1/7 Expediente N.º: EXP202408390 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de mayo de 2024, se presentó reclamación con número de registro de entrada REGAGE24e00038658855 ante la Agencia Española de Protección de Datos contra ASNEF-CBP, S.L con NIF B86301587 (en adelante, ASNEF-CBP) y ASOCIACIÓN NACIONAL DE ESTABLECIMIENTOS FINANCIEROS DE CRÉDITO con NIF G28516003 (en adelante, ASNEF). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que ASNEF-CBP utilizó sus datos personales sin su consentimiento para certificarle un curso que no realizó, empleando información aportada para la inscripción en cursos anteriores. Por último, afirma haber presentado denuncia al organismo regulador correspondiente. El reclamante acompaña su escrito de la siguiente documentación: Copia de certificado “Formación Continua Distribuidores - Nivel 3 - Canal Automoción equivalente a una carga lectiva de 17 horas., expedido a su nombre por ASNEF con fecha ***FECHA.1. Copia de correos intercambiados con la entidad ASNEF-CBP de 13 y 21/05/2024. Copia del acuse de recibo de la denuncia interpuesta en la Subdirección General de Autorizaciones, Conductas de Mercado y Distribución (Área de Distribución) el 02/05/2024. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ASNEF-CBP, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó el 10/06/2024 conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 21/06/2024, como consta en el certificado que obra en el expediente. El traslado que se reiteró en fecha 21/06/2024 por correo postal certificado, fue nuevamente devuelto por "desconocido” el 27/06/2024. TERCERO: Con fecha 27 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 09/01/2025 se recibió escrito de ASNEF contestando al requerimiento de información dirigido a ASNEF-CBP. De dicho escrito y los documentos que lo acompañan, se desprende lo siguiente: ASNEF es la entidad de formación habilitada por la DGSFP para impartir los cursos habilitantes para la distribución de seguros Nivel 2 y 3 y que subcontrata parte de sus servicios a ASNEF-CBP, actuando esta como encargada del tratamiento. El tratamiento de datos personales realizado en la emisión de certificados acreditativos de superación de cursos formativos se realiza en base al artículo 6.1
- c)RGPD, para dar cumplimiento a la obligación de registro y certificación establecida en la Resolución de 3 de junio de 2021 de la DGSFP para los organizadores de dichos cursos. Tras recibir el correo electrónico de la parte reclamante solicitando información acerca de dos cursos de 2022 y 2023 que manifestaba no haber realizado, ASNEF llevó a cabo una investigación interna. Concluye que la parte reclamante había realizado dos cursos formativos durante los años 2022 y 2023 y que, en consecuencia, se habían emitido dos certificaciones, de lo que se informó a la parte reclamante. El reclamante informó de la interposición de una reclamación en la Dirección General de Seguros y Fondos de Pensiones (DGSFP) por los mismos hechos, quien dirigió un requerimiento de información a ASNEF, a fin de iniciar una investigación. Tras atender ASNEF a los requerimientos efectuados por este organismo, la DGSFP comunicó el cierre del expediente. El 29/01/2025 ASNEF remite escrito en contestación a un nuevo requerimiento de información de la AEPD y manifiesta lo siguiente: Los programas formativos en materia de seguros comprenden dos tipos: el “Curso de formación inicial”, destinada a la obtención del título habilitante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 necesario para ejercer la actividad de colaboración en la comercialización de seguros y el “Curso de formación continua”, destinado a mantener actualizados los conocimientos de los vendedores ya titulados. El coste de la formación es asumido íntegramente por las entidades financieras asociadas, que facilitan a los colaboradores (concesionarios) un enlace personalizado (URL) para que los vendedores designados accedan a los cursos. La inscripción en el curso de formación inicial requiere el registro previo de los vendedores, durante el cual se recogen los siguientes datos: el nombre, apellidos y DNI del vendedor, el nombre y CIF de la concesión para la que lleva a cabo la actividad de comercialización de seguros, así como su dirección de correo electrónico corporativo que será utilizada para enviar una segunda URL de acceso plataforma de formación (LMS). Adicionalmente, el vendedor debe crear una contraseña que deberá introducir junto con su usuario cada vez que acceda a la plataforma LMS. Tras la terminación de la formación inicial se requiere la realización de una evaluación final para cuyo acceso el vendedor debe acreditar su identidad mediante la presentación simultánea de su DNI y su cara a través de la cámara del dispositivo utilizado. La inscripción en el curso de formación continua requiere una “autenticación del vendedor que ya ha sido previamente identificado en la formación inicial”. Se hace llegar a los vendedores una URL personalizada donde deben introducir sus datos personales y profesionales, así como ingresar una nueva contraseña. Entonces, el sistema verifica que el DNI y la dirección de correo corporativa introducidas coinciden con las previamente registradas durante la inscripción en la formación inicial, y que dicha formación ha sido completada. Una vez confirmada esta coincidencia, se envía al correo corporativo del vendedor una URL personalizada que permite ingresar a la plataforma de formación (LMS) introduciendo su usuario y la contraseña creada. Acompaña su escrito de la siguiente documentación: - Copia del proceso de inscripción de la parte reclamante en julio de 2022, por el que se acredita de forma fehaciente su identidad. Resultados de búsqueda de los cursos realizados por el usuario con NIF ***NIF.1 en el que figuran los mismos datos, correspondientes a la parte reclamante, para los dos cursos. Documentación relativa a las fechas de alta y certificación de los cursos de formación inicial y continua fechados en 2022 y 2023 respectivamente. Detalle de los datos facilitados por el reclamante en el proceso de registro en la plataforma para poder acceder al curso de formación continua, coincidentes con los correspondientes a la formación inicial. Certificado expedido en nombre de la parte reclamante el ***FECHA.1 por el curso de “***CURSO.1” El 17/03/2025 se recibe respuesta al requerimiento de información efectuado por la AEPD a la entidad financiadora del curso certificado el ***FECHA.1. En esta se señala C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 que “(…) Santander Consumer requiere a la totalidad de los colaboradores externos la realización de la formación, así como los refuerzos aplicables que de conformidad con el plan de formación sean aplicables. Con dicho propósito, Santander Consumer sufraga dichas formaciones a través de la entidad ASNEF-CBP, quien proporciona acceso a las mismas de forma online. Para ello, Santander Consumer remite por correo electrónico remitido a la dirección de contacto profesional proporcionada por cada colaborador externo, cuyo contenido incluye un hipervínculo a la plataforma gestionada por ASNEF-CBP donde la formación es impartida. El colaborador deberá remitir a sus empleados dicho email, sin que dicho proceso sea visible para esta Compañía. Para completar el acceso, el usuario deberá acceder al link y proceder a la formalización de su registro por sí mismo. Por lo tanto, Santander Consumer no captura datos personales para la realización de las formaciones, así como tampoco comunica a ASNEF-CBP dato alguno.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Presunción de inocencia En el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: “
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997 que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” Por otra parte, la Sentencia del Tribunal Constitucional de 20/02/1989 indica que “nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En conclusión, estos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o se conozca con certeza la identidad del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda. IV Conclusión En el presente supuesto la parte reclamante asegura que la parte reclamada habría certificado un curso de formación continuada a su nombre en el que niega haber participado. La parte reclamada sostiene que el certificado fue emitido en tanto que la parte reclamante se inscribió y realizó el curso. Señala que existen dos tipos de cursos que pueden ser objetos de certificación (de formación inicial y de formación continua). Indica que la parte reclamante realizó el curso inicial en 2022, así como el curso objeto de controversia, que fue certificado en mayo de 2023. A estos efectos, presenta documentación por la que quedaría acreditada la inscripción inicial de la parte reclamante en 2022, que sirvió de base para la inscripción para el curso de 2023, respecto a la que también presenta documentación. Revisada la documentación presentada, se observa la coincidencia de los datos que sirvieron de base para ambos cursos (nombre, apellidos, DNI, dirección de correo electrónico, entre otros), sin que pueda inferirse una posible utilización indebida de los mismos. Asimismo, consta en el expediente que la parte reclamante con motivo de estos mismos hechos presentó una denuncia ante la DGSPF, órgano competente para conocer de las irregularidades en relación con las actividades de mediación realizadas por ASNEF, de acuerdo con el Decreto-ley 3/2020, de 4 de febrero por el que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 transpone la Directiva sobre la distribución de seguros. Esta entidad, tras realizar la oportuna investigación en el ejercicio de sus competencias, comunicó el cierre del expediente al no haberse apreciado la existencia de irregularidad. Atendiendo a lo anterior, cabe concluir que no se cuenta con elementos suficientes para determinar la existencia de una infracción desde el punto de vista de protección de datos que permita superar el principio de presunción de inocencia. En consecuencia, procede el archivo de las presentes actuaciones, en aplicación del principio in dubio pro reo, consagrado en el artículo 24.2 de la Constitución española, como garantía esencial que supone una manifestación del principio de presunción de inocencia de acuerdo con consolidada jurisprudencia del Tribunal Constitucional y Tribunal Supremo (entre otras, la STS Sala 2ª 459/2018 de 10 de octubre). Este principio, como se ha señalado es aplicable al procedimiento administrativo sancionador, en el que la carga de la prueba recae en la administración. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber enervado el derecho a la presunción de inocencia que ampara a la parte reclamada, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la ASOCIACIÓN NACIONAL DE ESTABLECIMIENTOS FINANCIEROS DE CRÉDITO y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es