← España

REPOSICION-PS-00405-2016

1/23 Procedimiento nº.: PS/00405/2016 ASUNTO: Recurso de Reposición Nº RR/00358/2017 Examinado el recurso de reposición interpuesto por la entidad ORANGE ESPAGNE, S.A.U., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00405/2016, y en consideración a los siguientes HECHOS PRIMERO: Con fecha 29 de marzo de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00405/2016 en virtud de la cual se imponían a ORANGE ESPAGNE, S.A.U., dos sanciones de 50.000€ cada una por vulneración de lo dispuesto en los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracciones tipificadas como graves en los artículos 44.3.

  1. b)y 44.3.c), respectivamente, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada a ORANGE ESPAGNE, S.A.U., en fecha 29 de marzo de 2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD). SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00405/2016, se dejó constancia de los siguientes en la resolución impugnada: <<HECHOS PROBADOS PRIMERO: D. ***NOMBRE.1, con DNI F.F.F. y domicilio en ***LOCALIDAD.1 (Madrid) denuncia que ORANGE, con quien nunca ha tenido relación contractual, ha vinculado su DNI a la deuda de un tercero y le ha incluido en los ficheros de solvencia patrimonial ASNEF y BADEXCUG (folios 1, 5 y 6) SEGUNDO: ORANGE ha reconocido que el número de móvil E.E.E. se encuentra en sus sistemas asociado a los siguientes datos: DNI F.F.F.; titular ***NOMBRE.2; domicilio ***DIRECCIÓN.1 TERCERO: De las impresiones de pantalla de los ficheros de ORANGE resulta que la línea E.E.E. se dio de alta el 25/06/2012 y de baja por impago el 27/12/2012. Que se emitieron por el consumo generado tres facturas (por importes de 42,35 €, 74,58€, y 3,01€) y todas fueron devueltas (folios 107 a 109) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 CUARTO: ORANGE ha manifestado que la línea E.E.E., asociada a los datos del denunciante, se contrató por internet. Aporta un documento (obrante al folio 124) que designa como “copia del contrato con validación electrónica”. El documento es un ejemplar del contrato con los datos impresos. Del tenor del documento resulta que el contratante adquirió a precio promocional un Samsung Galaxy SIII. QUINTO: Durante las Actuaciones de investigación previa se interrogó a ORANGE sobre el procedimiento que tenía implementado para validar la identidad del contratante en las contrataciones electrónicas en la época en la que se dio de alta la línea controvertida, E.E.E.. ORANGE respondió remitiéndose al “Procedimiento de activación de la línea y portabilidad (eshop)” que detalla en su escrito (folios 112 y 113). En el protocolo indicado se explica que es posible realizar un alta nueva, migración o una portabilidad a través de la web tiendamovil.org.es (apartado 1). Que, recibido un pedido, los datos suministrados por el cliente se incorporan a su sistema informático, ARPA (punto 2). Que tras el estudio de riesgo, se realiza el envío logístico del pedido al cliente (punto 3). Que la “entrega del pedido sólo se realiza al titular del pedido o persona autorizada, previa presentación del documento original de identidad. El cliente deberá firmar el albarán de entrega del pedido en el momento de la entrega” (punto 7). Que ORANGE “incorpora la copia del contrato asociado al cliente en un sistema de Gestión Documental, junto con el albarán de entrega del bien adquirido”(punto 10). (El subrayado es de la AEPD) SEXTO: Durante las Actuaciones de investigación previa se requirió a ORANGE para que aportase la documentación que acreditara, tratándose de una contratación electrónica, el consentimiento prestado a la contratación y la validación de la identidad del contratante. ORANGE no aportó ningún documento. Se limitó a citar de nuevo el “Procedimiento de activación de la línea y portabilidad (eshop)” y a indicar que “se han habilitado medidas de carácter adicional con el fin de garantizar la identidad del titular” (Folio 113) SÉPTIMO: De la documentación aportada por ORANGE resulta acreditado que en fecha 28/05/2015 la operadora recibió una reclamación del denunciante, por vía postal, con la que adjuntaba copia de su DNI (folio 110) OCTAVO: De la documentación aportada resulta acreditado que en fecha 06/07/2015 ORANGE conoce, a través de un fax recibido de EQUIFAX IBÉRICA, S.L., que el denunciante ha ejercitado el derecho de cancelación de sus datos en ASNEF y alega una suplantación de identidad en relación con el DNI F.F.F. (Folio 111) Obra en el expediente copia del fax transmitido a ORANGE por EQUIFAX el 03/07/2015 solicitando la confirmación de los datos que obran en ASNEF por posible existencia de una operación fraudulenta. (Folio 122) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 NOVENO: En ASNEF consta que ORANGE informó el DNI del denunciante asociado a una operación impagada, con fecha de alta 19/10/2012 y fecha de baja 07/07/2015. El saldo deudor era a fecha de alta 77,59€ y pasó a 119,94€ en marzo de 2013. El denunciante ejercitó ante la responsable del fichero ASNEF los derechos de acceso y de cancelación, éste último el 02/07/2015 acompañando a su escrito copia de una reclamación presentada ante ORANGE y recibida por la entidad el 19/10/2015. ORANGE procedió a la baja cautelar informando a EQUIFAX IBÉRICA, S.L., “procede baja cautelar de ASNEF mientras se verifica posible fraude. Escalamos actividad a G.F. correspondiente par verif. posible fraude y autorización de ajustes si proceden”. (Folio 97) DÉCIMO: En BADEXCUG consta que ORANGE informó el DNI del denunciante asociado a una operación impagada con fecha de alta 21/10/2012 y fecha de baja 12/01/2016. El importe impagado era a fecha de alta 77,59€ y pasó a 119,94E€ en abril de 2013. El denunciante ejercitó ante la responsable del fichero BADEXCUG los derechos de acceso y de cancelación, éste último el 06/10/2015 acompañando a su escrito copia de una reclamación presentada ante ORANGE. La cancelación fue denegada al haber confirmado ORANGE la incidencia (folios 51 y 52)>> TERCERO: ORANGE ESPAGNE, S.A.U., (en lo sucesivo ORANGE o la recurrente) ha presentado en fecha 12 de abril de 2017 en esta Agencia Española de Protección de Datos recurso de reposición que fundamenta en la nulidad de pleno derecho de la resolución recaída en el PS/405/2016. La recurrente estima que la resolución impugnada es nula, de conformidad con el artículo 47 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) al haberse dictado prescindiendo del procedimiento legalmente establecido. La infracción del procedimiento establecido se materializó a juicio de la recurrente en que la AEPD dictó la resolución del PS/405/2016 “sin tener en consideración las alegaciones realizadas por mi representada a la Propuesta de Resolución, en las que invocaba una serie de resoluciones dictadas por esa Agencia que no habían sido tenidas en cuenta ni alegadas por mi representada anteriormente”. ORANGE ha indicado que la AEPD le notificó la Propuesta de Resolución el día 8 de marzo de 2017 por lo que, a tenor del artículo 19 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, disponía para formular alegaciones hasta el día 27 de marzo de 2017, incluido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 Advierte que ese mismo día -y por tanto dentro del plazo de 15 días hábiles concedido- presentó, mediante Correo Administrativo, sus alegaciones a la propuesta. Acredita tal extremo con la copia del primer folio del escrito de alegaciones en el que aparece estampado un sello de Correos y Telégrafos con la fecha “27.03.2017” y con un documento, sellado también por Correos, con el código de la carta certificada (***CÓDIGO.1) mediante la que envió a la AEPD en fecha 27/03/2017 sus alegaciones a la propuesta de resolución. La recurrente invoca, además del artículo 47 de la Ley 39/2015, las siguientes disposiciones jurídicas: a. El artículo 16.4.
  2. b)de la Ley 39/2015, a tenor del cual los documentos que los interesados dirijan a los órganos de las Administraciones Públicas podrán presentarse en las oficinas de Correos en la forma que reglamentariamente se establezca. b. El Real Decreto 1829/1999 por el que se aprueba el Reglamento que regula la prestación de los servicios postales en desarrollo de lo establecido en la Ley 24/1998, de 13 de julio, del Servicio Postal Universal y de Liberalización de los Servicios Postales, en particular el artículo 31, que lleva por rúbrica “Admisión de solicitudes, escritos y comunicaciones que los ciudadanos o entidades dirijan a los órganos de las Administraciones Públicas”, que describe el protocolo a seguir en el denominado Correo Administrativo. El precepto citado establece: “Los envíos aceptados por el operador al que se encomienda la prestación del servicio postal universal, siguiendo las formalidades previstas en este artículo, se considerarán debidamente presentados, a los efectos previstos en el artículo 38 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común y su normativa de desarrollo” (El subrayado es de la AEPD) FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II La resolución que ORANGE impugna mediante el presente recurso de reposición, RR/358/2017, se dictó apoyándose en los Fundamentos Jurídicos que se reproducen seguidamente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 <<II La LOPD en su artículo 6 se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y dispone bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Los preceptos de la LOPD antes transcritos deben integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
  3. h)de la Ley Orgánica: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  4. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. III Se atribuye a ORANGE la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, materializadas en haber tratado los datos personales del denunciante (DNI, nombre y primer apellido, pues respecto al segundo apellido la coincidencia con el del denunciante es sólo parcial) asociados a un contrato de telefonía móvil, E.E.E., sin su consentimiento y en la posterior inclusión en ficheros de morosidad de sus datos personales vinculados a la deuda derivada del contrato al que el denunciante es ajeno, por lo que frente a él la deuda que se le atribuye no es cierta, ni vencida ni exigible. Por lo que concierne a la infracción del artículo 6.1 de la LOPD se hacen las siguientes consideraciones A. A tenor del artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD). Esto, porque el consentimiento para el tratamiento de los datos está implícito en el consentimiento otorgado a la contratación, pero únicamente si quien facilita los datos personales con ocasión de ella es efectivamente su titular y en la medida en que el referido tratamiento sea preciso para la ejecución del contrato. La LOPD prevé que sea el titular de los datos quien otorgue el consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
  5. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. Ha quedado acreditado en el expediente que los datos personales del denunciante han sido tratados por ORANGE vinculados a la línea de telefonía E.E.E., en particular el DNI, nombre y primer apellido. Respecto al segundo apellido, entre el del denunciante (“ ***NOMBRE.1”) y el del titular de la línea (“***NOMBRE.2) hay una coincidencia parcial. Tampoco son coincidentes los domicilios, mientras el tercero contratante declaró tener el domicilio en ***LOCALIDAD.2 el domicilio del denunciante (según su DNI y el escrito de denuncia) está ubicado en ***LOCALIDAD.1 B. Con la finalidad de que ORANGE pudiera demostrar que recabó y obtuvo del afectado el consentimiento para el tratamiento de sus datos personales asociados a la contratación de la línea móvil, o bien que con ocasión de la contratación había C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 adoptado las medidas que la diligencia exige para asegurarse de que la persona que otorga el consentimiento es efectivamente el titular de los datos, se le requirió por la Inspección de Datos de la AEPD para que aportara algún documento que acreditara esos extremos. ORANGE no aportó ningún documento probatorio. Sí manifestó que la contratación se hizo a través de internet y preguntada sobre el protocolo implementado para validar la identidad del contratante en las contrataciones electrónicas se remitió al “Procedimiento de activación de la línea y portabilidad (eshop)”, descrito en los folios 112 y 113, del que se reproducen algunos fragmentos en el hecho probado quinto. De acuerdo con ese protocolo, al que reiteradamente alude la denunciada en sus respuestas al requerimiento informativo de la AEPD, la “entrega del pedido sólo se realiza al titular del pedido o persona autorizada” y, añade, previa presentación del documento original de identidad”. De manera que según el procedimiento que ORANGE afirma tener implementado con el propósito de validar la identidad de los contratantes en los casos de contratación electrónica –como lo es, según su propia declaración, la que ha dado origen a la presente denuncia- el cliente debía firmar el alabarán de entrega del pedido en el momento de la entrega (punto 7 del protocolo) y la copia del contrato, junto con el albarán de entrega del bien adquirido debía incorporarse a un Sistema de Gestión Documental (punto 10 del protocolo de la operadora) Como se ha indicado ORANGE únicamente ha facilitado la copia de un documento en el que constan impresos los datos personales del supuesto titular de la línea móvil pero no ha aportado al procedimiento el albarán de entrega del bien adquirido -en el presente asunto un terminal Samsung Galaxy SIII (folio 124)- ni menos aún firmado por el adquirente. En definitiva, a la luz de la documentación que ORANGE ha facilitado a la AEPD se evidencia que la entidad no adoptó con ocasión de la contratación de la línea E.E.E. la diligencia mínima exigible para asegurarse de la identidad de la persona que contrataba y de que ésta era la auténtica titular de los datos personales que facilitaba como suyos. Recordemos que incumbe a ORANGE la carga de acreditar que ha recabado el consentimiento inequívoco del titular de los datos objeto de tratamiento o, al menos, que ha adoptado las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD, artículo 6.1. A ese respecto es muy esclarecedora la SAN de 31/05/2006, Recurso 539/2004, que en su Fundamento de Derecho Cuarto dice: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 la AEPD). Así pues, la conducta de ORANGE, materializada en el tratamiento de los datos personales del denunciante – DNI, nombre y un apellido- vinculados a una línea de telefonía que él niega haber contratado, vulnera el artículo 6.1 de la LOPD. El artículo 44.3.
  6. b)de la citada norma tipifica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV Por lo que respecta a la vulneración del artículo 4.3, en relación con el 29.4 de la LOPD y el artículo 38.1.a, del RLOPD, señalar que, de conformidad con lo dispuesto en el Fundamento de Derecho II de esta Resolución, una de las condiciones a las que el Reglamento de la LOPD supedita la legalidad de la inclusión de los datos personales de un tercero en un fichero de solvencia patrimonial es que la deuda informada sea “cierta, vencida y exigible”. Conviene recordar, además, que es el acreedor que informa los datos al fichero el responsable de comprobar que cumple los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. En tal sentido han de traerse a colación las disposiciones de los artículos 39 y 43.1 del RLOPD que establecen, respectivamente: “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  7. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Constituye un hecho probado que ORANGE trató los datos personales del denunciante (su nombre, un apellido y DNI) asociados a una línea móvil que él no contrató. El impago de las deudas generadas por ese servicio determinó que la operadora le imputara una deuda que, respecto a él, no era cierta, ni vencida ni exigible, de forma que no cumplía el requisito del artículo 38.1.
  8. a)del RLOPD, condición necesaria para que la comunicación de datos personales a un fichero de solvencia sea ajustada a Derecho. ORANGE comunicó a los ficheros de solvencia patrimonial ASNEF y BADEXCUG una incidencia asociada a sus datos personales con fechas de alta 19/10/2012 y 21/10/2012, respectivamente. Los datos del denunciante se mantuvieron en los ficheros de morosidad hasta el 07/07/2015 y 12/01/2016, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 respectivamente. Así pues, ORANGE, como responsable del fichero en el que constaban los datos personales del denunciante y como entidad informante de esos datos a los ficheros ASNEF y BADEXCUG, debió haber verificado si cumplía las condiciones previstas en el artículo 38.1 del RLOPD para comunicar datos adversos a un fichero de esa naturaleza. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
  9. c)de la citada norma, que dispone: “Son infracciones graves, (..)
  10. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo V El artículo 130.1 de la LRJPAC proclama el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia. La Audiencia Nacional en Sentencia de 17/10/ 2007 (Rec. 63/2006), expone que “..el ilícito administrativo previsto en el artículo 44.3.
  11. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. Así, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Trasladando las consideraciones precedentes al supuesto que analizamos, el elemento subjetivo de la culpabilidad se concreta en la grave falta de diligencia demostrada por ORANGE en dos ocasiones: Falta de diligencia al contratar la línea controvertida y en un momento posterior, cuando incluyó los datos personales del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 afectado en los ficheros de solvencia patrimonial y crédito sin verificar si se cumplían o no todos los requisitos exigidos por el artículo 38.1 RLOPD. Por lo que respecta a la contratación de la línea telefónica, según la información ofrecida por ORANGE en la época en la que acontecieron los hechos tenía implementado un protocolo para la contratación on line que preveía, a efectos de logar la identificación del contratante, que la entrega del terminal adquirido se hiciera exclusivamente al titular del contrato, previa acreditación documental de su identidad y previa firma del albarán de entrega que debía anexarse al documento de la contratación on line. Como se ha explicado, ORANGE no siguió su propio protocolo. Además, el artículo 43.1 del RLOPD refuerza la diligencia que es exigible a quien informa datos personales de terceros a un fichero de solvencia pues establece que “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común.” Se suma a lo expuesto que existen otras circunstancias que evidencian una mayor culpabilidad de ORANGE. En tal sentido, resulta acreditado que desde el 28/05/2015 la entidad tuvo noticia, por la reclamación que recibió del denunciante con la que adjuntaba una copia de su DNI, de la existencia de una posible contratación fraudulenta. Poco después, el 06/07/2015, recibió el fax de EQUIFAX IBÉRICA, S.L. , dándole traslado de la petición de cancelación del denunciante por entender que se había producido una suplantación de identidad. Si bien ORANGE, respecto a la inclusión en el fichero ASNEF, decidió dar de baja cautelar los datos del denunciante mientras investigaba la incidencia no ocurrió lo mismo respecto a la inclusión del afectado en el fichero de solvencia BADEXCUG. DE modo que solicitada la cancelación por el denunciante ante EXPERIAN, responsable del fichero de solvencia BADEXCUG, ORANGE confirmó la incidencia. Este hecho determinó que en BADEXCUG continuaran incluido el DNI del denunciante asociado a una deuda que no era cierta ni vencida ni exigible hasta el 12/01/2016, e impide que pueda calificarse como diligente la reacción desplegada por ORANGE ante la existencia de indicios razonables de vulneración de la LOPD. VI El artículo 45 de la LOPD establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor.
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario que concurra bien una cualificada disminución de la culpabilidad el imputado, bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. ORANGE ha solicitado la aplicación de las atenuantes privilegiadas de los artículos 45.5
  27. b)–reacción diligente- y
  28. d)–reconocimiento espontáneo de culpabilidad. A propósito de la primera circunstancia invocada (artículo 45.5.b, LOPD) los argumentos que ORANGE esgrime –que excluyó los datos del denunciante del fichero de solvencia el 12/01/2016, anuló la deuda existente en sus sistemas y bloqueó los datos del denunciante de los ficheros de la entidad- no pueden servir de fundamento para apreciar la concurrencia de esa atenuante cualificada. Esto, porque como se detalla en el fundamento precedente ORANGE mantuvo los datos del denunciante en el fichero de solvencia BADEXCUG hasta el 12/01/2016 pese a que varios meses antes, en mayo de 2015, había recibido su reclamación, con la que adjuntaba copia de su DNI, de modo que había tenido la oportunidad de comprobar que no coincidían los apellidos ni el domicilio. Además, en julio de 2015 ORANGE recibió un fax de EQUIFAX dándole traslado de la petición de cancelación del denunciante. A diferencia de la decisión adoptada en relación a la incidencia informada al fichero ASNEF, cuando el denunciante solicita la cancelación ante EXPERIAN ORANGE confirma la incidencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 Sobre la circunstancia del artículo 45.5.d), de la LOPD (reconocimiento espontaneo de la culpabilidad), su aplicación al presente caso no se considera procedente. ORANGE afirma que en el trámite de actuaciones de investigación previa hizo un reconocimiento de responsabilidad pero, examinado detenidamente ese escrito, no hay en él ninguna indicación de la entidad acerca de tal cuestión. Tampoco sería admisible la aplicación de esta atenuante cualificada apoyándonos para ello en el reconocimiento de culpabilidad efectuado en el escrito de alegaciones al acuerdo de inicio, pues el precepto que se invoca (artículo 45.5.
  29. d)exige que el reconocimiento sea “espontáneo”, lo que significa que ha de producirse con la primera noticia recibida sobre la presunta vulneración de la LOPD. Por lo expuesto, estimamos que en el presente asunto no concurren elementos que justifiquen la aplicación de ninguna de las atenuantes privilegiadas del artículo 45.5 LOPD que ORANGE invoca en su defensa. Así pues, en aplicación del artículo 45.2 LOPD, al tener las infracciones imputadas la consideración de infracciones graves, la sanción a imponer por cada una de ellas estará comprendida entre 40.001 euros y 300.000 euros. Centrándonos en las circunstancias del artículo 45.4 LOPD que permiten graduar el importe de la sanción, recordemos que ORANGE pide que se apliquen como atenuantes los apartados b, h, y j, del precepto. La AEPD estima que operan como agravantes de las conductas enjuiciadas las siguientes circunstancias del artículo 45.4: -“El carácter continuado de la infracción” (apartado a,). Los datos del denunciante fueron incorporados a los ficheros de ORANGE y tratados sin su consentimiento durante varios años, pues el contrato se dio de alta en junio de 2012 y hasta enero de 2016 no se procedió a cancelar la anotación en BADEXCUG y, según las declaraciones de la denunciada, también de sus propios ficheros. Además, los datos personales del denunciante permanecieron incluidos en los ficheros de solvencia ASNEF y BADEXCUG sin cumplir los requisitos exigidos por la legislación vigente durante varios años: en ASNEF casi tres años (alta 19/10/2012 y baja el 07/07/2015) y en BADEXCUG más de tres (alta 21/10/2012 y baja el 12/01/2016). -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) pues la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. - “El volumen de negocio o actividad del infractor” (apartado d,). Si bien es un hecho notorio, que no necesita prueba, el importante volumen de negocio de ORANGE, añadir que en el ejercicio 2016 la cifra de negocio de esta entidad fue de 5.014 millones de euros. - “El grado de intencionalidad” (apartado,
  30. f)expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Estimamos que ORANGE omitió toda la diligencia que resultaba exigible encaminada a acreditar tanto la identidad de la persona que contrató con ella un servicio de telefonía como que esa persona había prestado el consentimiento a dicha contratación y a verificar que obraba en su poder la documentación que confirmaba esos extremos o, al menos, indicios razonables de los que pudiera inferirse que efectivamente el reclamante era su cliente y deudor. Por el contrario, no solo no efectuó ninguna comprobación sino que después de recibir la reclamación del denunciante, con la que aportaba su DNI, mantuvo sus datos en el fichero de solvencia BADEXCUG. - “La reincidencia por comisión de infracciones de la misma naturaleza” (apartado,
  31. g)Finalmente, señalar que no es posible estimar la pretensión de ORANGE de que se aprecie como atenuante (enmarcada en el apartado j, del artículo 45.4 LOPD) la circunstancia de que la infracción cometida fue fruto de la actuación fraudulenta de un tercero. La conducta contraria a la LOPD por la que se sanciona a ORANGE es fruto de la falta de diligencia observada por la propia entidad denunciada en el cumplimiento de las obligaciones que le impone la normativa de protección de datos, hasta tal punto que de haber actuado con la diligencia que está obligada a observar, aun cuando un tercero hubiera actuado fraudulentamente, ninguna responsabilidad podría exigírsele pues la responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. >> III ORANGE ha presentado en esta Agencia Española de Protección de Datos en fecha 12 de abril de 2017, recurso de reposición, fundamentándolo en el artículo 47,
  32. e)de la LPACAP a tenor del cual son nulos de pleno Derecho los actos de las Administraciones Públicas dictados “prescindiendo total y absolutamente del procedimiento legalmente establecido”. A juicio de ORANGE la resolución R/00721/2017, dictada el 29 de marzo de 20017 en el PS/405/2017, es nula de pleno Derecho por cuanto la AEPD no le concedió la posibilidad de plantear y defender en el trámite de audiencia sus argumentos, pese a que presentó sus alegaciones a la propuesta en el plazo otorgado por las normas de procedimiento. A. Con carácter previo es conveniente hacer mención al régimen jurídico al que se somete el procedimiento administrativo sancionador PS/405/2016 abierto a ORANGE, que finalizó con la resolución que es objeto de impugnación en el recurso de reposición que nos ocupa, y a las disposiciones por las que ha de regirse el presente recurso de reposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 El examen de la normativa aplicable es una exigencia impuesta por la circunstancia de que el procedimiento sancionador PS/405/2016 se inició estando vigente la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) y su norma reglamentaria de desarrollo, el Reglamento de Procedimiento para el ejercicio de la potestad sancionadora (REPEPOS), aprobado por el Real Decreto 1398/1993, pero finalizó mediante resolución de fecha 29 de marzo de 2017, cuando había entrado en vigor la LPACAP, lo que aconteció el 2 de octubre de 2016 (Disposición Final séptima). La Disposición Transitoria Tercera de la LPACAP, del régimen transitorio de los procedimientos, establece: “
  33. a)A los procedimientos ya iniciados antes de la entrada en vigor de la Ley no les será de aplicación la misma, rigiéndose por la normativa anterior. b)…..
  34. c)Los actos y resoluciones dictados con posterioridad a la entrada en vigor de esta Ley se regirán, en cuanto al régimen de los recursos, por las disposiciones de la misma.” Así pues, por lo que respecta al procedimiento administrativo sancionador, PS/405/2016, indicar que queda sometido a las normas de la LRJPAC y del REPEPOS y, por lo que ahora interesa, se aplica en cuanto al cómputo de los plazos el artículo 48.1 de la Ley 30/1992, a tenor del cual cuando los plazos se señalen por días se entiende que estos son hábiles, excluyéndose del cómputo los domingos y los declarados festivos, y en cuanto al plazo para hacer alegaciones a la propuesta de resolución se aplica el artículo 19 del Real Decreto 1398/1993 que fija un plazo de quince días hábiles para el trámite de audiencia. A su vez, el régimen jurídico del presente recurso de reposición es el establecido en la LPACAP. B. Centrándonos en el examen del recurso formulado, recordar que el artículo 47.1.
  35. e)de la LPACAP que se invoca por la recurrente dispone que son nulos de pleno derecho los actos de las Administraciones Públicas dictados prescindiendo total y absolutamente del procedimiento legalmente establecido ORANGE manifiesta que la infracción del procedimiento legalmente establecido en la que habría incurrido la AEPD, y que alega como motivo determinante de la nulidad de la resolución sancionadora dictada en el PS/405/2016, consistió en haberle privado de la posibilidad de plantear y defender en el trámite de audiencia sus argumentos. Esto, pese a haber presentado su escrito de alegaciones a la propuesta de resolución dentro del plazo que fija el artículo 19 del REPEPOS (quince días hábiles). Añade que en sus alegaciones “invocaba una serie de resoluciones dictadas por esa Agencia que no habían sido tenidas en cuenta ni alegadas por mi representada anteriormente”. La propuesta de resolución del PS/405/2016 se firmó por la instructora del expediente y se notificó a ORANGE el día 8 de marzo de 2017. La entidad recibió el escrito de propuesta en esa misma fecha, el 8 de marzo de 2017, pues así lo reconoce expresamente en sus alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 El plazo de 15 días hábiles que el artículo 19 del REPEPOS otorgaba a ORANGE para alegar -aplicando las normas sobre cómputo de plazos del artículo 48 de la LRJPAC- finalizaba el día 27 de marzo de 2017. Está acreditado, asimismo, que en esa fecha, 27 de marzo de 2017, último día del plazo, ORANGE presentó las alegaciones a la propuesta de resolución a través de Correo Administrativo y tuvieron entrada en el Registro de la Agencia el 30 de marzo de 2017, un día después de que se hubiera firmado la resolución sancionadora que ahora se recurre. Así lo acredita la primera página del escrito de alegaciones a la citada propuesta en el que la pegatina del Registro de este organismo facilita el “Nº Registro”, “***REG.1”; la “Fecha:30/03/2017 09:02:41” y la “F. Pres: 30/03/2017”. El Reglamento que regula la prestación de los servicios postales, en desarrollo de la Ley 24/1998, del Servicio Postal Universal y de Liberalización de los Servicios Postales, establece en su artículo 31 que se considerarán debidamente presentados, a los efectos previstos en el artículo 38 de la Ley 30/1992, los envíos aceptados por el operador postal al que se encomienda la prestación del servicio postal universal, siguiendo las formalidades de esa disposición. Formalidades que en el presente asunto ninguna duda cabe de que se cumplieron, por lo que tampoco se pone en tela de juicio que ORANGE presentó en plazo su escrito de alegaciones a la propuesta de resolución. Es indiscutible, que en tanto ORANGE hizo uso del Correo Administrativo para presentar sus alegaciones y éstas se presentaron por ese cauce dentro del plazo concedido legalmente para evacuar el trámite de audiencia, actuó con arreglo a las normas que regulan el procedimiento administrativo sancionador, de modo que sus alegaciones han de ser tomadas en consideración. No obstante, señalado lo anterior, se ha de subrayar que la AEPD respetó absolutamente las normas procedimentales, en particular los plazos fijados en la LRJPAC ya que la resolución sancionadora se firmó por la Directora de la Agencia en fecha 29 de marzo de 2017 y el plazo para evacuar el trámite de alegaciones a la propuesta había finalizado dos días antes, el 27 de marzo de 2017. Por tanto, en ningún caso ha existido vulneración del principio de audiencia ni de ningún otro derecho susceptible de amparo constitucional. Tampoco se ha prescindido del procedimiento legalmente establecido. Más al contrario, el procedimiento y los plazos fijados en la Ley 30/1992 y en el R.D. 1398/1993 se han respetado escrupulosamente. La Resolución que se impugna fue dictada por la Directora de la AEPD el día 29 de marzo de 2017, esto es, dos días después de que hubiera finalizado el plazo que marca la Ley para dar audiencia al interesado. De tal manera que, no solo se ha respetado el trámite de audiencia que la recurrente afirma que ha sido incumplido por esta Agencia, sino que los plazos marcados por la Ley se han cumplido con creces. La circunstancia de que la resolución recurrida, pese a haberse dictado después de transcurrido el plazo fijado para evacuar el trámite de audiencia, no hubiera podido valorar las alegaciones a la propuesta de resolución porque aún no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 habían entrado en el Registro de este organismo en la fecha en la que se dictó la resolución no entraña una vulneración del trámite de audiencia, como ORANGE quiere hace valer en su escrito de recurso, por cuanto este hecho es ajeno a la voluntad de la Agencia y está relacionado con la demora que se produce cuando los escritos se presentan por correo administrativo y el último día del plazo concedido. En este sentido resulta muy esclarecedora la SAN de 11 de marzo de 2010 (Rec 806/2008) cuyo Fundamento de Derecho cuarto dice: <<La parte recurrente alega en su demanda la concurrencia de vicios formales que afectan al derecho de defensa y generan indefensión, determinantes de causa de nulidad de pleno derecho, o subsidiariamente, de anulabilidad de la resolución impugnada. Concreta tal vicio en el hecho de que la Administración demandada no tuvo en cuenta las alegaciones formuladas por la recurrente a la propuesta de resolución. La propuesta de resolución fue notificada a la parte recurrente en fecha 09-0708 y, ésta presentó su escrito de alegaciones el último día del plazo para ello, a través de correo administrativo de fecha 28-07-08, con entrada en la Agencia de Protección de Datos en fecha 14 de agosto siguiente. La resolución de la Agencia se dictó en fecha 13 de agosto, y en ella se indicaba que la recurrente no había presentado alegaciones a la propuesta de resolución. En la resolución de 20 de octubre de 2008 que desestima el recurso de reposición interpuesto contra la anterior resolución de 13 de agosto, en su Fundamento de Derecho II, se recoge “y ahora, en el marco del recurso de reposición, se tendrán en consideración las alegaciones que se recibieron transcurrido el plazo”. Es doctrina reiterada del Tribunal Supremo que las infracciones procedimentales solo producen la anulación del acto administrativo en el supuesto de que las mismas generen una disminución efectiva y real de las garantías de forma que puedan alterar la resolución de fondo. En otro caso, no es procedente la anulación del acto administrativo por omisión de un trámite preceptivo cuando, aun de haberse cumplido este trámite, se pueda prever razonablemente que el acto administrativo sería igual al que se pretende anular, o cuando la omisión de un trámite no causa indefensión al interesado, indefensión que no se produce cuando, a pesar de la omisión de aquél, el interesado ha tenido ocasión de alegar y probar a lo largo del procedimiento administrativo o en sede jurisdiccional lo que no pudo alegar o probar al omitirse dicho trámite. (..)>> Y concluye la Sentencia: <<En el presente caso no podemos ignorar el hecho de que en el pliego de cargos se recogían los hechos, la calificación jurídica a los efectos de la individualización de la sanción, por lo que la recurrente pudo aducir ( y adujo) lo que a sus intereses conviniera acerca de los referidos criterios. A mayor abundamiento, tampoco debemos olvidar el hecho de que los argumentos que empleó frente a la propuesta de resolución fueron reiterados, en lo fundamental, en el recurso de reposición y tales alegaciones fueron valoradas en la resolución de 20 de octubre de 2008, sin que quepa apreciar la invocada vulneración del derecho de defensa. En suma, podrá compartirse o no la valoración que la Administración ha realizado de las alegaciones de la recurrente, pero no resulta posible negar la evidencia de su existencia, frente a la que ciertamente el destinatario tuvo adecuada oportunidad de impugnación. (…) no cabe ignorar la dimensión instrumental del citado trámite encaminado a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 hacer posible el correcto ejercicio del derecho de defensa y si éste no se ve impedido o mermado por la omisión denunciada no resulta procedente anudar a la ausencia del trámite la ineficacia del acto que se pretende, como ocurre en el presente caso. Procede, por tanto, desestimar este motivo de impugnación.>> (El subrayado es de la AEPD) En la misma línea puede citarse también la SAN de 22/05/2014 (Rec. 227/2013) que la recurrente conoce bien pues es recurrente en vía contencioso administrativa FRANCE TELECOM ESPAÑA, S.A. El Fundamento de Derecho cuarto dice: << Respecto a la vulneración del trámite de audiencia, se alega que la resolución impugnada ha sido dictada sin tener en cuenta las alegaciones de la recurrente las cuales fueron presentadas por Correos el 23/1/2013, lo que obedece al intento de la AEPD de evitar la caducidad del procedimiento sancionador,… Sin embargo, en el presente caso resulta que la propuesta de resolución concediendo un plazo de 15 días para formular alegaciones se notifica a la operadora el 4 de enero de 2013, transcurrido el citado plazo de 15 días que vencía el 23 de enero se dicta la resolución sancionadora con fecha 25 de enero de 2013, sin que en esa fecha hubieran tenido entrada en la AEPD las alegaciones de France Telecom a la propuesta de resolución al haberse presentado, si bien dentro de plazo (23 de enero), por correo. Con posterioridad, las argumentaciones del escrito de alegaciones, fueron examinadas en la resolución desestimatoria del recurso de reposición interpuesto por la propia operadora. Por tanto, el supuesto de hecho que concurre en el presente caso (…) pues la resolución sancionadora se ha dictado dos días después de haber transcurrido el plazo para evacuar el trámite de audiencia y las alegaciones a la propuesta de resolución, que son en gran medida coincidentes con los demás escritos presentados por la actora, fueron examinadas y valoradas en el recurso de reposición, por lo que ninguna indefensión material cabe apreciar, debiendo citarse en este sentido la STS de 23 de enero de 2012 (Rec. 5962/2008) dictada en un supuesto similar al presente y también en materia de protección de datos.>> (El subrayado es de la AEPD) A la luz de los razonamientos precedentes se desestima la pretensión de la recurrente de que se declare la nulidad de la resolución impugnada al amparo del artículo 47.1.
  36. e)de la LPACAP. IV Procede seguidamente analizar el contenido de las alegaciones a la propuesta de resolución del PS/405/2017 que fueron presentadas por ORANGE, mediante correo administrativo, dentro del plazo otorgado al efecto por el Reglamento aprobado por el Real Decreto 1398/1993 (artículo 19) A. Como se ha señalado anteriormente, las alegaciones a la propuesta se presentaron por ORANGE a través de Correo Administrativo el 27 de marzo de 2017 y no tuvieron entrada en el Registro de este organismo hasta el 30 de marzo de 2017, de modo que habiéndose firmado la resolución el día anterior (29 de marzo) no fue posible que la Agencia valorase y, en su caso, tomara en consideración, esas alegaciones cuando se dictó la resolución del PS/405/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 ORANGE inicia sus alegaciones reconociendo que la propuesta de resolución le fue notificada por la Agencia en fecha 8 de marzo de 2015 y las estructura en tres apartados a través de los cuales invoca las cuestiones siguientes: - 1. Solicita la aplicación del artículo 45.5, apartado
  37. d)de la LOPD por haber reconocido espontáneamente su responsabilidad en los hechos . Manifiesta que en el curso de las actuaciones de investigación previa (E/7365/2015) aportó “el contrato con validación electrónica correspondiente a la línea E.E.E. de fecha 20 de junio de 2012 en el que consta el DNI del denunciante y el nombre y apellidos ***NOMBRE.2 (el nombre completo del denunciante es ***NOMBRE.1). Añade que “no recabó fotocopia del DNI del contratante en el referido proceso de contratación electrónica”, por lo que no pudo ser aportada a la AEPD. Indica que el Departamento del Fraude de la Compañía, una vez que se recibió a través de ASNEF la reclamación del denunciante, de 6 de julio de 2015, en la que reclamaba una supuesta suplantación de identidad, “validó la información disponible en la AEAT que el número de DNI F.F.F. pertenecía a ***NOMBRE.2, por lo que no se atendió la reclamación formulada en ese momento, obviando el apellido final del denunciante, “ ***NOMBRE.1”. Y que una vez que le fue notificado el requerimiento del expediente de investigación previa E/07365/2015, adoptó las siguientes medidas: Con fecha 12 de enero de 2016 excluyó del fichero de solvencia patrimonial los datos personales del denunciante; regularizó todos los importes facturados, para lo cual anuló la deuda que existía en los ficheros de ORANGE asociada al denunciante; catalogó la contratación asociada a los datos del denunciante como fraude y bloqueó en los sistemas de la entidad todos los datos relativos al denunciante. De la exposición precedente concluye ORANGE que existió por su parte un reconocimiento de responsabilidad en los hechos que son el presupuesto fáctico de la infracción de la LOPD por la ha sido sancionada. Para mayor claridad, transcribimos el siguiente párrafo de sus alegaciones a la propuesta de resolución: << De este modo, tras la recepción por parte de mi representada del requerimiento E/07365/2015 (9 meses antes del inicio del presente procedimiento sancionador) ORANGE reconoció a esta Agencia su culpabilidad en la comisión de la infracción y procedió a regularizar la misma, mediante las correcciones oportunas en los sistemas de la entidad y en la facturación emitida>> (El subrayado es de la AEPD) La recurrente insiste en que la Instructora del expediente se ha ajustado al tenor literal del artículo 45.5.
  38. d)LOPD y ha obviado deliberadamente todas las actuaciones que ORANGE realizó después de recibir el requerimiento informativo de la Inspección de Datos tras lo cual afirma que el reconocimiento de responsabilidad que hizo en el trámite de actuaciones previas está fuera de toda duda y que, posteriormente, en el acuerdo de inicio del expediente sancionador, lo reiteró. Sobre este último extremo -el reconocimiento de responsabilidad efectuado en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 el curso de las alegaciones al acuerdo de inicio del procedimiento sancionador y no durante las actuaciones previas- en apoyo de su pretensión de que se aprecie la atenuante cualificada del artículo 45.5.
  39. d)LOPD, menciona las siguientes resoluciones dictadas por la AEPD en las que, según dice, se aceptó su concurrencia pese a que el reconocimiento de culpabilidad se hizo con las alegaciones al acuerdo de inicio del expediente: PS/74/2016, de 20 de julio de 2016; PS/288/2016, de 5 de diciembre de 2016; PS/186/2016, de 21 de noviembre de 2016; PS/262/2016, de 28 de noviembre de 2016. - 2. Discrepa del criterio de la propuesta de resolución que rechaza la aplicación del artículo 45.5.
  40. b)LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”. A juicio de ORANGE esta atenuante cualificada sí sería de aplicación a la infracción del artículo 6.1 LOPD que se le atribuye aunque no lo sea para la infracción del artículo 4.3 LOPD. Muestra su conformidad con la propuesta de resolución respecto a que la atenuante del artículo 45.5.
  41. b)no es aplicable a la infracción del principio de calidad de los datos -ya que ORANGE mantuvo hasta el 12/01/2016 en BADEXCUG la incidencia asociada al denunciante a pesar de que varios meses antes había recibido a través de ASNEF una reclamación del denunciante con la que adjuntaba la copia de su DNI y había tenido la oportunidad de comprobar que no coincidían los apellidos ni el domicilio- pero considera que sí lo es respecto a la infracción del artículo 6.1 LOPD. B. A la vista de las alegaciones formuladas por ORANGE a la propuesta de resolución descritas en el apartado precedente han de hacerse estas consideraciones. Como se ha indicado, las alegaciones incidieron exclusivamente sobre la pretensión de que la AEPD apreciara la concurrencia de alguna de las circunstancias del artículo 45.5 LOPD que invoca, apartados
  42. b)y d). Así pues, reitera la pretensión que hizo valer anteriormente, con la alegaciones al acuerdo de inicio del expediente, si bien ahora cita para fundamentar la aplicación del artículo 45.5.
  43. d)diversas resoluciones dictadas por la AEPD no esgrimidas en ocasiones anteriores. 1. Sobre la pretensión de que se aplique el apartado
  44. b)del artículo 45.5 de la LOPD –“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”- recordemos que la resolución sancionadora que se recurre dijo sobre este particular: <<A propósito de la primera circunstancia invocada (artículo 45.5.b, LOPD) los argumentos que ORANGE esgrime –(…)- no pueden servir de fundamento para apreciar la concurrencia de esa atenuante cualificada. Esto, porque como se detalla en el fundamento precedente ORANGE mantuvo los datos del denunciante en el fichero de solvencia BADEXCUG hasta el 12/01/2016 pese a que varios meses antes, en mayo de 2015, había recibido su reclamación, con la que adjuntaba copia de su DNI, de modo que había tenido la oportunidad de comprobar que no coincidían los apellidos ni el domicilio. Además, en julio de 2015 ORANGE recibió un fax de EQUIFAX dándole traslado de la petición de cancelación del denunciante. A diferencia de la decisión adoptada en relación a la incidencia informada al fichero ASNEF, cuando el denunciante solicita la cancelación ante EXPERIAN ORANGE confirma la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 incidencia.>> La recurrente en el escrito de alegaciones a la propuesta de resolución afirma que las razones que la AEPD esgrimió en la resolución sancionadora impedían apreciar el artículo 45.5.
  45. b)LOPD, pero exclusivamente en relación a la infracción del principio de calidad de los datos y no respecto a la infracción del articulo 6 LOPD, por lo que solicita que se aprecie esta atenuante cualificada en relación a la infracción tipificada en el artículo 44.3.
  46. b)LOPD. Recordemos que ORANGE trató los datos personales del denunciante sin su consentimiento asociados a la contratación de una línea de móvil (con adquisición de terminal a precio promocional); contratación que se celebró vía on line sin que hubiera adoptado ninguna medida encaminada a verificar la identidad del contratante. Los datos del denunciante se incorporaron a los sistemas de ORANGE el 25/06/2012 (fecha de la contratación). Los datos del afectado continuaron siendo objeto de tratamiento por ORANGE, sin consentimiento del titular, hasta al menos, el 12/01/2016. Es en esta fecha cuando ORANGE cancela la anotación en el fichero de solvencia BADEXCUG asociada al denunciante, por lo que podemos tener la certeza de que, al menos, hasta esa fecha, los datos personales del afectado eran objeto de tratamiento por ORANGE careciendo de legitimación a tal fin. El modus operandi de los ficheros de solvencia exige que la entidad informante confirme la anotación con una determinada regularidad. De modo que el hecho de que una entidad informante comunique y mantenga incluidos datos de terceros en un fichero de solvencia patrimonial presupone que esos datos están siendo objeto de tratamiento en los propios ficheros de la entidad informante. Así pues, la pretensión de la recurrente carece de fundamento. No existen elementos de juicio para apreciar la atenuante cualificada del artículo 45.5.
  47. b)LOPD en relación con la infracción del artículo 6.1 LOPD de la que se responsabiliza a ORANGE. 2. Sobre la petición de ORANGE en la propuesta de resolución para que se estime la circunstancia del artículo 45.5.
  48. d)LOPD, sus argumentos son en síntesis, por una parte, que en su respuesta al requerimiento informativo de la Inspección de Datos reconoció su responsabilidad y, por otra, que la AEPD, en contra de las razones ofrecidas en la propuesta, ha admitido que existía un reconocimiento de responsabilidad que justificaba la aplicación del artículo 45.5.b, incluso cuando tal reconocimiento se ha hecho en las alegaciones al acuerdo de inicio del expediente y no, como se le ha exigido a ella, en el trámite de actuaciones de inspección. Señalar en primer término que la resolución impugnada dijo sobre el particular: <<Sobre la circunstancia del artículo 45.5.d), de la LOPD (reconocimiento espontaneo de la culpabilidad), su aplicación al presente caso no se considera procedente. ORANGE afirma que en el trámite de actuaciones de investigación previa hizo un reconocimiento de responsabilidad pero, examinado detenidamente ese escrito, no hay en él ninguna indicación de la entidad acerca de tal cuestión. Tampoco sería admisible la aplicación de esta atenuante cualificada apoyándonos para ello en el reconocimiento de culpabilidad efectuado en el escrito de alegaciones al acuerdo de inicio, pues el precepto que se invoca (artículo 45.5.
  49. d)exige que el reconocimiento sea “espontáneo”, lo que significa que ha de producirse con la primera noticia recibida sobre la presunta vulneración de la LOPD.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 Son muy numerosas las SSAN en las que el Tribunal, además de recordar que la aplicación del artículo 45.5 LOPD no puede hacerse de manera generalizada sino individualizada, atendiendo a las circunstancias del caso concreto, explica que la “espontaneidad” que a tenor del precepto califica el reconocimiento de la culpabilidad exige que éste tenga lugar con la primera noticia que la entidad infractora recibe acerca de una presunta infracción de la LOPD. En el supuesto que nos ocupa, atendiendo a las circunstancias que concurren, se constata que mucho antes de que se dictara el acuerdo de inicio del expediente sancionador (el 30 de septiembre de 2016), el 28 de mayo de 2015, el denunciante se dirigió a ORANGE y le remitió una copia de su DNI junto con un escrito en el que explicaba que era una persona diferente del cliente. También, que a través de EQUIFAX, en fecha 6 de julio de 2015 se hizo llegar a ORANGE un escrito del afectado en el que solicitaba la cancelación de sus datos y aportaba copia de su DNI. La reacción de ORANGE fue dar de baja cautelar la anotación en ASNEF mientras examinaba un posible fraude si bien continuó manteniendo los datos del afectado incluidos en el fichero de solvencia BADEXCUG y obviamente continuó tratando los datos del afectado sin legitimación para ello. Con esos precedentes, es difícilmente admisible la explicación de ORANGE de que no se percató de que el segundo apellido del denunciante ( ***NOMBRE.1) y el de la persona que suplantó su identidad ( ***NOMBRE.2) no eran coincidentes. Tampoco es comprensible que en ese tiempo no haya podido hacer las comprobaciones oportunas ni que en la respuesta al requerimiento informativo de la Inspección, de 12 de enero de 2016, no hiciera un reconocimiento de su culpabilidad; acto que por otra parte debemos precisar que es algo más que un reconocimiento de los hechos. La exigencia de que el reconocimiento de culpabilidad sea espontáneo no es compatible con admitir, en un caso como el que nos ocupa, con claras evidencias conocidas por la entidad de que estaba tratando datos personales de un tercero ajeno al contrato, que se demore hasta el momento en que la Agencia le notifica la apertura del expediente sancionador. También en relación a la pretensión de que la AEPD aplique el artículo 45.5.
  50. d)LOPD, ORANGE aduce que se han desconocido intencionadamente por esta Agencia las medidas que le comunicó que había adoptado cuando respondió al requerimiento informativo. Se ha de insistir en que el precepto invocado exige expresamente que se reconozca la “culpabilidad” y que una descripción de las medidas adoptadas puede ser exponente, todo lo más, del reconocimiento de los hechos (el tratamiento de datos de un tercero) pero no de la culpabilidad en el tratamiento. ORANGE alude a las resoluciones dictadas por la AEPD en los siguientes expedientes PS/74/2016, de 20 de julio de 2016; PS/288/2016, de 5 de diciembre de 2016; PS/186/2016, de 21 de noviembre de 2016 y PS/262/2016, de 28 de noviembre de 2016. A propósito de esta cuestión, señalar, por una parte, que la Agencia se limita a aplicar la LOPD y sus normas de desarrollo con pleno respeto a los criterios doctrinales fijados por la Sala de lo Contencioso Administrativo de la Audiencia Nacional, a los que busca adecuar sus resoluciones. Sin perjuicio de lo cual admite C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 que pudieran darse casos en los que se ha apartado de los criterios fijados por el Tribunal. No obstante, la Agencia es consciente de que a la luz de la doctrina fijada por la Sala de lo Contencioso de la A.N., no procede ninguna excepción en un supuesto como el que nos ocupa, en el que la infractora ha tenido sobradas oportunidades de reconocer su responsabilidad en los hechos y poner fin al tratamiento improcedente de los datos. Pese a ello, los mantuvo en ficheros de solvencia durante mucho tiempo después de tener conocimiento de circunstancias relevantes que ponían en tela de juicio su legitimación para el tratamiento, tratamiento que sólo cesó con la notificación de la apertura de un expediente. Indicar también que, examinadas algunas de las resoluciones que se invocan (verbigracia en el PS/74/2016), las diferencias entre el supuesto que en ella se plantea y el que nos ocupa son absolutas: en la resolución a la que ORANGE alude no consta que antes de la apertura del expediente la entidad hubiera recibido una copia del DNI del afectado, ni una reclamación de él, ni ante la propia entidad ni mediante el ejercicio de un derecho de cancelación ante la responsable de un fichero de solvencia patrimonial lo que por el contrario sí acontece en el supuesto examinado y es la razón que impide que, no habiéndose reconocido la responsabilidad en las actuaciones previas, se admita un reconocimiento posterior, en el trámite de alegaciones al acuerdo de inicio. Así las cosas, las alegaciones a la propuesta de resolución que ORANGE formuló en su día, siguen la misma línea argumental defendida por la entidad en el escrito de alegaciones al acuerdo de inicio y reiteran en esencia sus argumentos. V Por lo tanto, en el presente recurso de reposición -en el que también han sido objeto de análisis y valoración las alegaciones a la propuesta de resolución del PS/405/2017 presentadas por ORANGE, que no pudieron ser tomadas en consideración por esta Agencia al tiempo de dictar la resolución impugnada- la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ORANGE ESPAGNE, S.A.U., contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 29 de marzo de 2017 en el procedimiento sancionador PS/00405/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE, S.A.U. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 TERCERO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  51. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.