1/8 Procedimiento nº.: PS/00656/2015 ASUNTO: Recurso de Reposición Nº RR/00410/2016 Examinado el recurso de reposición interpuesto por la entidad ORANGE ESPAGNE, S.A.U., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00656/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 1 de junio de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00656/2015 , en virtud de la cual se imponía a la entidad ORANGE ESPAGNE, S.A.U. (en lo sucesivo ORANGE) una sanción de 10.000 €, por la vulneración de lo dispuesto en el artículo 21.1 y 2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada como leve en el artículo 38.4.
- d)de dicha norma, de conformidad con lo establecido en los artículos 39.1c) y 40 de la citada Ley. Dicha resolución, que fue notificada a ORANGE en fecha 6 de junio de 2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00656/2015, quedó constancia de los siguientes: “PRIMERO: En fecha 12/08/2015 el denunciante recibió en su línea B.B.B. un SMS de JAZZTEL con el siguiente texto “Esta semana con Jazztel disfruta de minutos ilimitados en su móvil. Llama al 900****** y llévate además un Smartphone de 5’’ gratis. No+Publi:1565”. SEGUNDO: Los datos del denunciante y el número de teléfono B.B.B., no constan ni en el fichero de clientes, ni en el fichero de clientes potenciales de JAZZTEL. TERCERO: JAZZTEL no ha acreditado contar con la solicitud o consentimiento previo del denunciante para la remisión del citado SMS. CUARTO: Respecto al funcionamiento del número 1565, que se facilita en el SMS como número habilitado para llamar en caso de no desear recibir publicidad (NO+Publi), JAZZTEL manifestó lo siguiente: - Dicho número, salvo error, únicamente se utiliza en envíos comerciales a clientes de la compañía. En caso de que un “No cliente”, reciba un SMS comercial en el que se indique C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 - - dicho número para no recibir más publicidad, puede efectuar una llamada gratuita al mismo, desde cualquier teléfono fijo, para comunicar a los agentes de JAZZTEL, que no desea seguir recibiendo publicidad. La locución del 1565, solicita al cliente que indique el número de teléfono sobre el que desea realizar la gestión, por lo que si el número de teléfono que se introduce no es de un cliente de JAZZTEL, el usuario contactara con un agente que tramitará su solicitud de oposición. Así mismo, el usuario puede oponerse también llamando al número de teléfono 900xxxxxx que figura en el SMS comercial. QUINTO: En fecha 01/10/2015 se realizaron desde esta Agencia, dos llamadas al número 1565, verificando que: - La citada línea es atendida por una locución automática que solicita marcar los nueve dígitos de la línea de teléfono del usuario para realizar la gestión. Se introducen los nueve dígitos de una línea que no está contratada con JAZZTEL. La locución indica que la línea facilitada no es de JAZZTEL y solicita de nuevo los nueve dígitos de la línea contratada con JAZZTEL. Al volver a introducir los nueve dígitos la locución indica que no reconoce la línea como de un cliente de la compañía. A continuación solicita marcar los dígitos del DNI del cliente, esta solicitud la realiza en dos ocasiones indicando en ambas que no se ha detectado ningún cliente con el número facilitado. Por último la locución indica que se han alcanzado el límite de intentos y da las gracias por contactar con el equipo de JAZZTEL. En ninguna de las dos ocasiones que se ha realizado la llamada al citado número, se ofrece la posibilidad de contactar con un agente, ya que la llamada se corta al no facilitarle ni un número de teléfono ni un D.N.I. de un cliente de JAZZTEL. SEXTO: JAZZTEL aporta impresión de sus sistemas con lo que manifiesta ser la solicitud de información realizada el día 29/11/2014 por el denunciante en la web de JAZZTEL HTTP://fibra.jazztel......... mediante introducción de su línea B.B.B. así como la posterior llamada ese mismo día a su referida línea B.B.B. ofreciéndole información sobre los productos que le interesaban. La citada web contiene en su política Protección de Datos información señalando que los datos facilitados se incorporan a un fichero “con fines de publicidad y promoción comecial, incluso por medios electrónicos de los productos y servicios de telecomunicaciones Jazztel”. SEPTIMO: En fecha 08/02/2016 se otorgó escritura de fusión por absorción entre JAZZTEL (sociedad absorbida) y ORANGE ESPAGNE, S.A.U. (sociedad absorbente)” TERCERO: ORANGE (en lo sucesivo el recurrente) ha presentado en fecha 14 de junio de 2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones formuladas en el procedimiento sancionador objeto del presente recurso y que se concretan en la existencia de consentimiento otorgado por el denunciante para el tratamiento con fines comerciales del dato de su línea B.B.B. al haber introducido dicho número de teléfono en fecha 29/11/2014 en la web de JAZZTEL HTTP://fibra.jazztel......... solicitando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 información sobre productos que le interesaban. En el presente recurso ORANGE aporta los datos a la dirección IP desde la cual se efectuó la conexión a la citada web por parte del denunciante, en concreto: IP: ***IP.1 ISP: ONO origin_city: Barcelona date: 27.11.2014 customer_phone: B.B.B. contact URL: http://fibra.jazztel.com/ FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por ORANGE, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas, a excepción de la aportación de los datos de la IP desde la cual se registró la línea del denunciante B.B.B. en la web http://fibra.jazztel.com/, ya fueron analizadas y desestimadas en el Fundamento de Derecho IV, de la Resolución recurrida, tal como se transcribe a continuación: <<IV Descrito el marco normativo aplicable a las comunicaciones comerciales remitidas a través de medios electrónicos, se debe destacar que la LSSI dispone en su artículo 21 lo siguiente: Art. 21 “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Art. 22.1 “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos” En el presente supuesto, ha quedado acreditado que en fecha 12/08/2015 el denunciante recibió en su línea B.B.B. un SMS de JAZZTEL con el siguiente texto “Esta semana con Jazztel disfruta de minutos ilimitados en su móvil. Llama al 900****** y llévate además un Smartphone de 5’’ gratis. No+Publi:1565”. JAZZTEL manifestó en fase de actuaciones previas que los datos del denunciante y el número de teléfono B.B.B., no constaban ni en el fichero de clientes ni en el fichero de clientes potenciales de JAZZTEL, alegando tras el acuerdo de inicio del procedimiento que el envío del SMS objeto de denuncia fue debido a un error al incluir su número de teléfono en un envío comercial. No obstante lo anterior tras la propuesta de resolución sancionadora JAZZTEL afirma contar con el consentimiento del denunciante para el envío de publicidad aportando impresión de sus sistemas con lo que manifiesta ser la solicitud de información realizada el día 29/11/2014 por el denunciante en la web de JAZZTEL HTTP://fibra.jazztel......... mediante introducción de su línea B.B.B. así como la posterior llamada ese mismo día a su referida línea B.B.B. ofreciéndole información sobre los productos que le interesaban. La citada web contiene en su política Protección de Datos información señalando que los datos facilitados se incorporan a un fichero “con fines de publicidad y promoción comecial, incluso por medios electrónicos de los productos y servicios de telecomunicaciones Jazztel”. Sin embargo JAZZTEL no ha aportado prueba fehaciente de dicha aportación de datos del denunciante a la citada web por cuanto con se aporta la dirección IP desde la cual presuntamente se produjo esa conexión aportando el dato de la línea telefónica del denunciante B.B.B.. En consecuencia la operadora no ha acreditado contar con la solicitud o consentimiento previo del denunciante para el envío del citado SMS de contenido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 publicitario. Asimismo las actuaciones obrantes en el expediente acreditan que JAZZTEL no habilitó un procedimiento sencillo y gratuito para oponerse al tratamiento de daros con fines comerciales por cuanto la el número 1565 al cual el SMS indicaba debían dirigirse en tal sentido los usuarios se comprobó que no ofrecía tal posibilidad en caso de líneas y usuarios que no fueran clientes de JAZZTEL. No cabe tomar en consideración lo alegado en primera instancia por la operadora por cuanto señala que tiene implementado un procedimiento para la exclusión de los datos de usuarios que manifiesten su negativa al tratamiento con fines comerciales y de publicidad y que el envío de un único SMS al denunciante es consecuencia a de una anomalía en el procedimiento de exclusión de usuarios Robinson y no una falta de diligencia exigible a JAZZTEL sino un fallo al incluir por error el número del denunciante en un envío comercial cuando este no debía formar parte de los destinatarios de la campaña. Tal argumento no justifica en modo alguno los hechos imputados por cuanto el denunciante no ejerció ante JAZZTEL su derecho de oposición al tratamiento de sus datos con fines comerciales y de publicidad y el envío del SMS se debió a un error en el sistema, habida cuenta que éste no era cliente de dicha operadora y por tanto sus datos personales, entre ellos el de la línea B.B.B. a la cual JAZZTEL envió el SMS comercial, no se encontraban en sus ficheros (como confirma la propia operadora), sin que por otra parte hay acreditado de modo fehaciente que éste otorgara su consentimiento para el tratamiento de sus datos con fines comerciales al introducir su número de teléfono en la web HTTP://fibra.jazztel......... por cuanto únicamente se aportó pantallazo de sus sistemas con tal información sin prueba de que tal solicitud vía web fue efectivamente hecha por el denunciante por cuanto no se aportó información adicional relativa a la dirección IP desde la cual se efectuó la conexión a la citada web.. Por tanto JAZZTEL no ha acreditado el origen de dicho dato personal y en consecuencia el consentimiento o solicitud del denunciante para el envío de la citada comunicación comercial electrónica.>> III En el presente recurso de reposición ORANGE ha aportado los datos relativos a la IP desde la cual se registró la línea del denunciante B.B.B. en la web http://fibra.jazztel.com/, en concreto: IP: ***IP.1 ISP: ONO origin_city: Barcelona date: 27.11.2014 customer_phone: B.B.B. contact URL: http://fibra.jazztel.com/ En este punto debemos recordar que la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, establece: “Artículo 3 Datos objeto de conservación. 1. Los datos que deben conservarse por los operadores especificados en el artículo 2 de esta Ley, son los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8
- a)Datos necesarios para rastrear e identificar el origen de una comunicación: … 2.° Con respecto al acceso a Internet, correo electrónico por Internet y telefonía por Internet:
- i)La identificación de usuario asignada.
- ii)La identificación de usuario y el número de teléfono asignados a toda comunicación que acceda a la red pública de telefonía. iii) El nombre y dirección del abonado o del usuario registrado al que se le ha asignado en el momento de la comunicación una dirección de Protocolo de Internet (IP), una identificación de usuario o un número de teléfono. Artículo 4 Obligación de conservar datos 1. Los sujetos obligados adoptarán las medidas necesarias para garantizar que los datos especificados en el artículo 3 de esta Ley se conserven de conformidad con lo dispuesto en ella, en la medida en que sean generados o tratados por aquéllos en el marco de la prestación de los servicios de comunicaciones de que se trate. Artículo 5 Período de conservación de los datos 1. A.A.A.. Reglamentariamente, previa consulta a los operadores, se podrá ampliar o reducir el plazo de conservación para determinados datos o una categoría de datos hasta un máximo de dos años o un mínimo de seis meses, tomando en consideración el coste del almacenamiento y conservación de los datos, así como el interés de los mismos para los fines de investigación, detección y enjuiciamiento de un delito grave, previa consulta a los operadores.” Tomando en consideración que ORANGE aportó los datos de la IP desde la cual se efectuó el registro de la línea del denunciante B.B.B. en la web http://fibra.jazztel.com/, otorgando el consentimiento para el tratamiento de dicho dato con fines comerciales, y que dicho registro se produjo en fecha 27/11/2014, conforme a lo dispuesto en el citado artículo 5 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones el operador ONO desde el cual se efectuó la conexión a la web http://fibra.jazztel.com/ no conserva los datos relativos a la titularidad de la IP en la citada fecha, si bien alguno de los datos facilitados como son el origen de la conexión (Barcelona) y el operador (ONO) coinciden con los datos de localidad de residencia y operadora de telecomunicaciones del denunciante. Todo ello hace que si bien no pueda acreditarse que la titularidad de la IP desde la que se efectuó la conexión a la web http://fibra.jazztel.com/ correspondía al denunciante, los datos aportados por ORANGE hacen que exista una duda razonable respecto a que el denunciante no otorgara su consentimiento a ORANGE para el uso del dato de su línea B.B.B., y por el contrario existen indicios de que tal dato fue facilitado por el denunciante en la fecha señalada por ORANGE. En este punto hemos de tener en cuenta que, al Derecho Administrativo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, lo visto anteriormente en aplicación del principio de presunción de inocencia, impiden imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. Por lo tanto, en el presente caso, aportando ORANGE los datos relativos a la conexión efectuada en fecha 27/11/2014 a la web http://fibra.jazztel.com/ (IP, operador localidad, línea) en la que se facilitó el número de línea del denunciante B.B.B., en aplicación del principio “in dubio pro reo” existiendo caso de duda respecto de que el denunciante otorgara su consentimiento a ORANGE para el tratamiento con fines comerciales del dato de su línea B.B.B., no cabe imputar la existencia de infracción del artículo 21.1 de la LSSI. Por el contrario ORANGE no ha aportado ningún elemento nuevo de hecho o de derecho respecto de la infracción del artículo 21.2 de la LSSI que se mantiene en los términos de la resolución recurrida. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 PRIMERO: ESTIMAR PARCIALMENTE el recurso de reposición interpuesto por ORANGE ESPAGNE, S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 1 de junio de 2016, en el procedimiento sancionador PS/00656/2015, e imponer la sanción en la cuantía de 2.500 €, por la infracción del artículo 21.2 de la LSSI. SEGUNDO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es