1/12 Procedimiento nº: PS/00585/2013 ASUNTO: Recurso de Reposición Nº RR/00374/2014 Examinado el recurso de reposición interpuesto por la entidad ORANGE ESPAGNE S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00585/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 27 de marzo de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00585/2013, en virtud de la cual se imponía a la entidad Orange Espagne S.A.U., una sanción de 15.000 €, por la vulneración de lo dispuesto en el artículo 11.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.k), de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada a la recurrente en fecha 31/03/2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00585/2013, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Con fecha de 5 de diciembre de 2012, tiene entrada en esta Agencia escrito de la denunciante en el que declara que sin su consentimiento el denunciado está transfiriendo sus datos, lo cual tiene una connotación grave al desempeñar un trabajo en un ámbito público y estar proporcionando sus datos de dirección postal y teléfono particular. Aporta impresión de pantalla de la información que se publica en la página web www.infobel.com relativa a sus datos personales (folios 1 a 4 y 13 a 15). SEGUNDO: Con fecha de 8 de enero de 2013 se incorpora a las presentes actuaciones de inspección copia impresa de la información relativa a la denunciante que obra en la página web http://blancas.paginasamarillas.es (folio 5 y 6). TERCERO: La denunciante manifiesta que se dio de alta en el servicio de telecomunicaciones de la entidad denunciada el 20 de mayo de 2011, que la línea fue portada desde Movistar sin que haya autorizado que sus datos figuren en guías de abonados. Aporta copia de un correo electrónico remitido, con fecha 6 de noviembre de 2012, al denunciado, que contiene el siguiente texto: “He constatado que han vulnerado la ley de protección de datos puesto que su compañía es la única que dispone de mi número de teléfono fijo y mi dirección postal. Dichos datos están disponibles y accesibles a todo el mundo a través de la página “infobel”. Teniendo en cuenta que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 desarrollo mi actividad profesional de cara al público esto supone, además, una imprudencia por su parte.”, y copia del correo respuesta del mismo, de fecha 14 de noviembre de 2012, en el que se informa a la denunciante que para ese tipo de consultas debe ponerse en contacto con el número de Atención al Cliente (folio 15). CUARTO: La entidad denuncia ha comunicado que:
- a)La denunciante contrató el servicio ADSL 6Mb +llamadas Orange con la línea A.A.A., en fecha 28/04/2011 (folio 20).
- b)La denunciante formalizó la contratación por vía electrónica, a través de internet. Se aporta impresión de pantalla del “Sistema de Provisión de Servicios de fijo” de la entidad en el que, según manifiesta, queda recogida la voluntad del cliente respecto al tratamiento de sus datos, en cuanto a inclusión en guías y servicio de venta directa, y en el que consta la siguiente información: <<Guias Tefo.: S; Venta directa: N>> (folio 21).
- c)Llevó a cabo la remisión de datos de la denunciante a la CMT, de acuerdo con la Circular 2/2003, de 26 de septiembre, en septiembre de 2012 (folio 22).
- d)En la carga total de abril de 2013 no figuraran los datos de la denunciante. Se aporta acuse de recibo de la citada carga (folio 28).
- e)En cuanto a las comunicaciones y contactos mantenidos con la denunciante, relacionados con los hechos denunciados, aporta impresión de pantalla de su sistema de información en el que consta el correo remitido por la denunciante, con fecha 6 de noviembre de 2012, y de la respuesta facilitada, así como la conversación mantenida el 31/05/2012 en cuyas observaciones consta: “El cliente solicita ¿no cesión de sus datos y no recepción de publicidad¿ ya que ayer le llamaron, y esta molesta y desea reclamar por escrito, doy apto de correo para ello” (folios 23 a 25).
- f)Aporta copia del procedimiento de contratación por internet implementado por la entidad, en cuyo punto 9 se recoge “ORANGE incorpora la copia del contrato asociado al cliente en un sistema de Gestión Documental”, así como del documento que contiene las “condiciones generales comunes de contratación de los servicios Orange” y del modelo de formulario de contrato que se genera en contrataciones por vía electrónica, el cual contiene una casilla vinculada al siguiente texto “deseo aparecer en las guías telefónicas y servicios de consulta telefónica” (folios 32 a 81).
- g)La entidad denunciada no ha aportado copia del modelo de formulario de contrato que se genera en contrataciones por vía electrónica suscrita por la denunciante donde conste marcada la casilla vinculada al siguiente texto “deseo aparecer en las guías telefónicas y servicios de consulta telefónica” QUINTO: Con fecha 8 de agosto de 2013 se incorpora el resultado negativo de la consulta realizada a las guías online que se publican en las direcciones www.blancaspaginasamarillas.es y www.infobel.com sobre los datos de la denunciante (folios 29 a 31). SEXTO: Con fecha 29 de agosto de 2013 se solicita información a la CMT, la cual C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 facilitó a esta Agencia los ficheros suministrados por France Telecom a la CMT a través de SGDA, constatándose que en el fichero suministrado por France Telecom con fecha 06/09/2012 figura información sobre la denunciante (folio 82)>> TERCERO: La recurrente presentó el 30/04/2014 en el Servicio de Correos, teniendo entrada el 7/05/2014 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente en: <<…Se reprocha a mi representada haber comunicado a la Comisión del Mercado de las Telecomunicaciones los datos de la denunciante para ser incluidos en guías de abonados sin contar con el previo consentimiento de la interesada. La resolución afirma que, con dicha conducta, mi representada ha cometido una infracción del artículo 11.1 LOPD tipificada como grave en el artículo 44.3.
- k)de dicha norma. Pero tal conducta (comunicar a la Comisión del Mercado de las Telecomunicaciones de los datos de un abonado sin contar con el consentimiento expreso de éste) no está tipificada en el citado artículo 44.3.
- k)LOPD, el cual se refiere a “la comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. Ello por una elemental razón: ni la LOPD ni su normativa de desarrollo exigen el consentimiento previo del interesado para realizar dicha comunicación a la Comisión del Mercado de las Telecomunicaciones (…) De entenderse que mi representada es responsable de un ilícito en materia de protección de datos, éste debería ser el del artículo 5.4 LOPD, consistente en no informar de forma expresa al interesado del tratamiento; la cual reviste el carácter de leve (artículo 44.2.c LOPD)…>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al VIII ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 <<…II La Ley Orgánica 15/1999 bajo la rúbrica “Comunicación de datos”, dispone en su artículo 11: “1. Los datos de carácter personal objeto de tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado (…) 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter revocable.” Este precepto debe integrarse con la definición legal de consentimiento del interesado y de cesión o comunicación de datos que ofrecen, respectivamente, los apartados
- h)e
- i)del artículo 3 de la LOPD: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”; “toda revelación de datos realizada a una persona distinta del interesado”. El Tribunal Constitucional ha incidido sobre el fundamento jurídico de la figura de la cesión de datos en su Sentencia 292/2000, en la que se pronuncia en los siguientes términos (Fundamento Jurídico 13ª): “….el derecho a consentir la recogida y el tratamiento de los datos personales (artículo 6 de la LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho a la protección de tales datos. Y por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (artículo 4.2 de la LOPD), supone una nueva posesión y un uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y por tanto esté justificada, sea proporcionada y, además se establezca por Ley, pues el derecho fundamental a la protección de datos personales no admite otros límites” (El subrayado es de la AEPD). III La LOPD establece en su artículo 28.4 que “los datos que figuren en las guías de servicios de telecomunicaciones disponibles al público se regirán por su normativa específica”. El examen de esa normativa nos obliga a hacer referencia, en primer término, a la Ley 32/2003 General de Telecomunicaciones, de 3 de noviembre. El artículo 34 del citado texto legal, bajo la rúbrica “protección de los datos de carácter personal”, establece: “Sin perjuicio de lo previsto en el apartado 6 del artículo 4 y en el segundo párrafo del artículo anterior, así como en la restante normativa específica aplicable, los operadores que exploten redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público, deberán garantizar, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 el ejercicio de su actividad, la protección de los datos de carácter personal conforme a la legislación vigente”. (El subrayado es de la AEPD) El artículo 38.6 de la Ley 32/2003 dispone que “La elaboración y comercialización de guías de abonados a los servicios de comunicaciones electrónicas y la prestación de servicios de información sobre ellos se realizará en régimen de libre competencia, garantizándose, en todo caso, a los abonados el derecho a la protección de sus datos personales, incluyendo el de no figurar en dichas guías…” (El subrayado es de la AEPD) El Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios, (RSU), supedita la inclusión de los datos de un abonado en guías y repertorios de abonados al consentimiento expreso de su titular y ofrece, además, un concepto legal de lo que deberá entenderse por consentimiento expreso. El artículo 67 del Real Decreto, bajo la rúbrica “Guías de servicios de comunicaciones electrónicas disponibles al público”, establece en el apartado 2: “Para que los datos correspondientes a un abonado a los que se refiere el artículo 30.4 sean incluidos por primera vez en algún tipo de guía o facilitados a otra entidad para su inclusión en ella o para la prestación de servicios de información o de consulta sobre ella, será preciso el consentimiento expreso de dicho abonado. A estos efectos, se entenderá que existe consentimiento expreso de un abonado cuando el operador le solicite su consentimiento para la inclusión de tales datos, con indicación expresa de cuáles serán éstos, el modo en que serán incluidos en la guía y su finalidad, y este le responda dando su aceptación. También se producirá cuando este se dirija por escrito a su operador solicitándole que sus datos figuren en la guía. Si el abonado no hubiera dado su consentimiento expreso, se entenderá que no acepta que se publiquen en la guía correspondiente sus datos”. (El subrayado es de la AEPD) IV Por otra parte, tanto el R.D. 424/2005 como la Orden CTE 711/2002 hacen mención a la obligación que incumbe a los operadores que prestan el servicio telefónico disponible al público de facilitar a la CMT los datos relativos a sus abonados. A este respecto deben citarse las siguientes disposiciones: - El artículo 20 del R.D. 424/2005: “Las condiciones que deben cumplir los operadores que presten el servicio telefónico disponible al público serán las siguientes: (…)
- b)Facilitar a la Comisión del Mercado de las Telecomunicaciones, para las finalidades previstas en el artículo 68, en soporte informático, como mínimo, los datos a los que se refiere el artículo 30.4 correspondientes a los abonados a los que ofrezcan la posibilidad de recibir llamadas a través de un número telefónico de abonado administrado por dichos operadores, incluyendo de forma separada, los de aquellos que hubieran decidido no figurar en las guías. A estos efectos estarán obligados a solicitar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 consentimiento de los abonados conforme se indica en el artículo 67…”. (El subrayado es de la AEPD) - La Orden CTE 711/2002 en su apartado decimocuarto punto 1 indica que “Los operadores que presten el servicio telefónico disponible al público facilitarán a la Comisión del Mercado de las Telecomunicaciones, en los plazos y en el soporte informático que ésta acuerde, los siguientes datos de sus abonados…..” La Circular 2/2003, de 26 de septiembre, de la Comisión Nacional del Mercado de las Telecomunicaciones, relativa al “procedimiento de suministro de datos de los abonados para la prestación de servicios de directorio en competencia”, se ocupa del modo en que deben proceder los operadores obligados a facilitar información sobre sus abonados y las entidades habilitadas para prestar servicios de directorio, y crea, además, el “Sistema de Gestión de Datos de Abonados”, en adelante SGDA, que le permite recibir y suministrar los datos de los abonados de forma ágil. De acuerdo con la Circular, (apartado segundo), “Están obligados a facilitar a la Comisión del Mercado de las Telecomunicaciones la información sobre los datos de sus abonados los operadores que prestando el servicio telefónico disponible al público, asignen números a sus abonados”. El apartado sexto, punto 1, indica: “Todos los operadores que presten el servicio telefónico disponible al público, a los que se refiere el apartado segundo de la presente Circular, deberán suministrar a la Comisión Nacional del Mercado de las Telecomunicaciones mediante su conexión vía electrónica al Sistema de Gestión de Datos de los Abonados, los ficheros actualizados de los datos de sus abonados de acuerdo con las especificaciones definidas en el Anexo I y según el procedimiento técnico previsto en el Anexo IV de esta Circular” De los preceptos anteriormente trascritos se desprende que si bien incumbe a las operadoras la obligación de aportar los datos de sus abonados a la CMT a través del SGDA, esta obligación no es absoluta, pues tiene como límite el respeto a la voluntad del titular de los datos en los términos previstos por la normativa específica. V En el presente caso, la entidad denunciada ha comunicado que la denunciante contrató el servicio telefónico el 28/04/2011. De acuerdo con la documentación obrante en el procedimiento los datos fueron informados a la CMT para su incorporación a Guías de abonados, por la entidad denunciada en fecha 06/09/2012. La entidad denunciada no ha aportado copia del contrato suscrito con la denunciante, o de documento alguno de modificación de la contratación, en el que figure el consentimiento expreso de la misma para la publicación de sus datos en guías de abonado. No obstante los datos personales de la denunciante fueron objeto de publicación en guías en formato Internet en 2012, lo que presupone, dado el mecanismo articulado para la obtención de estos datos por la Circular 2/2003 de la CMT, que los mismos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 fueron cedidos por parte de la operadora denunciada a la CMT. Así, obran en el expediente documentos que prueban la publicación de los datos personales de la denunciante (nombre, dos apellidos, domicilio y número de línea). Como hemos precisado en el Fundamento Jurídico precedente, el artículo 67 del R.D. 424/2005 exige el consentimiento expreso del abonado para que sus datos personales, a los que se refiere el artículo 30.4, sean incluidos por primera vez en algún tipo de guía o facilitados a otra entidad para su inclusión en ella. A su vez, el artículo 30.4 del R.D. 424/2005 menciona entre esos datos relativos al abonado los siguientes:
- a)Nombre, apellidos o razón social;
- b)Número o números de abonado;
- c)Dirección postal del domicilio, excepto piso, letra y escalera. Por otra parte, el R.D. 424/2005 ofrece un concepto legal de lo que debe entenderse por “consentimiento expreso” y concreta también el “efecto jurídico” que provoca la “ausencia” de ese consentimiento expreso. En tal sentido el artículo 67.2 del R.D. indica que existirá consentimiento expreso de un abonado cuando el operador le solicita su consentimiento para la inclusión de tales datos, informándole expresamente cuáles son éstos, el modo en que serán incluidos y su finalidad, y el abonado responde a esta solicitud dando su aceptación. La consecuencia jurídica que se deriva de no contar con el consentimiento expreso, en los términos definidos en el artículo 67.2 del citado R.D. 424/2005, está tasada en el mismo: en ese caso se entenderá que el abonado no acepta que se publiquen sus datos. Por tanto, a tenor de las consideraciones precedentes y de los documentos que obran en el expediente se concluye que la entidad denunciada cedió al SGDA de la CMT los datos personales de la denunciante sin legitimación para ello, toda vez que no obtuvo el consentimiento expreso de la afectada, tal y como la normativa específica exige. Conducta que estimamos vulnera el artículo 11.1 de la LOPD. VI De la documentación obrante en el expediente debemos concluir que la denunciada no ha aportado ninguna prueba que legitime la cesión de los datos de la denunciante a fin de que éstos fueran publicados en guías y repertorios de abonados. En consecuencia, conforme a las consideraciones precedentes, estimamos que la conducta anteriormente descrita, imputable a la entidad denunciada, vulnera el artículo 11.1 de la LOPD y constituye una infracción grave tipificada como tal en el artículo 44.3.
- k)de la citada Ley Orgánica: “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. VII Esgrime la entidad denunciada en su defensa que no concurre el elemento subjetivo de la culpabilidad, ni a título de dolo ni a título de culpa, lo que conforme al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 artículo 130.1 de la LRJPAC impide la imposición de una sanción y justifica el archivo del expediente sancionador. No hay duda de que la presencia del elemento subjetivo es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Así, en STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Del artículo 130.1 de la LRJPAC se desprende que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Frente al alegato de la denunciada según el cual ha actuado de buena fe. En relación a la invocada buena fe, traer a colación la STAN de 24 de mayo de 2002 en la que se afirma que “la buena fe en el actuar, para justificar la ausencia de culpa –como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”. (El subrayado es de la AEPD). Por lo que atañe a la creencia de que actuó dentro de la más estricta legalidad debemos subrayar que es obligación de la entidad conocer la normativa aplicable a lo que se añade que debe actuar diligentemente, lo que exige verificar, antes de proceder a la cesión de datos, si se cuenta con el consentimiento expreso del titular de los datos o si en el supuesto en cuestión no es necesario contar con dicho consentimiento expreso y previo antes de realizar la cesión. Por lo que atañe a la medida de la diligencia que es exigible, debemos citar la STAN de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva...” Y continúa: “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD). En el presente caso, el elemento subjetivo de la culpabilidad se concreta en la falta de diligencia demostrada por la entidad denunciada en la conducta observada respecto a la denunciante, en el cumplimiento de la normativa de protección de datos al haber cedido los datos de su cliente sin contar con su consentimiento expreso, consentimiento al que se supedita la legalidad de tal comunicación. VIII El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La denunciada ha invocado el principio de proporcionalidad en la imposición de la sanción que pudiera corresponderle (artículo 131.3 de la LRJPAC) y solicita la aplicación del efecto jurídico previsto en el artículo 45.5 de la LOPD. Por lo que respecta a las circunstancias previstas en el artículo 45.4 de la LOPD, se aprecia la concurrencia de la descrita en su apartado b), que versa sobre el volumen de los tratamientos efectuados; criterio que opera como atenuante en cuanto entraña una disminución de la antijuridicidad de la conducta enjuiciada y/o de la culpabilidad de la entidad, dado que el expediente sancionador que nos ocupa versa sobre un único afectado. Debe advertirse, no obstante, que si bien los datos de la denunciante permanecieron durante más de seis meses en directorios telefónicos no puede derivarse de ello la existencia de un consentimiento tácito de la afectada a la cesión de sus datos, al no quedar probado que tuvo conocimiento, durante ese periodo, de que aquellos figuraban incluidos en el citado repertorio, por infracción de la compañía que le prestaba el servicio telefónico. De conformidad con el apartado
- a)del artículo 45.5 de la LOPD es posible fijar la cuantía de la sanción aplicando la escala que preceda en gravedad a aquella en la que se integra la considerara en el caso en cuestión, si se aprecia una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios descritos en el artículo 45.4. Habida cuenta de que como se ha indicado ha quedado acreditada la presencia de diversas circunstancias descritas en el artículo 45.4 (apartados b, j), se estima procedente aplicar el efecto jurídico descrito en el citado precepto. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el artículo 45, los apartados 1 y 5, de la LOPD. Valoradas en conjunto las circunstancias previstas en el artículo 45.4 de la LOPD, cuya presencia ha quedado acreditada, y habida cuenta de que concurre la contemplada en el apartado
- a)del artículo 45.5 de esta norma, se acuerda sancionar a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 la entidad denunciada con una multa de 15.000 € (quince mil euros) por la infracción del artículo 11.1 de la LOPD, de la que esa entidad es responsable…>> III En relación con la alegación de la recurrente de que su actuación no constituye una infracción del art. 11 de la LOPD, sino en tal caso, del art. 5.4 de citada ley órgánica, hay que hacer constar que en las sentencias desestimatorias de la Audiencia Nacional de 20/09/2013 rec. 174/2012, y de 14/03/2014 rec. 92/2013, en relación con dos procedimientos sancionadores a la entidad recurrente, por infracción del artículo 11 de la LOPD por inclusión en Guías de abonados sin consentimiento previo. En las citadas sentencias en el fundamento de derecho quinto y sexto de la primera y en el fundamento cuarto de la segunda se establece: <<…De la citada normativa específica en materia de telecomunicaciones, a la que hay que estar por la remisión efectuada por el artículo 28.4 de la LOPD, se desprende que si bien las operadoras tienen la obligación de aportar los datos de sus abonados a la Comisión del Mercado de Telecomunicaciones (CMT) a través de SGDA, sin embargo esta obligación no es absoluta, teniendo como límite el respeto a la voluntad del titular de los datos (…) Por tanto, a la vista de la prueba practicada correctamente valorada en la resolución recurrida, no puede hablarse de vulneración del principio de presunción de inocencia y de ausencia de antijuridicidad, al resultar acreditado que la entidad recurrente comunicó los datos personales de la afectada vinculados a la línea telefónica de la que era titular, a fin de que fueran publicados en las guías y repertorios de abonados, sin contar con el consentimiento de la afectada y pese a la oposición de la misma, con vulneración de lo dispuesto en el artículo 11.1 de la LOPD y la normativa específica en materia de telecomunicaciones expuesta, conducta que integra la infracción tipificada en el artículo 44.3.k de la citada Ley…>> <<…Por tanto, a tenor de lo expuesto no se ha acreditado por la parte actora que de conformidad con el citado art. 67 del Real Decreto 424/2005, tuviera el consentimiento expreso de la denunciante para que sus datos personales fuesen incluidos por primera vez en algún tipo de guía o facilitados a otra entidad para su inclusión en ella. Por tanto, a la vista de la prueba practicada correctamente valorada en la resolución recurrida, no puede hablarse de vulneración del principio de presunción de inocencia y de ausencia de antijuridicidad, al resultar acreditado que la entidad recurrente comunicó los datos personales de la afectada vinculados a la línea telefónica de la que era titular, a fin de que fueran publicados en las guías y repertorios de abonados, sin contar con el consentimiento de la afectada, con vulneración de lo dispuesto en el art. 11.1 de la LOPD y la normativa específica en materia de telecomunicaciones expuesta, conducta que integra la infracción tipificada en el art. 44.3.k de la citada Ley…>> Por lo tanto, en el presente recurso de reposición, la entidad recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ORANGE ESPAGNE S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de marzo de 2014, en el procedimiento sancionador PS/00585/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es