REPOSICION-PS-00136-2015

1/7 Procedimiento nº.: PS/00136/2015 ASUNTO: Recurso de Reposición Nº RR/00787/2015 Examinado el recurso de reposición interpuesto por la entidad ORANGE ESPAGNE S.A.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00136/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 14/8/15, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00136/2015 , en virtud de la cual se imponía a la entidad ORANGE ESPAGNE S.A.U., una sanción de 30.000 €, por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c, de conformidad con lo establecido en el artículo 44.5 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 24/8/15, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00136/2015, quedó constancia de los siguientes: procedimiento sancionador, <<<< 1º Consta denuncia presentada por Dª A.A.A. en el que declara que a pesar de existir una resolución de la Secretaría de Estado de las Telecomunicaciones que determina que no mantiene ninguna deuda con Orange, esta entidad le ha reclamado el pago de la deuda. La afectada aporta copia de un documento enviado por Orange en el que en fecha 07 de noviembre de 2013 le confirman que han revisado la facturación de la línea ***TEL.1 anulando la deuda de 90,57 € y quedando al corriente de pago. También aporta copia de un requerimiento de pago de 90,57 € emitido por I.S.G.F. Informes Comerciales en nombre de Orange y fecha 6 de febrero de 2014 2º Constan manifestaciones de Orange en el sentido que la Sra. A.A.A. era titular de la línea ***TEL.1, cuyas facturas de julio, agosto y septiembre de 2013 resultaron impagadas ascendiendo el importe a 90,75€. 3º Que En relación con dicha deuda, fue recibida Reclamación Oficial interpuesta por la denunciante ante la SETSI en la que solicitaba (

1. i)la anulación de la facturación asociada a la citada línea emitida tras el cambio de operador, que según su alegato, se había producido el 03/06/2013, (
2. ii)la exclusión de sus datos de los ficheros de solvencia patrimonial y (iii) la cancelación de sus datos de los ficheros de Orange. Para poder dar respuesta a este Reclamación, se llevó a cabo un estudio del caso, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 concluyendo lo siguiente. En mayo de 2013 la titular de la línea solicitó realizar la portabilidad de la misma con destino a otro operador, por lo que se inició los trámites necesarios para atender la petición de la cliente, el cual no pudo ser completado con éxito, por lo que se siguieron generando facturas vinculadas a la línea (julio, agosto y septiembre de 2013). 4º Que al recibir la reclamación procedente de la SETSI se procedió a ordenar la anulación de las facturas generadas y a dar de baja efectiva a la línea en fecha 08/11/2013, tal y como se manifestó en la contestación enviada al organismo. Sin embargo, la instrucción de anulación de la deuda no fue cursada correctamente por el agente encargado de ello, por lo que en la creencia de que la deuda reclamada era procedente Orange llevó a cabo un intento de recuperación de lo adeudado a través de la Agencia Externa ISGF. 5º Que Los ajustes necesarios para cancelar la deuda se realizaron finalmente en fecha 22/07/2014. >>>>> TERCERO: ORANGE ESPAGNE S.A.U. ha presentado en fecha 24/9/15 de septiembre de 2015, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en * Ausencia de responsabilidad, se trata de un excusable imputable en todo caso a un tercero * No ha mediado falta de diligencia por Orange. Que la mera negligencia no es suficiente para imponer una sanción al responsable del fichero ni se ha producido la infracción legal denunciada. * Incorrecta graduación de la sanción. Sin haberse valorado la posible concurrencia de la atenuante contenida en el art. 45.5.b FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por ORANGE ESPAGNE S.A.U., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del (II al V) ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<<<< II La vigente LOPD atribuye la condición de responsables de las infracciones a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
3. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
4. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. III Se imputa en el presente procedimiento a la entidad ORANGE una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. El principio de veracidad o exactitud, consagrado en este apartado impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Tratando de esta manera de garantizar y proteger la calidad de la información sometida a tratamiento, por la que debe velar quien recoge y trata datos de carácter personal. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala: <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. Consta en este caso que la Sra. A.A.A. fue titular de la línea ***TEL.1, que en mayo de 2013 solicitó la portabilidad a otro operador. Se manifiesta por Orange que debido a un error dicha portabilidad no fue completada generándose facturación relativa a los meses de julio, agosto y septiembre. Al resultar dichos importes impagados los datos de la denunciante fueron objeto de un requerimiento previo por la entidad externa ISGN, con fecha 6/2/14 (sin que llegaran a ser incluidos en los ficheros de morosidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Se manifiesta por Orange que tras recibir la reclamación de la denunciante, a través de la SETSI, se procedió a la anulación de la facturación, pero sin embargo dicha anulación de la deuda no fue cursada correctamente lo que provocó el intento de recuperación de lo adeudado a través de ISGF. En consecuencia procede apreciar la existencia de una vulneración del principio de calidad de datos, imputable a Orange, que trató los datos de la denunciada reclamándola unos importes adeudados por un error de propia entidad, que habiendo anulado la facturación la continuó reclamando Se deduce por consiguiente una falta de diligencia en la actuación de Orange en relación a la normativa de protección de datos. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, ORANGE incumplió el mandato legal de que los datos respondan con exactitud a la situación real del denunciante, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD, Tales hechos constituyen una vulneración de lo dispuesto en el artículo 4.3 Y 4 de la LOPD de la que ha de responder la entidad denunciada conforme a las circunstancias expresadas. IV La vulneración de lo dispuesto en el artículo 4 de la LOPD aparece tipificada en el artículo 44.3.
5. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 “Son infracciones graves:
6. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
7. c)de la LOPD por parte de ORANGE, que trató datos inexactos del denunciante, pese a que por la misma se había presentado reclamación a través de la SETSI, que si bien fue atendida en un primer momento por la entidad denunciada, anulando las facturas, no se cursó dicha anulación por los que dichos importes supuestamente adeudados fueron de nuevo reclamados, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. Dicho principio exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados. Por tanto, la conducta de ORANGE vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de datos inexactos del denunciante, lo que encuentra su tipificación en el artículo 44.3.
8. c)de la LOPD. V El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos>>. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. Se solicita por la Orange, subsidiariamente la aplicación del art. 45.5 de la LOPD graduando la cuantía de la sanción en atención a las circunstancias concurrentes, Pues bien atendiendo a las mismas cabe valorar las siguientes: * Que se trata de un error puntual y que por parte de la entidad se actuó regularizando la situación, toda vez que recibida la reclamación de la denunciante, a través de la SETSI, formulada con fecha 3/4/14, procediéndose a anular las facturas reclamadas remitiendo a la Sra. A.A.A. factura rectificativa con fecha 22/7/14. Evitando todo tratamiento posterior de sus datos. En consecuencia en atención a dichas circunstancias se debe estimar la existencia de una cualificada disminución de la culpabilidad que permite la aplicación del art. 45.5.a); por consiguiente, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, el carácter continuado de la infracción, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal y el volumen de negocio de la misma, procede imponer una multa de 30.000 € por la infracción cometida. >>>>> III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Por lo tanto, en el presente recurso de reposición, ORANGE ESPAGNE S.A.U. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Teniendo en cuenta que en la resolución recurrida, se ha motivado suficientemente la fijación de la sanción impuesta, en aplicación, principalmente, del principio de proporcionalidad, especificando los criterios empleados para la graduación de la misma. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ORANGE ESPAGNE S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 14 de agosto de 2015, en el procedimiento sancionador PS/00136/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es