1/7 Procedimiento nº.: PS/00063/2016 ASUNTO: Recurso de Reposición Nº RR/00468/2016 Examinado el recurso de reposición interpuesto por la entidad ORANGE ESPAGNE S.A.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00063/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 27 de junio de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos (AEPD) en el procedimiento sancionador, PS/00063/2016, en virtud de la cual se imponía a la entidad ORANGE ESPAGNE S.A.U. (en adelante ORANGE), por una infracción del artículo 4.3 de la LOPD, en relación con el 29.4 de la misma, tipificada como grave en el artículo 44.3.
- c)de la LOPD, una multa de 32.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. Dicha resolución, que fue notificada a ORANGE en fecha 30 de junio de 2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00063/2016, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: En fecha 19/09/2014 tuvo entrada en la SETSI reclamación de la denunciante contra ORANGE por emitir facturación de la línea A.A.A. posterior a la fecha en que solicitó la baja del servicio contratado. En fecha 10/10/2014 ORANGE informó a la SETSI que no les constaba ninguna solicitud de baja de la denunciante efectuada en junio de 2013 y que la baja se tramitó en fecha 02/08/2014 con motivo de una reclamación de ésta, y que por tanto la denunciante mantenía una deuda pendiente por importe de 87,64 € correspondiente a las cuotas de la línea desde 16/03/2014 a 15/07/2014. En fecha 02/03/2015 la SETSI dictó resolución desestimando la reclamación de la denunciante por cuanto ésta no había acreditado haber efectuado la comunicación previa al operador (ORANGE) de su voluntad de extinción del contrato de la línea A.A.A.. SEGUNDO: Los datos de la denunciante fueron incluidos por ORANGE en el fichero asnef en fecha 09/01/2015 (fecha de visualización 25/01/2015) por un importe de 87,64 €, siendo dados de baja en fecha 27/02/2015 tras la solicitud de cancelación formulada por la denunciante.” TERCERO: ORANGE ha presentado en fecha 7 de julio de 2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las siguientes cuestiones: 1ª. La propuesta de resolución del procedimiento contenía una propuesta de sanción por importe de 26.000 euros en aplicación del artículo 45.5
- d)de la LOPD, resultando no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 obstante lo anterior que la resolución se impone una sanción de 32.000 euros en aplicación del citado artículo 45.5 d). En base al principio de congruencia, se impide que en los procedimientos sancionadores, la resolución pueda agravar la situación inicial del interesado. Debería haberse devuelto el procedimiento al Instructor para que formulara nueva propuesta de resolución, debiendo dar nuevo traslado al interesado, así lo dispone el artículo 20.3 del Reglamento de procedimiento para ejercicio de potestad sancionadora aprobado por Real Decreto 1398/1993, de 4/08 (RPPOS). 2) Se ha incurrido en nulidad, habiéndose infringido el principio de congruencia y legalidad, causando indefensión al imponer una sanción sin posibilidad de alegar. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común (en lo sucesivo LPAC). II El Reglamento de procedimiento para ejercicio de potestad sancionadora aprobado por Real Decreto 1398/1993, de 4 agosto, vigente en la fecha de la resolución objeto del presente recurso, establece: “1. Antes de dictar resolución, el órgano competente para resolver podrá decidir, mediante acuerdo motivado, la realización de las actuaciones complementarias indispensables para resolver el procedimiento. El acuerdo de realización de actuaciones complementarias se notificará a los interesados, concediéndoseles un plazo de siete días para formular las alegaciones que tengan por pertinentes. Las actuaciones complementarias deberán practicarse en un plazo no superior a quince días. El plazo para resolver el procedimiento quedará suspendido hasta la terminación de las actuaciones complementarias. No tendrán la consideración de actuaciones complementarias los informes que preceden inmediatamente a la resolución final del procedimiento. 2. El órgano competente dictará resolución que será motivada y decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del procedimiento. La resolución se formalizará por cualquier medio que acredite la voluntad del órgano competente para adoptarla. La resolución se adoptará en el plazo de diez días, desde la recepción de la propuesta de resolución y los documentos, alegaciones e informaciones obrantes en el procedimiento, salvo lo dispuesto en los puntos 1 y 3 de este artículo. 3. En la resolución no se podrán aceptar hechos distintos de los determinados en la fase de instrucción del procedimiento, salvo los que resulten, en su caso, de la aplicación de lo previsto en el número 1 de este artículo, con independencia de su diferente valoración jurídica. No obstante, cuando el órgano competente para resolver C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 considere que la infracción reviste mayor gravedad que la determinada en la propuesta de resolución, se notificará al inculpado para que aporte cuantas alegaciones estime convenientes, concediéndosele un plazo de quince días. 4. Las resoluciones de los procedimientos sancionadores, además de contener los elementos previstos en el artículo 89.3 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, incluirán la valoración de las pruebas practicadas, y especialmente de aquellas que constituyan los fundamentos básicos de la decisión fijarán los hechos y, en su caso, la persona o personas responsables, la infracción o infracciones cometidas y la sanción o sanciones que se imponen, o bien la declaración de no existencia de infracción o responsabilidad.” III Se han de examinar si existe alguna discordancia entre la propuesta de resolución que eleva el Instructor del procedimiento al órgano competente para dictar resolución, en este caso, la Directora de la AEPD, y la resolución recaída en el procedimiento, para seguidamente valorar si se ha producido un agravamiento de la situación del infractor y si esta es susceptible de producir la nulidad de la resolución u otro efecto distinto. En el acuerdo de inicio, firmado en fecha 12/02/2016, se informaba a ORANGE acerca de la posibilidad de reconocer su responsabilidad a los efectos previstos en el artículo 8 del Real Decreto 1398/1993, para pasar a establecer la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que precede inmediatamente en gravedad a aquella en que se integra la considerada, alegando la denunciada dicho extremo. En la propuesta, se aplicó la citada reducción del 45.5
- d)de la LOPD. Además, se tuvo en cuenta para la graduación de la sanción conforme a los criterios del 45.4) de la LOPD que la denunciada es una entidad de relevancia en el manejo habitual de datos que es parte esencial de su actividad y como tal se presupone que conoce la normativa aplicable y como profesional ha de conocer y aplicarla correctamente, añadiéndose que la inclusión en el fichero de solvencia asnef no debió producirse pues tres meses antes de hacerla efectiva, la recurrente ya era conocedora de la existencia de una reclamación de la denunciante ante la SETSI que cuestionaba la certeza de la de la deuda, no obstante lo cual mantuvo su inclusión durante casi dos meses y los datos fueron cancelados por una solicitud formulada por la denunciante ante el fichero asnef un acto expreso y voluntario en el que se han de examinar si se cumplían los requisitos para ello. Asimismo se tomó en consideración el volumen de negocio de la recurrente. En la resolución, una vez considerado que se aplicaba el artículo 45.5 de la LOPD, se indicaba: “Por otra parte debe tomarse en consideración a los efectos de graduación de la sanción propuesta la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). En lo que se refiere al volumen de negocio hay que hacer constar que es un hecho notorio, que excluye la necesidad de aportar elemento probatorio alguno. (45.4.d). Asimismo debe recordarse que el hecho que los datos de la denunciante fueron indebidamente incluidos en el fichero de solvencia asnef desde fecha 09/01/2015 hasta fecha 27/02/2015, cuando en fecha 10/10/2014, esto es, 3 meses antes, ORANGE ya era conocedora de la existencia de una reclamación ante la SETSI que, al cuestionar la certeza de la deuda, debió impedir que la operadora incluyera los datos en el citado fichero de solvencia y los mantuviera por espacio de casi dos meses, hasta que fueron cancelados tras solicitud de la denunciante formulada ante el fichero ASNEF (45.4.
- a)También es notorio que la existencia de una procedimiento implantado para la baja cautelar en ficheros de solvencia de datos personales en caso de reclamaciones administrativas, o arbitrales cabe ser cuestionada en este caso, y el perjuicio que para el afectado supone la inclusión en tales ficheros ha sido expuesta en párrafos anteriores, teniendo en cuenta que la misma no debió producirse hasta el momento en que la resolución arbitral determinó la existencia de deuda, y en ningún caso con carácter previo a dicha resolución.(45.4.i). En lo que respecta a la falta de perjuicios causados al denunciante (apartado h), y en relación con la importancia de la inclusión y mantenimiento de los datos personales en ficheros de morosidad, el tema ha sido tratado en numerosas sentencias por parte de la Audiencia Nacional. Así, reiterar la doctrina que en la sentencia dictada el 16 de febrero de 2002 (recurso 1144/1999), por todas, se recoge: “... la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...”. Y hay que recordar la presentación de escritos de reclamación, denuncias, y todas las gestiones a que se ven obligados las personas denunciantes. (45.4.h). En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, el carácter continuado de la infracción (apartado a), la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal (apartado c), el volumen de negocio de la misma (apartado d), la falta de procedimientos efectivos implantados que eviten en el futuro hechos como los imputados (apartado i), así como los perjuicios causados al denunciante dada su inclusión indebida en el fichero ASNEF por espacio superior a mes y medio (apartado h), procede imponer una multa de 32.000 € por la infracción cometida.” La referencia en la propuesta a que la denunciada es una entidad de relevancia en el manejo habitual de datos, a los perjuicios causados al denunciante por su inclusión indebida en el fichero ASNEF, el carácter continuado de la infracción por mantenerse tal inclusión por espacio de casi dos meses, son criterios para graduar la sanción que se ponen nuevamente de manifiesto en la resolución en la cual además se añade como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 circunstancia que motiva el aumento de la sanción a imponer que “También es notorio que la existencia de una procedimiento implantado para la baja cautelar en ficheros de solvencia de datos personales en caso de reclamaciones administrativas, o arbitrales cabe ser cuestionada en este caso, y el perjuicio que para el afectado supone la inclusión en tales ficheros ha sido expuesta en párrafos anteriores, teniendo en cuenta que la misma no debió producirse hasta el momento en que la resolución arbitral determinó la existencia de deuda, y en ningún caso con carácter previo a dicha resolución.(45.4.i)”, Conviene recordar, en un supuesto similar al presente, la reciente sentencia de la Audiencia Nacional, Sala de lo contencioso administrativo, sección1, de 12/03/2016, recurso 312/2016 que en su fundamento de derecho TERCERO, indica: “En segundo lugar, el otro motivo de impugnación invocado por la sociedad recurrente en relación con el procedimiento sancionador, consiste en determinar si en los expedientes administrativos sancionadores la Administración puede, sin dar audiencia al expedientado, imponer finalmente mayor sanción que la anunciada en la propuesta de resolución, que sirve a la función de informar debidamente de la acusación, a fin de que quien se ve sometido al expediente sancionador pueda defenderse. En el caso que nos ocupa, en relación con la infracción del art. 6.1 de la LOPD referente al tratamiento de los datos personales de la perjudicada al dar de alta un producto de la parte actora, se elevó en la resolución sancionadora la cuantía de la sanción a 50.000 euros de los 40.001 euros fijada en la propuesta de resolución. Tanto la propuesta de resolución como la resolución sancionadora, se basan en las mismas circunstancias para la determinación de la cuantía de la sanción: "Finalmente, en cuanto al tratamiento de datos personales consistente en el alta de un producto de EON, resulta de especial gravedad, que a pesar de la literalidad de la locución obrante en el folio 185, de la que se infiere que la potencial cliente en modo alguno está tomando conocimiento del producto ofrecido ni lo que supondrá su aceptación en cuanto al tratamiento de datos personales, pues en el minuto 5.51 seg, señala "yo no entiendo nada,..." y en repetidas ocasiones señala la edad de 83 años y solicita que "hablen con mis hijos" y a pesar de estos elementos causa alta en los sistemas de EON, se acredita el elemento subjetivo de la culpabilidad y pone de manifiesto que ni siquiera la función de verificación de la contratación es analizada por EON antes de causar alta en el producto o servicio, pues con la simple audición se deduce claramente la ausencia de consentimiento informado" . El razonamiento que se utiliza en la resolución sancionadora, para apartarse de la propuesta de resolución respecto a la cuantía de la multa, por el tratamiento de datos personales consistente en el alta de un producto de EON, es el siguiente: "Para la comisión de la infracción del art. 6 LOPD relativa a la utilización de los datos personales de la afectada para causar alta en el fichero de EON como cliente de un producto, vistas las circunstancias agravantes concurrentes, procede imponer la sanción en la cuantía de 50.000 €" . En relación con la motivación de los actos administrativos el Tribunal Supremo ha declarado, como en la Sentencia de 4 de abril de 2012 (RJ 2012, 5175) , que "el deber de la Administración de motivar sus actos, como señala el Tribunal Supremo, entre otras, en la Sentencia de 19 de noviembre de 2001 (RJ 2001, 9791) , tiene su engarce constitucional en el principio de legalidad proclamado en el artículo 103 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Constitución , así como en la efectividad del control jurisdiccional de la actuación de la Administración reconocido en el artículo 106 de la misma Constitución , siendo, en el plano legal, el artículo 54 de la Ley 30/1992, de 26 de noviembre (RCL 1992, 2512, 2775 y RCL 1993, 246) , de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común , el precepto que concreta con amplitud los actos que han de ser motivados, con suscita (sic) referencia a los hechos y fundamentos de derecho. La exigencia de la motivación de los actos administrativos responde, según reiterada doctrina jurisprudencial, de la que es exponente la Sentencia del Tribunal Supremo de 16 de julio de 2001 (RJ 2001, 5868) , a la finalidad de que el interesado pueda conocer con exactitud y precisión el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y control de la actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto dejan al interesado en situación de indefensión. Todo ello sin perjuicio de la lógica discrepancia de quien obtiene una resolución desfavorable a sus intereses, lo que no constituye falta de motivación, porque su derecho no alcanza a la concesión de lo pedido, ya que nadie tiene derecho a que le den la razón, sino a que la decisión que se le brinda ofrezca la explicación necesaria para que el administrado pueda conocer con exactitud y precisión el contenido del acto”. Así las cosas, dicha elevación de la cuantía de la multa en la resolución sancionadora carece de la más mínima motivación, pues se basa en los mismos hechos y circunstancias agravantes apreciadas en la propuesta de resolución, sin explicar la razón por la que eleva la cuantía de la sanción de la infracci ón que estamos analizando de 40.001 euros a 50.000 euros, por lo que procede dejar sin efecto dicha elevación, y reducir la cuantía a la citada cantidad de 40.001 euros. Con lo expuesto, no se cuestiona la facultad del órgano competente para resolver el procedimiento sancionador para imponer una sanción más grave a la propuesta por el instructor, sino que ha de hacerse de manera motivada.” En atención a lo señalado por la Audiencia Nacional, la imposición en la resolución ahora recurrida de una sanción más grave (32.000 €) a la propuesta por el instructor (26.000 €) está plenamente motivada por cuanto la misma se justifica en el criterio de graduación de las sanciones contenido en el artículo 45.4.i), adicionado a los criterios contenidos en la propuesta de resolución y que justifican el aumento de la sanción impuesta por cuanto la entidad no acreditó, pese a ser alegado por ésta, la existencia de un procedimiento implantado para la baja cautelar en ficheros de solvencia de datos personales en caso de reclamaciones administrativas, o arbitrales dado que en el presente caso, de haber existido, no se hubiera producido la inclusión de los datos de la denunciante en el fichero asnef, habida cuenta de la existencia de una reclamación administrativa ante la SETSI. Asimismo, no se considera que exista indefensión pues ha tenido ocasión de conocer las circunstancias relacionadas con la agravación de la responsabilidad que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 desprenden objetivamente de los hechos probados, valorándose de forma motivada en la resolución. Hay que añadir que la cuantía elevada se encuentra dentro de los márgenes del tercio medio de la escala aplicable resultando proporcional y respetando el principio de defensa así como el de congruencia del procedimiento. Teniendo en cuenta la motivación explicita añadida que figura en la resolución, se estima que aparece suficientemente motivada las circunstancia que incide en la elevación de la cuantía que consta en la resolución. III Por lo tanto, en el presente recurso de reposición, ORANGE no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ORANGE ESPAGNE S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de junio de 2016, en el procedimiento sancionador PS/00063/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es