AI-00119-2024

1/23  Expediente N.º: EXP202307863 (AI/00119/2024) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21 de abril de 2023, se presentó reclamación con número de registro de entrada (…) ante la Agencia Española de Protección de Datos contra NATIONALE NEDERLANDEN GENERALES COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. con NIF A81946501 (en adelante, la parte reclamada/ NATIONALE NEDERLANDEN). En su reclamación y documentación adjunta, dirigida también a otras autoridades públicas, hace referencia, entre otras, a diversas cuestiones ajenas al marco competencial de la AEPD. No obstante, en materia de protección de datos pone de manifiesto que la parte reclamada (de la que él habría sido empleado) estaría realizando un tratamiento de datos personales dado que recaba los datos de potenciales clientes a través de un anuncio de un producto (Cuenta Ahorro Online) que posteriormente no estaría disponible. Lo que, de acuerdo con la parte reclamante, implicaría un tratamiento de datos personales haciendo mención a una finalidad distinta a la efectiva. No obstante, al respecto presenta capturas de pantalla en las que se pone de manifiesto que la propia página web de la parte reclamada especifica al anunciar el producto que “el proceso de contratación no está disponible” y “puedes dejar tus datos para informarte de un producto alternativo o que te avisemos cuando vuelva a estar disponible”. Junto a la reclamación aporta: - Ficha de consulta de registro de agentes del Banco de España de la parte reclamada. - Noticia de prensa de 22 de marzo de 2018 titulada “NN Bank aterriza en España con una cuenta de ahorro con la que competirá con ING”. - Nota de prensa de Nationale-Nederlanden de 26 de marzo de 2015 titulada “Nationale-Nederlanden se reinventa como compañía independiente en España”. - Carta de bienvenida de la parte reclamada a la parte reclamante de ***FECHA.2, con motivo del inicio de su relación laboral. Anexo al contrato mercantil de agente exclusivo. Documento de protección de datos, confidencialidad, compliance y seguridad, firmado por la parte reclamante el ***FECHA.1. En el mismo, se reconoce a la parte reclamante, en tanto que agente, como encargado del tratamiento de datos personales de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 parte reclamada y se enumeran sus obligaciones en esta materia. Se reproduce, a continuación, su contenido: El Agente en Calidad de Encargado del Tratamiento. De acuerdo a lo dispuesto en el artículo 62 de la Ley 26/2006, de Mediación de Seguros y Reaseguros Privado los agentes de seguros exclusivos son considerados, en materia de protección de datos, ENCARGADOS DE TRATAMIENTO. (…) Estipulaciones: 1- Obligaciones Generales del Agente como encargado del tratamiento: 1.1 Limitarse a realizar las actuaciones que resulten necesarias para prestar el servicio objeto del Contrato de Agencia existente entre usted y las Compañías sin que sea posible utilizar los datos con una finalidad distinta ni utilizarlos con fines propios. 1.2 Tratar los datos personales ajustándose a las instrucciones que, en cada momento, le indiquen las Compañías, así como a lo dispuesto en la normativa que le resulte aplicable en materia de protección de datos personales. 1.3 Garantizar que tanto usted como las personas a su cargo tendrán la formación necesaria en materia de protección de datos personales. (…) II Guardar estricta confidencialidad sobre todos los datos, información y materiales que le sean proporcionados u obtenidos a través de las Compañías, así como no hacer copias de los datos personales a los que acceda con motivo de la prestación del Servicio ni divulgarlos, transferirlos, o de cualquier otra forma comunicarlos, ni siquiera para su conservación a terceras personas (salvo que se cuente con autorización expresa de las Compañías). Asimismo, el AGENTE, garantizará que los profesionales a su cargo que estén autorizados para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes en los mismos términos previstos en el presente apartado. III Poner a disposición de las Compañías toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorias o las inspecciones que realicen las Compañías o un tercero en nombre y por cuenta de éstas. (…) 6- Obligación de devolución de los datos: Una vez resuelta la relación contractual, el AGENTE se compromete a destruir aquella información que contenga datos de carácter personal que le haya sido transmitida por las Compañías con motivo de la prestación del servicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 […] 8- Seguridad de los datos personales: El Agente se hace responsable de implantar las medidas de seguridad especificadas en el documento Política y Normas de Seguridad del Usuario Final DE RED COMERCIAL a las que puede acceder a través del Portal Comercial, dentro de la sección “Comunicación” Apartado “Compliance, ORM, Golden Rules y Calidad de Ventas”, Sub-apartado “Riesgos Operacionales (ORM)”: https://portalcomercial.nne.es/comunicación/Paginas/Compliance.aspx […] 8- Responsabilidad: En aquellos supuestos en los que el AGENTE infrinja lo establecido en el RGPD, o cualquier otra normativa aplicable en materia de protección de datos, al determinar los fines o medios del tratamiento, será considerado, también, Responsable del tratamiento, respondiendo personalmente de las infracciones en que hubiera incurrido personalmente de conformidad con lo establecido en el artículo 28.10 del GDPR. 9- Entrada en vigor: El presente Anexo entra en vigor en la fecha de su firma y estará vigente hasta la fecha de terminación del Contrato de Agencia con las Compañías. Y en prueba de conformidad con cuanto antecede y con voluntad de obligarse, EL Agente firma el presente documento en el lugar y fecha indicados. - - Documento que incluye una presentación formativa en los valores de la parte reclamada. Documentación relativa a la Cuenta Ahorro Cliente, de la que la parte reclamante también es cliente (publicidad de la cuenta; condiciones de la contratación de esta; captura de pantalla del mensaje enviado por un cliente de fecha 9 de septiembre de 2022, acerca de la imposibilidad de contratar la cuenta; detalle, con enlaces y pantallazos, de los pasos a seguir para la contratación de la citada cuenta, en la que figura un aviso indicando que el proceso de contratación se encuentra temporalmente no disponible, añadiendo que "si deseas que te avisemos cuando el proceso de contratación esté nuevamente disponible o que te contacte un agente de Nationale-Nederlanden para informarte de un producto alternativo... puedes dejar tus datos en el formulario que encontrarás al final de esta página..."); Vídeo titulado “(...)”. Consulta dirigida al Departamento de Conducta de Entidades del Banco de España en el marco de la Directiva (UE) 2019/1937 relativa a la protección de las personas que informen sobre infracciones del Derecho de la UE sobre la exclusividad de los agentes de crédito conforme al Real Decreto 84/2015, de 13 de febrero, por el que se desarrolla la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 SEGUNDO: El 20 de mayo de 2023 amplía la reclamación efectuada el 21 de abril de 2023 contra la parte reclamada, presentando nueva documentación. En su escrito asegura que la parte reclamada habría sufrido una brecha de datos personales y que no lo habría comunicado a la AEPD. La brecha de datos personales se habría producido, de acuerdo con la parte reclamante, porque antiguos agentes trabajadores de la parte reclamada se habrían llevado, al irse a otra empresa, un listado de datos personales de clientes de NATIONALE NEDERLANDEN, y estarían haciendo uso ilícito de los mismos. Se reproduce, a continuación, el texto de la reclamación: “1) La presente denuncia se interpone al amparo de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión y de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. 2) Esta denuncia se refiere a la responsabilidad administrativa de la entidad denunciada (no existe la figura del encubrimiento del robo de datos personales) respecto a, entre otras cosas, la ausencia de comunicación a la Agencia Española de Protección de Datos. Los detalles los tienen en el fichero adjunto con comunicación a la Audiencia Nacional. 3) ¿Por qué Nationale-Nederlanden no lo comunicó a la AEPD? Porque su política de captación de agentes es similar, buscan que agentes procedentes del sector financiero vengan con sus clientes. Además, Nationale-Nederlanden no suele adquirir por vías legales datos de potenciales clientes, sino que promueve internamente el uso de bases de datos no accesibles al público (allá por 2010 el uso del programa (…)), el uso de listados de colegiados, el uso de las redes sociales (principalmente Lindekin mandando mensajes comerciales de forma indiscriminada) ... y promoviendo el Plan 100 (citado en la diapositiva 5 de la presentación que les mando). El Plan 100 es un fichero (antes en papel, ahora en Excel) donde el agente captado recopila los datos personales de personas de su entorno y que pone a disposición de su jefe de equipo para hacer visitas comerciales y, si el agente se va, el jefe de equipo de NationaleNederlanden puede seguir usándolo. Se captan además de los clientes, referencias de otros clientes que pasan a la esfera de Nationale-Nederlanden para seguir con sus actividades comerciales. 4) Los expedientes de esta denuncia, la anterior (caso Nationale-Nederlanden Bank) y la que queda, serán reclamados por el actor para acreditar la correlación entre denuncias, actuaciones realizadas y los daños sufridos como represalias prohibidas en el marco de la normativa de Protección al Denunciante. Junto a la reclamación aporta la siguiente documentación: - Correos electrónicos intercambiados entre la parte reclamante y NationaleNederlanden (***EMAIL.1) en marzo de 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 Entre ellos, se incluye correo de la parte reclamante a la parte reclamada de 4 de marzo de 2021 en el que se incluye un apartado titulado “uso ilícito de datos personales robados de NN por antiguos agentes”: “(…)”. Al respecto, consta contestación de la parte reclamada a la parte reclamante de 5 de marzo de 2021 cuyo texto se reproduce a continuación: “(…)”. A lo que la parte reclamante contesta el 6 de marzo de 2021: “(…)”. - Comunicación al Juzgado (…) de la Audiencia Nacional fechada el 16 de mayo de 2023: Comunicación de hechos conexos al procedimiento de competencia abierto (denuncia contra ***EMPRESA.1 (***ENTIDAD.1) y que pudieran ser constitutivos de un presunto delito tipificado en el artículo 197.2 y ss. del Código Penal (robo indiscriminado de datos personales especialmente protegidos de una pluralidad de personas con fines lucrativos). En la misma, entre otros asuntos, narra la secuencia cronológica por la que trabajadores de la parte reclamada finalizaron su relación laboral con esta, comenzaron a prestar servicios con ***ENTIDAD.1 y, supuestamente, se habrían llevado datos personales de clientes “con objeto de que cancelen sus productos” con la parte reclamada y contraten los de su nuevo empleador. Así, se señala: “ (…) (…). (…) (…). - Estrategia (…). En este documento se incluye la diapositiva 5 que la parte reclamante indica en su escrito de reclamación, cuyo contenido señala: (…) o C/ Jorge Juan, 6 28001 – Madrid (…)  (…).  (…).  (…).  (…).  (…).  (…).  (…). www.aepd.es sedeagpd.gob.es 6/23 o (…)  (…).  (…).  (…).  (…). TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a NATIONAL NEDERLANDEN, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 26 de junio de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 25 de julio de 2023 se recibe en esta Agencia escrito de respuesta, donde, entre otros aspectos, manifiesta: o PRIMERO.- […] Por parte del Reclamante se está insinuando que se ha producido una supuesta brecha de datos personales que no habría sido objeto de comunicación ante esa AEPD, en los términos exigidos por el artículo 33 del RGPD, como consecuencia de un supuesto robo de datos personales de los clientes de NN llevado a cabo por determinadas personas que habría dejado de ser agentes de la Entidad, siendo contratados por una determinada correduría de seguros, concretamente la ***EMPRESA.2 (en adelante “***EMPRESA.2”). o SEGUNDO. -Antes de proceder a dar respuesta a las cuestiones planteadas en el traslado efectuado, NN considera necesario efectuar ciertas puntualizaciones relacionadas con el contenido de la mencionada reclamación:  C/ Jorge Juan, 6 28001 – Madrid En primer lugar, es preciso indicar que los hechos a los que la misma se refiere datan de los años 2018 a 2020, lo que implicaría en caso de que se apreciase la existencia de una infracción de la normativa de protección de datos, algo que mi representada niega de plano, la misma se encontraría ya prescrita, no sólo en el momento de emitirse el presente escrito (24 de julio de 2023), sino en el de formulación de la reclamación que da origen al traslado que el mismo responde. www.aepd.es sedeagpd.gob.es 7/23  En segundo lugar, es preciso indicar que el contenido de los documentos adjuntos a la reclamación formulada no se desprende ni se deduce indicio alguno de que se haya producido efectiva brecha de seguridad de los sistemas de mi representada, limitándose el Reclamante a conjeturar que quienes dejan de ser agentes de NN “roban” los datos correspondientes a sus clientes y los usan posteriormente actuando ya como empleados de ***EMPRESA.2. […] o TERCERO. - […] El Reclamante señala en su escrito dirigido al Juzgado (…) lo siguiente: “A inicios de 2018, me entero que el Sr. A.A.A. se ha marchado de NATIONALE-NEDERLANDEN ESPAÑA (VIDA Y GENERALES) a la ***EMPRESA.2 y que parece además que está muy enfadado porque se le adeudan comisiones además de haber estado trabajando como “falso autónomo”. Según el rumor que se escucha entonces y al que no le doy más importancia, un cliente del Sr. A.A.A. que sería don B.B.B., se lo ha llevado a la meritada Compañía con contrato laboral. Recupero como agente a la Sra. C.C.C. y a toda su cartera en lo que parecía una reparación del anterior perjuicio sufrido. Unos meses después, el Sr. D.D.D. y amigo del Sr. A.A.A. comunica su marcha a la ***EMPRESA.2. En esos momentos ya existe el rumor de que el Sr. A.A.A. se ha llevado datos personales de los clientes con objeto de que cancelen sus productos en NATIONALE NEDERLANDEN ESPAÑA (VIDA Y GENERALES) y contraten los de la ***EMPRESA.2 en beneficio económico y profesional del Sr. A.A.A. y de la meritada.” […] “Durante los años 2019 y 2020 siguen saliendo agentes de NATIONALE NEDERLANDEN ESPAÑA (VIDA Y GENERALES) con destino a la ***EMPRESA.2, y en ese proceso sigo perdiendo cartera y comisiones de mi cartera propia (…)” Pues bien, sin perjuicio de que como se ha indicado anteriormente, la información a la que se hace referencia en los párrafos extractados parecen basarse en rumores y en meras conversaciones entre compañeros de trabajo o en la simple convicción del Reclamante, es preciso añadir que incluso en el supuesto en que se hubiera producido un “robo” de la información relativa a los clientes de NN como consecuencia de una supuesta brecha de seguridad, algo que en ningún momento se acredita y mi representada niega en todo caso, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 estos hechos o bien (

1. i)no se encontrarían sometidos al RGPD, por ser anteriores a la fecha establecida en su artículo 99.1 para que se produjera su aplicación (esto es, 25 de mayo de 2018); o bien (
2. ii)se encontrarían prescritos, en aplicación de lo establecido en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, “LOPDGDD”) […] En efecto, los hechos a los que se ha hecho referencia en primer lugar ocurrieron, conforme a la versión facilitada por el propio Reclamante “a inicios de 2018”, lo que necesariamente supondría su acaecimiento con anterioridad a la plena aplicación del RGPD, por lo que en el negado supuesto de que se hubiera producido una brecha de seguridad en los sistemas de NN, no sería de aplicación a tales hechos el deber de notificación establecido en el artículo 33 del RGPD, por no ser aún aplicable. o CUARTO. - Por otra parte, y como se ha indicado, la reclamación efectuada se fundamenta única y exclusivamente en meras referencias o rumores que se contienen en los correos electrónicos adjuntos y en el escrito dirigido al Juzgado (…), pero sin que se aporte elemento alguno que permita acreditar, siquiera indiciariamente, que se ha producido la brecha de seguridad indicada. En este sentido, NN dispone de sólidas medidas que garantizan un uso adecuado de sus datos por parte de los agentes que prestan servicios de mediación a la misma. En particular:  (…).  (…). (…).  (…). (…). En el DOCUMENTO NÚMERO 1 de la entrada con n.º de registro REGAGE23e00050482368 se muestra un ejemplo del funcionamiento de este control ((…)). (…). (…). Se adjunta como DOCUMENTO NÚMERO 2 de la entrada con n.º de registro REGAGE23e00050482368 el procedimiento seguido para habilitar la citada denegación. Una vez recibida la reclamación, se han verificado los sistemas de NN sin que se haya detectado la producción de alguna conducta inusual o brecha en los sistemas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 En este sentido, y en respuesta a la cuarta de las preguntas formuladas en el traslado efectuado por esa AEPD, considera mi representada que, al no haberse visto afectados sus sistemas, no puede considerarse que las medidas implementadas en aquellos cuenten con ninguna vulnerabilidad que deba ser solventada, por lo que no resultaba precisa la adopción de medidas adicionales ni la modificación de las ya establecidas en relación con la protección de los datos personales de sus clientes en los sistemas de NN. o QUINTO. - De este modo, mi mandante ignora los motivos concretos por los que quienes dejaron de prestar sus servicios como agentes de mi representada pudieron ponerse en contacto con sus clientes, si bien es razonable considerar que aquellos contaban con algún tipo de dato de contacto de su cartera de clientes, obtenido como consecuencia de la relación de confianza generada con los mismos como, por ejemplo, su número de teléfono. Centrándonos en los agentes a los que se refiere el Reclamante, NN no cuenta con ninguna reclamación de clientes o comportamiento inusual (anulaciones o rescates) en la cartera de clientes de los cinco agentes involucrados. En este sentido, el agente es consciente de su deber de confidencialidad y de la aplicación de la normativa de protección de datos personales a la información obtenida como consecuencia de su actividad, encontrándose expresamente vedada a la misma la utilización de los citados datos una vez concluida la relación que vincula al agente con mi representada. A tal efecto, se aporta como DOCUMENTO NÚMERO 3 de la entrada con n.º de registro REGAGE23e00050482368 el Código de Conducta de Mediadores de Nationale Nederlanden, en que se incluyen referencias específicas al deber de confidencialidad y de respeto a la normativa de protección de datos personales. Igualmente, se aportan, como DOCUMENTOS NÚMEROS 4 y 5 de la entrada con n.º de registro REGAGE23e00050482643 y a título ejemplificativo de los contratos celebrados por NN con sus agentes, el contrato celebrado por mi representada con el Reclamante, así como el Anexo de protección de datos personales, firmado por el mismo en fecha 13 de junio de 2018, a fin de ajustar las cláusulas relacionadas con protección de datos a los requerimientos del RGPD y la LOPDGDD. Igualmente, NN despliega diversas actividades formativas dirigidas a su red de agentes, en particular en materia de protección de datos personales. A tal efecto, se adjunta como DOCUMENTO NÚMERO 6 y 7 de la entrada con n.º de registro REGAGE23e00050482643 material C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 de formación impartida específicamente en el año de entrada en vigor de GDPR y la que actualmente está impartiéndose. […] De lo que ha venido indicándose se desprende que la actuación puesta de relieve por el Reclamante supondría una vulneración de la normativa interna y de las obligaciones contractuales efectuadas por NN, aun cuando no existe indicio alguno de que la misma implicase la existencia de una brecha de seguridad. […] Por este motivo, tal y como consta en la respuesta dada por NN al Reclamante y que se recoge en la documentación aportada, cuya fecha es 5 de mayo de 2021, es decir, más de dos años antes de la formulación de la reclamación (no el 5 de mayo de 2023 como erróneamente se indica en el traslado realizado), mi representada había adoptado, antes de que se le informase por el Reclamante, las medidas necesarias para indicar a los agentes que hubieran dejado la compañía que el uso de los datos de contacto que pudieran tener de los clientes en pólizas de NN mediadas por aquellos resultaba contrario a la ley. Se adjunta, como DOCUMENTO NÚMERO 8 de la entrada con n.º de registro REGAGE23e00050483316 modelo de escrito remitido por NN por medio de burofax a los agentes en el momento en que dejan de desarrollar su actividad para la misma, en los términos indicados. Del mismo modo, conforme prescribe el artículo 141.5 del Real Decreto-ley 3/2020, de 4 de febrero, de medidas urgentes por el que se incorporan al ordenamiento jurídico español diversas directivas de la Unión Europea en el ámbito de la contratación pública en determinados sectores; de seguros privados; de planes y fondos de pensiones; del ámbito tributario y de litigios fiscales (en adelante, el “RDL de Distribución de Seguros”), establece que “producida la extinción del contrato de agencia, la entidad aseguradora deberá comunicar dicha circunstancia a quienes figurasen como tomadores de seguros en los contratos celebrados con la intervención del agente cesante y, en su caso, el cambio de la posición mediadora a favor de otro agente. El agente de seguros cesante podrá comunicar dicha circunstancia a quienes figurasen como tomadores de seguros en los contratos de seguros celebrados a través de su actividad de distribución”. Se adjunta, como DOCUMENTO NÚMERO 9 de la entrada con n.º de registro REGAGE23e00050483316 modelo de comunicación dirigida a los clientes de NN en los supuestos de cese de la actividad del agente que participó en la mediación de sus pólizas. En este sentido, mi representada desea recordar que el citado artículo 141.5 del RDL de Distribución de Seguros habilita al agente para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 conservación de los datos mínimos de contacto de sus clientes con la finalidad de llevar a cabo la comunicación mencionada en el último inciso del precepto, debiendo mi representada, como cualquier entidad aseguradora para la que un agente dejase de prestar servicios aceptar que éste se ponga en contacto con sus clientes con la única finalidad de comunicar su cese en la actividad mencionada. Por ello, el hecho de que los agentes utilizasen la mencionada información a tales efectos se encuentra expresamente habilitado por la normativa de distribución de seguros privados, no pudiendo así considerarse que el uso de tales datos implique la existencia de brecha de seguridad alguna, algo que, como ya se ha indicado, en este caso no ha podido verificarse la existencia de la misma pese a los controles de acceso establecidos por mi representada y que el Reclamante funda en meras hipótesis y conjeturas. Lo que sí puede mi representada es adoptar las medidas que considere necesarias contra la utilización posterior de los datos que los agentes hubieran utilizado posteriormente para sus propios fines, incumpliendo la normativa de protección de datos personales, así como la que rige la actividad mediadora, siendo constitutivos estos hechos de un claro supuesto de competencia desleal que genera un evidente perjuicio a NN. Por este motivo, mi representada ha remitido diversos requerimientos a ***EMPRESA.2, poniéndole de manifiesto lo ilícito del uso de tales datos, así como la vulneración de la normativa de protección de datos personales que el uso de los mismos podría implicar. Se adjunta como requerimiento efectuado por NN a la citada entidad DOCUMENTO NÚMERO 10 de la entrada con n.º de registro REGAGE23e00050483316 así como la respuesta dada por aquélla al mismo (DOCUMENTO NÚMERO 11 de la entrada con n.º de registro REGAGE23e00050483316 y el último requerimiento dirigido por mi mandante a la citada Correduría (DOCUMENTO NÚMERO 12 y 13 de la entrada con n.º de registro REGAGE23e00050483787, la carta y el acuse de recibo del burofax enviado), en que expresamente se le recuerda que la utilización de los datos de los clientes de NN para sus propios fines constituye una vulneración de la normativa de protección de datos personales. […] En el DOCUMENTO 12, fechado en octubre de 2022, dirigido a ***EMPRESA.2, NATIONALE NEDERLANDEN manifiesta: […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 Seguimos detectando que personas con las que mantiene su cliente “***EMPRESA.2” una relación laboral o mercantil siguen promoviendo, en perjuicio de nuestros clientes, el cambio de entidad aseguradora de clientes de nuestra cartera que se celebraron con su mediación, aprovechando indebidamente la información y documentación confidencial propiedad de nuestros clientes, obtenida como consecuencia de su posición mediadora en dicha cartera. Los actos descritos están suponiendo un perjuicio económico directo para nuestros clientes que le son directamente imputable y exigible. Dichas actuaciones no están amparadas en los principios de transparencia y de libre competencia, sino que constituyen una clara infracción del artículo 141.4 del Real Decreto-Ley 3/2020, de 4 de febrero, así como de la normativa de Protección de Datos de Carácter Personal. Del mismo modo, dichas conductas suponen la comisión de actos de Competencia Desleal a los efectos del artículo 15 de la Ley 3/1991, de 10 de enero, de Competencia Desleal.” CUARTO: Con fecha 21 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En el marco de las actuaciones de investigación, en fecha 6 de mayo de 2024 se requiere a la parte reclamante que aporte los informes técnicos o cualquier medio de prueba válido en derecho que den sustento a lo que expone en la reclamación ante esta Agencia, en particular, documentación justificativa que acredite el robo de datos personales de los clientes de la parte reclamada y la fecha en que tuvo lugar. En fecha 8 de mayo de 2024 se recibe respuesta de la parte reclamante en la que no incluye documentación justificativa que acredite los hechos. A continuación, se reproduce parcialmente su contenido: PRIMERA. - En el escrito y documento adjunto que se les remitió, se hizo constar una relación cronológica de los hechos que venía incluida en una comunicación que fue dirigida a la Audiencia Nacional […] SEGUNDA. – A mayor abundamiento, en el marco de un (…) de Madrid tuve acceso directo a una serie de documentos aportados a los autos por NATIONALE-NEDERLANDEN. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 Son documentos que además de haber visto en otras ocasiones y de los que no me pude quedar copia (de los múltiples burofaxes que se mandaron a los implicados), éstos ahora sí forman parte de unos autos judiciales que acreditan que, desde 2018 (lo que yo mantengo) hasta al menos el 18 de octubre de 2022, hubo una fuga reiterada y masiva de datos personales de NATIONALENEDERLANDEN que no fue comunicada a la Agencia Española de Protección de Datos. […] CUARTA. - […] le adjunto el mío apreciarán que: 1) Sí existe política de privacidad de datos con diversas aseguradoras con las que colabora NATIONALE-NEDERLANDEN, de forma absolutamente legal. 2) NO existe política de privacidad de datos sobre la operativa de recopilación, tratamiento y cesión de datos personales de clientes y realizada por estos agentes de seguros exclusivos que luego, utilizando su código interno, se los remiten a ***EMPRESA.3. Como esto se está haciendo, aplicándose además en fraude de ley la exención prevista en el artículo 20. UNO. 16º LIVA (con un quebranto a la Hacienda Pública de unos 5.000.000 de euros, artículos 305 y 305bis del Código Penal) y que está investigando la Fiscalía Anticorrupción y contra la Criminalidad Organizada, no puedo contarles más de lo que aquí ya he dicho en materia de protección de datos. El Contrato de Agencia aportado entre la parte reclamante (Agente o Agencia de Seguros Exclusivo), de una parte, y NATIONALE-NEDERLANDEN VIDA, Compañía de Seguros y Reaseguros, S.A.E. (CIF A-81946485) y NATIONALENEDERLANDEN GENERALES, Compañía de Seguros y Reaseguros, S.A.E. (CIF A-81946501), de otra parte. Fue firmado el ***FECHA.1 por la parte reclamante y el ***FECHA.2 por la parte reclamada. Se aportan también los anexos del contrato mercantil de agente exclusivo relativos a la protección de datos, confidencialidad, compliance y seguridad, que ya habían sido aportados junto a la reclamación del 21 de abril de 2023 que incluyen: o Tratamiento de Datos Agente – ***EMPRESA.4. Tratamiento de Datos por el Agente como Encargado del Tratamiento de ***EMPRESA.5. Además, se incluye un nuevo documento titulado Normativa Reglamento General de Protección de Datos (RGPD) y Compliance firmado en fecha 13 de junio de 2018 y que supone la adaptación al Reglamento General de Protección de Datos. En la estipulación tercera del contrato se establece que el contrato tiene naturaleza mercantil, duración indefinida y que ambas partes podrán resolverlo en cualquier momento y a su libre voluntad, con la única obligación de avisar a la otra parte con antelación. Al objeto de investigar si existió una brecha de seguridad en la parte reclamada y las medidas de las que dispone para garantizar un uso adecuado de los datos de los clientes por parte de los agentes que prestan servicios, en fecha 31 de mayo de 2024 se realiza una solicitud de información a esta. El requerimiento de información fue notificado el 3 de junio de 2024. El 88 de julio de 2024 tiene entrada en la AEPD la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 contestación de NATIONALE NEDERLANDEN. aspectos más relevantes: A continuación, se exponen los “Sobre la solicitud a la que se refiere el apartado 1 (“Explicación de cómo y cuándo detecta que exagentes de su entidad están siendo contratados por la ***EMPRESA.2, número de exagentes y período en el que se producen estas contrataciones. Explicación de cómo afecta este hecho a la cartera de clientes de su entidad y durante qué intervalo de tiempo”). Como ya se puso de manifiesto en el momento de la contestación a la reclamación formulada frente a mi representada, mi mandante ignora los motivos concretos por los que quienes dejaron de prestar sus servicios como agentes de NN pudieron ponerse en contacto con sus clientes, si bien es razonable considerar que aquellos contaban con algún tipo de dato de contacto de su cartera de clientes, obtenido como consecuencia de la relación de confianza generada con los mismos como, por ejemplo, su número de teléfono. A mayor abundamiento, conforme prescribe el artículo 141.5 del Real Decreto-ley 3/2020, de 4 de febrero, de medidas urgentes por el que se incorporan al ordenamiento jurídico español diversas directivas de la Unión Europea en el ámbito de la contratación pública en determinados sectores; de seguros privados; de planes y fondos de pensiones; del ámbito tributario y de litigios fiscales, establece que “producida la extinción del contrato de agencia, la entidad aseguradora deberá comunicar dicha circunstancia a quienes figurasen como tomadores de seguros en los contratos celebrados con la intervención del agente cesante y, en su caso, el cambio de la posición mediadora a favor de otro agente. El agente de seguros cesante podrá comunicar dicha circunstancia a quienes figurasen como tomadores de seguros en los contratos de seguros celebrados a través de su actividad de distribución”. Y, por tanto, el mencionado artículo habilita al agente para la conservación de los datos mínimos de contacto de sus clientes con la finalidad de llevar a cabo la comunicación mencionada en el último inciso del precepto, debiendo mi representada, como cualquier entidad aseguradora para la que un agente dejase de prestar servicios aceptar que éste se ponga en contacto con sus clientes con la única finalidad de comunicar su cese en la actividad mencionada”. Asimismo, manifiesta que tuvo conocimiento de la existencia de diversos exagentes que habían concluido su relación con la sociedad y habían sido contratados por ***EMPRESA.2, a través de personas que seguían colaborando con la parte reclamada y que, por su relación con los exagentes o con su entorno, indicaban que tenían contacto con ***EMPRESA.2. “No obstante, no es posible facilitar información fiable relativa al número de exagentes afectados, dado que, a diferencia de los agentes de seguros exclusivos en los que existe un registro público, responsabilidad de la Dirección General de Seguros y Fondos de Pensiones, “Registro Administrativo de Distribuidores de Seguros y Reaseguros”, en que constan todos ellos, en el caso de corredores de seguros, la inscripción corresponde a la propia Correduría y no al personal que presta sus servicios en la misma, por lo que no es posible determinar con certeza el número de exagentes que pasaron a prestar servicios a ***EMPRESA.2. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 Dados los indicios mencionados anteriormente, mi representada remitió a ***EMPRESA.2 los requerimientos a los que se refiere esta AEPD, advirtiendo de que el uso de los datos de contacto que pudieran tener de los clientes en pólizas de NN mediadas por aquellos resultaba contrario a la ley -fuera de los supuestos expresamente establecidos-. Téngase en cuenta que dichos requerimientos se enviaron en el marco de las medidas necesarias implementadas por NN para evitar una utilización ilícita de la información propiedad de la compañía y con el fin de evitar la realización por los exagentes de prácticas contrarias a la normativa de secretos empresariales y por ***EMPRESA.2 de actuaciones contrarias a la libre competencia en el sector. Por tanto, dichos requerimientos no se realizan como consecuencia de indicios de una posible fuga de datos personales pues el número de clientes que cancelaron sus pólizas con mi representada con posterioridad a la salida de los agentes no es un número significativo que permita sospechar que se ha producido que los exagentes hayan sustraído información de los sistemas de la Entidad. No se detectó ni se ha detectado el que se haya producido un robo de datos personales de nuestros clientes ni que los exagentes sustrajeran información que se encontrase en las áreas privadas de sus clientes. (…) no existe ningún impacto significativo en la cartera de NATIONALE NEDERLANDEN como consecuencia de los hechos mencionados (en ningún caso excedería del 0,1%), siendo así que, además, ha de tenerse en cuenta que los hechos a los que se refiere la solicitud de información tuvieron lugar en un entorno económico caracterizado por la inseguridad como consecuencia de la existencia de múltiples factores exógenos, tales como la pandemia generada por el COVID-19, el entorno bélico en Europa o la subida de los tipos de interés, que afectaron a la distribución del ahorro de las familias”. Se aporta como Documento 1 copia del Registro de Actividades de Tratamiento (RAT) donde se identifican las categorías de datos personales que se recaban de los clientes, las finalidades del tratamiento de los datos, las bases de legitimación en la que se encuentran amparadas cada una de las finalidades del tratamiento y los plazos durante los que la parte reclamada mantiene los datos personales. Respecto a las medidas de seguridad con las que cuenta, la parte reclamada reitera algunos de los aspectos que fueron señalados en respuesta a las actuaciones de traslados, además de completarlo con información adicional. A continuación, se resumen las medidas de seguridad con las que cuenta: - Anexo relativo a la protección de datos personales en los contratos celebrados por NATIONALE NEDERLANDEN con sus agentes. - Actividades formativas dirigidas a la red de agentes de NATIONALE NEDERLANDEN. - Código de Conducta de Mediadores de NATIONALE NEDERLANDEN. - Denegación automática de cualquier acceso por parte de los agentes que causan baja a los sistemas de NATIONALE NEDERLANDEN. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 - Comunicación dirigida a los agentes cuando dejan de desarrollar su actividad para NATIONALE NEDERLANDEN trasladando la obligación de no utilizar la información a la que hubieran accedido con posterioridad a la extinción del contrato. - Comunicación dirigida a los clientes de NATIONALE NEDERLANDEN en los supuestos de cese de actividad del agente que participó en la mediación de sus pólizas. - Medidas adoptadas contra la utilización posterior de datos de clientes de NATIONALE NEDERLANDEN: o - Comunicaciones dirigidas a ***EMPRESA.2 recordatorias de que la utilización de los datos de los clientes de NATIONALE NEDERLANDEN para sus propios fines constituye una vulneración de la normativa de protección de datos personales. Medidas de seguridad de su sistema de alojamiento: o (…). o (…). o (…). (…) (…) (…). Además, la parte reclamada diferencia entre las figuras del agente y del jefe de equipo o mediador, en adelante AX: “Ambas figuras disponen del mismo tipo de contrato formalizado con NN, esto es un contrato mercantil de agencia exclusivo, por lo que todos los agentes y AX disponen de los mimos derechos y obligaciones y se encuentran inscritos en el Registro Administrativo de Distribuidores de Seguros y Reaseguros de la Dirección General de Seguros y Fondos de Pensiones. Considerando lo anterior, la principal diferencia entre la figura del agente y del AX es que esta última puede mediar en conjunción con otro agente de seguros, de modo que los clientes son conjuntos, pudiendo dirigirse a los mismos, indistintamente el AX y el agente. Los motivos de la implementación de la figura AX son, por un lado, facilitar a los agentes que tienen una amplia cartera de clientes la gestión de los mismos, dándoles la posibilidad de que más de una persona preste servicio a toda su cartera, y, por otro lado, garantizar un mayor nivel de retención de clientes ya que si uno de los agentes involucrados en la mediación de una póliza abandona NN, los clientes seguirán en la cartera del agente que continúa colaborando con NN. En lo que a protección de datos se refiere, cada agente, sea o no AX, sólo podrá acceder a los datos personales de sus clientes. Así, los agentes AX accederán a la información de aquellos clientes captados sólo por él, sin intervención de ningún otro agente, así como la de aquellos clientes que hayan mediado con la intervención de otro agente. Y, por su parte, los agentes que no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 tienen la condición de AX únicamente podrán acceder a los datos personales de su cartera de clientes”. Por otra parte, explica los mecanismos de los que dispone para garantizar que los agentes únicamente puedan acceder a los datos personales relativos a sus clientes en cartera, no siendo posible la visualización de dichos datos por el resto de agentes adscritos a cada oficina comercial. La explicación incluye (…). Cuando un AX o un agente intenta acceder a un cliente que no es suyo o no está en su estructura, el sistema no devuelve datos. Por otro lado, cuando un perfil de agente (no AX) accede a clientes, sólo ve los mediados por él y si casualmente alguno de sus clientes tuviera póliza mediada por otro agente no la podría visualizar. En cuanto a los clientes que no tienen agente por haber causado baja o son clientes de otra oficina comercial o de otra de AX de la misma oficina, sólo pueden acceder a visualizar sus datos el director de la oficina y el subdirector. Asimismo, se aporta una presentación explicativa de la seguridad implementada en los sistemas para las oficinas donde se describen las medidas aplicables para los dispositivos del personal: o (…). o (…). o (…). o (…). (…) (…): o  (…).  (…).  (…).  (…). (…). (…). o (…). […] Añade la parte reclamada que, en el momento en que los agentes dejan de desarrollar su actividad para NATIONALE NEDERLANDEN, esta les recuerda por escrito sus obligaciones con respecto a la no utilización de los datos de los clientes. Se aporta el modelo de escrito que remite por burofax cuando rescinde la relación con el agente. Asimismo, comunica a los clientes el cese de la actividad del agente que participó en la mediación de sus pólizas. Se aporta el modelo de comunicación a estos efectos. Adicionalmente, si detecta algún comportamiento de caída anormal de cartera o si se sospecha que exagentes de NATIONALE NEDERLANDEN están colaborando con otra entidad, la parte reclamada les realiza comunicaciones oficiales con sus obligaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 En cuanto a las manifestaciones efectuadas por la parte reclamante que se incluyen en el escrito que dirige al Juzgado Central de Instrucción n.º 5 de la Audiencia Nacional, relativas a cinco exagentes de NATIONALE NEDERLANDEN, la reclamada insiste en que los hechos a los que se refieren datan de los años 2018 a febrero de 2021. No obstante, facilita la siguiente información: o En relación con A.A.A. y D.D.D. mi representada no tiene indicios ni evidencias de que se realizaran acciones posteriores a la resolución de su contrato con NN ya que, en ninguno de los casos, se tiene constancia de salidas de clientes de la cartera de los mencionados exagentes posteriores a ese hecho. o En relación con E.E.E., únicamente causaron baja de la cartera tres clientes, no resultando dicha salida significativa. o Por su parte, en lo que a C.C.C. se refiere, sólo se produjo alguna baja respecto de algún cliente de su cartera un año después de producirse su salida de NN. o Por último, se llevó a cabo una investigación interna en relación con la salida de F.F.F., pues mi representada tuvo sospechas de su colaboración con una tercera entidad, no obstante, no se detectó una caída importante de su cartera. En este sentido, al no detectar indicios de que se hubiera producido un robo de datos de clientes, mi representada no tomó acciones con respecto a los agentes a los que se menciona. Por último, la parte reclamada acredita que remitió requerimientos a ***EMPRESA.2 para poner en su conocimiento que personas de su entorno, bien con relación laboral o bien con relación mercantil, estaban promoviendo el cambio de entidad aseguradora de clientes de la cartera de NATIONALE NEDERLANDEN. Asimismo, le solicitaba que pusiera los medios necesarios para frenar esta práctica irregular. A la vista de lo anterior, las actuaciones previas de investigación llevadas a cabo por la Subdirección General de Inspección de datos concluyen: - Que no se ha podido acreditar que se haya producido una brecha de seguridad en los sistemas de NATIONALE NEDERLANDEN. Analizadas las medidas de seguridad implantadas por la parte reclamada no se ha podido acreditar que se hayan visto vulneradas. En particular, se destacan las medidas de seguridad de sus sistemas de alojamiento. Con el control de acceso de usuario y la identidad vinculada, el agente sólo puede visualizar información asociada a su cartera de clientes. Los sistemas no permiten la descarga de listados completos de clientes, al no ser posible el acceso a información que exceda de la de sus propios clientes. La baja de un agente determina la baja de su identidad como usuario del sistema, lo que conlleva de forma automática la denegación de cualquier acceso por parte del mismo a los sistemas de NATIONALE NEDERLANDEN. - Asimismo, la parte reclamada acredita que, tras detectar que exagentes suyos que mantienen una relación laboral o mercantil con ***EMPRESA.2 están promoviendo el cambio de entidad aseguradora de clientes de su cartera aprovechando indebidamente información confidencial propiedad de sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 clientes, obtenida como consecuencia de su posición mediadora en dicha cartera; advierte a ***EMPRESA.2 que dichas actuaciones no están amparadas en los principios de transparencia y de libre competencia, de la protección de datos de carácter personal y que suponen también la comisión de actos de competencia desleal. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
3. f)y
4. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que NATIONAL NEDERLANDEN realiza, entre otros tratamientos, la recogida y conservación de los siguientes datos personales de personas físicas, tales como: nombre y apellidos, fecha nacimiento, dirección postal, email, teléfono, DNI, datos bancarios, profesión/ocupación, nacionalidad, estado civil, sexo, datos financieros, datos judiciales, datos de salud tales como enfermedad, hábitos y discapacidad. NATIONAL NEDERLANDEN realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 III Presunción de inocencia En el presente caso, se formula reclamación motivada por la supuesta sustracción de datos personales de clientes de la parte reclamada por parte de antiguos agentes trabajadores de NATIONALE NEDERLANDEN, así como su posterior cesión a otra entidad, concretamente, ***EMPRESA.2. Desde esta Agencia se formuló requerimiento de información a la parte reclamante en el que se le solicitaba aquellos informes técnicos o cualquier medio de prueba válido en derecho que diese sustento a lo expuesto en su reclamación, en particular, documentación justificativa que acreditase el robo de datos de clientes de NATIONALE NEDERLANDEN y la fecha en que tuvo lugar. La respuesta de la parte reclamante no incluía documentación justificativa que acreditara la brecha de datos a que se refiere en su reclamación. Además, tras las actuaciones previas de investigación llevadas a cabo por esta Agencia de conformidad con el artículo 67 de la LOPDPGDD, no ha quedado acreditado que haya tenido lugar una violación de la seguridad de datos personales en los sistemas de NATIONALE NEDERLANDEN, ni que, por tanto, se haya producido un acceso ilícito a los mismos como consecuencia de esta. En este sentido, analizadas las medidas de seguridad con las que cuenta la parte reclamada no se ha podido acreditar que se hayan visto vulneradas o que se haya producido una brecha de seguridad en materia de protección de datos personales. Tampoco que las medidas existentes no sean adecuadas al riesgo derivado del tratamiento. Se señala que, con las medidas de seguridad de los sistemas de alojamiento de la parte reclamada, consistentes en el control de acceso de usuario y la identidad vinculada, el agente sólo puede visualizar información asociada a su cartera de clientes. Asimismo, ha quedado acreditado que los sistemas no permiten la descarga de listados completos de clientes, al no ser posible el acceso a información que exceda de la de sus propios clientes. Además, la baja de un agente supone su baja como usuario del sistema, lo que conlleva de forma automática la denegación de cualquier acceso a los sistemas de NATIONALE NEDERLANDEN. Por otra parte, la ausencia de indicios de que la brecha de datos personales se hubiera producido, también conlleva la imposibilidad de imputar a NATIONALE NEDERLANDEN la presunta comisión de una infracción del artículo 33 del RGPD, el cual establece la obligación de notificar la brecha a esta Agencia, dado que, toda vez que no se han aportado evidencias de que haya existido una brecha de datos personales, no existe la obligación de notificar algo que no se tiene certeza de que haya sucedido. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990 (STC) considera que el derecho a la presunción de inocencia comporta “que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: “
5. a)(…)
6. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997, que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
7. a)La prueba indiciaria ha de partir de hechos plenamente probados.
8. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En este caso, como se ha expuesto, no existen esos indicios racionales que permitan imputar a la parte reclamada la comisión de las infracciones de la normativa de protección de datos personales denunciadas, por lo que, no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 Prescripción de los hechos objeto de reclamación A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
9. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. La parte reclamante señala en su escrito dirigido al Juzgado (…) lo siguiente: “A inicios de 2018, me entero que el Sr. A.A.A. se ha marchado de NATIONALENEDERLANDEN ESPAÑA (VIDA Y GENERALES) a la ***EMPRESA.2 y que parece además que está muy enfadado porque se le adeudan comisiones además de haber estado trabajando como “falso autónomo”. Según el rumor que se escucha entonces y al que no le doy más importancia, un cliente del Sr. A.A.A. que sería don B.B.B., se lo ha llevado a la meritada Compañía con contrato laboral. Recupero como agente a la Sra. C.C.C. y a toda su cartera en lo que parecía una reparación del anterior perjuicio sufrido. Unos meses después, el Sr. D.D.D. y amigo del Sr. A.A.A. comunica su marcha a la ***EMPRESA.2. En esos momentos ya existe el rumor de que el Sr. A.A.A. se ha llevado datos personales de los clientes con objeto de que cancelen sus productos en NATIONALE NEDERLANDEN ESPAÑA (VIDA Y GENERALES) y contraten los de la ***EMPRESA.2 en beneficio económico y profesional del Sr. A.A.A. y de (…).” […] “Durante los años 2019 y 2020 siguen saliendo agentes de NATIONALE NEDERLANDEN ESPAÑA (VIDA Y GENERALES) con destino a la ***EMPRESA.2, y en ese proceso sigo perdiendo cartera y comisiones de mi cartera propia (…)” En consecuencia, de haberse producido una brecha de datos personales en la base de datos de NATIONALE NEDERLANDEN, la infracción atribuible a la reclamada por la falta de adopción de medidas de seguridad se encontraría prescrita, ya que habrían transcurrido más de dos años desde la última ocasión (año 2020) que la parte reclamante manifiesta que se habría producido la brecha en cuestión. V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir responsabilidad alguna por una exposición de los datos personales de la parte reclamante, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a NATIONALE NEDERLANDEN GENERALES COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es