REPOSICION-PS-00189-2014

1/13 Procedimiento nº.: PS/00189/2014 ASUNTO: Recurso de Reposición Nº RR/00813/2014 Examinado el recurso de reposición interpuesto por la entidad ORANGE ESPAGNE S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento, PS/00189/2014, y en base a los siguientes: HECHOS PRIMERO: Con fecha 23/9/14, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento PS/00189/2014, en virtud de la cual se acordaba sancionar a ORANGE ESPAGNE S.A.U., por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b, de conformidad con lo establecido en el artículo 45.4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 29/9/14, fue dictada previa la tramitación del correspondiente procedimiento, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento PS/00189/2014, quedó constancia de los siguientes: <<<<< 1º Consta denuncia presentada por Dª A.A.A. en el que declara que ORANGE ha asociado al nombre del denunciante una línea de teléfono con cargo a su cuenta bancaria sin haberlo solicitado. La grabación es de otra persona, así como el domicilio de servicio, que no tiene relación con el denunciante. 2º Consta la siguiente documentación aportada junto al escrito de denuncia: * Página de una libreta de ahorros en la que constan cargos de fechas 9/1/2013 y 12/2/2013 por importes de 19,72 € y 55,60 € así como devolución de los mismos en fecha 19/2/2013. * Dos solicitudes de devolución de recibos, ambas de fecha 19/02/2013, por importes de 19,72 € y 55,60 €, constando en ambos como entidad emisora ORANGE FIJO/INTERNET. * Dos consultas de banca electrónica en las que constan los cargos antes mencionados. * Denuncia presentada ante la Policía Nacional en fecha 20/2/2013, en la que manifiesta: <<Que la compareciente se persona en calidad de perjudicada para denunciar que mientras se encontraba en su domicilio, revisando los movimientos asociados a su cuenta bancaria perteneciente a la entidad financiera Banco de Santander, pudo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 comprobar el cargo de dos facturas de dos números un teléfono, resultando ser el ***TEL.1 perteneciente a la compañía Orange y siendo el importe de la primera de diecinueve EUROS con setenta y los céntimos (19,72 EUROS) y fechada el 09-01-2013 y una segunda por importe de cincuenta y cinco EUROS con sesenta céntimos (55,60 EUROS) y fechada el 12-12-2013 ascendiendo el importe en su totalidad a la cuantía de setenta y cinco EUROS con treinta y dos céntimos (75,32 EUROS). Que el motivo del presente escrito versa en manifestar que el informante tan solo es titular del teléfono móvil con número de usuario ***USUARIO.1 perteneciente a la compañía, cuyas domiciliaciones figuran en la base de datos de la entidad financiera Banco de Santander, de cuyos hechos se dan cuenta a continuación. Que tras recabar contactar la compareciente con el teléfono 900***** de atención al cliente de la compañía Orange, manifestó la remisión de las dos facturas referenciadas y su consiguiente cobro, siendo informada desde la compañía que la contratación se realizó el pasado 24-09-2012, siendo su email de contacto .....@yahoo.es, número de contacto ***TEL.2, con domicilio en Madrid sito en (C/.............1). Que la compareciente le reiteró a la empleada de la compañía Orange que nunca había contratado la citada línea telefónica, que los datos que obraban sobre la persona que formalizó el contrato no correspondían con los de la compareciente, por lo que desde la compañía le comunicaron que la citada contratación se realizó telefónicamente y cuyos hechos fueron grabados, dando lugar a la apertura de una incidencia con número de referencia ***REF.1 y ***REF.2… … Que ante esta evidencia, la informante quiere hacer constar que nunca ha autorizado la utilización de sus datos de filiación obrantes en su D.N.I. ni domiciliación bancaria por parte de terceros, y por consiguiente nunca procedió a la contratación de la citada línea telefónica, ni de manera verbal mediante conversación telefónica a través de ningún comercial ni compañía telefónica, ni muchísimo menos mediante la redacción y consiguiente estampa de su firma y rúbrica, en contrato alguno… … Que la informante en ningún momento adquirió ni recibió el citado teléfono, por lo que nunca llegó a disponer de su uso ni efectuar su consiguiente consumo. >> Escrito fechado el 20/2/2013 mediante el que la denunciante informa a ORANGE del alta fraudulenta de la línea ***TEL.1 a su nombre. Aporta copia del reporte del fax de esa misma fecha. * Correo electrónico de fecha 28/2/2013 emitido desde la cuenta ......@orange. es con destino a la cuenta ********@amena.com, y con el asunto “ENVIO ORANGE” en el que se remiten como anexos tres ficheros en formato mp3, apareciendo en el texto del mensaje: <<Tal y como nos ha solicitado, le adjuntamos grabación de su contrato con nosotros. >> * La denunciante aporta CD conteniendo copia de dichos ficheros. Se verifica que la grabación se corresponde a la verificación de la contratación de una tercera persona distinta de la denunciante. * Solicitud de devolución de un recibo de fecha 12/03/2013 del recibo adeudado en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 fecha 12/03/2013 por importe de 41,52 €, figurando como entidad emisora ORANGE FIJO/INTERNET. 3º Se manifiesta por ORANGE que la reclamante tiene aplicada la cancelación de datos en los Sistemas de la entidad, lo que ha dado lugar al bloqueo de los mismos. Actualmente la titularidad del número ***TEL.1 pertenece a otra persona, concretamente se encuentra a nombre de Dª B.B.B.. 4º Consta en los ficheros de ORANGE la siguiente información en relación con la denunciante: * Consta el alta de la línea ***TEL.1 a nombre de A.A.A. con fecha de alta 21/12/2012 y baja el 28/2/2013. * Con fecha 21/12/2012 se activó el servicio de ADSL Máxima Velocidad +TV + Llamadas sobre la línea ***TEL.1 a nombre de la denunciante, el cual fue desactivado en fecha de 28/02/2013. La baja de dicha línea a nombre de la denunciante se llevó a cabo porque supuestamente el alta de este servicio no fue solicitada por su parte. * La venta se formalizó a través de teléfono. Manifiesta ORANGE: <<En lo relativo a la línea ***TEL.1 consta una contratación telefónica de fecha de 10/09/2012 que se aporta como Anexo número 2 (el cambio de titularidad a favor de la Sra. A.A.A., y para el que supuestamente no dio su consentimiento, se produjo en fecha de 21/1 2/2012). >> Sin embargo, escuchada la grabación se comprueba que no se trata del cambio de titularidad a nombre de la denunciante, sino de la misma verificación de la contratación que le fue aportada a la denunciante por correo electrónico, correspondiente a Dª B.B.B.. Durante la grabación se solicitan al contratante los últimos cuatro dígitos de la cuenta bancaria, que no coinciden con los de la cuenta de la denunciante, en la que fueron cargados los recibos de ORANGE. 5º Constan los siguientes contactos mantenidos en relación con la línea ***TEL.3 * Manifiesta la entidad que las comunicaciones y contactos se han producido fundamentalmente con Doña B.B.B., verdadera titular de la línea ***TEL.1, quien se puso en contacto con ORANGE para indicar que se había realizado un cambio de titularidad a nombre de otra persona y sin su consentimiento, de una línea que la pertenecía a ella, habiéndose introducido en el sistema las siguientes notas: Nota 1: <<“Cliente por error se le ha hecho cambio de titular sin haberlo pedido ... se le indica enviar fax con DNI de la titular. doy FAX, y un Gesto Comercial porque el cliente dice que si no se soluciona va a ir a poner reclamación en la OCU”. >> Nota 2: <<La línea que se indica en el fax enviado por B.B.B., está asociada a otra persona con otro DNI. Indicad al cliente que nos mande más documentación acreditando que la línea le pertenece. No se realiza cambio de titular. >> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Nota 3: <<“CLIENTE RECLAMA QUE DATOS DE TITULAR NO SON CORRECTOS, SE ANEXAN LOS CORRECTOS B.B.B. DNI ***DNI.1 … EL CLIENTE YA HABÍA ENVIADO FAX EL DIA 05/02/2013 HORA 20:37 CON LA Información CORRECTA PERO ESTE NO HA SIDO RECIBIDO” >> Indica la entidad que, que pese a que se ha intentado localizar el fax remitido por la denunciante, ya no se encuentra disponible en sus archivos, por lo que únicamente se ha podido aportar la notificación que se encuentra registrada sobre el mismo.>>>>> TERCERO: ORANGE ESPAGNE S.A.U. (en los sucesivo el recurrente) ha presentado en fecha 27/10/14 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en: * Se reitera en las alegaciones ya presentadas. * Que no existe una conducta antijurídica pues lo acontecido es exclusivamente un error en la dinámica de gestión y contratación de la empresa. Que además fue corregido tan pronto como se detectó y en todo caso meses antes de incoarse el procedimiento sancionador. * En cuanto al cambio de titularidad de la línea ***TEL.1 la denunciante informó a ORANGE de dicho error mediante escrito de fecha 20/2/13 y el 28 del mismo mes se dio de baja a la línea y anuló las dos facturas emitidas * Inexistencia de culpabilidad * Subsidiariamente correcta aplicación del art. 45.5. Infracción del principio de proporcionalidad. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por ORANGE ESPAGNE S.A.U., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del (II al VII) ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 <<<<< II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/04279/2013, se determinó que, salvo prueba en contrario, la entidad denunciada hizo tratamiento de los datos personales de la persona denunciante sin su consentimiento tratándola en sus ficheros como titular de una línea que presuntamente no había contratado, al negar el denunciante la titularidad de la misma y no haberse aportado copia del contrato inequívoco, reclamándole unas facturas, si bien fueron posteriormente anuladas, son relativas a un servicio de telefonía que no había contratado. Generándose unas facturas por el uso de dicha línea que fueron devueltas. En el escrito de alegaciones al Acuerdo de Inicio por parte de la entidad denunciada se realizaron las siguientes alegaciones, en síntesis: - Que en al acuerdo de inicio introduce cierto tipo de expresiones que prenotan o inducen la decisión que tomará el Director de la Agencia para resolver el presente procedimiento. Predeterminando el fallo. - Existencia de prejudicialidad penal - Que tras la reclamación de la denunciante la reacción de ORANGE fue inmediata, el 28/2/13 dio de baja la línea a nombre de la denunciante, anuló las facturas y canceló sus datos. Todo lo cual lo hizo varios meses antes de que la interesada formulase denuncia ante la Agencia. - Con carácter subsidiario, aplicación art. 45.5 III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.

1. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
2. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos de la denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV El artículo 126 de la RLOPD (Reglamento de desarrollo de la Ley Orgánica de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 Protección de Datos) establece: “Artículo 126. Resultado de las actuaciones previas. 1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo”. En cuanto al valor probatorio de las actuaciones previas debe tenerse en cuenta que toda la documentación o elemento de conocimiento obtenido en esta fase, explicitados en el informe de actuaciones previas con que concluye dicha fase, se incorporan al expediente quedando sometidos a las reglas generales de prueba previstas en la Ley de Régimen Jurídico de las Administraciones Públicas y el Reglamento del Procedimiento Sancionador, No puede considerarse que exista en el acuerdo de Inicio una predeterminación del fallo del procedimiento sancionador, pues en el mismo sólo se motiva la decisión que lleva a abrir el procedimiento sancionador en relación a unos hechos que tienen un carácter indiciario, y que deben ser probados en el procedimiento sancionador. V En relación a la cuestión planteada en relación con la posible prejudicialidad penal de los hechos imputados en el procedimiento debe señalarse lo siguiente: El artículo 133 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “No podrán sancionarse los hechos que hayan sido sancionador penal o administrativamente, en los casos en los que se aprecia identidad de sujeto, hecho y fundamento”. Por su parte el artículo 7 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, establece lo siguiente: “Artículo 7. Vinculaciones con el orden jurisdiccional penal. 1. En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones practicadas respecto de la comunicación. En estos supuestos, así como cuando los órganos competentes tengan conocimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas. 2. Recibida la comunicación, y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial. 3. En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que substancien”. Debe tenerse en cuenta que a pesar la existencia de procedimiento penal seguido por los mismos hechos denunciados ante Agencia, en todo caso el bien jurídico protegido no puede afirmarse que sea el mismo por cuanto esta Agencia tramita un procedimiento sancionador por una posible vulneración del principio del consentimiento en el tratamiento de datos por parte de la entidad denunciada (art. 6 de la LOPD), y la denuncia presentada carece de esta calificación jurídica de los hechos. Por lo que, en función de lo expuesto, tampoco puede aceptarse la petición de suspensión solicitada por la operadora, al no existir las identidades exigidas en la normativa transcrita para que se pueda acordar dicha suspensión. VI Se imputa a ORANGE la comisión de la infracción del art. 44.3.
3. b)de la LOPD que establece como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo “. Asimismo, el art. 6 de la LOPD establece en su apartado primero que “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3
4. h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”: El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado la Audiencia Nacional, sala de lo contencioso administrativo, y, entre otras, en Sentencia de 28/02/2007 -recurso n°.236/2005-, el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la AN de 8/11/2012 -recurso n°. 789/2010-). En este caso, y en relación a la línea ***TEL.1 que figuró en los ficheros de ORANGE asociada a la denunciante no consta que el tratamiento de los datos de carácter personal de la misma se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
5. b)de la LOPD. Se manifiesta que con fecha 21/12/02 se activó el servicio de ADSL más llamadas a nombre de la denunciante cuando no era la titular de dicha línea ni por tanto había solicitado dicho servicio. El artículo 5.3 de la Ley 7/1998, de 13/04, sobre condiciones generales de contratación, establece que “… será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma”. El desarrollo reglamentario de esta norma se encuentra en el Real Decreto 1906/1999, de 17/12, que regula la contratación telefónica o electrónica con condiciones generales. Este Real Decreto impone al predisponente la obligación de facilitar al adherente previamente a la celebración del contrato información sobre las cláusulas de éste y de sus condiciones generales, así como la obligación de confirmar documentalmente la contratación efectuada por vía telefónica, electrónica o telemática mediante la remisión al adherente de la justificación por escrito de la contratación efectuada donde deberán constar todos los términos de la misma. El artículo 5 del citado Real Decreto respecto a la atribución de la carga de la prueba dispone: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y al momento de sus respectivos envíos, corresponde al predisponente. 2. A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aun cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable...”. Abundando en este sentido, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir, debía acreditar el consentimiento de los afectados para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido.” En este caso, existe constancia de que ORANGE trató automatizadamente los datos relativos a la denunciante, por lo que a la operadora acreditar que dicho tratamiento se realizó con consentimiento de la denunciante, cuestión que no ha probado. Por lo tanto, ORANGE, al tratar los citados datos de los denunciantes sin contar con su consentimiento, ha vulnerado el artículo 6 de la LOPD VI El artículo 44.3.
6. b)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Orange, a través de sus empleados o agentes, ha realizado un contrato, sin controlar ni realizar un trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar. En definitiva, es necesario que, una vez identificada la persona sin lugar a dudas –y documentada la identificación-, y tras la información pertinente ha prestado su consentimiento al contrato del servicio y, en consecuencia, al tratamiento de sus datos personales. En el caso que nos ocupa han tratado los datos de la persona denunciante sin contar con su consentimiento lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
7. b)de la citada Ley Orgánica. VII El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
8. a)El carácter continuado de la infracción.
9. b)El volumen de los tratamientos efectuados.
10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 de carácter personal.
11. d)El volumen de negocio o actividad del infractor.
12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
13. f)El grado de intencionalidad.
14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
23. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Se manifiesta por parte de ORANGE que existen determinadas circunstancias que minoran la antijuricidad o culpabilidad y que son las siguientes: - El perjuicio ocasionado a la denunciante ha sido inexistente por que la denunciante no ha abonado las facturas que fueron posteriormente anuladas y porque sus datos no han sido incorporados a los ficheros de morosidad, - Una vez que hubo conocido los hechos la operadora procedió con carácter inmediato a cancelar las facturas. Dichas circunstancias deben tenerse en cuenta a la hora de modular la responsabilidad de la entidad denunciada; hay que tener en cuenta que la línea estuvo asociada a la denunciante durante el periodo 21/12/12 a 28/2/13, siendo la verdadera titular de la línea la que se puso en contacto con ORANGE para indicar que se había producido un cambio de titular a nombre de otra persona. Por todo ello, procede imponer, por la infracción imputada, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener las infracciones imputadas la consideración de graves, pero aplicarse la escala relativa a las infracciones leves por aplicación del artículo 45.5 de la LOPD. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, respecto de las infracciones del artículo 6.1, teniendo en cuenta que tras la reclamación presentada ORANGE evitó todo tratamiento de datos, no emitiendo nuevas facturas y regularizando la situación en breve plazo, procede imponer una multa de 20.000 € por la infracción cometida. >>>>> III Frente a lo alegado en el presente recurso de reposición, que se plantea que no existe una conducta antijurídica sino un error subsanado de forma inmediata, debe manifestarse que la asociación de los datos personales del denunciante con una línea de telefonía, que no ha contratado, es lo que hace recaer sobre la denunciada la responsabilidad por los hechos enjuiciados y motivada por una falta de digilencia de esta. Por consiguiente la existencia de un error producido en la contratación de la línea con su verdadero titular, que motivó que la línea se asociara a la denunciante, no puede servir de justificante para exonerar su responsabilidad. Cabe señalar, que el Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). En este orden de cosas la Audiencia Nacional en Sentencia de 01/06/2005, declaró que “La materia que nos ocupa afecta a derechos fundamentales, con lo cual han de adoptarse las máximas cautelas para hacer frente a los riesgos que para los derechos de la personalidad puede suponer el acopio y tratamiento de datos por medios informáticos. Por ello la entidad que genera los datos debe poner un especial cuidado en garantizar en todo momento el principio de veracidad del dato y ello pues es la única manera de garantizar los derechos de los ciudadanos afectados por la recopilación y tratamiento de la información “ Por consiguiente no se ha probado que se hubiera adoptado las medidas a las que le obliga la diligencia mínima que deben observarse en el tratamiento de los datos de las personas en relación con los productos que comercializa. Se deduce que en el presente recurso de reposición, ORANGE no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Como se ha argumentado más arriba, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado, arbitrando los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. Por último se han ponderado las circunstancias operantes en el presente procedimiento para determinar el grado de antijuricidad y de culpabilidad presentes en la concreta actuación infractora, tal como se ha motivado en el fundamento IX de la resolución recurrida para la graduación de la sanción en función de lo establecido en el art. 45. 5 y 4 de la LOPD tal como se ha motivado en el fundamento VII de la resolución recurrida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ORANGE ESPAGNE S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 23 de septiembre de 2014, en el procedimiento PS/00189/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE S.A.U.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es