación en cuanto al tratamiento de datos personales, pues en el minuto 5.51 seg, señala "yo no entiendo nada,..." y en repetidas ocasiones señala la edad de 83 años y solicita que "hablen con mis hijos" y a pesar de estos elementos causa alta en los sistemas de EON, se acredita el elemento subjetivo de la culpabilidad y pone de manifiesto que ni siquiera la función de verificación de la contratación es analizada por EON antes de causar alta en el producto o servicio, pues con la simple audición se deduce claramente la ausencia de consentimiento informado" . El razonamiento que se utiliza en la resolución sancionadora, para apartarse de la propuesta de resolución respecto a la cuantía de la multa, por el tratamiento de datos personales consistente en el alta de un producto de EON, es el siguiente: "Para la comisión de la infracción del art. 6 LOPD relativa a la utilización de los datos personales de la afectada para causar alta en el fichero de EON como cliente de un producto, vistas las circunstancias agravantes concurrentes, procede imponer la sanción en la cuantía de 50.000 €" . En relación con la motivación de los actos administrativos el Tribunal Supremo ha declarado, como en la Sentencia de 4 de abril de 2012 (RJ 2012, 5175) , que "el deber de la Administración de motivar sus actos, como señala el Tribunal Supremo, entre otras, en la Sentencia de 19 de noviembre de 2001 (RJ 2001, 9791) , tiene su engarce constitucional en el principio de legalidad proclamado en el artículo 103 de la Constitución , así como en la efectividad del control jurisdiccional de la actuación de la Administración reconocido en el artículo 106 de la misma Constitución , siendo, en el plano legal, el artículo 54 de la Ley 30/1992, de 26 de noviembre (RCL 1992, 2512, 2775 y RCL 1993, 246) , de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común , el precepto que concreta con amplitud los actos que han de ser motivados, con suscita (sic) referencia a los hechos y fundamentos de derecho. La exigencia de la motivación de los actos administrativos responde, según reiterada doctrina jurisprudencial, de la que es exponente la Sentencia del Tribunal Supremo de 16 de julio de 2001 (RJ 2001, 5868) , a la finalidad de que el interesado pueda conocer C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 con exactitud y precisión el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y control de la actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto dejan al interesado en situación de indefensión. Todo ello sin perjuicio de la lógica discrepancia de quien obtiene una resolución desfavorable a sus intereses, lo que no constituye falta de motivación, porque su derecho no alcanza a la concesión de lo pedido, ya que nadie tiene derecho a que le den la razón, sino a que la decisión que se le brinda ofrezca la explicación necesaria para que el administrado pueda conocer con exactitud y precisión el contenido del acto”. Así las cosas, dicha elevación de la cuantía de la multa en la resolución sancionadora carece de la más mínima motivación, pues se basa en los mismos hechos y circunstancias agravantes apreciadas en la propuesta de resolución, sin explicar la razón por la que eleva la cuantía de la sanción de la infracción que estamos analizando de 40.001 euros a 50.000 euros, por lo que procede dejar sin efecto dicha elevación, y reducir la cuantía a la citada cantidad de 40.001 euros. Con lo expuesto, no se cuestiona la facultad del órgano competente para resolver el procedimiento sancionador para imponer una sanción más grave a la propuesta por el instructor, sino que ha de hacerse de manera motivada.” Teniendo en cuenta la motivación explicita añadida que figura en la resolución, se estima que aparece suficientemente motivada las circunstancia que incide en la elevación de la cuantía que consta en la resolución. Por lo tanto, en el presente recurso de reposición, ORANGE ESPAGNE, S.A.U. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ORANGE ESPAGNE, S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 16/06/2016, en el procedimiento sancionador PS/00020/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE, S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 RLOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es