A-00188-2014

1/6 Procedimiento Nº: A/00188/2014 RESOLUCIÓN: R/01878/2014 En el procedimiento A/00188/2014, instruido por la Agencia Española de Protección de Datos a la entidad INTER PARTNER ASSISTANCE HTTP://WWW.IPASSISTANCE.ES/HOME.HTML, vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de junio de 2014, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que indica expresamente lo siguiente: “El pasado 30 de Marzo, remití desde mi dirección de correo electrónico, un PDF con una reclamación de mi tía abuela (B.B.B.) a la empresa Inter Partner Assistance referente a una póliza de viaje contratada con esta compañía. La respuesta de Inter Partner Assistance (http://www.ipassistance.es/home.html) llegó el 6 de mayo, y en ella se incluía información referente a la reclamación de mi tía abuela, pero también información referente a otra asegurada (C.C.C.) que no tiene relación ni conmigo ni con mi tía. Esta información referente a C.C.C.era totalmente innecesaria para justificar la decisión de Inter Partner Assistance, y me proporcionó información sobre: - la contratación de la Sra. C.C.C.de un seguro de viaje, para el mismo viaje que mi tía abuela - el estado de salud de la Sra. C.C.C. Desconozco si estas revelaciones constituyen una vulneración de la Ley de Protección de Datos, pero por lo menos suponen una política muy laxa en cuanto al tratamiento de los datos personales sensibles referidos a la salud de sus clientes. Les agradecería que analizaran la legalidad de la comunicación de Inter Partner Assistance (adjunta a este e-mail), y que en caso de suponer una vulneración de la Ley de Protección de Datos, que actuaran en consecuencia. Adjunto a esta denuncia encontrarán: - PDF con el contenido del correo electrónico que me remitieron desde Inter Partner Assistance. - Correo completo (con cabeceras) al que corresponde el contenido que les remito en PDF.” SEGUNDO: Con fecha 25 de julio de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a la entidad INTER PARTNER ASSISTANCE a trámite de audiencia previa el presente procedimiento de apercibimiento A/00188/2014, en relación con la denuncia por infracción del artículo 10 de la citada LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Con tal motivo, se concedió a la entidad INTER PARTNER ASSISTANCE (IPA) plazo para formular alegaciones, recibiéndose escrito de la misma en el que es una entidad que forma parte del Grupo AXA ASSISTNCE ESPAÑA, dedicada al negocio de los seguros y reaseguros, que comercializa productos centrados en la asistencia jurídica en carretera, en hogar y en viaje. Como muestra de la preocupación que tiene para IPA el tratamiento de datos de carácter personal, dispone del preceptivo documento de seguridad y ha elaborado, en paralelo con otras empresas del Grupo AXA, documentos para facilitar la comprensión y cumplimiento de las obligaciones por parte de los trabajadores, cursos destinados a sus empleados haciendo hincapié en las obligaciones generales de la LOPD como en las específicas de aplicación en el sector de los seguros. En la actualidad tienen los siguientes protocolos y cursos internos: 1. Presentación denominada “Manual de acogida” para los nuevos empleados, en el que se recuerda que no se pueden facilitar datos personales, que son confidenciales. 2. “Curso básico. La seguridad de la Información/Overview”, en su versión de abril de 2014. Durante el mismo y en la documentación empleada se recuerda el respeto a la privacidad de los clientes, y la obligación de mantener discreción absoluta sobre los datos manejados y vistos. 3. Documento sobre seguridad denominado “Objetivos de la seguridad de la Información en el Grupo AXA” informando de los riesgos en el tratamiento de los datos. 4. Documento sobre uso de información sensible denominado “Manejo de Información Sensible” reiterando las obligaciones de confidencialidad. 5. Documento con pautas de seguridad. 6. Documento “Protejamos juntos el puesto de trabajo” indicando que no pueden divulgar información confidencial a través del correo electrónico. Los hechos denunciados se produjeron incumpliendo las políticas internas detalladas anteriormente, vulnerando la obligación de confidencialidad. Se produjo por un error humano puntual y aislado, que tuvo lugar al intentar hacer comprender a la Sra. Bonet el motivo de la denegación de su solicitud de cobertura haciendo mención a otra asegurada que viajaba con ella y que podía conocer. Se ha estudiado la incidencia con toda la seriedad posible. La infracción no tiene carácter continuado, sino que es un error puntual. Se ha producido un fallo que es mínimo teniendo en cuenta el volumen enorme de tratamientos de datos que realizan. No ha existido dolo ni reincidencia en la comisión de la infracción, ni se han ocasionado perjuicios a los terceros afectados. Para reiterar el esfuerzo para que no se vuelva a producir están preparando nuevas sesiones formativas y de trabajo sobre el tratamiento de los datos personales. Por último, reconocen la culpa y han puesto todo lo posible para que no vuelva a suceder. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 1. Con fecha 6 de mayo de 2014, la entidad INTER PARTNER ASSISTANCE, remitió un correo electrónico a Don A.A.A., en el que le informan del motivo de la denegación de la cobertura del seguro correspondiente al expediente de la Sra. B.B.B., añadiendo que existe otro expediente relacionado con el mismo viaje, iniciado por la Sra. C.C.C., que se había rechazado por preexistente. 2. La entidad denunciada ha reconocido la incidencia, que expone se produjo por un error humano y puntual, y con la finalidad de hacer comprender al denunciante la situación refiriéndose a otra persona que realizaba el mismo viaje. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de datos efectuada por IPA, que resulta del envío al denunciante de información sobre otra persona que se le había rechazado la cobertura asegurada, constando su nombre y apellidos, así como el número de expediente. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dado el contenido de este precepto, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen comunicaciones de los datos no consentidas por los titulares de los mismos. Este deber de secreto, que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, de modo que los datos tratados no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que las personas están situadas, cada vez más, en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar una Sentencia dictada por la Audiencia Nacional, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
2. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el caso que nos ocupa, ha quedado acreditado que IPA remitió al denunciante un correo electrónico en el que explicaba el motivo por el que se le negó la cobertura del seguro a Doña B.B.B., añadiendo que otra señora que hacia el mismo viaje, Doña C.C.C., sí había sido rechazada la cobertura por preexistente.. Esta información no puede ser facilitada a terceros, salvo consentimiento del afectado o que exista una habilitación legal que permita su comunicación. No consta que la entidad IPA hubiese obtenido el consentimiento del tercero afectado para ello. Al contrario, dicha entidad ha reconocido que esta revelación de datos tuvo lugar y que la misma se produjo ocasionalmente por un error puntual y humano. El Tribunal Supremo considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. Conforme a esta doctrina jurisprudencial, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible por los hechos denunciados, atribuible plenamente a IPA de acuerdo con las circunstancias antes expresadas. Por tanto, queda acreditado que dicha entidad vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que un tercero, el denunciante, tuviese acceso a datos personales correspondientes a otro cliente de la entidad que había formulada ante la misma una reclamación. III La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
3. d)de la LOPD. En este precepto se establece lo siguiente: “
4. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales del tercero afectado fueron divulgados al denunciante por la entidad IPA, no habiéndose acreditado que aquél hubiese prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
5. d)de la LOPD. IV De acuerdo con lo expuesto, se iniciaron actuaciones contra por la presunta vulneración del deber de secreto recogido en los artículos señalados. Por otra parte, se tuvo en cuenta que la entidad imputada, IPA, no ha sido sancionada o apercibida con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 10 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6
6. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
7. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
8. a)y
9. b)del citado artículo 45.6 de la LOPD. Sin embargo, en el presente caso, la entidad IPA ha detallado los protocolos y cursos implementados entre sus trabajadores para que no se vulnere la confidencialidad en el tratamiento de los datos personales, incluyendo todos los protocolos en la intranet de la empresa. En consecuencia, se estiman adoptadas ya las medidas correctoras pertinentes, por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00188/2014 seguido contra la entidad INTER PARTNER ASSISTANCE, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 10 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a INTER PARTNER ASSISTANCE. 3.- NOTIFICAR el presente Acuerdo a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es