REPOSICION-PS-00620-2013

1/13 Procedimiento nº: PS/00620/2013 ASUNTO: Recurso de Reposición Nº RR/00469/2014 Examinado el recurso de reposición interpuesto por la entidad ORANGE ESPAGNE S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00620/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 28/4/14, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00620/2013, en virtud de la cual se imponía a la entidad ORANGE ESPAGNE S.A.U., una sanción de 20.000 €, por la vulneración de lo dispuesto en el artículo 4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c, de conformidad con lo establecido en el artículo 45.4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 30/04/14, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00620/2013, quedó constancia de los siguientes: procedimiento sancionador, <<<<< 1º Consta escrito de denuncia presentado por Dña. A.A.A. en relación a la incorporación de sus datos en fichero de morosidad, informados por ORANGE, cuando no es cliente de dicha compañía. 2º Consta la siguiente documentación aportada por la denunciante: * Copia de la información recibida en contestación a su solicitud de acceso a sus datos en el fichero ASNEF, de fecha 23 de noviembre de 2012, en el que constan sus datos de nº de D.N.I. y nombre y apellidos asociados a un domicilio de ALICANTE, por una deuda de 86,91 € informada por ORANGE FTE S.A. con fecha 30/12/2011. * Copia de la denuncia presentada en la Comisaria de Bilbao con fecha 29 de noviembre de 2012, por los mismos hechos denunciados. 3º Consta en el fichero EQUIFAX IBERICA la siguiente información relativa a la denunciante: * Respecto del fichero ASNEF: Consta una incidencia informada por FRANCE TELECOM ESPAÑA S.A con fecha de alta 30 de diciembre de 2011, fecha de última actualización 7 de marzo de 2013, por vencimientos impagados primero y último de agosto de 2010 y por un importe de 86,91€ euros. * Respecto del fichero de NOTIFICACIONES: Constan, una notificación emitida a nombre de la denunciante, con fecha de emisión 2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 de enero de 2012, por un producto de TELECOMUNICACIONES, por un importe de 86,91 euros y siendo la entidad informante FRANCE TELECOM ESPAÑA S.A., la notificación consta enviada a un domicilio de ALICANTE. * Respecto del fichero de BAJAS: No constan datos relativos a la denunciante. * Respecto a los expedientes asociados al denunciante: Consta un expediente que contiene la solicitud de acceso recibida por fax de fecha 20 de noviembre de 2011 y la contestación a la misma de fecha 23 de noviembre de 2011. 4º En base a la información y documentación aportada por la entidad denunciada ha quedado constancia de los siguientes hechos: * Asociados al número de D.N.I. de la denunciante: figura la línea ***TEL.1, con fecha de alta 16/7/10, por portabilidad, y fecha de baja 19/7/10 por Fraude. Dicha línea se suspendió cautelarmente el día 19/7/10 al detectarse ciertas irregularidades en su contratación. * Según la información que figura en sus sistemas, consta una única factura emitida con fecha 21 de julio de 2010, por importe de 86,91 €. Esta factura consta rectificada con fecha 19 de marzo de 2013, por lo que ya no consta ninguna deuda asociada a la denunciante. Aportan copia de las dos facturas citadas. * La contratación se realizó a través de internet. A este respecto aportan copia del contrato generado electrónicamente, en el no consta la firma del titular, así como de las condiciones generales y particulares aplicables al mismo. * Así mismo, aportan copia del albarán de entrega del terminar, firmado por su receptor, en el que constan los datos de la denunciante de nombre y apellidos, número de D.N.I. y un domicilio de ALICANTE, la fecha de la entrega es el 15 de julio de 2010. * Según el “Procedimiento de activación de la línea y portabilidad”, del que aportan copia: -- A través de la web tiendamovil.orange.es, un cliente puede realizar un pedido de una alta nueva, migración o portabilidad . -- La entrega del pedido solo se realizará al titular del pedido o persona autorizada, previa presentación de documento original de identidad. El cliente deberá firmar el albarán de entrega del pedido en el momento de la misma. -- 24-48 horas después de la entrega se activará la línea, tras lo cual, se enviará al cliente por correo electrónico copia del contrato y la factura de compra de su pedido. -- Orange incorpora copia del contrato en un sistema de Gestión Documental. * Respecto al procedimiento descrito, recientemente han puesto en marcha una serie de medidas de carácter adicional, con el fin de asegurar la identidad en la contratación, en las contrataciones realizadas de forma no presencial, según las recomendaciones que la Agencia ha realizado en el informe Sectorial sobre control de datos en contratación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 telefónica y por internet. Aportan copia de un documento en el que se detallan estas medidas adicionales, según el cual: -- En el momento de la contratación se requiere la identificación del contratante, no solo con su número de D.N.I. sino, además, con los códigos MRZ del documento (estos códigos figuran en una línea que consta en el anverso del D.N.I. -- En la entrega de los terminales, desde principios de 2012, se ha puesto en marcha un proyecto, para nuevos clientes, de entrega en las Oficinas de Correos o bien la entrega en un punto de venta, siendo la entrega por mensajería una opción residual. * Respecto a la inclusión de los datos de la denunciante en ficheros de solvencia patrimonial: -- El motivo de dicha inclusión fue el impago de la única factura generada por importe de 86,91€. -- Los datos se dieron de alta en los ficheros ASNEF Y BADEXCUG con fechas 30 de diciembre de 2011 y 1 de enero de 2012, respectivamente. -- La exclusión de dichos datos se ha realizado al tener conocimiento de las presentes actuaciones y recibir el requerimiento de información de la Inspección de Datos, ya que no les consta ninguna reclamación o contacto anterior con la denunciante. Aportan copia de los certificados emitidos por EQUIFAX IBERICA S.L. y EXPERIAN BUREAU DE CREDITO S.A., con fechas 2 y tres de abril de 2013, en los que se hace constar que en esa fecha no constan datos asociados al D.N.I. de la denunciante, informados por FRANCE TELECOM, en los ficheros ASNEF Y BADEXCUG. * Por último, la compañía pone de manifiesto que tan pronto detectó irregularidades en la contratación (tres días después de su activación), se suspendió la línea de forma cautelar, no obstante, por un error involuntario, debido a que en ese momento todavía no se había generado la factura, que resulto impagada, el agente que tramito el caso, no cursó la correspondiente orden de retrocesión del importe de la misma >>>>> TERCERO: ORANGE ESPAGNE S.A.U. ha presentado en fecha 6/6/14, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en: * Existencia de prejudicialidad penal * Que la apariencia creada por el contrato legitima en un primer momento en tratamiento, no sólo porque ese contrato es válido y eficaz, sino además porque para su suscripción era preciso conocer determinados datos personales que sólo debería conocer el propio denunciante. Esta apariencia es mayor porque alguien, simulando ser el denunciante e identificándose como tal, recogió el terminal móvil enviado por ORANGE al domicilio designado en el contrato * Que el tratamiento realizado en los ficheros de morosidad no supone una vulneración en materia de protección de datos al haberse realizado de acuerdo a los términos del art. 6.2 de la LOPD * Subsidiariamente, imposición de una sanción en su cuantía mínima para las leves. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por ORANGE ESPAGNE S.A.U., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del (II al IX) ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<<<< II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/01560/2013, se determinó que, salvo prueba en contrario, ORANGE no ha acreditado la existencia de consentimiento del denunciante para el tratamiento de sus datos personales, facturándole por el uso de una línea de móvil cuya contratación no se ha acreditado. Con la consecuencia que los datos del denunciante que fueron informados a un fichero de morosidad, no fueran exactos y respondieran con veracidad a su situación En el escrito de alegaciones al Acuerdo de Inicio por parte de la entidad denunciada se realizaron las siguientes, en síntesis: - Existencia de prejucicialidad penal - Prescripción de la infracción del artículo 6.1 por haber transcurrido más de dos años desde que dejó de cometerse la infracción (el 21/07/10, que fue cuando se emitió la única factura, ya que la línea telefónica estaba de baja con anterioridad. - Falta de antijuricidad - Que los protocolos y sistemas detección del fraude implementados por FT funcionaron, ya que solo 4 días después del alta se detecto el fraude, se desactivo la línea y se bloquearon los datos del denunciante. No obstante por algún tipo de error cometido por el operador se emitió una factura entre esas dos fechas que una vez que fue cancelada la línea por fraude, no fue cancelada automáticamente, debido a que el denunciante no dirigió reclamación ante la entidad la deuda generada por el impago de esa factura no fue anulada automáticamente. - Que una vez conocidos los hechos a través de las actuaciones de inspección de la Agencia se procedió de inmediato a anular la deuda y cancelar la inscripción en los ficheros de solvencia patrimonial - Inexistencia de concurso de infracciones - Subsidiariamente aplicación del art. 45.5 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.

1. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
2. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV Se invoca por ORANGE la existencia de una cuestión prejudicial penal y considera que al amparo del artículo 114 de la Ley de Enjuiciamiento Criminal y 7 del R.D. 1398/1993 debe de suspenderse el curso y la tramitación de este expediente sancionador hasta que recaiga Sentencia firme en la causa criminal que se está tramitando. Sostiene que la Agencia debería, en primer término, solicitar al órgano jurisdiccional penal que esté conociendo del procedimiento la “comunicación sobre las actuaciones adoptadas” a la que se refiere el artículo 7 del R.D. 1398/1993. El citado artículo dispone: “1. En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones practicadas respecto de la comunicación. En estos supuestos, así como cuando los órganos competentes tengan conocimiento de que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas. Recibida la comunicación, y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga la resolución judicial.” Pues bien, sobre la invocada cuestión prejudicial penal planteada basta señalar que en ningún caso podría existir la triple identidad, (de sujeto, hecho y fundamento) entre la infracción administrativa que se valora en este expediente sancionador y la posible infracción o infracciones penales que se deriven de las Diligencias Previas practicadas por el órgano jurisdiccional. Triple identidad a cuya concurrencia supedita la norma (artículo 7 del R.D. 1398/1993) que el órgano competente para resolver el expediente sancionador acuerde la suspensión del mismo. Esto, porque ni el fundamente jurídico de las infracciones penal y administrativa sería el mismo (el bien jurídico protegido es diferente en ambos casos), ni tampoco coincidirían, como parece obvio, el sujeto activo de la infracción penal y el de la infracción administrativa). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 V Se imputa en primer lugar a ORANGE en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En este caso, en los ficheros de la entidad denunciada figura la línea ***TEL.2 asociada a Dña. A.A.A., que no reconoce como suya. Dicha línea figura asociada a su DNI ***DNI.1 y consta un domicilio en Alicante cuando la denunciante reside en Ortuella Bizkaia). Se manifiesta que dicha línea fue activada el día 16/07/10 a consecuencia de una portabilidad entrante siendo ORANGE el operador receptor, pero que tras el análisis de dicha activación y al detectarse ciertas irregularidades en la contratación se suspendió cautelarmente dicha línea con fecha 19/7/10, siendo dada de baja de forma definitiva el día 27/7/10 al considerarse finalmente como un alta fraudulenta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 Se ha aportado copia del contrato realizado electrónicamente. Así mismo se adjunta copia del procedimiento de activación de líneas y portabilidad, manifestando que se han puesto en marcha una serie de medidas de carácter adicional con el fin de asegurar el consentimiento de la contratación. Se aporta copia del albarán de entrega del terminal el día 15/7/10 presuntamente a A.A.A.en Alicante si bien no hay ninguna coincidencia en la rúbrica de la firma. Por consiguiente se deduce una falta de diligencia de ORANGE ya que dio de alta un contrato, sin controlar ni realizar un mínimo trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar y por ende de que sus datos personales sean tratados. Siendo necesario, en definitiva, que, una vez identificada la persona sin lugar a dudas –y documentada la identificación-, y tras la información pertinente, verificar si ha prestado su consentimiento al contrato del servicio ofertado y, en consecuencia, al tratamiento de sus datos personales. Es necesario analizar si dan los elementos de culpabilidad necesarios para imputar una presunta infracción del artículo 6 por parte de la entidad denunciada. A este respecto, la Sentencia de la Audiencia Nacional dictada el 21/09/2005, Recurso 937/2003, que establece, “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
3. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Asimismo, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. Por tanto, es a denunciada a quien le corresponde adoptar las medidas adecuadas para la perfecta identificación de los clientes, sin que pueda constituir elemento alguno de atenuación de la responsabilidad, sino el cumplimiento de una obligación ordinaria exigible a las empresas, que como la denunciada, trabajan con grandes volúmenes de datos personales y, sin que pueda considerarse la adopción de estas medidas base para la apreciar disminución de la culpabilidad. En definitiva, se ha producido un tratamiento de los datos del denunciante, que figuró en los ficheros de la entidad como titular de una línea de móvil sin acreditar la contratación, activación que fue considerada como fraudulenta por la misma entidad al haber detectado sus propios controles implementados dicho carácter. Dicho tratamiento se ha producido sin tener habilitación ya que no contaba con el consentimiento de la denunciante; no actuándose con la diligencia debida al no comprobarse la identidad de la persona que contrataba y la exactitud de los datos recabados; por lo procede imputarse responsabilidad a la entidad denunciada por infracción del art 6 de la LOPD. VI Se alega por la entidad denunciada que en el inicio de este procedimiento se había C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 producido la prescripción de la presunta infracción del artículo 6. Para ello es necesario partir de lo previsto en el artículo 47 de la LOPD según el cual: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Dicho artículo reproduce lo establecido en el artículo 132.2 de la Ley 30/92. Debiendo tenerse en cuenta que en algunos supuestos el inicio del cómputo se retrasa hasta el momento en que la infracción deje de cometerse en el caso de las llamadas infracciones permanentes, definidas así por las STS de 7 de abril de 1989 y 23 de enero de 1990-, que se caracterizan porque la conducta constitutiva de un único ilícito se mantiene durante un espacio prolongado de tiempo; lo que implica que el plazo de prescripción no se inicia "al no haber cesado la situación de infracción perseguida" -STS de 18 de febrero de 1985-. Pues bien en este caso la línea ***TEL.2 figuró asociada a los datos personales de la denunciante en el periodo 19/7/10 a 27/7/10. Por consiguiente es a partir de esta última fecha el momento en que debe comenzar a computarse el plazo de prescripción pues es desde ella cuando la presunta conducta constitutiva del ilícito administrativo dejó de producirse. Sin que se hayan existido tratamientos posteriores. Por consiguiente habiéndose iniciado el presente procedimiento sancionador (que interrumpe dicho plazo) con fecha 14/11/13 debe inferirse la prescripción de la presunta infracción del art. 6. En consecuencia de lo anterior, se ha producido una extinción de la presunta responsabilidad de la entidad denunciada al haber prescrito la infracción del artículo 6. En cuanto a los efectos de dicha prescripción, es de aplicación lo previsto en el art. 6 del RD 1389/93 que regula el procedimiento para el ejercicio de la potestad sancionadora y del que resulta que cuando se concluya, en el trámite del procedimiento, que ha prescrito la infracción por el órgano competente deberá acordarse el archivo del mismo. VII El artículo 4.3 de la LOPD, referente a la “calidad de los datos”, establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 actual de aquellos”. Estos preceptos deben integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
4. c)y 3,
5. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por su parte, el R.D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, (en lo sucesivo RLOPD), en su artículo 38 y bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
6. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).” Se deduce por tanto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, por una parte, que la deuda sea cierta, vencida, exigible y que haya resultado impagada, y por otra, que se haya requerido de pago al deudor antes de informar los datos a la entidad responsable de la gestión del fichero. Conviene recordar, además, que es el acreedor el responsable de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. No se discute en este supuesto la existencia de un requerimiento previo sino la certeza de la deuda. VIII Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial suministran periódicamente las relaciones de altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el fichero, siendo las entidades informantes las que deciden sobre el alta, el mantenimiento y la cancelación de los datos de los clientes de los referidos ficheros. En este caso ORANGE incorporó a sus sistemas informáticos datos personales de la denunciante (nombre, apellidos, NIF,) asociados a una línea de telefonía móvil de las que no era titular; pues la operadora, no ha probado que la afectada hubiera prestado el consentimiento inequívoco que la Ley exige para el tratamiento de sus datos. Por ello, el tratamiento posterior de esos datos, materializado en la emisión de una factura por unos servicios que el denunciante no contrató determinó que la operadora le imputara una deuda que, respecto al denunciante, no era cierta, ni vencida ni exigible. Posteriormente, comunicó a los ficheros de solvencia patrimonial una incidencias asociadas a los datos personales del denunciante que fueron incluidos por la operadora en ficheros de morosidad vinculados a una deuda a la que era ajena al denunciante; deuda que no era cierta, ni vencida ni exigible desde la perspectiva del afectado por cuanto no tenía la condición de deudor ya que no había prestado su consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 para el alta de la línea controvertida. Por ello la información comunicada por la entidad denunciada a los ficheros de morosidad no se ajustó al principio de exactitud y veracidad, esencia del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
7. c)de la citada norma, que dispone: “Son infracciones graves, (..)
8. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IX El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IIS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La entidad denunciada solicita de forma subsidiaria la aplicación del art. 45.5 pues existe una ausencia o cualificada disminución de la culpabilidad y antijuricidad del hecho además de apreciarse la ausencia de intencionalidad. Dicha pretensión se basa en los siguientes hechos: * Que los protocolos y sistemas de detención del fraude implementados por Orange permitieron detectar el mismo y cuatro días después del alta se desactivó la línea y se bloquearon los datos del denunciante. * Que como consecuencia de un error interno se emitió una factura a los pocos días de catalogar como fraudulenta la línea y que no fue anulada * No figuran contactos ni comunicaciones de la denunciante con Orange. Valorándose dichas circunstancias, debe tenerse en cuenta que los datos de la denunciante figuraron inscritos en el fichero de morosidad desde diciembre de 2011 hasta marzo de 2013, y que la baja de los mismos se produjo a raíz del requerimiento de información de esta Agencia, lo que denota una cierta diligencia para la aplicación de la facultad contemplada en el artículo 45.5 apartado b), y por otra parte deben tenerse en cuenta los criterios de graduación de las sanciones establecidos en el artículo 45.4, que buscan guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
24. a)Existencia de intencionalidad o reiteración,
25. b)La naturaleza de los perjuicios causados, C) La reincidencia. Por lo que resulta procedente imponer una multa de 20.000 € por la infracción cometida. >>>>> III Por lo tanto, en el presente recurso de reposición, ORANGE no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Debiéndose tenerse en cuenta que corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado, arbitrando los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. Además ORANGE, trató automatizadamente los datos de la denunciante en sus propios ficheros, de los que es responsable y, adicionalmente decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación a un fichero común de solvencia patrimonial y crédito. La responsabilidad de la entidad denunciada no se exonera por la existencia de un presunto fraude, como se razona en el fundamento tercero de La Sentencia de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Audiencia Nacional de 3/3/11 (Nº Recurso 0000120/2010) que manifiesta: “Esta Sala se ha pronunciado en varias ocasiones (sentencias de los recursos 465/2008 ó 565/2009) en relación a conductas de empresas que han sido objeto de fraudes ó engaño y ello no ha justificado la eliminación de la culpabilidad y ello pues como se dijo en la sentencia del recurso 1161/2002: A tal efecto debemos señalar que la culpabilidad de la empresa BGIE no puede considerarse excluida ni atenuada por el hecho de que haya mediado la posible actuación delictiva de un tercero que no ha podido ser identificado, pues la responsabilidad de la empresa ahora demandante no deriva de la actuación de éste sino de la suya propia y la infracción que estamos examinando –el tratamiento de los datos personales sin que conste el consentimiento del titular, que trae causa, a su vez, de la celebración de un contrato telefónico sin las debidas cautelas y garantías- es independiente de la conducta delictiva investigada por la jurisdicción penal. Téngase en cuenta que la empresa ahora recurrente no ha podido acreditar el cumplimiento de las exigencias mínimas impuestas por la diligencia normal en la contratación telefónica que habrían obligado a conservar y custodiar la documentación personal del cliente (DNI, pasaporte) ó haber acredita alguna actividad posterior a la contratación para verificar la realidad de esta: llamada de comprobación.” Por último se han ponderado las circunstancias operantes en el presente procedimiento para determinar el grado de antijuricidad y de culpabilidad presentes en la concreta actuación infractora, tal como se ha motivado en el fundamento IX de la resolución recurrida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ORANGE ESPAGNE S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de abril de 2014, en el procedimiento sancionador PS/00620/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es