1/4 Procedimiento nº.: PS/00199/2013 ASUNTO: Recurso de Reposición Nº RR/00908/2013 Examinado el recurso de reposición interpuesto por la entidad FRANCE TELECOM ESPAÑA S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00199/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 11/10/2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00199/2013 , en virtud de la cual se imponía a la entidad FRANCE TELECOM ESPAÑA S.A., una sanción de 15.000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.b) de dicha norma, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 15/10/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00199/2013, quedó constancia de los siguientes: procedimiento sancionador, 1) El denunciante reconoce que desde 4/03/2010 no ha tenido relación con FT, y con posterioridad no ha autorizado ninguna operación, solicitando servicio alguno, ni mantenido relación alguna con la misma. Denuncia que FT accedió a sus datos en modo consulta según se desprende de la impresión que EXPERIAN el 3/04/2012 le hizo llegar como respuesta a su derecho de acceso. En la respuesta al acceso, figuran las tres entidades que tienen informados a dicho fichero los datos del denunciante, la cantidad y desde cuando, con el añadido de las que en los últimos seis meses han consultado sus datos, figurando entre otras ORANGE, la marca de France Telecom (1 a 4, 13,28, 36, 44 a 48). 2) El denunciante y la denunciada según reconocen, tuvieron de alta las líneas postpago, ***TEL.1, de baja por portabilidad con fecha 30/06/2009, y que generó una última factura de 124,25 €, € que el denunciante y la denunciada reconocen que se abonó en marzo 2010 (13,52, 53), aportando el denunciante copia de la transferencia bancaria e impresión de sus sistemas la denunciada (6, 13, 15 a 17,52, 53). También dispuso de la línea prepago ***TEL.2, de baja con fecha 02/01/2011, que no generó facturas. 3) En el fichero BADEXCUG, según certifica su responsable, figuraron los datos del denunciante informados por FT por 124,25 euros desde 27/09/2009 a 14/03/2010 (34,35, 28), así como la copia del derecho de acceso que se le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 dio al denunciante fechado el 3/04/2010 (47-48). 4) La denunciada no ha aportado justificación acreditativa que habilite la consulta de los datos del denunciante en el fichero BADEXCUG producida en los 6 meses anteriores a 3/04/2012, ni mantener relación alguna tras la baja de las líneas que tuvo. En la consulta de los datos del denunciante de FT producida en los seis meses anteriores a 3/04/2012, sin determinarse la fecha concreta, siendo como más remota la de 3/10/2011, FT pudo informarse y conocer que los datos del denunciante estaban incluidos como deudor de tres entidades, cuantías y fechas de alta, (47 y 49) sin contar con habilitación o autorización del afectado.” TERCERO: FRANCE TELECOM ESPAÑA S.A. ha presentado en fecha 15/11/2013 en el Servicio de Correos el recurso, que ha tenido registro en la Agencia el
- Manifiesta en el mismo: 1) Reitera que la única prueba de cargo es la manifestación del responsable del fichero BADEXCUG, su declaración testifical. Se le asigna valor de prueba plena que no debe tener. Todo lo más que se desprende es que France Telecom recibió la información sobre el denunciante pero en ningún caso que ella haya sido quien la solicitó. El citado registro podría ser incorrecto o un error de EQUIFAX que podría evitar que el sancionador fuera contra ella por mantener datos inexactos, los de una consulta que no se produjo, o revelar datos del denunciante sin consentimiento. Así, se infringe el principio de presunción de inocencia. 2) Reitera que se provoca indefensión a FT pues si la consulta de datos se produce entre 3/10/2011 y 3/04/2012 y el acuerdo de inicio se notifica el 24/04/2013, por el tiempo transcurrido, FT por el tiempo transcurrido, no estaba en condiciones de probar la existencia de un contrato o precontrato con el denunciante. Reitera que, en caso de no llegar a celebrarse el contrato, se tiene la obligación de cancelar los datos, 4.5 LOPD y 36.2 del Reglamento de la LOPD mediante el borrado físico de los mismos, 16.3 LOPD, lo cual FT hace en el plazo de 30 días. En tal momento y fecha, no se estaba en condiciones de probar la existencia del consentimiento. El hecho de haber conservado el consentimiento informado de la consulta al fichero se habría cometido una infracción con el mantenimiento de los datos que deben ser cancelados por ser innecesarios. 3) Reitera, esta vez para que se aplique dentro del 45.4 el grado mínimo, que se debería rebajar la sanción por el escaso grado de antijuridicidad y culpabilidad en la concreta conducta, ya que no se obtuvieron beneficios, y no se ha ocasionado ningún perjuicio FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Con respecto a la alegación 1), cabe indicar que no se trata de una manifestación o una declaración testifical, sino que aparece la consulta llevada a cabo en documento, que se recoge en los sistemas de la responsable del fichero de solvencia, y que permite identificar a de entre las entidades afiliadas, cual efectúa la consulta, de la que queda constancia. Ello se refleja en un documento sobre el que la denunciada niega eficacia alguna pero sin aportar contraprueba que lo contradiga. Este extremo ya figuraba en el fundamento de derecho III. III Con respecto a la alegación 2), se considera que la consulta constituye un tratamiento que conforme a la regla general se ha de acreditar y con la obligación especifica que impone el artículo 42.2 del RLOPD. Este argumento alegado, ya se mencionaba en el fundamento de derecho II. Cabe añadir que la consulta de los datos del denunciante, que precisa por no ser cliente, de una información escrita ofrecida por la denunciada a la persona de cuyos datos se van a consultar, no es una recogida de datos como la que implicaría la incorporación a los propios ficheros por ser cliente, y por tanto no se precisaría informar de los elementos del artículo 5 de la LOPD. Pero si que se requiere una información precisa para que el afectado conozca que sus datos se van a consultar, donde se van a consultar y la finalidad de la misma, con el fin de evitar la discrecionalidad. Conviene precisar que si el afectado no es cliente, las consultas al sistema del fichero per se, no quedan habilitadas pues el propio reglamento de funcionamiento del fichero mismo prohíbe las consultas de personas no clientes o respecto a los que no quede constancia de que pretender contratar. Por ello el RLOPD impone la necesidad de acreditar dicho acceso. Dado que la participación en este fichero se basa en el principio de reciprocidad, consistente en beneficiarse de los datos ajenos aportando los propios, esos datos ajenos que se pueden consultar, precisan del consentimiento del afectado a dicha consulta cuando no es cliente, y se busca, antes de contratar, averiguar su solvencia patrimonial y crédito. IV Con respecto a la alegación 3), indicar que a la hora de aplicar la graduación de la sanción, dentro del 45.5 ya contemplado, se tuvo en cuenta la profesionalidad en el tratamiento de datos de la entidad, su importante posición en el ranking de operadores de telecomunicaciones, y su volumen de negocio. Teniendo en cuenta que la infracción grave parte de 40.001 €, se considera adecuada la sanción de 15.000 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 V En relación con las manifestaciones efectuadas por FRANCE TELECOM ESPAÑA S.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho reseñados. Por lo tanto, en el presente recurso de reposición, no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por FRANCE TELECOM ESPAÑA S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 11 de octubre de 2013, en el procedimiento sancionador PS/00199/
- SEGUNDO: NOTIFICAR la presente resolución a la entidad FRANCE TELECOM ESPAÑA S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es