← España

A-00337-2014

1/9 Procedimiento Nº: A/00337/2014 RESOLUCIÓN: R/02788/2014 En el procedimiento A/00337/2014, instruido por la Agencia Española de Protección de Datos a ALLIANZ, COMPAÑIA DE SEGUROS Y REASEGUROS, S.A., CAJA DE SEGUROS REUNIDOS, COMPAÑIA DE SEGUROS Y REASEGUROS "CASER", y a Don A.A.A., vista la denuncia presentada por la Dirección General De La Guardia Civil, y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de diciembre de 2013, tuvo entrada en esta Agencia un escrito de La Dirección General de la Policía y la Guardia Civil, en el que comunican que, con fecha 22 de noviembre de 2013, una patrulla de vigilancia de Seguridad Ciudadana encontró en un paraje denominado Sierrallana, en el término municipal de Torrelavega (Cantabria), varias cajas de cartón cuyo contenido eran pólizas de Seguros de las Compañías Allianz Seguros y Caser Seguros. En dichas pólizas constaban datos personales de identidad así como patrimoniales referentes a vehículos y personas, viviendas y empresas. Una vez realizado el recuento de la documentación encontrada, se trata de 285 Pólizas de Seguro de vehículos, Hogar, Vida, etc., figurando como único Agente en las mismas, Don A.A.A.. Realizadas las gestiones oportunas para la localización del responsable de la documentación se ponen en contacto con el citado agente, el cual manifiesta que dicha documentación se encontraba en un garaje de su propiedad y desconocía la falta de dichos documentos, haciéndole entrega para su depósito, custodia o destino reglamentario, de toda la documentación encontrada, firmando un acta de entrega. Se adjunta Acta de dicha entrega. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 2 de abril de 2014, se recibe en esta Agencia escrito de la Compañía CASER SEGUROS, en el que pone de manifiesto que: 1.1. Existe un documento denominado “Medidas de seguridad archivos no automatizados”, en el que figuran todas las normas relativas a medidas de seguridad de la documentación en papel y que son de obligado cumplimiento para los agentes. Dicho documento se adjunta a este escrito. 1.2. En las Condiciones de acceso a la web del Mediador de Caser, documento de obligada suscripción por todos los mediadores de esa Aseguradora, establece en la estipulación Cuarta la obligación de los mediadores de remitir, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 carácter semanal toda la documentación relativa a la contratación de Pólizas. Se adjunta copia de la misma. 1.3. Los Agentes suscriben un Anexo de Tratamiento de Datos Personales junto con el contrato de Agencia, asumiendo su condición de encargados del tratamiento y regulándose el tratamiento de los datos. Se remite un ejemplar. 1.4. Se adjunta copia de la siguiente documentación correspondiente al Sr. A.A.A.: 1.4.1.Copia del contrato mercantil de Agente de seguros, suscrito con fecha 13 de diciembre de 2002. En su punto 8 consta, la obligación del Mediador a devolver a la Compañía las Pólizas debidamente firmadas. 1.4.2.Anexo de tratamiento de datos personales, suscrito por dicho Agente con fecha 13 de diciembre de 2002. En el mismo consta la aceptación como encargado del tratamiento de los datos correspondiente a clientes de la Aseguradora. Asimismo consta que el Mediador establecerá las medidas de seguridad necesarias para el tratamiento y seguridad de dicha información. En el caso de resolución del contrato, deberá devolver toda la documentación que estuviese en su poder, o certificado de destrucción de la misma. 1.5. Copia de las CONDICIONES DE ACCESO A LA PAGINA WEB, suscrita por el citado Agente. 1.6. Documento de cesión de clave y derechos derivados del contrato de mediación, a favor de una tercera persona que le sustituirá en sus labores de Agente, de fecha 17 de mayo de 2007, fecha en la que el Sr. A.A.A., causa baja como Agente de la Compañía. 2. Con fecha 10 de abril de 2014, se recibe en esta Agencia escrito de la entidad ALLIANZ COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., poniendo de manifiesto que: 2.1. El procedimiento establecido por la Compañía para la custodia de la documentación se encuentra se encuentra plasmada en la Intranet en el sistema e-pack de la Aseguradora, de acceso exclusivo para los Agentes y empleados de la Compañía que los precisen. Según consta en la documentación adjunta en dicha página existe un apartado denominado “Advertencia Legal”, donde consta un apartado de deber de confidencialidad. A través de este sistema, Allianz Seguros mantiene una relación continua con sus agentes, por un lado el sistema permite a los agentes contratar directamente los productos de la compañía, y por otro, es el medio utilizado por la Compañía para proporcionar información actualizada y continuada a sus agentes. 2.2. Se adjunta impresión de pantalla de parte de la información proporcionada a los Agentes, donde consta entre otros: 2.2.1.No dejes documentos desatendidos y guardándolos siempre bajo llave. 2.2.2.Destruye la información de forma irrecuperable cuando ya no sea necesaria 2.2.3.Denuncia cualquier incidente, fuga o pérdida de información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 2.3. Se aporta un documento de Medidas de Seguridad de obligado cumplimiento por el Agente en su calidad de encargado del tratamiento. 2.4. El Sr. A.A.A. es Agente de Seguros Exclusivo de Allianz Seguros, desde agosto de 1995, tal y como puede comprobarse en la ficha Registral del Punto Único de Información de Mediadores de Seguros y Reaseguros de la Dirección General de Seguros y Fondos de Pensiones, que se adjunta a este escrito. 2.5. El sistema E-pack, guarda un registro de acceso al mismo, adjuntándose los accesos realizados por el citado agente durante el mes de septiembre de 2013, quedando a disposición de la Agencia el acceso en cualquier otro periodo. 2.6. Se adjunta acreditación del último curso sobre protección de datos realizado por dicho Agente en fecha 3 de Junio de 2013. 3. Con fecha 14 de mayo de 2014 se recibe en esta Agencia escrito de Don A.A.A., en el que pone de manifiesto que: 3.1. Desconoce los hechos que motivaron la aparición de las pólizas en la vía pública. 3.2. Con fecha 04/12/2013, la Guardia Civil se pone en contacto telefónico con él para informarle de estos hechos, haciéndole entrega al día siguiente de toda la documentación, estos hechos los pone en comunicación de las aseguradores, y concretamente Allianz pasa a recogerlas. 3.3. Con fecha 19/12/2914 presenta denuncia de estos hechos a través del Gabinete Jurídico de Allianz. 3.4. Las Pólizas encontradas son propiedad de la aseguradora y en último caso del asegurado, pero en ningún caso de su propiedad., las pólizas encontradas no se encontraban en su poder, le fueron entregadas por la Guardia Civil. 3.5. La comunicación entre el Agente y las aseguradoras se realiza a través de la aplicación correspondiente, donde se accede con usuario y clave. TERCERO: Con fecha 6 de noviembre de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00337/2014. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 26 de noviembre de 2014, se recibe en esta Agencia escrito del denunciado en el que comunica que no se ha demostrado que el sea el responsable del abandono de la documentación. Las pólizas son de la compañía aseguradora. No se ha producido ningún perjuicio ya que ningún asegurado ha reclamado. Añade que su situación económica es precaria. HECHOS PROBADOS PRIMERO: Con fecha 22 de noviembre de 2013, una patrulla de vigilancia de Seguridad Ciudadana encontró, en un paraje denominado Sierrallana, en el término municipal de Torrelavega (Cantabria), varias cajas de cartón cuyo contenido eran pólizas de Seguros de las Compañías Allianz Seguros y Caser Seguros. En dichas pólizas constaban datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 personales de identidad así como patrimoniales referentes a vehículos y personas, viviendas y empresas. SEGUNDO: La documentación encontrada son 285 Pólizas de Seguro de vehículos, Hogar, Vida, etc., figurando como único Agente en las mismas, Don A.A.A.. TERCERO: Don A.A.A. manifestó ante la Guardia Civil que dicha documentación se encontraba en un garaje de su propiedad y desconocía la falta de dichos documentos, haciéndole entrega para su depósito, custodia o destino reglamentario, de toda la documentación encontrada, firmando un acta de entrega. CUARTO: Don A.A.A. es Agente de Seguros Exclusivo de Allianz Seguros, desde agosto de 1995. QUINTO: Don A.A.A. causo baja como Agente de la Compañía Caser, en fecha 17 de mayo de 2007 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II El denunciado está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales registrados en sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a tales datos. En este caso, los hechos expuestos, en relación con el abandono en un lugar público de documentación responsabilidad del denunciado, en la que se contienen datos personales (pólizas de seguros), podrían suponer la comisión, por parte del mismo, de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), según el cual “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”, en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en los artículos 91, 92.4 y 97.2, que establecen lo siguiente: Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Artículo 92. Gestión de soportes y documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Artículo 97. Gestión de soportes y documentos. “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. III Así, el denunciado está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros, en atención a la naturaleza de los datos personales registrados en dichos ficheros, y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales ficheros por parte de terceros. Sin embargo, ha quedado acreditado que incumplió esta obligación. En el presente caso, ha quedado acreditado que la Guardia Civil constató que, el día 22 de noviembre de 2013, en un lugar público del término municipal de Torrelavega, se había depositado diversa documentación que custodiaba el denunciado, en la que figuraban datos de carácter personal de clientes de distintas aseguradoras relativos a nombre, apellidos, teléfono, así como información patrimonial de los asegurados. Por tal motivo, el Sr. A.A.A. incumplió las medidas de seguridad necesarias para evitar que los datos de que dispone en formato papel fuesen desechados correctamente, y dando lugar a su hallazgo por terceros, dejándolos al alcance del público en una zona pública. Por ello, procede concluir que el denunciado ha vulnerado el principio de seguridad en materia de protección de datos, que se encuentra recogidos en el artículo 9 de la LOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). V El artículo 44.3.
  2. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. El abandono en un lugar público de documentación responsabilidad de Don A.A.A., en la que se detallan datos personales de clientes, supone una vulneración del “principio de seguridad de los datos”, por lo que se considera que ha incurrido en la infracción grave descrita. No pueden atenderse sus alegaciones referidas a que no era su responsabilidad el abandono de las pólizas ya que reconoció que las tenía en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 garaje de su casa; debiendo añadir que la Guardia Civil indica en el Acta levantada que el denunciado aparece como Agente de las pólizas. VI El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  3. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  4. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  5. a)El carácter continuado de la infracción.
  6. b)El volumen de los tratamientos efectuados.
  7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  8. d)El volumen de negocio o actividad del infractor.
  9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  10. f)El grado de intencionalidad.
  11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9
  16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  20. a)y
  21. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la no vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad, la ausencia de beneficios que se deriven de la comisión de la infracción y el grado de intencionalidad apreciado. En las actuaciones constan las declaraciones de las dos entidades aseguradoras en las que se indica que le informaron sobre las medidas de seguridad que debía cumplir con la documentación de los clientes. El denunciado ha indicado que tenía la documentación en su garaje y que no advirtió de su desaparición. Por tanto, procede requerir al denunciado a que extreme el cumplimiento de las medidas de seguridad que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00337/2014) a Don A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  22. h)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a Don A.A.A. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que extreme el cumplimiento de las medidas de seguridad y proceda a la destrucción de la documentación de forma que no sea recuperable. 3.- NOTIFICAR el presente Acuerdo a Don A.A.A.. 4.- NOTIFICAR el presente Acuerdo a la Dirección General De La Guardia Civil. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.