REPOSICION-PS-00647-2014

1/12 Procedimiento PS/00647/2014 Resolución del Recurso de Reposición RR/00446/2015 Examinado el recurso de reposición interpuesto por la entidad Orange Espagne SAU contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00647/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 28 de abril de 2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00647/2014 , por la que se acordaba Imponer a la entidad Orange Espagne SAU, por una infracción del artículo 11.1, en relación con el 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.

1. k)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 04/05/15, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador PS/00647/2014 quedó constancia de los siguientes: <<< HECHOS PROBADOS 1. 07/10/08, fecha de baja de los servicios contratados por D.D.D. con France Telecom España SA (Orange) que consta en la base de datos de la compañía. (folios 46, 50) 2. 05/01/09, France Telecom España SA (Orange) emite factura con número de referencia ***FACTURA.1 a nombre de D.D.D. ( A.A.A.) por importe de 81,08 € por el concepto de baja anticipada de ADSL. Devuelta sin pagar el 13/01/09, le envían a ella notificación de impago el 16/01/09. El día 27/04/09 y el 14/05/09 por empresa de recobro (ISGF) y el 27/08/09 por otra empresa de recobro (Acción de Cobro) le reclaman el pago a C.C.C. (folios 7-9) 3. 22/08/13, fecha del escrito que France Telecom España SA (hoy Orange Espagne SAU) y Salus Inversiones y Recuperaciones SL comunican conjuntamente a C.C.C. y D.D.D. ( A.A.A.) que la primera como cedente vende a la segunda como cesionaria su cartera de créditos, y entre ellos su deuda de 81,08 €. Con esa misma fecha y remitido con el anterior Salus Inversiones y Recuperaciones SL (SIR) les notifica el requerimiento de pago previo de la citada deuda. En caso de que no se efectúe el pago en el plazo de treinta días podrá ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 incluido en ficheros de morosos. Son incluidos por SIR en Asnef el 26/09/13 los datos personales de C.C.C., asociados a dicha deuda. Después de una cancelación a solicitud del titular de los datos es incluido de nuevo el 23/11/12. (folios 22-23) 4. 26/09/13, los datos personales de C.C.C. son incluidos en Asnef asociados a una deuda de 81,08 € a instancias de SIR por primera vez y el 22/11/13 por segunda vez. (folios 24, 35) 5. El 23/12/13 tiene entrada en la AEPD denuncia de B.B.B. porque nunca ha tenido contrato con Orange y por tanto no adeuda nada a esa compañía. Que con esa compañía, con su esposa D.D.D. como titular, tenían contratada una línea telefónica, que dió de baja el 06/10/08. (folios 1-36) 6. El 17/09/14 la Inspección de Datos de la AEPD obtiene de la base de datos de Orange impresión de pantallas de ordenador, donde se comprueba que no figura asociado al DNI E.E.E. del denunciante contrato o servicio alguno. (folios 45-48) Igualmente se comprueba que su nombre y apellidos constan anotados como contacto alternativo a la titular del contrato D.D.D.. En una pantalla aparece el nombre del denunciante, en ella como información detallada a la factura con número de referencia ***FACTURA.1 figura anotado 06/01/09 (domiciliación bancaria), 13/01/09 (devolución pago) y 22/07/13 (venta de deuda). (folios 47, 63) TERCERO: Orange Espagne SAU ha presentado en fecha 2 de junio de 2015 en esta Agencia Española de Protección de Datos recurso de reposición. Solicita el archivo del procedimiento. Alega que: <<< ... , la Resolución que por la presente se recurre, obvia las siguientes circunstancias: 1.- El denunciante ha sido el pagador de las facturas generadas por el servicio durante más de tres años, y que han sido emitidas a su nombre y no el de su esposa, conforme se ha acreditado en el marco del presente Expediente. 2.- No consta que el vínculo matrimonial se halla roto o interrumpido durante la citada prestación, siendo el domicilio en el que se desarrollaba la convivencia el mismo durante toda la relación contractual. 3.- El denunciante nunca ha formulado su oposición a que le fueran emitidas las facturas objeto del Contrato, ni tampoco ha denunciado previamente que se estuviera produciendo un uso inconsentido de sus datos. 4.- Tampoco se ha denunciado por el denunciante, la existencia de falsedad alguna en el uso de su identidad. 5.- Incluso los datos de contacto facilitados en el contrato, eran los del denunciante, lo que incluía su correo electrónico y haber facilitado su D.N.I. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 …, mi mandante cotejó que la identidad de la titular de la línea telefónica era correcta, y que los datos del responsable de pago—que era el cónyuge de la contratante, y que fueron facilitados en el proceso de contratación- también lo eran. Por tanto, nada más se puede pedir ni exigir a mi mandante. ... Ni el denunciante ni su cónyuge, han efectuado reclamación alguna al SETSI u organismo de consumo o arbitraje equivalente, ni han negado la existencia del débito, por lo que la discusión se reduce exclusivamente a determinar si el denunciante era el titular o no de pago de las facturas emitidas a su mujer, y por lo tanto, si en base a su impago, le podía ser reclamada la deuda y, en caso de no ser abonada la misma, proceder a su cesión mediante la venta del crédito, que realizo mi mandante ORANGE a la entidad SALUS INVERSIONES. …, desde el año 2006, la señora Esteras Franco y su esposo, han venido realizando uso regular de la línea contratada, lo que ha supuesto consumos medios de entre quince (15,00 €) y treinta euros (30,00 €) mensuales, sin que se haya procedido a formular reclamación alguna en tal sentido. … existen los indicios suficientes y necesarios que evidencian la existencia de una prueba de cargo insuficiente contra mi mandante ORANGE, y en cambio una presunción lo suficientemente sólida de que el denunciante conocía y consintió la contratación en tales términos, lo que supone la ausencia de responsabilidad de ORANGE. … no se ha producido infracción alguna relacionada con la cesión del dato, ya que la contratación del denunciante con mi mandante, se produjo, tras la aceptación de éste como responsable del pago. La posterior cesión del crédito impagada cumplió además los requisitos fijados en el artículo 347 del Código de Comercio (extremo éste no discutido además en el presente procedimiento), ya que: 1) medió un requerimiento previo de pago;
2. ji)se comunicó la decisión del crédito; iii) se procedió a comunicar la inclusión en el fichero ASNEF. >>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 II A los hechos declarados probados que sea han trascrito en el hecho segundo se aplicaron los fundamentos de derecho que a continuación se trascriben: <<< II En primer lugar, se imputa a Orange la infracción del artículo 11 de la LOPD en relación con el 6.1 de dicha norma. El artículo 11.1 de la LOPD establece lo siguiente: “Artículo 11. Comunicación de datos 1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
3. a)Cuando la cesión está autorizada en una Ley.
4. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
5. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
6. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
7. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
8. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores.” Así, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, habilitación legal (artículo 11.2.
9. a)de la LOPD) para la cesión de datos de carácter personal. Por su parte, el artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “Artículo 6. Consentimiento del afectado 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. De acuerdo con las disposiciones transcritas, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del tratamiento, - entre otros supuestos previstos en la Ley Orgánica 15/1999 -, cuando el tratamiento en cuestión se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). El artículo 3.
10. h)de la LOPD define el “consentimiento del interesado” como “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”, mientras que el artículo 3.
11. i)de la LOPD define como “Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.” El principio del consentimiento expresado requiere la necesidad del consentimiento “inequívoco” del afectado para que puedan tratarse sus datos personales, sentido que la Audiencia Nacional ha expresado en forma reiterada, entre otras en la sentencia de 4 de marzo de 2009 al señalar: “Respecto al consentimiento, es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 A su vez, el artículo 12.3 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento para el Desarrollo de la LOPD, establece que “Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” III En el presente supuesto, a la vista de la documentación que obra en el expediente y de los hechos declarados probados, los datos personales de la persona denunciante (nombre, apellidos, DNI) fueron incorporados a los sistemas de información de Orange asociados a una deuda que no le correspondía, tratándolos por el responsable de tales ficheros, Orange, para incluirlos en la relación de créditos que cede a SIR y la emisión incluyendo su nombre en la notificación de la cesión de créditos y que fue la causa del requerimiento previo de pago y la inclusión en Asnef por el cesionario. De lo expuesto, se evidencia que Orange, en su condición de responsable del fichero de los datos personales, no ha probado que recabó y obtuvo el consentimiento de la persona denunciante. No hay que olvidar que la carga de acreditar la existencia del consentimiento “inequívoco” corresponde al responsable del tratamiento probar que cuenta con el consentimiento del afectado para ello. En este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. A mayor abundamiento, conforme al criterio señalado en la Sentencia de la Audiencia Nacional de fecha 8 de noviembre de 2012, Rec. 789/2010, la carga de acreditar la existencia del “consentimiento inequívoco” exigido en el artículo 6.1 recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales cuando su existencia sea negada por el titular de tales datos, tal y como ha hecho la denunciante en el caso que nos ocupa, máxime cuando tampoco consta que el operador haya efectuado ninguna comprobación en el momento de la supuesta contratación por el cliente ni con posterioridad a la misma. En consecuencia, el tratamiento de los datos personales de la persona denunciante vulnera el principio del consentimiento recogido en el artículo 6.1 de la LOPD, por cuanto el mismo se realizó sin que Orange haya acreditado que contaba con el consentimiento inequívoco de la persona afectada o mediase habilitación legal para ello, no resultando de aplicación al mismo la excepción al consentimiento recogida en el artículo 6.2 de dicha norma que pudiera derivar de la relación contractual entre las partes al no haberse probado por Orange relación contractual. Por ello, con arreglo a lo expuesto, la comunicación de datos personales de la persona denunciante por Orange a SIR se produjo sin el consentimiento de la persona afectada, quien no había relación contractual de la que supuestamente derivaba el crédito objeto de compraventa ni consentido la cesión de sus datos personales, incurriendo en la cesión inconsentida imputada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 IV La infracción de lo dispuesto en el artículo 11 de la LOPD se encuentra tipificada como grave en el artículo 44.3.
12. k)de la misma norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. En el presente caso Orange es responsable de la comisión de una infracción del artículo 11.1, en relación con el 6.1 de la LOPD, calificada como grave en el artículo 44.3.
13. k)de dicha norma, al haber cedido los datos personales de la denunciante obtenidos originariamente sin el consentimiento de la misma, en relación con un servicio que no se acredita hubiera contratado y una deuda derivada del mismo. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
14. a)El carácter continuado de la infracción.
15. b)El volumen de los tratamientos efectuados.
16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
17. d)El volumen de negocio o actividad del infractor.
18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
19. f)El grado de intencionalidad.
20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 debida a una falta de diligencia exigible al infractor.
23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", siendo necesario para ello la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. No se han acreditado circunstancia que permitan aplicar alguno de los criterios establecidos en este apartado. El importe reclamado corresponde a una factura por penalización de enero de 2009, devuelta sin pagar ese mismo mes el 13/01/09, le envían a D.D.D. notificación de impago el 16/01/09 y no hay constancia de actuación posterior, respecto a ella, hasta la cesión de créditos a SIR en. Pero le reclaman el pago a C.C.C. el día 27/04/09 y el 14/05/09 por empresa de recobro (ISGF) y el 27/08/09 por otra empresa de recobro (Acción de Cobro). Luego nada más hasta la cesión de créditos a SIR. En agosto del 2013, más de cuatro años después, les comunican a ambos la cesión del crédito. La reacción de Orange, ante la devolución impagada de la factura penalizadora y las reclamaciones de D.D.D. por escrito de mayo de 2009 y la de C.C.C. -recibida por Orange el 13/07/09-, no es de diligencia razonable y suficiente para regularizar la situación irregular del tratamiento de datos inconsentido. Como consecuencia de esa falta de diligencia, cuatro años después los datos personales del denunciante son cedidos a SIR sin su consentimiento y más tarde incluidos en Asnef. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Para que el importe de la sanción pueda ser fijado han de ser examinadas las circunstancias a que se refiere el art. 45.4: El carácter continuado de la infracción queda fuera de duda. La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Orange es un grupo empresarial de carácter trasnacional, que tiene como actividad la prestación de servicios de telecomunicaciones principalmente. Esta empresa es de las primeras en clientes a nivel nacional, y tiene un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. En lo que se refiere al volumen de negocio hay que hacer constar que si bien es un hecho notorio, que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que no tuvieran intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por la empresa fue incumplido. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. La imputada ha sido objeto de expedientes sancionadores por infracciones similares. Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. Todos los criterios contemplados por el 45.4 de la LOPD aplicados a la valoración de todas las circunstancias permiten graduar la sanción por importe de 50.000 euros. >>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 III La actuación de Orange, reflejada en los hechos declarados probados, es tipificada en el artículo 44.3.
29. k)de la LOPD como infracción grave del artículo 11.1 -en relación con el 6.1- de la misma Ley Orgánica. Orange hizo cesión de los datos personales del denunciante asociados a una deuda a la mercantil SIR, como consecuencia del contrato de cesión de créditos firmado entre ambas empresas. El denunciante no tenía suscrito contrato alguno con Orange, no era titular de la deuda que se le exigía y no había dado el consentimiento para esa cesión de datos personales. Como consecuencia de esa cesión fue incluido en fichero de morosos. En la aportación documental al procedimiento sancionador no se ha hallado acreditación de que el denunciante sea el titular de la deuda que Orange le atribuye. El hecho de que figurara en la base de datos de la operadora como contacto alternativo no le convierte en titular de la deuda que la titular del contrato de servicios pudiera generar. Tampoco se ha hallado acreditación de que el denunciante asumiera la titularidad de la deuda o autorizara a utilizar sus datos personales asociados a esa deuda en la cesión de ésta a la mercantil adquirente de la misma. En conclusión, la cesión inconsentida de los datos personales del denunciante se produjo, su calificación como infractora del artículo 11.1.
30. k)en relación con el 6.1 de la LOPD es conforme a derecho, y procede la desestimación del recurso formulado y la confirmación en sus propios términos de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, el Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Orange Espagne SAU contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de abril de 2015, en el procedimiento sancionador PS/00647/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad Orange Espagne SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es