La reclamante denuncia la formalización de una contratación con la operadora de telefonía sin su consentimiento ni conocimiento, incluyéndose sus datos personales en los sistemas comunes de información crediticia a raíz del impago de estos servicios contratados fraudulentamente.
A raíz de recibir una llamada del departamento jurídico de la compañía notificándole el impago de varias facturas por contratación de diversas líneas de teléfono, la afectada se da cuenta que en las facturas figuraba su nombre y DNI pero que las líneas habían sido instaladas en otro domicilio, y que había sido usurpada su identidad, tal y como consta en la denuncia presentada ante la Dirección General de la Policía de su localidad.
La contratación se realizó a través del canal de televenta, utilizando un SMS certificado que incluye adjunto el comprobante de venta y la grabación de la contratación o VPT, y consistió en la contratación de dos portabilidades de otra empresa de telecomunicaciones.
Denunciados los hechos ante la Agencia Española de Protección de Datos, concluye el procedimiento sancionador con la imposición de una multa de 70.000 euros a la entidad Orange por vulneración del artículo 6.1 del RGPD (LA LEY 6637/2016), al haber realizado un tratamiento de datos personales sin legitimación. Los datos personales fueron incorporados a los sistemas de información de la compañía, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese lícito el tratamiento efectuado.
La Agencia descarta las alegaciones de Orange, que se escuda en la presentación de solicitud de información al departamento de Fraude respecto a los contratos denunciados, en la confirmación de la irregularidad de las contrataciones y en la realización de los ajustes económicos y ejecución de la baja por fraude. Tales actuaciones no enervan la falta de diligencia en el tratamiento de los datos personales.
Un cumplimiento diligente del principio de licitud en el tratamiento de datos requiere que la responsable del tratamiento esté en condiciones de probarlo (principio de responsabilidad proactiva), y en el caso, los datos personales fueron incorporados a los sistemas de información de la compañía sin que haya quedado acreditado que hubiese contratado legítimamente, que dispusiera de consentimiento para la recogida y el tratamiento posterior de datos personales, o existiese alguna otra causa que hiciese lícito el tratamiento efectuado.
Para motivar el importe de la sanción, explica la Agencia que se valoran como agravantes, de un lado, que los hechos derivan de una falta de diligencia porque cuando tuvo conocimiento del fraude no actuó y siguió tratando los datos, y de otro, por la vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes.