Sentencia ADMINISTRATIVO Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 236/2018 de 11 de Octubre de 2019

Encabezamiento

A U D I E N C I A N A C I O N A L

Sala de lo Contencioso-Administrativo

SECCIÓN PRIMERA

Núm. de Recurso:0000236/2018

Tipo de Recurso:PROCEDIMIENTO ORDINARIO

Núm. Registro General:02616/2018

Demandante:ORANGE ESPAGNE SAU

Procurador:ROBERTO ALONSO VERDU

Demandado:AGENCIA PROTECCIÓN DE DATOS

Abogado Del Estado

Ponente IIma. Sra.:Dª. NIEVES BUISAN GARCÍA

S E N T E N C I A Nº:

IImo. Sr. Presidente:

D. EDUARDO MENÉNDEZ REXACH

Ilmos. Sres. Magistrados:

Dª. LOURDES SANZ CALVO

Dª. NIEVES BUISAN GARCÍA

Madrid, a once de octubre de dos mil diecinueve.

Vistos por la Sala, constituida por los Sres. Magistrados reseñados al margen, los autos del recurso contencioso-administrativo número 236/2018, interpuesto por el Procurador de los Tribunales don Roberto Alonso Verdu, en nombre y representación de Orange Espagne SAU, contra la resolución de la Directora de la AEPD de 24 de abril de 2018 que desestima el recurso de reposición frente a la anterior Resolución de 1 de marzo de 2018. Ha sido parte demandada LA ADMINISTRACIÓN DEL ESTADO, representada por el Abogado del Estado. La cuantía del recurso se fijó en 102.000.- euros.

Antecedentes

PRIMERO.-Por la entidad recurrente se interpuso recurso contencioso administrativo ante esta Sala con fecha de 4 de mayo de 2018, del que se acordó su tramitación de conformidad con las normas establecidas en la Ley 29/1998, y la reclamación del expediente administrativo.

SEGUNDO.-En el momento procesal oportuno tal parte actora formalizó la demanda mediante escrito presentado el 9 de junio de 2018 en el que, tras alegar los hechos y fundamentos de derecho que estimó procedentes, terminó suplicando se dictara sentencia por la que declare la nulidad de la Resolución de 24 de abril de 2018 por la que se desestima el recurso de reposición contra la anterior Resolución de 1 de marzo de 2018, por no ser ajustada a Derecho.

TERCERO.-El Sr. Abogado del Estado contestó la demanda mediante escrito presentado el 6 de septiembre de 2018 en el que, tras alegar los hechos y los fundamentos jurídicos que estimó aplicables, terminó suplicando se dictara sentencia en la que se desestimara el recurso, confirmando íntegramente la resolución impugnada por ser conforme a Derecho.

CUARTO.- Solicitado el recibimiento del pleito a prueba, se practicó la prueba documental propuesta y admitida, con el resultado que figura en las actuaciones. No considerándose necesaria la celebración de vista pública, se dio trámite de conclusiones a las partes, trámite que evacuaron por su orden, primero la defensa de la entidad actora y después el Abogado del Estado, mediante escritos en los que concretaron y reiteraron sus respectivos pedimentos.

QUINTO.-Co nclusas las actuaciones, las mismas quedaron pendientes de señalamiento para votación y fallo, fijándose al efecto el día 8 de octubre de 2019, fecha en que ha tenido lugar la deliberación y votación, habiendo sido ponente la Ilma. Magistrada doña NIEVES BUISAN GARCÍA, quien expresa el parecer de la Sala.

Fundamentos

PRIMERO.-Se interpone el presente recurso contencioso administrativo por Orange Espagne SAU frente a la Resolución de la Directora de la AEPD de 24 de abril de 2018 que desestima el recurso de reposición frente a la anterior Resolución de 1 de marzo de 2018 ( PS/519/2017) que acuerda imponer a dicha entidad (antes JazzTel) una multa de 32.000 euros por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b) de dicha Ley Orgánica, de conformidad con el artículo 45 de la misma. Así como otra multa de 70.000 euros por una infracción del artículo 4.3 de la LOPD en relación con el artículo 29.4 de la misma, tipificada como grave en el artículo 44.3.c) de dicha Ley Orgánica, de conformidad con el artículo 45 de tal LOPD.

Resoluciones que se basan en los siguientes hechos probados más trascendentes:

-El 10 de mayo de 2017 el Sr. Eugenio remite a Orange fax comunicando la denuncia policial presentada por presunta usurpación de identidad, mediante la que han sido contratados y adquiridos servicios y productos de telefonía móvil y fija a dicha compañía telefónica, momento en el que se procede a catalogar la contratación como fraudulenta y cursar la baja de los datos del denunciante en el fichero Asnef.

-Los datos del denunciante fueron incluidos en el fichero Asnef de solvencia patrimonial desde el 19/05/2016 y hasta el 10/05/2017.

-Orange Espagne solicita la inclusión en el fichero de morosidad tras la emisión del preceptivo requerimiento de pago mediante carta de 12/04/2016, constatándose su recepción mediante albarán de entrega de correos, requerimiento que se remite a la dirección facilitada en la contratación realizada telefónicamente.

En la fundamentación de las resoluciones impugnadas se añade también que : Una vez analizadas las pruebas documentales aportadas cabe concluir que Orange Espagne SAU no ha acreditado haber actuado diligentemente en la contratación de los servicios objeto de este caso, al no indicarse las líneas objeto de contratación a lo largo de toda la grabación, al no coincidir el correo electrónico dado en la grabación de la contratación con el que aparece en la base de datos de Orange, al no constar Albarán de entrega de uno de los productos adquiridos ( Tablet) y al desprenderse de la audición de la grabación de la verificación de los datos de la contratación telefónica aportada que es una voz de mujer la que se identifica como Eugenio, por lo que la verificación debió ser negativa.

SEGUNDO.-La parte actora sustenta su pretensión impugnatoria de la demanda, en síntesis, en las siguientes consideraciones:

Inexistencia de infracción del artículo 6.1 LOPD: la grabación de la contratación por parte de la entidad independiente Qualytel se efectuó cumpliendo los requisitos de la Circular 1/2009 modificada por Resolución de 16 de marzo de 2012, por la que se publica la Circular 1/2012 (BOE 23/04/2012). Carecen de virtualidad jurídica para enervar el correcto proceder de la entidad actora los dos argumentos esgrimidos por la AEPD: Que la voz de la contratante telefónica era femenina y no masculina, pues las únicas respuestas dadas a la operadora eran monosílabos, y en cuanto a no haber aportado albarán de entrega de la Tablet, la presencia o ausencia de dicho documento no figura entre los requisitos de la citada Circular.

Inexistencia de infracción del artículo 4.3 LOPD: la actuación de Orange ha de calificarse de diligente pues 24 horas después de recibir la comunicación escrita del denunciante, solicitando el borrado de sus datos personales y, de manera especial, la deuda que figuraba contraída en él, la actora llevo a cabo tal cancelación de datos personales en su integridad.

TERCERO. Se imputa a Orange Espagne SAU, en primer término, una infracción grave del artículo 44.3.b) de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, que tipifica como tal: 'Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo'.Precepto que ha de relacionarse con el artículo 6.1 de dicha LOPD, que requiere el consentimiento inequívoco del afectado para tratar sus datos de carácter personal ' salvo que la ley disponga otra cosa' .

Consentimiento que se define en la letra h) del Art. 3 LOPD como 'toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le concierne'.

Constituye doctrina reiterada y consolidada de esta Sala que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito ( SSAN 25/06/2009 Rec. 638/2008 y 15/10/2013, Rec. 398/2012, entre otras muchas), dado que tal consentimiento se puede producir de forma expresa, oral o escrita, o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos. En el mismo sentido esta Sala, incidiendo en la exigencia de que el consentimiento sea inequívoco, ha indicado con reiteración que 'cualquiera que sea la forma que revista el procedimiento, éste ha de aparecer como evidente, inequívoco (que no admite duda o equivocación) pues éste, y no otro, es el significado del adjetivo utilizado para calificar el consentimiento'. Habiendo asimismo declarado ( SAN 23/04/2015, Rec. 97/2014, por todas), que la concurrencia del consentimiento inequívoco del afectado para el tratamiento de los datos personales por parte de un tercero, en el caso de que el titular de los datos niegue haberlo otorgado, se ha de acreditar o corresponde su acreditación a quien realiza el tratamiento de dichos datos.

Artículo 6.1 LOPD que en el presente supuesto ha de relacionarse con el contenido de la Circular 1/2009, de la Comisión del Mercado de las Telecomunicaciones, modificada por la Circular 1/2012 (BOE 23/04/2012), por la que se introduce el consentimiento verbal con verificación por tercero en la contratación de servicios mayoristas regulados de comunicaciones fijas y en las solicitudes de conservación de numeración.

Circular que habilita otra posibilidad de consentimiento, añadida a la vigente (consentimiento verbal por parte de tercero, y no escrito, de dicho abonado), que aporta más agilidad a la tramitación, debido a la inmediatez que se deriva de utilizar un consentimiento verbal entre ausentes (contratantes a distancia). No obstante, y a fin de garantizar el cumplimiento de la normativa de protección de datos, se trasladan a la misma los requisitos de identidad recogidos para la tramitación de solicitudes previo consentimiento escrito del abonado y, además, se añade la presencia de un tercero independiente que verificará de forma objetiva la existencia de tal consentimiento en las condiciones requeridas.

Así, en lo que respecta a las exigencias formales de tal prestación verbal del consentimiento, han de cumplirse, entre otros, los siguientes requisitos:

1. Se informará al cliente de que la conversación se está grabando y se le preguntará si está de acuerdo con que la conversación sea grabada.

2. El verificador indicará la fecha (día, mes, año y hora) en que tiene lugar la conversación.

3. El verificador informará al abonado del código identificativo de la solicitud.

4. Se solicitará al cliente que aporte o confirme la siguiente información: nombre del titular de la línea o denominación de la entidad titular y nombre del apoderado, si es el titular de la línea o el apoderado de la empresa (la respuesta tiene que ser afirmativa, de otro modo la verificación es negativa), NIF, dirección/domicilio social, numeración a portar, operador beneficiario, operador donante, y momento deseado para portar (día, mes y año en el que el abonado desea se lleve a cabo la portabilidad).

CUARTO.-De la aplicación de dicha normativa y doctrina al supuesto de autos, esta Sala concluye, al igual que considera la resolución recurrida, que ORANGE no ha acreditado haber actuado diligentemente en la contratación del servicio telefónico en que se sustentan las sanciones enjuiciadas en este pleito, y por ende que no ha acreditado contar con el consentimiento inequívoco del denunciante, titular de los datos personales en juego, y ello tras la audición de la grabación a través de la que se efectúa la contratación telefónica con Orange, cuya calidad es extraordinariamente defectuosa, pero de la que resulta lo siguiente :

No se hace referencia a las líneas telefónicas que se contratan a lo largo de toda la grabación; no coincide el correo electrónico dado en la grabación de la contratación DIRECCION000 con el que aparece en la base de datos de Orange, DIRECCION001 sin que figure que ello se deba a cambio solicitado por el cliente; y se desprende de la audición de la grabación que es una voz femenina y no masculina la que se identifica como Eugenio, principalmente cuando dicha persona trata de corregir a la operadora respecto del correo electrónico indicado DIRECCION000 sobre si se trata de una ' NUM000' o una ' NUM001'.

Nos hallamos en el presente caso, a diferencia de otros supuestos de que ha conocido esta misma Sala y Sección, ante la ausencia de datos relevantes en dicha grabación, exigidos por la Circular 1/2009, lo que pone de manifiesto que el operador no adoptó las cautelas exigibles para comprobar la identidad del cliente y asegurarse de contar con su consentimiento para el tratamiento de sus datos personales.

Resulta notoria, por todo ello, la existencia de antijuridicidad y culpabilidad en la conducta infractora de Orange quien, como responsable del fichero y tratamiento datos personales, que decide sobre la finalidad, contenido y uso de los datos personales incluidos en sus bases, tenía la obligación de obrar con mayor diligencia a la hora de incorporar nuevos datos personales a sus ficheros, mantenerlos en los mismos y girar facturas contra su titular, asegurándose de contar con su consentimiento, a fin de no incurrir en el tratamiento inconsentido de sus datos personales.

QUINTO.Po r lo que respecta a la segunda infracción imputada a Orange Espagne SAU, dispone el artículo 44.3. c) LOPD que son infracciones graves: Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave'.

En este sentido, establece el artículo 4.3 LOPD, que recoge el principio de calidad de los datos, que 'Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado'.

Añadiendo el artículo 29.4 LOPD lo siguiente: '1.Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento. 2.Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley.(...). 4.Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos'.

A su vez el Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, establece en su artículo 38 los requisitos para la inclusión de datos en los ficheros de carácter personal, determinantes para enjuiciar la solvencia económica del afectado, entre los que prevé los siguientes: 1.- la existencia de una deuda cierta, vencida y exigible, y 2.- requerimiento previo al pago a quien corresponda el cumplimiento de la obligación.

Pues bien, con independencia de la infracción examinada en el fundamento jurídico anterior, Orange ha incurrido también en la infracción del principio de calidad del dato, pues llevó a cabo el tratamiento de datos de carácter personal inexactos, de forma que no correspondían con veracidad con la situación del denunciante, emitiendo facturas asociadas a servicios que éste no había contratado y, ante su impago, comunicando tales datos a los ficheros de solvencia Asnef, quedando asociados a una deuda que no correspondía al repetido afectado. Las consideraciones realizadas en el fundamento de derecho anterior sobre la falta de diligencia de la operadora sancionada, por último, asimismo ponen de manifiesto también su falta de diligencia en el tratamiento de los datos acorde al principio de calidad del dato, por lo que asimismo ha de confirmarse la sanción impuesta a Orange como consecuencia de la vulneración del artículo 4.3 LOPD.

SEXTO.Razones, las anteriores, que conducen a la desestimación del presente recurso, por lo que de conformidad con el Art. 139 de la LJCA, procede la imposición de las costas a la parte actora.

Fallo

Que desestimando el recurso contencioso administrativo interpuesto por la representación procesal de Orange Espagne SAU frente a la Resolución de la Agencia Española de Protección de Datos de 24 de abril de 2018, que confirma en reposición la anterior Resolución de 1 de marzo de 2018, que impone a dicha entidad actora una sanción de 32.000 euros por vulneración del artículo 6.1 LOPD, y otra sanción de 70.000 euros por vulneración del artículo 4.3 de dicha LOPD, confirmamos dicha resolución y sanciones, con imposición de costas a tal entidad.

La presente sentencia es susceptible de recurso de casación ante el Tribunal Supremo que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el artículo 89.2 de la Ley de la Jurisdicción justificando el interés casacional que presenta.

Así por esta nuestra Sentencia, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada , leída y publicada fue la anterior Sentencia en audiencia pública. Doy fe. Madrid a.

EL LETRADO DE LA ADMINISTRACIÓN DE JUSTICIA.