1/7 Procedimiento nº: PS/00333/2016 ASUNTO: Recurso de Reposición Nº RR/00806/2016 Examinado el recurso de reposición interpuesto por la entidad ORANGE ESPAGNE, S.A.U.. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00333/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 24 de octubre de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00333/2016 , en virtud de la cual se imponía a la entidad ORANGE ESPAGNE, S.A.U.., una sanción de 50.000 e€ (cincuenta mil euros), por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 02/11/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00333/2016, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 04/09/2015 se recibe en esta AEPD escrito de la epigrafiada frente a la entidad denunciada-Orange—por medio del cual manifiesta lo siguiente: “Que era cliente de Orange, siendo titular de la línea B.B.B. en la modalidad de prepago. Que manifesté mi disconformidad con Orange porque yo no había solicitado la modificación de las condiciones de la línea contratada en la modalidad de prepago, no había consentido el cambio de la modalidad de prepago a postpago y no había facilitado a Orange mis datos bancarios (…)” (folio nº 1). Segundo. La entidad denunciada en fecha 21/12/2015 alega lo siguiente “No ha sido posible localizar el contrato en el sistema de gestión documental de esta mercantil, motivo por el cual ha sido solicitado copia del mismo al Punto de Venta en el cual se formalizó la migración del contrato modalidad Pospago (…)” (folio nº 23). Tercero. Por la entidad denunciada-Orange- se ha procedido a reconocer expresamente en escrito de alegaciones de fecha 05/08/2016 la culpabilidad en su actuación al “no disponer en sus archivos el contrato suscrito por la denunciante” (folio nº 60 del expediente administrativo). Cuarto. Por la entidad denunciada se ha procedido a la emisión de diversas facturas, manifestando “la cliente se encuentra al corriente de pago tal y como puede verificarse a continuación (…)”-folio nº 22--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Quinto. Consta acreditada la existencia de una reclamación de la afectada en los sistemas de información de la denunciada de fecha 17/04/15 (folio nº 23). “En fecha 17/04/15 consta la interacción ******, en la que se indica que se ha recibido un fax en la que la cliente solicita el envío del contrato y añade que si no se le envía no paga las facturas. Se adjunta la documentación recibida como Documento anexo nº 3”. TERCERO: ORANGE ESPAGNE, S.A.U.. (en lo sucesivo el recurrente), ha presentado en fecha 25/11/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en alegaciones ya formuladas con anterioridad y además la inaplicación del artículo 45.5d) incumpliéndose la doctrina de la AEPD y AN en esta materia; el cambio de criterio y la aplicación discrecional del citado artículo. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II y III ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II En el presente caso, se procede a examinar la denuncia con fecha de entrada en esta AEPD—04/09/2015—en dónde la epigrafiada comunica los siguientes hechos: “Que era cliente de Orange, siendo titular de la línea B.B.B. en la modalidad de prepago. Que manifesté mi disconformidad con Orange porque yo no había solicitado la modificación de las condiciones de la línea contratada en la modalidad de prepago, no había consentido el cambio de la modalidad de prepago a postpago y no había facilitado a Orange mis datos bancarios (…)” (folio nº 1). Los hechos por tanto se concretan en la utilización por parte de la compañía denunciada de los datos de la afectada para una modificación contractual “sin el consentimiento informado” de la misma. Los hechos expuestos podrían suponer infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 La entidad denunciada—ORANGE—en contestación de fecha 21/12/2015 alega lo siguiente: “No ha sido posible localizar el contrato en el sistema de gestión documental de esta mercantil, motivo por el cual ha sido solicitado copia del mismo al Punto de Venta en el cual se formalizó la migración del contrato modalidad Pospago (…)”. El art.3.
- h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El artículo 44.3
- b)LOPD regula como infracción grave en la materia “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). El Tribunal Supremo ha mantenido (vgr. Sentencia de 20 septiembre de 2006 (Rec. 626/2004)) que la concurrencia del consentimiento inequívoco del afectado que exige el artículo 6.1 de la LOPD para el tratamiento de datos de carácter personal por parte de un tercero, se ha de acreditar, en el caso de que dicho interesado alegue que no dio ese consentimiento, por ese sujeto que realiza el tratamiento, y ello a través de los medios previstos legalmente a tal fin; por lo que corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la ley, sólo el consentimiento justifica o legitima el tratamiento. La contratación de tal servicio telefónico pone de manifiesto un proceder por parte de Orange desprovisto de la diligencia que le era exigible, pues no ha aportado el contrato suscrito por la denunciante que justificara la contratación de los servicios del operador, ni otra documentación que pusiera de manifiesto que adoptó las cautelas exigibles para comprobar la existencia de la contratación que atribuía a la denunciante. De manera que la entidad denunciada no puede acreditar fehacientemente que cuente con el consentimiento de la afectada para autorizar la modificación del contrato (modalidad prepago a pospago) incurriendo, por ello, en la infracción tipificada en el art. 44.3.
- b)de la LOPD. Por tanto, cabe apreciar la existencia de la infracción que estamos analizando, habiendo prueba suficiente de cargo para destruir la presunción de inocencia. III El artículo 8 apartado 1º del RD 1398/1993, 4 de agosto establece que: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 La entidad denunciada-Orange—en su escrito de alegaciones de fecha 05/08/2016 procede a reconocer voluntariamente su responsabilidad “al no haber podido localizar el contrato de la denunciante en sus sistemas”, solicitando que la cuantía de la sanción se establezca en la escala relativa a las infracciones leves: 900€ hasta 40.000€. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. En todo caso, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. En concreto a la hora de motivar la sanción pecuniaria a imponer se tiene en cuenta de conformidad con lo establecido en el art. 45.4 LOPD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (45.4 c LOPD). Orange es una de las principales operadoras de telefonía europea y uno de los líderes mundiales de los servicios de telecomunicaciones para las empresas, acostumbrada al tratamiento de datos de millones de clientes, lo que le impone un mayor deber de diligencia en su tratamiento. -El volumen de negocio o actividad del infractor. Orange según datos consultados arrojó a modo de ejemplo en el año 2014 una facturación superior a los 3.000 mil millones de euros. (art. 45.4 d LOPD). -El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. (art. 45.4 f LOPD). -La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas (45. 4
- h)LOPD), como se acredita con el hecho de tener que presentar reclamación ante esta Agencia Española de Protección de Datos. -La imputada ha sido objeto de expedientes sancionadores por infracciones similares. (45.4.g). Ejemplo: PS/00074/2016. A este respecto, la SAN (Audiencia Nacional 28/04/2015 nº recurso 9/2014) establece que: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido”. El principio de proporcionalidad de las sanciones comporta, según reiterada jurisprudencia del Tribunal Supremo, véase STS de 12 de abril de 2012 (Rec. 5149/2009 ) , entre otras, que debe existir una debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, como dispone el número 3 del artículo 131 de la citada LRJPA. De acuerdo con lo expuesto, queda acreditada la infracción del contenido del art. 6 LOPD por parte de la entidad denunciada (Orange) la cual no puede acreditar la contratación efectuada por la denunciante, procediéndose a imponer a la compañía de telefonía citada una sanción cifrada en la cuantía de 50.000€. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 III El recurrente en su escrito de recurso ha alegado la inaplicación del artículo 45.5
- d)de la LOPD incumpliendo de esta forma no solo la doctrina de la propia Agencia y de la Audiencia Nacional en esta materia, sino también un cambio de criterio y la discrecionalidad en la aplicación del citado artículo. El artículo 8.1 del REPEPOS establece que: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”. Hay que señalar que no encontramos ante una norma procedimental que permite, atendiendo al literal de la misma, dictar resolución del procedimiento sancionador sin necesidad de continuar la tramitación del mismo; ahora bien, tal posibilidad no es una obligación sino una facultad y, además, supeditada en todo caso a que se haya reconocido la responsabilidad por la entidad denunciada, en este caso, el recurrente. El TSJ de Castilla-La Mancha en la sentencia de 23 de marzo de 2016 (procedimiento 267/2014) señala que "(...) la finalización del procedimiento no es obligatoria para la Administración, siendo una mera posibilidad que el Reglamento ofrece a la misma". En ese mismo sentido, se pronuncia la Audiencia Nacional, en sentencia de 15 de abril de 2013 (recurso 21/2013). No obstante, el reconocimiento de la responsabilidad en ninguna caso puede producir el efecto de reducir, rebajar o modular el importe de la sanción ya que el mismo se halla supeditado a lo que establece el artículo 45.5.
- d)de la LOPD que señala “
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad”. Por tanto, el reconocimiento de la responsabilidad estaría sujeto a un requisito de tiempo temporal como es el de la formalización de ese reconocimiento en tiempo oportuno que permita atribuirle la condición de espontáneo. El reconocimiento de la responsabilidad a efectos del artículo 45.5
- d)ha de ser espontáneo, como bien se encarga de señalar la Audiencia Nacional en su SAN de 10/05/2016 (Rec. 913/2015): “Por último, aunque deba valorarse positivamente que la compañía demandante haya reconocido en vía administrativa su culpabilidad por los hechos denunciados, constitutivos de la infracción por cuya autoría ha sido sancionada, debemos precisar que el hecho de que este reconocimiento de responsabilidad tuviera lugar en el escrito de alegaciones presentado ante la propuesta de resolución del instructor, como admiten las partes, y no con anterioridad impide su calificación como la circunstancia prevista en el artículo 45.5.d), pues carece de la espontaneidad necesaria para ello.” La “espontaneidad” que ha de caracterizar al reconocimiento de la culpabilidad que integra el artículo 45.5.
- d)de la LOPD está vinculada con el momento en el que el infractor hace esa declaración de voluntad, de forma que el reconocimiento se produzca nada más tener noticia de los hechos presuntamente infractores. El recurrente alega que reconoció voluntariamente su responsabilidad no ya en su escrito de alegaciones al Acuerdo de Inicio, sino incluso en el marco del expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 de actuaciones previas E/06992/2015, en escrito de diciembre de 2015. Sin embargo, de la documentación aportada al expediente y analizada nuevamente hay que señalar que aunque la entidad denunciada conocía los hechos con anterioridad al inicio del procedimiento sancionador, su autoría no fue reconocida hasta después de la apertura del procedimiento, lo que impide que podamos hablar de “espontaneidad” y paralelamente la aplicación de la atenuante privilegiada prevista en el artículo 45.5.
- d)de la LOPD. En escrito de fecha 21/12/2015 el recurrente indicaba al requerimiento de información de los servicios de inspección de este centro directivo y en respuesta a FACUA ante la reclamación interpuesta por el denunciante que “Se comprueba que no consta contrato en sistemas, pero la línea tiene consumo, por lo que se responde al organismo indicando que la facturación es correcta y aportando las facturas reclamadas”. Para concluir, no pueden ser admitidas las alegaciones del recurrente tanto del incumplimiento de la doctrina de la AEPD, como del cambio de criterio, ni de la aplicación discrecional del artículo 45.5.
- d)de la LOPD. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ORANGE ESPAGNE, S.A.U.. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 24 de octubre de 2016, en el procedimiento sancionador PS/00333/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad S.A.U.. ORANGE ESPAGNE, De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es