1/14 Procedimiento Nº AP/00041/2013 RESOLUCIÓN: R/00026/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00041/2013, instruido por la Agencia Española de Protección de Datos a la DIRECCION GENERAL DE SEGUROS Y FONDOS DE PENSIONES(Comisionado para la Defensa del Asegurado y del Partícipe en Planes de Pensiones) , vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 18/09/2012 tiene entrada en esta Agencia una denuncia de A.A.A. en el que declara lo siguiente: Que a instancia suya la DIRECCIÓN GENERAL DE SEGUROS Y FONDOS DE PENSIONES se encuentra tramitando unas actuaciones contra la entidad BANKINTER SEGUROS DE VIDA, S.A. DE SEGUROS Y REASEGUROS.(BK en lo sucesivo). Que en el transcurso de dicha tramitación se han incorporado a las mencionadas actuaciones copia de diversas transcripciones de conversaciones telefónicas mantenidas entre él y Gestores de Seguros de vida de BK sin haber sido informado de la existencia de dichas grabaciones. Adjunta copia de sus trascripciones fechadas en 26/01 y 16/02/2004 y que reflejan conversaciones telefónicas con empleados de BK. En las mismas el denunciante manifiesta que previamente ha hablado con otras compañeras de la Gestora de Seguros en relación con la solicitud de un seguro de vida y el precio a abonar. En la segunda conversación contrata el seguro. Que también ha recibido un informe médico y trascripciones de otra persona, de nombre B.B.B., supuestamente aportado por BK, que no guarda relación alguna con él. Adjunta copia de dichas trascripciones de 3/03 y 6/03/2009 que reflejan conversaciones telefónicas con empleados de BK sobre la suscripción de un seguro de vida y un informe médico fechado el 16/02/
- Que la información anterior le fue remitida por la DIRECCIÓN GENERAL DE SEGUROS Y FONDOS DE PENSIONES en el marco de las citadas actuaciones al objeto de que pudiera manifestar su disconformidad o alegar lo que estimara conveniente. No aporta acreditación de la fecha en que se le entregó y la modalidad en que le fue entregada. SEGUNDO: Con fecha 19/10/2012, el denunciante subsana y mejora la solicitud indicando que recibió las transcripciones denunciadas el 2/08/2012 y manifiesta que BK lo remitió a la D. Gral. De Seguros en sus alegaciones de 26/06/2012, y que a su vez la D. Gral. de Seguros le da traslado de parte del expediente para efectuar alegaciones. Acompaña escrito de la D. Gral. de Seguros y Fondos de Pensiones, servicio de reclamaciones, expte. ****/2012 referido a su reclamación con fecha de entrada 17/05/
- TERCERO: A la vista de los hechos denunciados, en fase de actuaciones previas, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 los Servicios de Inspección de esta Agencia se solicita información a la entidad BK. En fecha de 27/6/2013, BK manifiesta y aporta:
- Copia de un contrato de cuenta corriente fechado el 14/04/2009, suscrito por el denunciante con BANKINTER SA, figurando en la parte inferior que sustituye a cualquiera que sobre los mismos productos o servicios puedan las partes haber suscrito con anterioridad. Consta en el apartado BANCA A DISTANCIA “ALTA”.
- En relación a la grabación de las conversaciones con los clientes, la entidad señala que quedan amparadas por el artículo 3.2 de las “condiciones generales específicas de Banca a Distancia” así como el documento firmado por A.A.A., (del que adjuntan copia) y por el cual queda vinculado a dichas condiciones. El mencionado artículo de las condiciones generales establece que: “como medio de prueba de las operaciones realizadas, el Banco mantendrá un registro informático de todas ellas. El Cliente autoriza de forma irrevocable al Banco para que éste pueda grabar las conversaciones telefónicas que mantenga, aunque sean de contenido meramente informativo o comercial. El Cliente podrá solicitar trascripción escrita del contenido de las conversaciones grabadas. El cliente otorga a dichos registros y grabaciones la consideración de prueba suficiente para dirimir cualquier controversia que pudiere surgir con el Banco”. Añade la Entidad que BANKINTER SEGUROS DE VIDA, S.A. y BANKINTER, S.A. tienen suscritos un contrato para la distribución de seguros de vida en virtud del cual BANKINTER, S.A. comercializa los seguros de vida de BANKINTER SEGUROS DE VIDA, S.A. Asimismo, en cada llamada que los clientes realizan al servicio de Banca Telefónica se le informa expresamente de que su llamada va a ser grabada. En la cláusula de protección de datos de las condiciones generales consta entre otras informaciones que los datos del titular pueden ser cedidos para las finalidades referidas en el párrafo primero, entre los que destaca para la comercialización de productos propios del Grupo Bankinter
- Respecto a la comunicación de las trascripciones e informe médico de B.B.B. a las actuaciones tramitadas por la DIRECCIÓN GENERAL DE SEGUROS Y FONDOS DE PENSIONES, la entidad señala que se hizo en contestación a otras actuaciones también tramitadas por dicho Organismo. En concreto la entidad señala que se remitió por vía telemática a dicha Dirección General los siguiente ficheros: Identificado con número ****.12
(1).pdf, recoge la trascripción de las conversaciones telefónicas de 16/02/2004, relativas a A.A.A. en el marco de las actuaciones expediente ****/2012, y como adjuntas a las alegaciones de las que aporta copia, firmadas el 26/07/
- En alegaciones a este fichero se hace referencia como documento 5, teniendo en cuenta que en documento 4 se refiere a otra conversación telefónica del denunciante de 26/01/2004, a la que no señala archivo adjunto en pdf. ****1.
- pdf, con la trascripción de las conversaciones e informe médico relativo a B.B.B. en el marco de las actuaciones ****1/
- El fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 enviado era el ****1-12.pdf y el ****-12
(2). pdf. Señala que en ambos casos la información se remitió en virtud del artículo 11.1 del Real Decreto 303/2004, de 20/02, por el que se aprueba el Reglamento de los Comisionados para la Defensa del Cliente de Servicios Financieros y que establece el derecho para la entidad de remitir a la DIRECCIÓN GENERAL DE SEGUROS Y FONDOS DE PENSIONES las alegaciones y documentación que tenga por conveniente frente a las reclamaciones interpuestas ante dicho Organismo. Añade la Entidad que en base al artículo 11.3 del mencionado Real Decreto 303/2004 “El reclamante y la entidad reclamada podrán acceder a las actuaciones incorporadas al expediente.”. 4. Se aporta copia del Servicio de Reclamaciones de la D. Gral. De Seguros y Fondos de Pensiones, dirigida a BK en el que le informa de la asignación de número de expediente a la reclamación de 7/06/2012 de B.B.B., y le abre plazo para que formulen alegaciones. Añade que desconoce las circunstancias concretas que dieron lugar a que la información relativa a B.B.B. llegara al denunciante, dado que no tienen acceso al procedimiento interno y tramitación de las actuaciones llevadas a cabo por la DIRECCIÓN GENERAL DE SEGUROS Y FONDOS DE PENSIONES. CUARTO: Con fecha 17/09/2013 , el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento de declaración de infracción de las Administraciones Públicas a la DIRECCION GENERAL DE SEGUROS Y FONDOS DE PENSIONES (Comisionado para la Defensa del Asegurado y del Participe en Planes de Pensiones) por una infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.d). QUINTO: Notificado el acuerdo de inicio, mediante escrito de fecha 11/10/2013 la DIRECCION GENERAL DE SEGUROS Y FONDOS DE PENSIONES (en lo sucesivo denunciada) manifiesta: 1) BANKINTER SEGUROS DE VIDA SA en contestación a la reclamación con número expte. ****/2012, presentó alegaciones el 26/07/2012 (aporta copia) a través del registro telemático del MEH. En dicha presentación figuran adjuntos dos ficheros pdf con nombres ****-
(1), y ****-
(2). Este segundo documento pdf es en el que se recoge tanto la transcripción de las conversaciones como el informe médico de B.B.B., cuando en realidad el de esta persona tenía la referencia de expediente ****1/2012. Aporta impresión de “Anexo al justificante de presentación telemática de la Oficina virtual del Ministerio de Economía y Hacienda, Dirección General de Seguros y Fondos de Pensiones” con fecha 26/07/2012, presentado a las 16:04.21 con número de registro ***NÚMERO.1, y en el espacio de “Ficheros adjuntos a la presentación”, el ****-12
(1).pdf, y el ****-12
(2). pdf. Continua indicando que cuando se dio traslado al interesado de las alegaciones realizadas por la entidad al expediente ****/2012, se le dio de los dos ficheros pdf mencionados. “Una vez concluida la tramitación del expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 ****/2012, se procedió al análisis de la documentación aportada para la emisión del informe final y se comprobó que la información anexada en la presentación telemática con nombre del fichero ****-12
(2).pdf, correspondía a B.B.B., reclamante del expediente ****1/2012.” “Esta información no se tuvo en cuenta en la resolución del expediente ****/2012, incorporándose en ese momento al que correspondía, el ****1/2012”. Finaliza indicando que su actuación se ajusta al Real Decreto 303/2004, de 20/02 Reglamento de Comisionados de Defensa del Cliente de Servicios Financieros y a la Orden ECC/2502/2012, de 16/11, publicada en el BOE 22/11/2012, si bien esta en su Disposición Final tercera declara que “entrará en vigor a los seis meses de su publicación en el «Boletín Oficial del Estado”. 2) Aporta copia del contenido impreso del archivo pdf, figurando la documentación de B.B.B. como perteneciente al ****-12
(2), anotado a bolígrafo. Así pues, según declaración de BK, folio 61, el archivo
(1)debería contener la conversación de 16/02/2004. Sin embargo, la denunciada aporta impreso en papel la transcripción de conversación telefónica del denunciante de 26/01/2004 (96 y ss.) que según BK no estaba en el archivo
(1). 3) Nada se indica del contenido que BK aseguró haber remitido con el fichero adjunto ****1/2012. SEXTO: Con fecha 15/06/2012, se inició el período de práctica de pruebas, en el que se incorporaran la procedente de actuaciones previas, añadiendo: 1) A la D. Gral. de Seguros, explique el modo en que remitió los dos archivos pdf al denunciante el **** -12
(1)y **** -12
(2), y en qué fecha. Exprese si abrió los archivos antes de enviarlos, y el motivo en caso de que fuera que no los abrió. Si no los abrió, y remitió los dos archivos, ¿por qué alegan que ha cumplido con la normativa dando traslado de las alegaciones al denunciante, si en realidad le han dado traslado también de los datos de un tercero? Con fecha 3/12/2013 indica que ambos archivos se remiten por correo ORDINARIO a la dirección facilitada para la tramitación de la reclamación, el 2/08/
- “Dichos archivos fueron abiertos e imprimidos para su remisión al reclamante”, en cumplimiento de la obligación de dar traslado de la respuesta directa de la compañía al requerimiento de alegaciones, de acuerdo con el artículo 11.4 del Real Decreto 303/2004 de 20/02 que aprueba el Reglamento de los Comisionados para la Defensa del Cliente de los Servicios Financieros. Se deduce que para cumplir el acceso a los documentos presentados por BK, la D. Gral. en este caso abrió los archivos para imprimirlos, supuestamente también habría de quedar una copia en el expediente para su gestión posterior. En este caso se enviaron las impresiones en papel, resultante de la impresión de los archivos adjuntos tal cual, a la dirección del denunciante. Se acredita que los documentos enviados, no fueron objeto de una somera comprobación del asunto, destinatario o afectado, para ver que coincidiera con la persona que los pide y a la que se envían. Así pues, queda acreditado que en este caso no se miró ni leyó el contenido de los archivos adjuntos como la propia denunciada reconoce que hizo después al analizar el Técnico o Informante el asunto, cuando vió lo que se le había trasladado, se supone que con la comprobación de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 envíos del correo y lo impreso, dada la no correspondencia de datos personales 2) A la D. Gral. de Seguros, explique qué quiere decir en sus alegaciones con “Una vez concluida la tramitación del expediente ****/2012 se procedió al análisis de la documentación aportada para la emisión del informe final”, si es que los archivos adjuntos no se abren, hasta cuándo, y en qué sentido se concluyó la tramitación si no se habían abierto Contestó que “La fase de tramitación del expediente previa a su estudio y a la emisión del informe final por el informante correspondiente es realizada por personal administrativo del departamento, de tal forma que dado el volumen de expedientes de reclamación que se tramitan anualmente por el servicio, 10.279 en el año 2012, y el número de tramitaciones que ello genera, hace inviable teniendo en cuenta los recursos disponibles que el personal administrativo compruebe todos y cada uno de los documentos que la entidad aporta como alegaciones a un número de expediente concreto” Cuando se estudió el expediente , el informante analizó la documentación aportada y tuvo constancia en ese momento “del error de la entidad” al incluir como alegaciones al expediente en cuestión, documentos que correspondían a “otro expediente tramitado en el Servicio”. Finalizan indicando que se ha cumplido el procedimiento legalmente establecido del Real Decreto 302/
- Se deduce de la respuesta que si bien las alegaciones adjuntaban archivos indebidamente identificados, la denunciada no efectúa una somera comprobación, aunque tenían las hojas impresas, antes de enviarlas, pues si lo hubiera efectuado, no se habría enviado dicha documentación, comprobándose que no estaba encartada en dicho procedimiento. 3). A BANKINTER SEGUROS DE VIDA SA en sus alegaciones indicó que las alegaciones de la reclamación del denunciante los remitió adjuntando el fichero ****12
(1).pdf, y los de B.B.B. en los ficheros ****1-12.pdf y ****-12
(2). A este respecto se le solicita que aporte copia del envío telemático de los ficheros ****-12
(1).pdf y ****-12
(2).pdf y del ****1-12.pdf a la D. Gral. de Seguros. En respuesta con fecha de entrada 14/11/2013 aporta: a) Dos justificantes de Registro electrónico del Ministerio de Hacienda y Admnes. Publicas y del Ministro de Economía y Competitividad y dos anexos al justificante de presentación telemática. En el justificante figuran datos de registro, presentador, destinatario y Asunto. Ambos presentados el 26/07/2012, el primero a las 16:00:44 y el segundo a las 16:04:39. El primero lleva número de registro ***NÚMERO.2 y el segundo ***NÚMERO.1. Se aprecia que no figura en ninguno de los justificantes la referencia o indicación de los ficheros adjuntos a la presentación, (en los aportados por la denunciada si que figuraban el ****
(1)y ****
(2)enviados juntos, bajo el registro ***NÚMERO.1 a las 16 y 4. Indica la denunciada que ese aspecto de falta de justificación de los anexos debe ser explicado por la D. Gral. De Seguros y Fondos de Pensiones. Asegura BK que (folio 130) el Anexo que contenía el fichero adjunto ****1-12 se remitió primero quedando registrado con el ***NÚMERO.1 y cuatro minutos después con el registro ***NÚMERO.2, los ficheros ****-12
(1)y ****-12
(2), versión que no coincide con la de la denunciada dada en sus alegaciones al acuerdo, y siendo normal que el registro posterior sea posterior en el tiempo, dada su automaticidad, por lo que hay que dar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 veracidad a la versión de la denunciada, y así se observa que sería en todo caso al revés, pues el registro ***NÚMERO.2 se envía primero, y el segundo, cuatro minutos después. 4) Además, A BANKINTER SEGUROS DE VIDA SA explique porque este archivo ****-12
(2)pdf lo remitió junto al ****-12
(1)el 26/07/2012, mezclando reclamantes distintos. Asimismo, relate porque no informó a la D. Gral. de Seguros que su contenido no se correspondía con la referencia del expediente que B.B.B. tenía asignado. Responde que “La situación que da lugar a la denuncia, viene generada por la recepción del denunciante de documentación propia junto con parte de documentación de la Sra. B.B.B.”. Desconocen las circunstancias concretas en que la información de la Sra. B.B.B. pudiera haber llegado al denunciante pues en el momento en que se produjeron estos hechos, la D.Gral. debió remitir dicha información al asegurado, si bien y en respuesta a la concreta pregunta, se manifiesta que “no se informó a la DGSFP del error por la simple circunstancia de no haberlo detectado hasta la reclamación del asegurado a través de la AEPD”. Entienden que se trata de un error “administrativo”, que no supone por su parte una infracción de la LOPD. SÉPTIMO: Con fecha 11/12/2013, el Instructor del procedimiento emitió la siguiente Propuesta de Resolución:”Que por el Director de la Agencia Española de Protección de Datos se declare que la DIRECCION GENERAL DE SEGUROS Y FONDOS DE PENSIONES (Comisionado para la Defensa del Asegurado y del Partícipe en Planes de Pensiones) ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.d) de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del citado artículo de la mencionada Ley. “ Transcurrido el tiempo otorgado, no se recibieron alegaciones. HECHOS PROBADOS 1) El denunciante denuncia que el 2/08/2012 la Dirección General de Seguros y Fondos de Pensiones (Comisionado para la Defensa del Asegurado y del Participe en Planes de Pensiones) le envía por ser parte en una reclamación frente a BANKINTER SEGUROS DE VIDA SA, (BK) una serie de documentos solicitados, referidos a las alegaciones de BK en dicho expediente, identificado como ****/
- Entre los documentos que recibe y que denuncia aparecen las transcripciones telefónicas de dos conversaciones de otra asegurada con BK, B.B.B., fechadas el 3 y 6/03/2009 y de la misma persona, la copia de un Informe del Médico examinador de 16/02/2009, que contiene un formulario de salud de esa persona. (1-2, 12 a 25, 60,61). 2) Además, el denunciante solicitó y recibió, dos transcripciones telefónicas de sus conversaciones mantenidas con el Departamento de Seguros de Vida de SEGUROS DE VIDA SA fechadas el 26/01 y 16/02/
- En el literal figura “Conversación telefónica mantenida por el denunciante con el servicio de Banca Telefónica”, referido a la suscripción de un seguro de vida. El denunciante denuncia respecto de ello que no se le informó de la posibilidad, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 finalidad y usos de la grabación. (1-2, 3 a 11,61). 3) El expediente de reclamación del denunciante ****/2012 se inició por escrito del denunciante el 17/05/2012 contra BK (2, 30, 91). La Dirección General de Seguros en esta reclamación ajusta sus competencias a la Ley 44/2002 de 22/11 de Medidas de Reforma del Sistema Financiero y en el Real Decreto 33/2004 de 20/02 por el que se aprueba el Reglamento de los Comisionados para la Defensa del Cliente de Servicios Financieros, según se le informaba al denunciante. (31,91). 4) En el seno del expediente ****/2012, BK efectuó alegaciones vía telemática ante la D. Gral. de Seguros el 26/07/2012, y aportó las transcripciones que luego la D. Gral. de Seguros le comunicó al denunciante el 2/08/2012, y que el denunciante aporta en su denuncia (70 a 72, 86). El 26/07/2012, BK junto a sus alegaciones para la reclamación del denunciante envío al registro telemático del MEH a las 16:04:21 con número de registro ***NÚMERO.1, dos archivos adjuntos pdf identificados como ****-12
(1)y ****-12
(2)en el mismo envío como acredita la denunciada y reconoce BK (folio 61, 86, 119, 120,130). En esas mismas fechas, desde 7/06/2012, también se tramitaba en dicha D. Gral., el expediente de B.B.B., con número *****-12 (61,73). BK remitió igualmente sus alegaciones a dicho expediente el mismo día 26/07/2012 (60, 61, 73, 86, 119) a las 16:00:22 con número de registro ***NÚMERO.2 (61,86-87,134, 135). 5) La D. Gral. de Seguros dio traslado el 2/08/2012 al denunciante de las alegaciones presentadas por BK mediante CORREO ORDINARIO a la dirección de correo que este consignó
(136), en hojas impresas en papel, remitiendo por entero de los dos archivos pdf, el ****-12
(1)y
(2), sin efectuar una previa comprobación de interesados y datos personales.
(136). 6) La información consistente en las trascripciones telefónicas de 3/03 y 6/03/2009 con empleados de BANKINTER sobre la suscripción de un seguro de vida y un informe médico fechado el 16/02/2009, de B.B.B., y referidos al *****-12 se contenían según se acredita por la denunciada, en el archivo adjunto ****-12
(2)(folios 2 ,12 a 25, 86, 105 a 119, 131). Al enviar al denunciante los documentos impresos se envió el documento en papel impreso sacado de ese archivo, conociendo así el denunciante datos de otra persona. Ello fue detectado con posterioridad por la denunciada, en concreto por el puesto de Informante que analiza la documentación del expediente del denunciante, que colocó dichos documentos en papel en el expediente que le correspondía (130,86). 7) El denunciante mantiene una relación contractual con BANKINTER S.A. por la titularidad de una cuenta corriente según copia del contrato de 14/04/2009 aportado por esta. En el mismo figura que suscribe el alta a la Banca a Distancia. En el mismo contrato se indica que el cliente acepta y recibe el Anexo de las condiciones generales de los productos y servicios de Bankinter. En las condiciones de la Banca a distancia se prevé la grabación de las conversaciones telefónicas. Además en la cláusula 8 de estas Condiciones figura una clausula en Política de Protección de datos informando que el titular acepta que los datos de BANKINTER SA pueden ser cedidos para las finalidades que se prevén en el 8.1 a otras entidades del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Grupo Bankinter para finalidades entre otras de aseguramiento.(68, 63, 66, 60). 8) BANKINTER SEGUROS DE VIDA SA y BANKINTER SA tienen suscrito un contrato para la Distribución de seguros de vida, en virtud del cual BANKINTER SA comercializa seguros de vida de la entidad aseguradora. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 10 de la LOPD dispone que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se facilite información sobre datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 14/09/2001, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” En el presente caso ha quedado acreditado que el procedimiento del Real Decreto 303/2004 de 20/02 vigente en el momento de acontecer los hechos no supone una especialidad en cuanto al acceso a los datos que del propio interesado constan en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 un procedimiento concreto en este caso de reclamación de seguros. Dicho acceso ha de seguir las pautas generales como derecho establecido. Cabría mencionar en dicho acceso la confidencialidad, proporcionalidad y calidad de datos. Cada uno de ellos se corresponde con un principio rector de protección de Datos. Los datos incluidos en un procedimiento, tienen el carácter de datos personales, a tenor de la definición contenida en el artículo 3.
- a)de la Ley Orgánica 15/1999 que considera dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. Añade el apartado 4 del artículo 1 del Real Decreto 1332/1994, de 20 de junio, que dato de carácter personal es “toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a una persona física identificada o identificable”. La entidad denunciada es la responsable del fichero y de los datos que maneja, y ha de prever en su organización interna metodologías de trabajo que eviten que datos de una persona vayan a parar a otra distinta. El hecho de que este implantado un procedimiento telemático para la presentación de solicitudes y/o alegaciones que el presentador identifique no adecuadamente los nombres de los envíos con sus contenidos, no justifica que una entidad que es la que gestiona la reclamación, no efectúe una comprobación somera de su contenido y del contenido que procede a enviar, y la disposición adicional única del Real Decreto alegado así lo establece cuando refiere el respeto a la LOPD. III El hecho de no repasar los envíos de documentos en papel que se cursan a interesados o terceras personas con datos que no son de su procedimiento, supone en este caso la infracción del deber de secreto de los datos que del denunciante constan en el expediente a el referente. Lo mismo podría haber sucedido si el envío se curso por correo electrónico. En cuanto a la tramitación de las alegaciones, en el momento de los hechos, el artículo 4.2 del RD 303/2004: “Los servicios de reclamaciones o unidades administrativas equivalentes adscritos al respectivo Comisionado para la defensa del cliente de servicios financieros, en su función de soporte administrativo y técnico, tendrá a su cargo la tramitación de las quejas o reclamaciones y consultas, y les corresponde recibir los escritos, reclamar las actuaciones relacionadas con éstos, instruir los expedientes, cumplimentar y dar traslado de las actuaciones, cursar todas las comunicaciones y, en general, los actos de trámite en los expedientes, así como redactar, en su caso, las propuestas de informe de conclusión de los expedientes.” La norma diferencia queja, reclamación y consulta. En el presente caso se trata de una reclamación en la que se define en el artículo 1.3 “Tendrán la consideración de reclamaciones las presentadas por los usuarios de servicios financieros que pongan de manifiesto, con la pretensión de obtener la restitución de su interés o derecho, hechos concretos referidos a acciones u omisiones de las entidades a que se refiere el artículo 1 que supongan para quien las formula un perjuicio para sus intereses o derechos por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 incumplimiento de los contratos, de la normativa de transparencia y protección de la clientela o de las buenas prácticas y usos financieros.” La presentación de quejas o reclamaciones en su forma y contenido se regula en el artículo 7, considerando como válida, a través de “medios informáticos, electrónicos o telemáticos” En este caso, queda acreditado que BK presentó documentación acompañando unos ficheros adjuntos, si bien se desconoce porque en su copia de justificante de presentación no queda constancia de tal entrada. El artículo 8.3 indica que si se cumplen los requisitos, se procederá a la apertura de un expediente por cada reclamación, en el que se incluirán todas las actuaciones relacionadas con ésta; también se indica que: “Cuando se trate de quejas o reclamaciones presentadas por distintas personas, y se refieran a la misma entidad, que coincidan con lo sustancial en los hechos o problemas puestos de manifiesto y solicitudes formuladas, o que sean coincidentes en su contenido se pueden acumular expedientes, para su tramitación conjunta”, que no es el caso del denunciante, pero que pueden plantear asimismo cuestiones de confidencialidad y deber de secreto en los acuerdos y documentación a trasladar. En este caso los expedientes del denunciante y de la persona sobre la que recibe documentos tienen diferentes números de expedientes asignados. Destaca en la tramitación de las reclamaciones el traslado a la entidad reclamada para que efectúe alegaciones en el plazo de 15 días y que “El reclamante y la entidad reclamada podrán acceder a las actuaciones incorporadas al expediente” Posteriormente entró en vigor la Orden ECC/2502/2012, de 16/11, que varía en algunas cuestiones, así: Artículo 11 “tramitación de las reclamaciones”: “1. Una vez se proceda a la apertura de expediente por cada una de las reclamaciones o se acuerde la acumulación de expedientes, en el plazo de diez días hábiles, se informará al interesado de que su tramitación se entiende sin perjuicio de las acciones que le asisten para hacer valer sus derechos y de los plazos y cauces para su ejercicio, así como que no paralizará la resolución y tramitación de los correspondientes procedimientos y que su terminación en el informe final del servicio de reclamaciones no tiene carácter vinculante ni la consideración de acto administrativo recurrible. Dentro de dicho plazo, igualmente, se remitirá a la entidad contra la que se dirija una copia de las reclamaciones y de los documentos aportados, para que en el plazo de quince días hábiles presente al servicio de reclamaciones las alegaciones y documentación que tenga por conveniente, sin perjuicio de que se pueda recabar directamente de las entidades reclamadas la información precisa para un adecuado conocimiento de la reclamación presentada. Los servicios de reclamaciones remitirán copia de las anteriores alegaciones y documentación al reclamante. El traslado de esta información podrá, no obstante, ser ejecutado directamente por las entidades reclamadas, si así lo determinan los servicios de reclamaciones correspondientes. El reclamante podrá pronunciarse sobre las alegaciones de la entidad en el plazo de quince días hábiles. Todos los requerimientos que se formulen a la entidad deberán ser cumplimentados en el plazo de quince días hábiles, transcurridos los cuales sin contestación se tendrán C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 por incumplidos a los efectos de continuar la tramitación del expediente. 2. El reclamante y la entidad reclamada podrán acceder a las actuaciones incorporadas al expediente. 3. En el caso en el que se plantee en la reclamación controversia entre las alegaciones formuladas por el reclamante y la entidad, corresponderá a esta última fundamentar sus alegaciones de acuerdo con la información de que disponga. 4. Transcurrido el plazo sin que la entidad reclamada hubiera formulado contestación, o transcurrido el plazo establecido en el apartado uno para que los interesados muestren su posible disconformidad, se emitirá el informe que dará por terminado el expediente. 5. Los servicios de reclamaciones podrán entrar a conocer, de oficio, sobre conductas que hubieran resultado acreditadas en el expediente aunque no hubieran sido el objeto de la reclamación, previa petición de alegaciones a la entidad.” Disposición Adicional segunda. Remisión de alegaciones en las reclamaciones ante el servicio de reclamaciones de la Dirección General de Seguros y Fondos de Pensiones: “En las reclamaciones tramitadas ante el servicio de reclamaciones de la Dirección General de Seguros y Fondos de Pensiones, el traslado de la información al reclamante previsto en el párrafo segundo del artículo 11.1 será ejecutado directamente por las entidades reclamadas.” Y determina expresamente en su Disposición Final primera. Régimen supletorio: “En lo no previsto expresamente en esta orden y en las normas que la desarrollen, será de aplicación a las actuaciones de los servicios de reclamaciones la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.” Por ello ha de entenderse que la revelación al denunciante de los datos de otras personas que tienen otros expedientes similares al del denunciante que era el objeto del acceso por el pedido, supone una infracción del deber de secreto de guarda y custodia de los datos que obran en los ficheros de la denunciada. IV El artículo 44.3.
- d)califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” V La conducta que configura el ilícito administrativo aplicado en este caso requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad denunciada para asegurarse de que los datos que se extraen de sus ficheros, en este caso los recibidos como alegaciones son los del denunciante, peticionario del derecho de acceso al expediente o de las alegaciones para formular el las suyas. En tal sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre se desatiende un deber legal de cuidado, es decir, cuando el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 infractor no se comporta con la diligencia exigible. En la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, la actividad de la denunciada es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5/06/1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17 de septiembre de 1999 En relación a dicho asunto, aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del artículo 130 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), tal y como con criterio general ha venido señalando la Jurisprudencia (Sentencias del Tribunal Supremo de 5/06/1989 y 12/03/1990, entre otras muchas), la expresión simple inobservancia del artículo 130.1 de la LRJPAC permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando para la imposición de la sanción, la inobservancia del deber de cuidado. Falta de diligencia, que, en el presente supuesto, resulta atribuible a la denunciada, ya que debería tener en cuenta a la hora de remitir documentación de procedimientos que solo los interesados pueden acceder a sus datos, extremando el cuidado a fin de evitar que se enviara una documentación con datos no pertenecientes al denunciante. Además, la Sentencia de la Audiencia Nacional de 29/03/2006, recurso 505/2004, reproduce el argumento de la Sentencia de la Audiencia Nacional de 18/01/20002, recurso 1096/2000 que señala que “..,pues bien, la conducta que configura el ilícito administrativo- articulo 43.3.
- g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos tributarios de un tercero de los que dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran por un simple error, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta diligente tendente a salvaguardar el expresado deber de secreto basta para consumar la infracción cuya sanción se recurre en el presente recurso”. En tal sentido, se deben puntualizar dos extremos. Si de las alegaciones enviadas en archivo pdf ha de quedar constancia en el expediente en papel, cabe reseñar que cuando se abre el archivo y se imprime para su envío, se puede hacer una mera visualización, al menos en los actos que hayan de surtir efectos a terceros, como en este caso que es el envío por correo ordinario, que es una vía fácil de enviar documentos a interesados con datos que pueden no ser del expediente. Igual atención debe ser puesta en los envíos a través de correo electrónico. Este trámite no es complicado ni representa gran esfuerzo y evita supuestos como el denunciado. En cuanto a alegar que la denunciad cometió el error de mandar en un archivo adjunto documentos de una persona de otro expediente identificándolo como del denunciante, se debe indicar que, con independencia de tal error en el envío, la gestión y tramitación comprende deslindar y separar, comprobar y velar por la gestión no solo transparente sino también eficaz y cumpliendo la normativa administrativa y adicionalmente de protección de datos, pues a ella hace referencia la disposición adicional única del Real Decreto 303/2004. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 No cabe duda de que BK se equivocó en la no correspondencia entre continente y contenido del archivo adjunto remitido, pero ello no es justificación para no efectuar una somera comprobación de lo que se envía por parte de la denunciada, contribuyendo sin duda a lo sucedido y denunciado, pero dado el papel gestor y garante de la Administración, no excluye por completo su culpabilidad, sobre todo cuando se relaciona con interesados o terceros, es preciso que incorpore en la tramitación de expedientes esta visión de secreto de acceso documental. En este caso la infracción del deber de secreto debida a la no comprobación de lo impreso y enviado se podía haber evitado mediante su verificación in situ, a la forma de su comisión y a su consumación en un solo momento, no se considera necesario instar el cumplimiento de medidas concretas. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIRECCION GENERAL DE SEGUROS Y FONDOS DE PENSIONES (Comisionado para la Defensa del Asegurado y del Partícipe en Planes de Pensiones) ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de de la citada Ley Orgánica. SEGUNDO: Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante se solicita se comuniquen las que de forma autónoma decida adoptar. TERCERO: NOTIFICAR la presente resolución a la DIRECCION GENERAL DE SEGUROS Y FONDOS DE PENSIONES (Comisionado para la Defensa del Asegurado y del Partícipe en Planes de Pensiones) y a A.A.A.. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es