← España

REPOSICION-PS-00422-2014

1/12 Procedimiento nº. PS/00422/2014 ASUNTO: Recurso de Reposición Nº RR/00151/2015 Examinado el recurso de reposición interpuesto por la entidad ORANGE ESPAGNE S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00422/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 9/1/15, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00422/2014 , en virtud de la cual se imponía a la entidad ORANGE ESPAGNE S.A.U., una sanción de 20.000 €, respectivamente, por la vulneración de los artículos 6 y 4 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracciones tipificadas como graves en los artículos 44.3.b, y 44.3.c de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 15/01/15, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00422/2014, quedó constancia de los siguientes: procedimiento sancionador, <<<<< 1º Consta denuncia presentada por D. A.A.A., en el que denuncia que meses atrás ha tenido conocimiento a través de una entidad financiera de que sus datos se encontraban incluidos en ficheros de Solvencia patrimonial a instancias de France Telecom (ORANGE ESPAÑA, S.A.), no obstante el afectado no ha sido nunca cliente de dicha entidad, 2º Consta en el fichero Asnef la siguiente información relativa al denunciante; * Que a fecha 23/01/2014, en que se realiza la consulta, no consta información asociada al denunciante. * Constan dos notificaciones de inclusión con fechas de emisión 12/12/2009, por un importe de 1.675€, figurando como fecha de alta 04/12/2009, remitida al domicilio: (C/...1) de Sevilla, y la segunda con fecha de emisión 09/06/2012, por un importe de 1444,22€, con fecha de alta 08/06/2012, remitida al mismo domicilio. * Constan dos anotaciones de baja de las citadas deudas. La primera de fecha 21/08/2010 figurando como Motivo “saldo 0” y la segunda de fecha 08/12/2012, figurando como motivo de la Baja “saldo 0”. 3º Consta en el fichero Badexcug la siguiente información relativa al denunciante: * Que a fecha 14/02/2014, en que se realiza la consulta, NO EXISTE información asociada al denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 * Constan dos inclusiones; -- La primera inclusión se dio de alta el 05/04/2009 y de baja el 22/08/2010, por proceso automático semanal de datos. -- La segunda inclusión se dio de alta 10/06/2012 y Baja 09/12/2012, por proceso automático semanal de datos. * Constan dos anotaciones de cartas enviadas, con fechas 06/04/2009 y 12/06/2012 al domicilio: (C/...1) de Sevilla. 4º Consta que en los ficheros de ORANGE ESPAÑA, S.A., el denunciante figura como titular de cinco contratos de telefonía móvil y uno de telefonía fija, con varias líneas dentro de cada contrato, la primera línea con fecha de alta 24/12/2004 como línea postpago en modalidad residencial y dada de baja por portabilidad con fecha 31/10/2008. ***TEL.1 Activación 15/11/01 Desactivación 5/3/05 ***TEL.2 Alta 24/12/04 baja 31/10/08 Portabilidad ***TEL.3 Alta 4/10/08 baja 15/5/10 expiración de prepago ***TEL.4 Alta 4/10/08 baja 15/2/10 expiración prepago ***TEL.5 Alta 4/10/08 baja 15/2/10 expiración prepago ***TEL.6 Alta: 20/11/08 Baja 29/6/09 impago ***TEL.7 Alta: 20/11/08 Baja 29/6/09 ***TEL.8 Alta. 11/12/08 Baja: 20/6/09 impago impago 5º Constan En relación a los contratos a nombre del denunciante se generaron una serie de facturas: Contrato ***CONTRATO.1 Facturas desde 12/1/05 a 12/11/08 Contrato ***CONTRATO.2 Se generaron tres facturas: 21/11/08, 21/12/08, 21/7/09 Contrato ***CONTRATO.3 Facturas desde 10/3/02 a 13/7/05 6º Que en fecha 9/12/12 se catalogaron las líneas ***TEL.6, ***TEL.7 y ***TEL.8 como fraude en base a una reclamación interpuesta por el denunciante con fecha 29/11/12. Y se anularon las facturas generadas. 7º Consta copia del contrato de la línea ***TEL.2, que se realizó a través de un punto de venta con fecha 24/12/04. Se aporta copia del DNI del denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 8º Que en relación a las líneas de prepago no hay contrato físico 9º Que debido a la antigüedad de la contratación de las líneas ***TEL.6, ***TEL.7 y ***TEL.8 no se ha localizado la grabación de dicha contratación 10º Consta contestación de Orange a Facua, con fecha 28/6/13, en relación a una reclamación presentada por el denunciante, donde se comunica que con fecha 9/12/12 se procedió a anular las facturas de fecha 21/12/08 (1170,70 euros) y 21/01/09 (504,60 euros) que se encontraban pendiente de pago. Estando al corriente de pago. Comunicando así mismo que se va a solicitar la exclusión de sus datos en los ficheros de morosidad. >>>>> TERCERO: ORANGE ESPAGNE S.A.U. (en los sucesivo el recurrente) ha presentado en fecha 10/02/15 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en Nulidad de la resolución recurrida por falta de motivación y vulneración del derecho de defensa Que la resolución recurrida adolece de una falta de motivación y vulnera el derecho de defensa en la que modifica, sin fundamentarlo, la propuesta de resolución, duplicando la cuantia de la sanción a imponer. Inexistencia de una actuación antijurídica Que en presenta caso Orange procedió a dar de baja en todos los ficheros de morosidad el dato de la deuda del denunciante tan pronto como tuvo constancia de la existencia de una situación fraudulenta. Inexistencia de culpabilidad Que en este caso es clara la ausencia de culpabilidad, estando ante un error que no está motivado por un ánimo incumplidor, sino que es consecuencia de una actuación completamente ajena a Orange Prescripción de la infracción del art 6 de la LOPD Subsidiariamente correcta aplicación del art. 45.5 de la LOPD FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 En relación con las manifestaciones efectuadas por ORANGE ESPAGNE S.A.U., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al IX ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<<<< II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/06821/2013, al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, se procedió a la apertura del presente procedimiento sancionador. Dichos indicios derivaban del hecho de que el denunciante figuraba como titular de unas líneas de telefonía sin haberse acreditado su contratación, generándose unas facturas a su cargo que ante su impago motivaron la incorporación de sus datos en los ficheros de morosidad. En el escrito de alegaciones al Acuerdo de Inicio por parte de la entidad denunciada se realizaron las siguientes: - No existe infracción del art. 4.3 al haberse procedido por parte de Orange a dar de baja en todos los ficheros de morosidad el dato de la deuda del reclamante antes de la incoación del procedimiento sancionador. - Existencia de prescripción de los hechos tanto en relación con el artículo 4 como del 6 - Con carácter subsidiario aplicación del art. 45.5 de la LOPD. Estando la situación ya regularizada con anterioridad a que le fuera notificada el inicio del presente procedimiento sancionador. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.

  1. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  2. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Con carácter previo al examen del fondo del asunto, corresponde examinar alegación relativa a la prescripción de la infracción del artículo 6.1 de la LOPD, Manifestando que la cuestión sobre los servicios controvertidos data de los años transcurridos entre 2004 y 2008. Pues bien, en contra de la tesis sustentada por la denunciada debemos traer a colación la posterior Sentencia de la Audiencia Nacional de 24 de junio de 2010 (Rec. 539/2007), que manifiesta lo siguiente: “Efectivamente se desprende del Art. 47 LOPD que las infracciones graves, como las imputadas a la entidad actora prescriben a los dos años, plazo de prescripción que comenzará a contarse desde el día en que la infracción se hubiera cometido y que sólo se interrumpe con la iniciación, con conocimiento del interesado del procedimiento sancionador. …Nos encontramos en cualquier caso en el supuesto ante las denominadas infracciones permanentes, respecto de las que esta Sala ha declarado con reiteración, ya desde la SAN, de 21 de septiembre de 2001 (Rec. 95/200) que, (…) se caracterizan porque la conducta constitutiva de un único ilícito se mantiene durante un espacio prolongado de tiempo, lo que implica que el plazo de prescripción no se inicia “al no haber cesado la situación de infracción perseguida” –STS de 18 de febrero de 1985….”. Criterio que también han seguido, entre otras, las SSAN (1ª) de 22 de febrero de 2006 (Rec. 343/2004), 21 de noviembre de 2007 (Rec. 117/2006), 11 de diciembre de 2008 (Rec. 574/2007). Concepto jurídico plenamente aplicable al supuesto litigioso, tomando en consideración que tanto el tratamiento de datos sin consentimiento como la inclusión indebida de los mismos en Asnef se mantuvo durante un periodo prolongado de tiempo, por lo que habrá que estar a la fecha de finalización, y no de inicio, para el cómputo del plazo de prescripción. Y a tal fin resulta, según se desprende de las actuaciones practicadas que los datos personales del denunciante figuraron de alta, asociados a la presunta deuda, hasta el 28 de febrero de 2005, por lo que necesariamente ha de considerarse esta fecha a efectos de comisión de la infracción…” Trasladando las consideraciones precedentes al supuesto que nos ocupa, hay que valorar que, sin perjuicio de las fechas en que las citadas líneas fueron dadas de baja en lo que respecta a la prestación del servicio, los datos del DNI/NIF del denunciante continuaron tratándose de forma inconsentida en los ficheros de ORANGE hasta que dicho dato se desvinculó de sus sistemas de cobro en diciembre de 2012. Por lo tanto, es en diciembre de 2012 donde debe situarse el término inicial o dies a quo para fijar el cómputo de la prescripción de la infracción del artículo 6.1 de la LOPD, V Se imputa a ORANGE la comisión de la infracción del art. 44.3.
  3. b)de la LOPD que establece como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo “. Asimismo, el art. 6 de la LOPD establece en su apartado primero que “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3
  4. h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”: El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado la Audiencia Nacional, sala de lo contencioso administrativo, y, entre otras, en Sentencia de 28/02/2007 -recurso n°.236/2005-, el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la AN de 8/11/2012 -recurso n°. 789/2010-). En este caso, la contratación, que se hizo a través del servicio de televenta, fue catalogada como fraude por ORANGE en base a una reclamación interpuesta por el denunciante y se anularon (el día 9/12/12) las dos facturas que se encontraba pendiente de pago; la primera de 1170,70 (generada el 21/12/08) y la segunda de 504,60 (generada el día 21/01/09. Por consiguiente se deduce que dicha contratación no se realizó con el consentimiento del denunciante, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
  5. b)de la LOPD. Respecto del tiempo de dicho tratamiento, se debe indicar que el hecho de que la denunciada diera de baja las líneas ***TEL.6, ***TEL.7 y ***TEL.8 con fecha 29/9/09 no significa que dejara de tratar los datos del denunciante. Pues incluyó los mismos en un fichero de morosidad hasta la solicitud de cancelación, lo que evidencia que en esa fecha (9/12/12) los datos de la denunciante continuaban tratándose también en los ficheros de la denunciada y además de este tratamiento, incluyó los datos en los BADEXCUG y ASNEF Por lo tanto, ORANGE, al tratar los citados datos del denunciante sin contar con su consentimiento, ha vulnerado el artículo 6 de la LOPD VI El artículo 44.3.
  6. b)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Orange, a través de sus empleados o agentes, ha realizado un contrato, sin controlar ni realizar un trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar. En definitiva, es necesario que, una vez identificada la persona sin lugar a dudas –y documentada la identificación-, y tras la información pertinente ha prestado su consentimiento al contrato del servicio y, en consecuencia, al tratamiento de sus datos personales. En el caso que nos ocupa han tratado los datos de la persona denunciante sin contar con su consentimiento lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
  7. b)de la citada Ley Orgánica. VII Se imputa a ORANGE asimismo la infracción del artículo 4.3 de la LOPD que indica: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
  8. c)y 3,
  9. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por su parte, el R.D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, (en lo sucesivo RLOPD), en su artículo 38 y bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12
  10. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).” Se deduce por tanto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, por una parte, que la deuda sea cierta, vencida, exigible y que haya resultado impagada, y por otra, que se haya requerido de pago al deudor antes de informar los datos a la entidad responsable de la gestión del fichero. Conviene recordar, además, que es el acreedor el responsable de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. No se discute en este supuesto la existencia de un requerimiento previo sino la certeza de la deuda. VIII Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial suministran periódicamente las relaciones de altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el fichero, siendo las entidades informantes las que deciden sobre el alta, el mantenimiento y la cancelación de los datos de los clientes de los referidos ficheros. En este caso Orange incorporó a sus sistemas informáticos datos personales del denunciante asociados a una líneas de telefonía de las que no era titular; Por ello, el tratamiento posterior de esos datos, materializado en la emisión de dos facturas por unos servicios que el denunciante no contrató determinó que la operadora le imputara una deuda que, respecto al denunciante, no era cierta, ni vencida ni exigible. La posterior información de dichos datos a los ficheros de morosidad en relación con deudas que no eran veraces al no responder a la situación del Sr. A.A.A., ni por tanto vencidas y exigibles, por lo que se ha vulnerado el principio de calidad de datos previsto en el artículo 4 de la LOPD. La conculcación de este principio supone la comisión de la infracción grave prevista en el transcrito artículo 44.3.c). El artículo 44.3.
  11. c)de la LOPD, tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. IX El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En este caso Orange no ha reconocido su responsabilidad en los hechos denunciados, si bien hay que tener en cuenta que calificó la contratación de las líneas no reconocidas por el denunciante como fraudulenta procediendo a dar de baja a las mismas y anular la facturación asociada, una vez que tuvo conocimiento de la reclamación planteada por el denunciante, deduciéndose por consiguiente que existió una actuación diligente al haberse evitado todo tratamiento de los datos del denunciante, una vez que el mismo reclamó ante la operadora y todo ella antes de la presentación de la denuncia ante esta Agencia, lo que implica la aplicación del artículo 45.5.b C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Por todo ello, procede imponer, por la infracción imputada, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero aplicarse la escala relativa a las infracciones leves por aplicación del artículo 45.5 de la LOPD. En el presente caso, en base a las circunstancias descritas en el párrafo anterior, procede imponer una multa de 20.000 € por cada una de las infracciones cometidas. >>>>> III De forma independiente debe analizarse la alegación relativa a la nulidad de pleno derecho de la resolución administrativa recurrida al no haberse concedido el trámite de audiencia previsto en el artículo 20.3 del REPEPOS para formular las alegaciones, al haberse modificado, en la resolución recurrida, la cuantía de la sanción impuesta, en relación a la contemplada en la propuesta de resolución, y sin haberse modificado los hechos probados y determinados durante la instrucción del procedimiento como constitutivos de la infracción imputada ni la calificación jurídica de la misma. En el presente caso, si bien en la propuesta de resolución se estimaba procedente fijar dos multas de 10.000 euros por cada una las infracciones de los artículos 6.1 y 4.3; por parte del Director de la AEPD se fijó una multa de 20.000 euros, `por cada uno de los artículos infringidos, al considerar que dicha cantidad, que se encuentra también dentro de la escala de la sanción imponible por este tipo de infracciones, era más ajustada a la gravedad de los hechos imputados que la anteriormente propuesta. El artículo 20.3 del REPEPOS establece lo siguiente: “En la resolución no se podrán aceptar hechos distintos de los determinados en la fase de instrucción del procedimiento, salvo los que resulten, en su caso de la aplicación de lo previsto en el número 1 de este artículo, con independencia de su diferente valoración jurídica. No obstante, cuando el órgano competente para resolver considere que la infracción reviste mayor gravedad que la determinada en la propuesta de resolución, se notificará al inculpado para que aporte cuantas alegaciones estime convenientes, concediéndosele un plazo de quince días.” Debe tenerse en cuenta que si bien las Sentencias del Tribunal Supremo de 21 de abril de 1997, de 19 de noviembre de 1997, de 7 de junio de 1997 y de 11 de febrero de 1998 interpretaban que la audiencia del interesado no era necesaria cuando la relación de hechos se mantiene, la calificación de la infracción no sea modificada y la sanción, aunque mayor que la fijada en la propuesta de resolución, sea una de las previstas por la ley. La reciente sentencia del Tribunal Supremo de 21/10/14 (recurso de casación 336/13) establece en su fundamento de derecho décimo primero lo siguiente: “Para terminar y recapitulando, concluiremos que la necesidad de dar audiencia al interesado si el órgano decisor pretende imponer una sanción más grave que la contenida en la propuesta de resolución, tiene a su favor las siguientes razones: 1. ª.- En primer lugar, es más favorable para la efectividad del derecho fundamental de defensa. 2. ª.- En segundo lugar, el cumplimiento de un nuevo trámite de audiencia no retrasa irrazonablemente la conclusión del procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 3. ª.- En tercer lugar, si, como sabemos, el artículo 135 de la Ley 30/92 exige la notificación al presunto responsable de los hechos, de su calificación jurídica y de las sanciones que, en su caso se le pudieran imponer, no parece lógico que siendo estas últimas las que realmente más interesan a los expedientados, se exija la previa audiencia cuando se varían los hechos, o se varía la calificación jurídica, pero no se exija cuando se varía "in pejus" la sanción anunciada. 4. ª.- Finalmente, esta es la solución más adecuada para una defensa efectiva del principio de proporcionalidad. En efecto, según el artículo 20 del Reglamento 1398/1993, de 4 de Agosto, para el ejercicio de la potestad sancionadora, la propuesta de resolución ha de contener necesariamente la concreta y específica sanción que el Instructor considera adecuada a los hechos apreciados y a su calificación jurídica, y ninguna duda cabe de que será sólo a la vista de esa concreta propuesta de sanción cuando el expedientado pueda alegar sobre su necesaria proporcionalidad. Y si luego se permite que esa concreta sanción se agrave por la autoridad sancionadora sin nueva audiencia, la anterior defensa del interesado en lo que afectaba a la proporcionalidad de la sanción quedaría reducida a una pura entelequia; resultado que se agrava a la vista de que, aunque no se modifique la calificación jurídica, la sanción puede variar ostensiblemente, pues las normas sancionadoras suelen establecer abanicos muy amplios en la previsión de las sanciones.” Por consiguiente en base a los anteriores argumentos procede estimar este motivo de recurso fijando como importe de la sanción la contemplada en la propuesta de resolución, cuya cuantía fue notificada a la entidad denunciada cumpliendo así con el trámite de audiencia establecido en la norma. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR PARCIALMENTE el recurso de reposición interpuesto por ORANGE ESPAGNE S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 9 de enero de 2015, en el procedimiento sancionador PS/00422/2014, e imponer la sanción en la cuantía de 10.000 euros por la infracción del art. 6.1 tipificada como grave en el artículo 44.3.b de la LOPD. SEGUNDO: ESTIMAR PARCIALMENTE el recurso de reposición interpuesto por ORANGE ESPAGNE S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 9 de enero de 2015, en el procedimiento sancionador PS/00422/2014, e imponer la sanción en la cuantía de 10.000 euros por la infracción del art. 4.3 tipificada como grave en el artículo 44.3.c de la LOPD. TERCERO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.