1/10 Expediente N.º: EXP202301845 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 5 de abril de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. con NIF A28141935 (en adelante, MAPFRE o parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante manifiesta que, en el proceso de renovación de su póliza de seguro de salud suscrita con la parte reclamada, solicitó a dicha entidad que le facilitase una relación de los actos concernientes a la citada póliza correspondientes al período 2020-
- Indica que, en su respuesta, la parte reclamada remitió dicha información a un correo electrónico ajeno a la póliza, no siendo coincidente la dirección de correo electrónico destinataria de la citada comunicación con la dirección de correo electrónico asociada a la póliza. Junto al escrito, se aporta: - Correo electrónico fechado el 29 de noviembre de 2022 a las 11:19 remitido desde la dirección ***EMAIL.1 a ***EMAIL.2 con el asunto Mapfre y el siguiente contenido: Buenos días, A.A.A. y B.B.B., Adjunto envío la relación detallada de los actos concernientes a la póliza de Salud solicitados, que me envían desde el centro gestor. Estamos a su disposición para cualquier decisión que tome, ya le comenté el descuento que le podemos aplicar… Un saludo y muchas gracias. No se aporta copia del documento adjunto al que se refiere el correo electrónico. - Documento de aviso de renovación de póliza fechado el 23 de octubre de 2022 y que tiene como destinatario a B.B.B. ***DIRECCIÓN.1 referido al Seguro de ASISTENCIA SANITARIA SUPRA que se identifica con el nº de póliza ***PÓLIZA.1 (período de vigencia del 01/01/2023 al 31/12/2023) Se identifica como tomador del seguro a: B.B.B., con número de teléfono ***TELÉFONO.1 y correo electrónico ***EMAIL.3 Como asegurada se identifica a A.A.A.. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a MAPFRE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/10 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En la respuesta recibida se indicaba lo siguiente: En fecha 29/11/2022 se remitió una comunicación a la dirección de correo electrónico ***EMAIL.2, en respuesta a una solicitud de información realizada en el marco de la relación contractual existente entre el reclamante y MAPFRE. La citada dirección de correo electrónico había sido declarada y constaba en los archivos de MAPFRE como medio de contacto para todas las comunicaciones con el Tomador, Asegurado o Beneficiario en la póliza nº ***POLIZA.2 en la que el reclamante interviene como tomador desde el día 23/11/2022, tras el fallecimiento de su madre -anterior tomadora- y, con anterioridad a dicha fecha, también como asegurado y beneficiario, siendo esta la razón por la que la comunicación de 29/11/2022 se envía a la referida dirección de correo electrónico. Tal circunstancia era conocida por el reclamante quien, posteriormente y mediante comunicación dirigida a MAPFRE en fecha 14/12/2022, solicita que se modifique y sustituya por la dirección de correo electrónico ***EMAIL.4 solicitud atendida mediante la emisión de un suplemento de fecha 15/12/2022 por el que se modificó la referida póliza y actualizan los datos personales relativos al reclamante que figuran en los sistemas de MAPFRE, tal y como se le confirmó mediante comunicación de fecha 12/01/
- Por tanto, hasta que no se produjo la citada solicitud de modificación por parte del reclamante, la dirección de correo electrónico declarada en el marco de la relación contractual vigente con éste era un dato utilizado como medio de contacto y a los efectos de lo dispuesto en el artículo 1.10.2 de sus Condiciones Generales, en virtud del cual, "Todas las comunicaciones entre el Tomador, Asegurado o Beneficiario y la Aseguradora que puedan efectuarse por razón de esta Póliza, podrán realizarse y serán válidas, además de por carta, por cualquier otro medio escrito, incluido el correo electrónico, SMS, o fax, en la dirección que tanto la Aseguradora como el Tomador hubieran facilitado, ya sea al contratar la Póliza o en un momento posterior, debiendo el Tomador comunicar a la Aseguradora, tan pronto como sea posible, cualquier cambio del domicilio, teléfono, fax o dirección de correo electrónico facilitado" TERCERO: Con fecha 10 de abril de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 24 de mayo de 2023 se dicta resolución de archivo de actuaciones al considerar que no existían indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, no procediendo, en consecuencia, la apertura de un procedimiento sancionador. QUINTO: Con fecha 11 de junio de 2023 la reclamante interpone recurso de reposición contra la resolución de archivo dictada por la directora de la Agencia Española de Protección de Datos que es resuelto mediante resolución estimatoria de 29 de noviembre de 2023 en la que se indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/10 El recurso de reposición se centra, en definitiva, en insistir en que ha existido una brecha de seguridad al haber sido enviados sus datos personales, relativos a su salud, a una tercera persona ajena a la relación contractual que mantiene con la aseguradora Mapfre. En relación con estas alegaciones, se ha de señalar que la parte reclamada no ha presentado escrito en respuesta al trámite de audiencia. Conforme consta en el expediente, existirían dos pólizas relacionadas con el presente procedimiento. Una póliza de salud, de la que la parte recurrente es asegurada y su progenitor es tomador, y una póliza de decesos, de la que su progenitor es tomador y sus dos hermanos beneficiarios. La parte recurrente solicitó a la parte reclamada una relación de los actos concernientes a la póliza de salud del período 2020-
- En esta póliza figura una dirección de correo electrónico de contacto de la parte recurrente, constando también comunicaciones enviadas a una dirección de su progenitor, el tomador de la póliza. Sin embargo, la respuesta a la solicitud de información se envió a una tercera cuenta de correo electrónico, de titularidad desconocida. En respuesta a la actuación de traslado, la parte reclamada ha informado de que esta dirección se aportó a la póliza. Sin embargo, esta dirección era la que constaba en la póliza de decesos antes de que el progenitor de la parte recurrente se convirtiese en el tomador de la misma, no constando vinculación alguna entre esta dirección y la póliza de salud cuya información se solicitaba. Adicionalmente, consta que en una respuesta de Mapfre a una reclamación del actual tomador de las pólizas, se dice: “En cuanto al envío de los emails a una cuenta de correo incorrecta, queremos agradecerle que nos haga llegar este tipo de escritos porque nos ayudan a reforzar las medidas de seguridad establecidas; nuestro objetivo es la seguridad y la mejora continua”. Conforme a la definición recogida en el artículo 4 del RGPD, se produce una violación de seguridad cuando se ocasione “la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados […]”. En el presente caso, consta la comunicación de la información solicitada sobre la póliza de salud, y los tratamientos recibidos por la parte recurrente, a una dirección de correo electrónico no asociada a dicha póliza ni a la interesada afectada. Por tanto, en el presente caso, procede la estimación del recurso interpuesto. Consta en el expediente que MAPFRE no atendió al trámite de audiencia llevado a cabo en el marco de la tramitación del recurso de reposición y, en consecuencia, no hizo alegaciones al mismo. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/10 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: En respuesta de fecha 18/04/2024 el reclamante alega lo siguiente: I. “En ningún momento se comunicó a un tercero ajeno a la póliza de salud los datos personales solicitados por el Tomador de esta, D. B.B.B.. Esto datos le fueron comunicados, por parte de la mediadora a la que se los solicitó, a través del correo electrónico en vigor asociado a él como Cliente de mi representada en el marco de la relación contractual que mantienen; siendo este ***EMAIL.
- Informar a esta Agencia que mi representada se comunica con sus clientes, a través de los medios de contacto que figuran informados en el programa interno de MAPFRE denominado “Ficha Ampliada de Cliente” (Ficha o FAC, en adelante). Con relación al funcionamiento tecnológico de Ficha, indicar que, conforme a los procesos de la compañía, registra y muestra el último correo electrónico informado válidamente a través de las interacciones que pueden producirse con el cliente (interacciones a través de las aplicaciones, emisiones de nuevas pólizas, suplementos o solicitudes de modificación de datos a través de nuestra red comercial). En base a esto, Ficha registra este nuevo dato como dato de contacto principal del cliente. II. El correo electrónico de ***EMAIL.2 aparece asociado en Ficha a fecha de 23 de noviembre de 2022 a D. B.B.B.; al convertirse en Tomador de la póliza de deceso nº ***POLIZA.2 debido al fallecimiento de la anterior tomadora, madre de D. B.B.B.. Indicar que, D. B.B.B. era conocedor de ser parte de esta póliza como manifiesta en su reclamación presentada a MAPFRE el 01/12/2022 al indicar que “el día 21, me informan desde dicha oficina, que ya tengo disponible dicha relación y que únicamente me pueden ofrecer un descuento de 70 euros, en consideración de cliente (tengo asegurados dos coches, más el seguro de deceso) y como oficina local” [Evidencia 02 – Reclamación a OTR] III. Entendido lo anterior, se aclara la cuestión de por qué se envía esta información solicitada por D. B.B.B. a ***EMAIL.
- Esta era la última dirección de correo informada válidamente y consolidada en nuestros sistemas. Figurando correctamente en Ficha desde el 23 de noviembre de 2022 hasta el 14 de diciembre de 2022, fecha en la que el reclamante solicita la modificación de su dirección de correo a través de los cauces habilitados para ello. [Evidencia 03 – Escrito modificación correo electrónico]. IV. Indicar que el texto abajo reproducido, al que la reclamante alude en reposición como hecho constatado, pareciendo existir intención de que se vea como reconocimiento de mi representada de un incidente de seguridad, no debe tergiversarse y debe ser contextualizado en lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/10 redactado tanto por el Tomador en” [Evidencia 02 – Reclamación a OTR] como en la contestación a ésta. “en lo relativo al envío de emails a una cuenta de correo incorrecta, queremos agradecer que nos haga llegar este tipo de escritos porque nos ayudan a reforzar las medidas de seguridad establecidas, nuestro objetivo es la seguridad y la mejora continua”. La reclamante menciona esa parte de la contestación a la reclamación sin tener en cuenta el relato de hechos recogidos por D. B.B.B. donde detalla toda la interacción que el mismo mantuvo con MAPFRE entre los días 18 de noviembre y 28 de noviembre de
- Incluyendo las visitas que hizo a la oficina local de MAPFRE sita en Avda. ***DIRECCIÓN.
- Habiendo sido omitida esta información en los argumentos de reposición se pierde la lógica de lo ocurrido. Así considera mi representada que es necesario plasmar todo lo informado en el [Evidencia 02 – Reclamación a OTR] por el tomador de la póliza para entender lo ocurrido: - El 18 de noviembre de 2022, D. B.B.B. acude nuevamente, al ser el primer canal de comunicación utilizado con mi representada, a la oficina de ***LOCALIDAD.1 con la intención de resolver la cuestión relativa al incremento de la prima de su seguro. Y en esa visita solicita la relación de actos médicos para lo que deberán esperar a recibirlos desde servicios centrales. No siendo entonces las interacciones con mi representada, tal y como se indica en reposición, únicamente vía telefónica. - El 21 de noviembre del 2022, se informa a D. B.B.B. desde la oficina de ***LOCALIDAD.1 que ya tiene disponible para su recogida la información…. - El 28 de noviembre de 2022, D. B.B.B. vuelve a la oficina de ***LOCALIDAD.1 para recoger dicha relación, pero no se encuentra en la oficina la mediadora con la que días antes había tratado este asunto. En su lugar es atendido por el responsable de la oficina, que recoge el encargo de remitirle por correo electrónico la relación de servicios utilizados, para lo que D. B.B.B. indica verbalmente que se le envíe a una dirección de correo electrónico de su preferencia. No siendo entonces, tal y como en indica en reposición, una sorpresa el haber recibido a la dirección ***EMAIL.2 la relación de los datos dado que habían quedado en remitírselo por correo electrónico desde la que reconoce como su oficina local de Mapfre. - El 29 de noviembre, la mediadora con quien D. B.B.B. había realizado las gestiones, le envía el correo electrónico con la mencionada relación de servicios, para lo que acude a Ficha a consultar el último correo de contacto de D. B.B.B., conforme establece el protocolo habitual interno. Con la total seguridad de ser el correo electrónico adecuado. Tal es así que se dirige claramente en el cuerpo del email a tomador y asegurada: “Buenos días, A.A.A. y B.B.B., Adjunto envío la relación detallada de los actos concernientes a la póliza de Salud solicitados, que me envían desde el centro gestor”. En síntesis, la mediadora, consecuencia de no haber estado ella presente en el momento de tal comunicación verbal, actuó conforme establece el protocolo. Esto es, consultando en Ficha el correo válidamente registrado y consolidado como dato de contacto del cliente que dispone de varios productos contratados. Así mismo, este envío se realizó de manera puntual e individual, que no se realiza de forma sistemática o automática, desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/10 correo electrónico de la mediadora en base a la relación de confianza mediador-cliente, en respuesta a la solicitud del tomador. Por todo ello, dejar claro que mi representada cuando, en su escrito de respuesta a la queja planteada por D. B.B.B., hace referencia al envío de esta información a una dirección de correo incorrecta, se está refiriendo únicamente a que el correo no se le envió a la dirección comunicada verbal e informalmente en oficina el 28 de noviembre. En efecto, el relato de hechos trasladado en reposición por la reclamante omite esta importante interacción, así como la cronología descrita. V. No ha sido intención de mi representada, tal y como indica el reclamante, el “confundir y mezclar” la póliza de decesos y la póliza de salud. Sino que intentó explicar en alegaciones previas que, al convertirse D. B.B.B. en tomador de la póliza de decesos, conforme los procesos operativos y tecnológicos establecidos, se informó el email ***EMAIL.2 a Ficha como medio de contacto de cliente hasta que este solicitó su modificación. En consecuencia, no cabe imputar a mi representada responsabilidad alguna por la supuesta o posible vulneración de los derechos de protección de datos de los reclamantes, ya que estos han estado en todo momento garantizados mediante la aplicación de las correspondientes medidas de seguridad. Como tampoco puede deducirse de la actuación de MAPFRE la existencia de una brecha de datos personales que, a la vista de la definición prevista en el artículo 4.12) del Reglamento General de Protección de Datos exige la concurrencia de una “violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”, al no haberse producido una incidencia de seguridad susceptible de producir consecuencias sobre los derechos y libertades de los interesados.” En el documento "Evidencia_02_Reclamación_a_OTR.pdf", consta una reclamación que se envía vía postal a MAPFRE donde el reclamante argumenta que procedió a solicitar el envío de evidencias médicas directamente a la oficina no encontrándose la gestora el 28 de noviembre 2022 cuando fue a recibirlas. Indica que solicitó se le enviara al correo electrónico el cual “facilitó de nuevo” en dicha oficina. En el documento "Evidencia_03_Escrito_modificacin_correo_electronico.pdf" aparece la solicitud formal de cambio de datos por parte del reclamante y enviada a MAPFRE fechada 14 de diciembre de
- Con fecha 12/02/2025 y Nº de registro REGAGE25s00009952572 se solicita al reclamado la siguiente información: - Evidencia de que en la póliza relativa al seguro de decesos la dirección consignada en la ficha para las comunicaciones era: ***EMAIL.2 con carácter previo a diciembre de 2022 (momento en que se efectúo el cambio). - Evidencia (e indicar dicha dirección) de la dirección electrónica que se encontraba asignada en la póliza relativa al seguro de salud para las comunicaciones en el momento que ocurrieron los hechos. En fecha 12/02/2025 y N.º de registro REGAGE25s00009952572 se recibe contestación en la cual se indica: “…. En la fecha 29/11/2022 en que se remitió una comunicación a la dirección de correo electrónico ***EMAIL.2, en respuesta a una solicitud de información realizada en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/10 marco de la relación contractual existente entre el reclamante y MAPFRE, el correo que conta en la póliza de decesos es ***EMAIL.2, como puede comprobarse tanto en la evidencia, [EVIDENCIA 01.- (…) suplemento 21], consistente en un suplemento a las condiciones particulares de la póliza vigentes en el ejercicio 2022, y que se refleja en la pantalla del sistema de emisión del ramo de decesos: (En esta captura de pantalla que en la esquina inferior derecha indica “Datos de cobro” aparecen los datos de B.B.B. y correo electrónico ***EMAIL.2) La evidencia 01 se trata de un suplemento con fecha de efecto 01/12/2022, generado como consecuencia de la comunicación a MAPFRE del 23/11/2022, donde se informaba del fallecimiento de la anterior tomadora que se materializa consecuencia de la toma de datos reflejada en la anterior pantalla. Aclarar que, la fecha 20 de febrero de 2025 corresponde a la fecha de obtención del duplicado del suplemento para aportarlo en el presente requerimiento.” “La dirección electrónica que se encontraba asignada en la póliza relativa al seguro de salud para las comunicaciones en el momento que ocurrieron los hechos es ***EMAIL.3, tal y como puede comprobarse en el aviso de renovación recogido en el Anexo 1 del recurso de reposición planteado por el reclamante [EVIDENCIA 02.Recurso reposición], El email de figura asociado como dato de contacto del Tomador B.B.B. en los sistemas de salud desde la emisión de la póliza en septiembre del 2020 aunque no aparezca reflejado en las condiciones particulares de esta fecha. [EVIDENCIA 03.- Pol Salud CCPP (…) 1].” “El email de ***EMAIL.3 es el asociado en la póliza de salud en la fecha del 29 de noviembre del 2022 aunque no se refleje en las condiciones particulares del 2022 [EVIDENCIA 04.- 2022 CCPP SALUD (…)] debido a que no se había establecido que se imprimiera el correo electrónico en este documento. Debemos fijarnos en la pantalla del sistema de emisión de salud “SIS” para entender que, consecuencia del suplemento de 02 de septiembre de 2024 de cambio de tomador por el que pasa a ser A.A.A. tomadora en lugar de B.B.B., mantiene la nueva tomadora el correo electrónico informado en el
- . Pudiendo verse en este año ya que pasó a reflejarse en condiciones particulares el estar asociado este email al tomador. [EVIDENCIA 05.- póliza SALUD CCPP (…)] En conclusión, ***EMAIL.3 fue la dirección de correo electrónico facilitada por el tomador D. B.B.B. en el año 2020 que se registró en los sistemas informáticos para la emisión de esta póliza de salud como su dato de contacto. Este dato de contacto, ***EMAIL.3, se mantuvo asociado a D. B.B.B. hasta que, en el año 2021, consecuencia de la emisión de otra póliza como tomador, comunicó este otro email, ***EMAIL.
- Por esta razón recibe el aviso de renovación presentado en la evidencia 2 debido al proceso de gestión unificado por el que se asigna al tomador el último dato de contacto informado desde la última póliza contratada y a través de él se mantiene la relación centralizada con respecto a todos los productos en los que sea tomador. Por su parte, ***EMAIL.3 se mantuvo en los sistemas asociado a la póliza de salud, hasta que A.A.A. mediante suplemento de cambio de tomador es vinculada a él al no comunicar otro medio de contacto diferente del que mantenía el anterior tomador.” FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/10 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Tratamiento de datos personales. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El apartado 12) de ese mismo precepto «violación de la seguridad de los datos personales» dispone que: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos; Finalmente, el artículo 5.1 del RGPD, en su apartado f) señala que los datos personales serán: tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). De acuerdo con los hechos descritos, la reclamante es la beneficiaria de un seguro de salud de la que es tomador su padre. Los hechos objeto de reclamación se concretan en que, en el marco de la renovación de dicho seguro, su padre, como tomador del seguro de salud del que es beneficiaria su hija solicita a MAPFRE todos los actos médicos realizados durante 2020-
- Esta documentación se remite por correo electrónico de 29/11/2022 a la dirección ***EMAIL.
- En el cuerpo del mensaje se hace referencia tanto a la reclamante, beneficiaria de la póliza, como a su padre, tomador del seguro: “Buenos días A.A.A. y B.B.B.”. Consta en el expediente reenvío de este email recibido por ***EMAIL.2 a la dirección ***EMAIL.4 el mismo día 29/11/2022 por la tarde. Esta información se refiere al seguro de salud nº de póliza ***PÓLIZA.1 del que es tomador B.B.B. y del que es beneficiaria la reclamante, su hija. Además de dicha póliza, el padre de la reclamante es tomador de una póliza de deceso nº ***POLIZA.2 del que son beneficiarios tanto él como sus dos hermanos. Consta en el expediente póliza vigente del 31/12/2021 a 31/12/2022, dentro, por lo tanto, del período en el que se remitió el correo electrónico objeto de reclamado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/10 (fechado el 29/11/2022) en el que consta como dirección de envío de correspondencia, B.B.B., ***DIRECCIÓN.3, email ***EMAIL.
- Es con posterioridad, el 14 de diciembre de 2022 que B.B.B. solicita la modificación del correo electrónico en la póliza de decesos sustituyendo ***EMAIL.2 por (…). MAPFRE alega que el envío de la documentación solicitada se hizo a la dirección que figura en el perfil del cliente con la que les consta haber interactuado con el tomador de los seguros. No obstante, reconoce que en comunicación verbal B.B.B. le indicó otro email, pero quien hizo el envío no fue quien le atendió presencialmente, por eso acudió a su ficha de cliente. De acuerdo con lo señalado, en la fecha en la que fue remitida la comunicación por correo electrónico objeto de reclamación la dirección ***EMAIL.2 es la que venía vinculada a B.B.B. como tomador de las dos pólizas, de decesos y de salud que se han indicado con anterioridad. Tal y como se desprende de los hechos descritos, las circunstancias de la reclamación se refieren a un hecho puntual que, si bien ha tenido como consecuencia que la documentación solicitada- que en ningún caso se refieren a resultados médicos sino a actos médicos- no haya sido remitida a la dirección de correo electrónico deseada por la reclamante, no lo fue a una dirección totalmente ajena a la reclamante, puesto que es la que figura a efectos de comunicaciones en otra póliza de seguro de la que es tomador su padre; tomador igualmente en la fecha de los hechos de la póliza de salud de la que ella es asegurada. Sentado lo anterior, recordemos que rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “
- Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. Así, la decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando no se aprecie culpa alguna en la conducta antijurídica del responsable. En el presente caso concreto, atendiendo a las circunstancias de hecho expresadas, no concurre el requisito del dolo o culpa en la actuación de MAPFRE. Se tiene en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/10 cuenta que ningún sistema es indefectible ni inmune a la existencia de posibles errores. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es