1/5 Expediente N.º: EXP202414061 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 8 de agosto de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. con NIF A28013050 (en adelante, la parte reclamada o CASER). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que sufrió un accidente en un cementerio que estaba asegurado por la parte reclamada, por lo que se dirigió a dicha entidad para reclamar la correspondiente indemnización. Añade que, durante el proceso, la parte reclamada actuó de mala fe con objeto de no abrir expediente y no dar curso a su reclamación, solicitando, por ejemplo, que indicase el número de póliza del asegurado (cementerio) pese a que la parte reclamada dio instrucciones al asegurado de no facilitárselo a la parte reclamante. Manifiesta que, en todas las comunicaciones mantenidas con la parte reclamada, facilitó su dirección de correo electrónico: "***EMAIL.1 " de forma clara y correcta (tanto en su mensaje de correo electrónico, de fecha 19 de diciembre de 2022, como en los escritos presentados presencialmente, en los que consta sello de recepción de la parte reclamada, de fecha 1 y 10 de febrero de 2023 y también en el escrito recibido por el Servicio de Defensa del Asegurado, de fecha 20 de febrero de 2023). Añade que, además, a raíz del envío de su mensaje de correo electrónico, la parte reclamada envió a su dirección de correo electrónico correcta dos mensajes de respuesta (de fecha 21 de diciembre de 2022 y 20 de enero de 2023). Afirma que, pese a haber intercambiado mensajes de correo electrónico con la parte reclamada y pese a haber indicado correctamente dicha dirección de correo electrónico en varios escritos recibidos y sellados por la parte reclamada, dicha entidad, en fecha 22 de febrero de 2023, envió un mensaje de correo electrónico a un tercero: "***EMAIL.2” (esto es, a una dirección de correo electrónico distinta) relativo a la resolución adoptada, facilitando a dicho tercero datos de la parte reclamante, por lo que considera que la mala fe en la actuación de dicha entidad perseguía provocar su indefensión y dejar transcurrir los plazos pertinentes. Asimismo, que tuvo conocimiento de lo ocurrido porque la parte reclamante presentó una reclamación ante el Servicio de Reclamaciones de la Dirección General de Seguros y, en el escrito de alegaciones de la parte reclamada consta el envío a un tercero. En concreto, en el citado escrito de alegaciones se indica lo siguiente: "Así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 como, una vez estudiadas las circunstancias del siniestro, con fecha 22 de febrero de 2023 se le remitió un correo electrónico trasladando la postura de la Compañía (Documento nº1), siendo el citado documento un pantallazo de un mensaje de correo electrónico enviado por la parte reclamada, en el que consta como destinatario la dirección de correo: "***EMAIL.2”, mensaje en el que se comunica que no procede la indemnización por considerar que no cabe imputar responsabilidad alguna a su asegurado y, en el que figuran dos anexos”. Junto a la reclamación, se aporta la siguiente documentación: Captura de pantalla del correo electrónico de fecha 22 de febrero de 2023 enviado por “***EMAIL.3” a “***EMAIL.2” con los anexos: “produccion SOLO CUERPO DE EMAIL (…)” y “(…).” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 25 de octubre de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 22 de noviembre de 2024 se recibe en esta Agencia escrito de respuesta indicando que el 13 de noviembre de 2024, envió un correo electrónico a la parte reclamante con la finalidad de informarle de lo acontecido, en el que incluye: “Le informamos de que lo sucedido responde a haber cometido el tramitador un error humano al teclear su dirección de correo electrónico para comunicarle la resolución del expediente, por cuyo motivo se remitió un correo electrónico a una dirección incorrecta”. Adjunta captura de pantalla del contenido del correo electrónico, enviado el día 22 de febrero de 2023, a la dirección errónea: “***EMAIL.2” con el asunto: (…). TERCERO: Con fecha 8 de noviembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 Con fecha 15 de septiembre de 2025 esta Agencia envió un requerimiento de información a CASER sobre las causas que han motivado la incidencia que ha originado la reclamación: “A la recepción de la reclamación se procedió por parte del Delegado de Protección de Datos a realizar las verificaciones necesarias para analizar los hechos puestos de manifiesto por la parte reclamante, y comprobar si se habían visto comprometidos datos personales del reclamante, con las siguientes conclusiones: • • • • • Se verificó que se había remitido en fecha 22 de febrero de 2023 un correo electrónico a la dirección ***EMAIL.2, en lugar de a la dirección ***EMAIL.
- Se comprobó que en dicha comunicación no se incluía ningún dato personal del reclamante, por lo que ninguno de los datos del reclamante podría haber sido comunicado a ninguna tercera persona. Ningún dato personal del reclamante, ni siquiera ningún dato identificativo, había sido revelado a ninguna tercera persona. Causa: Se había remitido un correo electrónico a una dirección errónea, al teclear “(…)” en lugar de “(…)”, tratándose de un error humano del tramitador del expediente. El reclamante había presentado una reclamación por responsabilidad civil frente a un asegurado de Caser, por lo que se estaba tramitando un expediente de responsabilidad civil en Caser. Al no ser el reclamante asegurado de la compañía y no estar sus datos dados de alta en los sistemas de Caser, para remitirle un correo electrónico con la resolución del expediente era necesario introducir tecleando la dirección de correo electrónico. Al hacerlo, el tramitador incurrió en el error de teclear la dirección de correo electrónico. La herramienta de gestión de prestaciones de seguros generales a través de la que se gestionó el expediente, por defecto, no autocompleta ningún campo de modo programado, por lo que no aplica ningún texto predictivo por cuestiones de seguridad, debiendo cumplimentar el tramitador la dirección de correo electrónico. Una vez verificado que los datos personales del reclamante no se habían visto afectados ni comprometidos y que tampoco se habían comunicado a ningún tercero, el Delegado de Protección de Datos de Caser remitió una comunicación al reclamante trasladando sus disculpas e informando de que la comunicación no contenía ningún dato personal que permitiera su identificación por lo que quien hubiera podido recibir dicho email, además de no haber podido acceder a ninguno de sus datos de carácter personal, no podría identificar al destinatario del correo electrónico.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Integridad y confidencialidad La letra f) del artículo 5.1 del RGPD propugna: "
- Los datos personales serán: (…) f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." III Conclusión Las razones que han motivado esta reclamación se sustentan en que en todas las comunicaciones mantenidas con la parte reclamada, facilitó su dirección de correo electrónico: ***EMAIL.1, sin embargo CASER envió un mensaje de correo electrónico a un tercero: "***EMAIL.2 " (esto es, a una dirección de correo electrónico distinta) relativo a la resolución adoptada, facilitando a dicho tercero datos de la parte reclamante, por lo que considera que la mala fe en la actuación de dicha entidad perseguía provocar su indefensión y dejar transcurrir los plazos pertinentes. De los hechos que se reflejan en las actuaciones de investigación se desprende en su respuesta por parte de la reclamada que ha sido “un error humano al teclear su dirección de correo electrónico…La herramienta de gestión de prestaciones de seguros generales a través de la que se gestionó el expediente, por defecto, no autocompleta ningún campo de modo programado, por lo que no aplica ningún texto predictivo por cuestiones de seguridad, debiendo cumplimentar el tramitador la dirección de correo electrónico […] Sin embargo, al no contener dicha comunicación ningún dato personal que permita su identificación, quien haya podido recibir dicho email, además de no haber podido acceder a ninguno de sus datos de carácter personal, desconoce completamente a qué persona iba dirigido.” Por todo ello, se estima que no concurre el elemento subjetivo de culpabilidad exigible para la imputación de una infracción administrativa en materia de protección de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es