1/15 RESOLUCIÓN PROCEDIMIENTO DEL ARTÍCULO 5.5 DE LA LOPD Con fecha 14/04/2013 tuvo entrada un escrito de “MUTUA DE PROPIETARIOS SEGUROS Y REASEGUROS A PRIMA FIJA” (en lo sucesivo la MUTUA) en el que solicita la tramitación de la exención del deber de información a los titulares de los datos personales ex artículo 5.5 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) y 153 a 156 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD (en lo sucesivo RLOPD), en base a los siguientes: ANTECEDENTES PRIMERO: La MUTUA es una entidad aseguradora inscrita en el Registro especial de Entidades Aseguradoras del Ministerio de Hacienda. Dispone entre otros de dos ficheros “POLIZAS/CLIENTES” y “SINIESTROS” sobre los que versa su solicitud. Manifiesta que si bien dispone de ciertos productos en los que el tomador del seguro es informado del tratamiento de datos, tanto en el proyecto de seguro como en la firma de las condiciones, existen otros en que pueden figurar “terceras personas” físicas, cuyos datos han de ser tratados y a los que se ha de informar. Detalla dos supuestos en que se dan las expresadas circunstancias y para las que pide la exención del deber de información: 1) La entidad comercializa un seguro denominado “MUTUA ALQUILER”, que asegura al propietario de un inmueble contra el eventual impago de rentas por parte del arrendatario. Detalla el funcionamiento operativo del producto, que se desarrolla en el siguiente antecedente. Sobre esta operativa efectúa al mismo tiempo una consulta al Gabinete Jurídico para saber si se adecua a la normativa de protección de Datos. Esta consulta se refiere en primer lugar a que si la consulta al fichero de solvencia de datos del futuro inquilino por parte de MUTUA se puede hacer por delegación del titular del inmueble. Subsidiariamente, propone la vía de no precisarse para esta consulta el consentimiento del interesado-deudor (arrendatario) por serle de aplicación el artículo 7.
- f)de la Directiva de Protección de Datos. En resumen, y en aplicación de dicho producto, la MUTUA debe conocer datos personales del arrendatario o en su caso del avalista para poder realizar una revisión del riesgo de impago, ya que la póliza solo la firma el propietario del inmueble como tomador del seguro, y solo se informa del tratamiento de los datos al propietario del inmueble. En razón de ello pide la exoneración del deber de información de la recogida de datos al arrendatario. 2) El otro supuesto alberga los casos en que se comunica un siniestro en COMUNIDADES DE PROPIETARIOS. En algunos casos, se recogen datos de vecinos cuando, por ejemplo, se comunica un siniestro o se reciben informes periciales que contienen datos de terceros perjudicados. Detalla como casos de “terceros afectados en reclamación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 cobros”, algunos supuestos en los que el Administrador de la Finca o Presidente de la Comunidad de Propietarios remiten escritos a la MUTUA donde se incluyen datos distintos del tomador y beneficiario. Se advierte que estos casos no difieren de la común relación de seguros en los que se pueden derivar daños a terceros no suscriptores de la póliza. SEGUNDO: En cuanto a la operativa de funcionamiento del producto “MUTUA ALQUILER” para el que se pide la exoneración de información sería en resumen: 1) El propietario del inmueble, persona física o jurídica proporciona los diversos datos identificativos datos del titular del mismo, en datos del riesgo figuraría la renta mensual, y fecha del contrato. Como datos del futuro inquilino, se proporcionan por el propietario del inmueble, recabándose nombre y apellidos, DNI, NIF, nóminas, contrato de trabajo 2) MUTUA DE PROPIETARIOS revisa el eventual “riesgo de impago del futuro inquilino” introduciendo sus datos en el fichero de solvencia ASNEF. “No se utilizan otras fuentes para revisar la solvencia. 3) Si el futuro inquilino no tiene deudas de acuerdo a ASNEF, entonces se procede a la formalización del contrato. Si tuviera deuda, se deniega la solicitud de seguro y no se formaliza el contrato. Se deduce por tanto que se tratan los datos previamente a la suscripción del contrato, pudiéndose considerar la relación como precontractual 4) Refiere como habilitación para la consulta de ficheros de solvencia sin consentimiento del afectado el artículo 42 del Real Decreto 1720/2007 a “quien pretenda entablar una relación contractual directa con el titular de los datos” (propietario del inmueble). Si bien la MUTUA no mantiene relación “directa” con el inquilino, señala que no sería de aplicación el artículo 42 del citado Reglamento, pero el titular del inmueble delegaría en la MUTUA la realización ejecutiva de la consulta del fichero sobre el futuro inquilino. Pese a ello, o además de ello, MUTUA entiende que podría serle de aplicación el artículo 7.
- f)de la Directiva 95/46 del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que fue declarado de efecto directo en la sentencia del Tribunal Superior de Justicia de la Unión Europea de 24/11/2011. El efecto sería que un tratamiento de datos es lícito y no requiere el consentimiento del interesado si:
- a)Dicho tratamiento de datos personales es necesario para la satisfacción del interés legitimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y
- b)Que no prevalezcan los derechos y libertades fundamentales del interesado. Entiende MUTUA que les sería aplicable pues:
- a)MUTUA tiene un interés legítimo de poder evaluar el riesgo para la eventual concesión del seguro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15
- b)No puede haber vulneración de derechos para el futuro inquilino por la consulta de sus datos en ASNEF TERCERO: La MUTUA considera que el cumplimiento de las obligaciones de información a estos terceros incluidos en los ficheros exigiría esfuerzos desproporcionados e incluso de imposible cumplimiento, teniendo en cuenta:
- a)El total de registros incluidos en dichos ficheros asciende a 5.398 arrendatarios y avalistas. (Se supone por la terminología usada, aunque no lo precise la solicitante que la referencia es la correspondiente al producto MUTUA ALQUILER)
- b)5.400 registros en “terceros en informes de siniestros”, y
- c)970 registros de “terceros afectados por reclamación de cobros”. El envío de 11.768 “desproporcionado”. comunicaciones a las personas interesadas es En otros supuestos, podría ser de imposible cumplimiento como en los de “informes de siniestros “ o en “terceros en reclamación de cobros” ya que los datos que suelen constar son únicamente nombre y apellidos, y a veces el DNI, sin disponer de dirección física ni electrónica para enviar aviso informativo. Además, estos informes periciales se almacenan de forma digitalizada con los criterios de búsqueda del “tomador de la póliza” y del “numero de siniestro” sin que sea posible buscar por palabras sueltas no pudiendo buscar por el nombre del tercero. La MUTUA declara que entiende que “tampoco se genera un fichero con estos datos de terceros”, ya que “no se genera un conjunto organizado de datos de acuerdo al artículo 5 de la LOPD”. CUARTO: Para cumplir el requisito de las medidas compensatorias, la MUTUA efectuaría las siguientes acciones:
- a)Publicación de un anuncio en los diarios de mayor circulación a nivel nacional donde se informe a terceros de la MUTUA del tratamiento de sus datos.
- b)Exponer en la web de la MUTUA el mismo anuncio.
- c)Exponer en la recepción de la MUTUA en c/ Londres 29 de Barcelona el citado anuncio. Siendo el anuncio del siguiente tenor: “En cumplimiento con la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal le comunicamos que los datos de carácter personal que hayan sido facilitados a MUTUA DE PROPIETARIOS SEGUROS Y REASEGUROS A PRIMA FIJA a través de los siguientes medios: teléfono, mail, fax, sitio web www.mutuadepropietarios.es, informes de terceros (peritos), agentes de la propiedad inmobiliaria, administradores de fincas o de los propietarios correspondientes serán incorporados a un fichero titularidad de nuestra compañía, debidamente declarado ante la Agencia Española de Protección de Datos, con la finalidad de mantener, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 desarrollar, cumplir y controlar la relación jurídica que nos vincula. Asimismo, sus datos podrán ser cedidos a la Administración Tributaria. Usted podrá ejercer sus derechos de acceso, rectificación, cancelación, oposición otorgados por la normativa vigente en la materia, remitiendo un escrito identificado con la referencia (Ref. Protección de Datos) en el que se concrete la solicitud correspondiente y al que acompañe fotocopia del Documento Nacional de Identidad del interesado a la siguiente dirección: MUTUA DE PROPIETARIOS SEGUROS Y REASEGUROS A PRIMA FIJA, C/Londres 29, 08029 Barcelona, O bien remitiendo idéntica documentación a la dirección: lopd@mutuadepropietarios.es” QUINTO: Con fecha 8/05/2013 se incorpora al procedimiento la impresión obtenida del Registro Mercantil de la entidad solicitante, así como los ficheros inscritos. En el fichero “SINIESTROS” figura como descripción de la finalidad y usos la gestión de la información de personas relacionadas con siniestros y como origen y procedencia de los datos además de clientes y usuarios “Terceros que puedan sufrir un daño”. En el fichero “POLIZAS CLIENTES” no consta como origen y procedencia de los datos el de arrendatarios o inquilinos, y en cesión o comunicación de datos consta “Entidades dedicadas al cumplimiento o incumplimiento de obligaciones dinerarias”. SEXTO: Con fecha 6/06/2013, se remite nota interior al Gabinete Jurídico para que remita copia de lo resuelto sobre la consulta que solicitaba la denunciada sobre la instrumentación y articulación de las relaciones jurídicas en el producto “MUTUA ALQUILER”. SÉPTIMO: Con fecha 26/07/2013 se incorpora al procedimiento la información que del producto MUTUA ALQUILER consta en la web “wwww. mutuadepropietarios.es” y folleto informativo. Sobre el producto se informa que con este seguro “Podrá recuperar las rentas de alquiler impagadas por su inquilino”, ventajas: “Le ayudamos a hacer una adecuada selección del inquilino” “Con las coberturas que le ofrece este seguro podrá recuperar las rentas de alquiler impagadas por su inquilino.” En el folleto se indica que en una única póliza se incluyen tres coberturas básicas. Entre las tres garantías que se mencionan figuran: 1) Impago de alquileres, 2) Defensa jurídica, y 3) Actos vandálicos al continente. En el punto 1 se informa que esta garantía cubre “el impago del alquiler por parte del inquilino, correspondiente a la vivienda arrendada, referidos a las rentas vencidas e impagadas.” OCTAVO: Con fecha 30/07/2013 se recibe copia del Informe Jurídico del Gabinete Jurídico y escrito de remisión a la consultante por el Director de la Agencia de 22/07/2013. El informe porta fecha de 10/07/2013 y se incorpora con el siguiente tenor: “Examinada su solicitud de informe, remitida a este Gabinete Jurídico, referente a la consulta planteada por MUTUA DE PROPIETARIOS SEGUROS Y REASEGUROS A PRIMA FIJA, cúmpleme informarle lo siguiente: Se consulta si resulta conforme a lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, el acceso por el consultante, compañía de seguros, a los ficheros de información sobre solvencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 patrimonial y crédito, a fin de comprobar el eventual riesgo de impago de futuros inquilinos, para la contratación del seguro de alquiler que comercializa. Considera el consultante que si bien es el propietario quien conforme a lo previsto en el artículo 42 del Reglamento de desarrollo de la Ley Orgánica 15/1999, tiene habilitación legal para consultar dicho fichero en relación con los datos del futuro inquilino, en el presente caso sería el propietario o bien el agente de propiedad inmobiliaria, administrador de fincas, o mediador de seguros, quien delega en el consultante la realización ejecutiva de la consulta para verificar la situación económica del futuro inquilino y analizar el correspondiente riesgo en la concesión del seguro, entendiendo que, en este caso, no le resulta de aplicación lo dispuesto el artículo 42 del Reglamento de desarrollo de la Ley Orgánica 15/1999, sino lo previsto en el artículo 7.f de la Directiva 95/46. I Como punto de partida debe recordarse que el acceso a los ficheros de solvencia patrimonial y crédito por parte del consultante constituye un tratamiento de datos de carácter personal que debe encontrarse fundado en alguna de las causas legitimadoras previstas en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, según la cual “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Este catálogo de supuestos legitimadores del tratamiento se ha visto ampliado por la Sentencia del Tribunal de Justicia de la Unión Europea de 24 de noviembre de 2011, por la que se resuelven las cuestiones prejudiciales planteadas por el Tribunal Supremo en los recursos interpuestos contra el Reglamento de desarrollo de la Ley Orgánica 15/1999. A su vez, el marco se ve igualmente afectado por las Sentencias dictadas por el Tribunal Supremo en fecha 8 de febrero de 2012, por las que se resuelven los mencionados recursos. La Sentencia del Tribunal de Justicia ha declarado expresamente el efecto directo del artículo 7
- f)de la Directiva 95/46/CE, según el cual “Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si (...) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”. Por ello, dicho precepto deberá ser tomado directamente en cuenta en la aplicación de la normativa de protección de datos de carácter personal por los Estados Miembros, y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 en consecuencia por esta Agencia Española de Protección de Datos, dado que como señala el Tribunal Supremo en su sentencia de 8 de febrero de 2012 “produce efectos jurídicos inmediatos sin necesidad de normas nacionales para su aplicación, y que por ello puede hacerse valer ante las autoridades administrativas y judiciales cuando se observe su trasgresión”. Tal y como recuerda la Sentencia del Tribunal de Justicia de la Unión Europea en su apartado 38, el artículo 7
- f)de la Directiva “establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado” y, en relación con la citada ponderación, el apartado 40 recuerda que la misma “dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado”. Por este motivo, la sentencia señala en su apartado 46 que los Estados miembros, a la hora de adaptar su ordenamiento jurídico a la Directiva 95/46, deberán “procurar basarse en una interpretación de ésta que les permita garantizar un justo equilibrio entre los distintos derechos y libertades fundamentales protegidos por el ordenamiento jurídico de la Unión, por lo, conforme a su apartado 47 que “nada se opone a que, en ejercicio del margen de apreciación que les confiere el artículo 5 de la Directiva 95/46, los Estados miembros establezcan los principios que deben regir dicha ponderación”. Por tanto, para determinar si procedería la aplicación del citado precepto habrá de aplicarse la regla de ponderación prevista en el mismo; es decir, será necesario valorar si en el supuesto concreto objeto de análisis existirá un interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos que prevalezca sobre el interés o los derechos y libertades fundamentales del interesado que requieran protección conforme a lo dispuesto en el artículo 1 de la LOPD, según el cual “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar” o si, por el contrario, dichos derechos fundamentales o intereses de los interesados a los que se refiera el tratamiento de los datos han de prevalecer sobre el interés legítimo en que el responsable pretende fundamentar el tratamiento de los datos de carácter personal. Debe así tenerse en cuenta que un fichero del tipo a los que la consulta se refiere constituye una lista negra. A este respecto, el Grupo de Trabajo del Artículo 29, órgano consultivo independiente de la UE sobre protección de los datos y la vida privada, creado en virtud de lo previsto en el citado artículo de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en su documento de trabajo sobre las listas negras de 3 de octubre de 2002, ha abordado de forma genérica un posible concepto básico de lista negra configurándola como “la recogida y difusión de determinada información relativa a un determinado grupo de personas, elaborada de conformidad con determinados criterios dependiendo del tipo de lista negra en cuestión, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 que generalmente implica efectos adversos y perjudiciales para las personas incluidas en la misma, que pueden consistir en discriminar a un grupo de personas al excluirlas de la posibilidad del acceso a un determinado servicio o dañar su reputación.” Señala, este documento, que dado que cualquier operación o conjunto de operaciones aplicadas a datos personales constituye un tratamiento de datos personales sujeto a la Directiva 95/46 CEE y a las respectivas normativas en materia de protección de datos en cada Estado miembro, para que las listas negras puedan existir legalmente deberán someterse a los principios de legitimación que aparecen en dicha Directiva y respetar los derechos que a los ciudadanos les confiere la misma, salvo que puedan acogerse a alguna de las excepciones previstas en ella. En el derecho español, los ficheros de información sobre solvencia patrimonial y crédito encuentran su base legal en la propia Ley Orgánica 15/1999 y se encuentran sometidos a estrictos criterios para limitar sus efectos negativos. Dicha regulación se complementa con lo dispuesto en su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, cuyo artículo 42 especifica los supuestos en que resulta posible el acceso a la información contenida en este tipo de ficheros disponiendo lo siguiente: “1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
- a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
- b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
- c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica. 2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
- b)y
- c)precedentes de su derecho a consultar el fichero. En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar.” De este modo, los criterios de ponderación para determinar si el derecho a tratar la información obrante en este tipo de ficheros prevalece sobre el derecho a la protección de datos del afectado se encuentran expresamente recogidos en el artículo 42 del Reglamento de desarrollo de la Ley Orgánica 15/1999, por lo que solamente sería posible dicho acceso en el caso de que el consultante se encontrase en alguno de los supuestos previstos en dicho artículo. II Por otra parte, en relación con lo expuesto en la consulta, debe tenerse en cuenta que solamente quien se encuentre legalmente habilitado para acceder a un fichero de información sobre solvencia patrimonial y crédito, conforme a los criterios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 fijados en el artículo 42 del Reglamento de la Ley Orgánica 15/1999, podrá delegar la realización material de la consulta en un tercero. Ahora bien para que dicho acceso en nombre y por cuenta de quien ostente dicha habilitación sea conforme a lo establecido en la Ley Orgánica 15/1999 sería preciso que quien efectúe el acceso ostente la condición de encargado del tratamiento del propietario, definido en el artículo 3
- g)de dicha Ley como “La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. La figura del encargado del tratamiento responde a la necesidad de dar respuesta a fenómenos como la externalización de servicios por parte de las empresas y otras entidades, de manera que en aquellos supuestos en que el responsable del tratamiento encomiende a un tercero la prestación de un servicio que requiera el acceso a datos de carácter personal por éste, dicho acceso no pueda considerarse como una cesión de datos. Es así que el artículo 12.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, establece que “no se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento” En este sentido, tal y como señala el informe de esta Agencia de 27 de julio de 2006 “Para delimitar si en un supuesto concreto nos encontramos ante una cesión de datos o ante una realización de actividades reguladas por el artículo 12 de la Ley Orgánica, será preciso atender a las circunstancias de cada caso, de tal forma que existirá cesión en aquellos supuestos en los que quien reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo sobre el objeto y finalidad del tratamiento, lo que la convertirá a su vez en un responsable del fichero o tratamiento, mientras que la figura regulada por el artículo 12 de la Ley Orgánica tendrá cabida en aquellos otros casos en que la entidad receptora de los datos se limite a efectuar determinadas operaciones sobre los mismos, sin decidir sobre su finalidad.” Por consiguiente, en el presente supuesto, en que la finalidad del acceso a los ficheros a que la consulta se refiere es efectuar una evaluación de solvencia y un análisis de riesgos a efectos de permitir la contratación del seguro, finalidades propias del consultante y no del propietario del inmueble, la compañía de seguros consultante no actúa como encargada del tratamiento por lo que no puede acceder a los datos contenidos en un fichero de información sobre solvencia patrimonial y crédito basándose en tal condición.” FUNDAMENTOS DE DERECHO I De conformidad con el artículo 36.1 de la LOPD, y el 155 en relación con el 115 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, la competencia para dictar resolución concediendo o denegando la exención del deber de informar corresponde al Director de la Agencia Española de Protección de Datos. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 La Sentencia del Tribunal Constitucional 292/2000, de 30/11, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el "principio de información" como un elemento indispensable del derecho fundamental a la protección de datos al declarar que: "...el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele". III El artículo 5.1 de la LOPD señala: 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
- d)y
- e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o de organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten.” La obligación de cumplimiento del artículo responsable del fichero o del tratamiento. el 5 de la LOPD corresponde al El citado artículo 5 de la LOPD se constituye en la premisa necesaria para que el responsable del fichero pueda tratar los datos de carácter personal, pero no es una habilitación per de del tratamiento que se lleve a cabo. Para ello se informa al titular de los datos de modo preciso, expreso e inequívoco de la existencia del fichero así como de su finalidad y de los destinatarios de la información, de la identidad del responsable, del carácter obligatorio o voluntario de las preguntas que les sean formuladas, de las consecuencias de la negativa a suministrar los datos, y de los derechos que reconoce la LOPD al titular de los datos. Por tanto, el principio de información en la recogida de los datos es el presupuesto necesario para que el responsable del fichero pueda tratar los mismos. La razón de esta exigencia viene basada en el principio del consentimiento que es el fundamento básico de la normativa de protección de datos. Como regla general, la inclusión de los datos en un fichero, pero también la consulta a un fichero, supondrá un tratamiento de datos de carácter personal, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 requeriría, en principio, el consentimiento del afectado, con el deber de informar así mismo de los extremos contenidos en el articulo 5.1 o, en caso de no recabarse los datos del propio afectado, la obligación de informar al afectado de dicha inclusión, tal y como dispone el artículo 5.4, ambos de la LOPD. El apartado 5 del artículo 5 citado prevé una excepción a la obligación general de información por parte del responsable del fichero. Así, considerando que esta norma constituye una excepción a lo dispuesto en el apartado anterior del mismo precepto, esto es, el artículo 5.4, debe concluirse que dicha excepción viene referida exclusivamente a los supuestos en que los datos no han sido recabados de los propios afectados y la información suponga esfuerzos desproporcionados en consideración al número de afectados, a la antigüedad de los datos y a las medidas compensatorias propuestas. El artículo 5.4 en contra del 5.1, prevé que los datos ya se han recogido, aunque no del interesado. En el presente solicitud parece oportuno deslindar de la petición dos campos, el primero el de los datos relacionados con terceros (arrendatarios) del producto “Mutua ALQUILER” y en el segundo el resto de datos de terceros que se revelan en los otros dos supuestos que solicita la MUTUA, “terceros en informes de siniestros”, y “terceros afectados por reclamación de cobros” que se enmarcarían como derivados de cualquier relación de seguro en los que datos de terceros pueden resultar afectados y precisa su recogida para la tramitación de la contingencia. Respecto de estos últimos, considera la MUTUA que se archivan en su caso en el expediente que da lugar al siniestro con criterios de búsqueda del tomador de la póliza, no siendo posible la búsqueda por el nombre del tercero. IV Del Informe del Gabinete Jurídico, tal como plantea la consulta la solicitante, se deduce que el modo de tratamiento que quiere llevar a cabo con los datos a eximir del deber de información, no se adaptan al tratamiento habilitado ex LOPD. Por tanto si la exención del deber de información que se pide se relaciona con esta modalidad de tratamiento en el producto MUTUA ALQUILER, no procede dicha exención al no ser ajustado a la LOPD dicho tratamiento. La exención del deber de información ha de ser previa a la recogida de dato, y la modalidad presentada a debate de acuerdo con el Informe Jurídico no se ajusta a la normativa de la LOPD en este producto. Se debería tener en cuenta que si se produce dicha consulta es porque todavía no ha adecuado su conducta a los términos de la consulta, ya que en su solicitud insta a que se emita Informe Jurídico en el que se declare la conformidad de la anterior operativa a la normativa de protección de datos, “en relación a la falta de exigencia de consentimiento del interesado-deudor.” sobre la consulta al fichero de solvencia de los datos del arrendatario. Por ello, los datos que la solicitante dice que conserva en sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 ficheros.5.398 registros de arrendatarios y avalistas para los que pide esta exención no parecen corresponderse con el mecanismo sobre el que efectúan la consulta. Ello no es óbice a que dicho producto sea implementado jurídicamente de otro modo, como la suscripción de un precontrato entre propietario y futuro arrendatario en el que expresamente se contemple la cesión de datos para los fines detallados, informando del iter y las finalidades de los datos recogidos, supuesto en que no es preciso la exención de información del 5.1 con el mecanismo del 5.5 pues en el mismo precontrato de recogida y cesión de datos se informaría al completo del tratamiento y fines. V En cuanto a los otros productos, referido a la petición de exención del deber de información a los terceros ajenos a una relación de seguro como puede ser el de responsabilidad civil en Comunidades de Propietarios que deben proporcionar de una u otra forma sus datos, este supuesto no es diferente al funcionamiento de otros tipos de seguros en que se afectan a datos de terceros o beneficiarios no suscriptores de la relación. Por otro lado, pese a que la búsqueda y archivo de información de los datos recogidos se realice por siniestro o por póliza, no por los datos del propio tercero, se consideran datos de carácter personal y le es aplicable la norma, no solo cuando directamente de pueda acceder al fichero que los albergue directamente sino también como señala el artículo 3
- a)de la LOPD que entiende por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para interpretar cuándo ha de considerarse que nos encontramos ante un dato de carácter personal esta Agencia ha venido siguiendo el criterio sustentado por las distintas Recomendaciones emitidas por el Comité de Ministros del Consejo de Europa, en las que se indica que la persona deberá considerarse identificable cuando su identificación no requiere plazos o actividades desproporcionados. En consecuencia, existiendo una remisión de los datos del afectado a la póliza ó número de siniestro, que se encontrará automatizado o no, se podrá llegar a los datos recabados, lo que no supone una actuación ni plazo desproporcionado, siendo de aplicación la LOPD. Debe recordarse las definiciones y las posiciones que pueden ocupar en el presente supuesto los actores que intervienen: El artículo 3 de la LOPD define como: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 “
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento". "
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento". El Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la ley Orgánica 15/1999, de 13712, de protección de datos de carácter personal señala en su artículo 5.
- i)“Encargado del tratamiento: La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. Podrán ser también encargados del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” En este supuesto, el acceso a esos datos no se considerará comunicación de datos, cuando se cumpla lo previsto en el artículo 12.2 y 3 de la Ley Orgánica 15/1999, de 13 de diciembre. En todo caso, las previsiones del artículo 12.2 de dicha Ley deberán de constar por escrito. Cuando finalice la prestación contractual los datos de carácter personal deberán ser destruidos o devueltos a la entidad contratante responsable, o al encargado de tratamiento que ésta hubiese designado. El tercero encargado del tratamiento conservará debidamente bloqueados los datos en tanto pudieran derivarse responsabilidades de su relación con la entidad responsable del tratamiento. 3. En el caso de que un tercero trate datos personales por cuenta del contratista, encargado del tratamiento, deberán de cumplirse los siguientes requisitos:
- a)Que dicho tratamiento se haya especificado en el contrato firmado por la entidad contratante y el contratista.
- b)Que el tratamiento de datos de carácter personal se ajuste a las instrucciones del responsable del tratamiento.
- c)Que el contratista encargado del tratamiento y el tercero formalicen el contrato en los términos previstos en el artículo 12.2 de la Ley Orgánica 15/1999, de 13 de diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 En estos casos, el tercero tendrá también la consideración de encargado del tratamiento.” El artículo 5 de la LOPD viene a establecer un deber impuesto en general a los responsables de los tratamientos, de tal suerte que, en principio, será necesario informar al afectado del tratamiento de sus datos de carácter personal, tanto en los supuestos en que el mismo cuenta con el consentimiento del mismo (el propietario suscriptor del seguro) como en los casos en que el tratamiento se encuentra habilitado por otras causas admitidas por el artículo 6 o por el 11 de la LOPD, ya sea derivado de la relación orgánica de propietario o como terceros afectados habilitaría dicho tratamiento Según lo dispuesto en el propio artículo 5, el cumplimiento de dicho deber debería ser inmediato en caso de que los datos fueran recogidos de los afectados o verificarse en el plazo de tres meses desde la recogida, si el origen de los datos no fuera el propio afectado, teniendo en cuenta que se pueden recoger datos por encargados de tratamiento como el Administrador de Fincas de la Comunidad que actúa en este caso por cuenta de la Comunidad cumpliendo los requisitos del artículo 12 antes examinados. Continúa el artículo 5.5 indicando que el deber de información admite determinadas excepciones o matizaciones para supuestos excepcionales. Así, en caso de que los datos no sean recogidos directamente de los afectados, el artículo 5.5 establece en su párrafo primero que "No será de aplicación lo dispuesto en el apartado anterior cuando expresamente una Ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia Española de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias". El artículo 5.4 en contra del 5.1, prevé que los datos ya se han recogido, aunque no del interesado. A estos efectos, los datos del interesado en los que basa su petición la solicitante, si se recogen del interesado. En los casos que explica la solicitante, propietarios de Comunidades afectados por siniestros, los datos o bien se recogen directamente de los afectados por los propios empleados de la aseguradora en cuyo caso debe y puede informar cuando tramite el siniestro o bien igualmente se recogen directamente de los afectados a través de la Comunidad o por el Administrador de la misma como encargado de tratamiento de esta, casos en los que no es aplicable la exención. No siendo imposible la obligación de informar cuando se recaban los datos, no procede autorizar la exención del deber de informar en este tipo de tratamientos de la relación jurídica de aseguramiento que propone la solicitante. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 El Director de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: NO AUTORIZAR a “MUTUA DE PROPIETARIOS SEGUROS Y REASEGUROS A PRIMA FIJA”, la aplicación de lo dispuesto en el artículo 5.5 de la LOPD en las condiciones señaladas en la presente resolución. SEGUNDO: NOTIFICAR la presente resolución a “MUTUA DE PROPIETARIOS SEGUROS Y REASEGUROS A PRIMA FIJA”. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, y del 116 del Real Decreto 1720/2007, de 21/12, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es