E-00762-2014

1/7 Expediente Nº: E/00762/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VERTI ASEGURADORA, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 08/11/2013, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. (en lo sucesivo el denunciante) en el que relata que con ocasión de la contratación on line de una póliza de seguro con la entidad VERTI ASEGURADORA, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., ( en lo sucesivo VERTI o la denunciada) ha comprobado que el procedimiento de contratación on line de esta entidad no permite al cliente manifestar en ese acto su oposición al tratamiento y cesión de sus datos con fines publicitarios, pues no hay posibilidad de marcar la casilla destinada a tal fin, de manera que el mecanismo articulado lleva a visualizar la póliza antes de su impresión con la referida casilla en blanco sin posibilidad de marcarla. Añade que, por ello, al objeto de oponerse al tratamiento y cesión a terceros de los datos personales con fines publicitarios y de prospección comercial es necesario una actuación adicional y posterior a la contratación de la póliza; actuación que en su caso consistió en una llamada telefónica de consulta a la entidad, en la impresión de la póliza en papel para su firma a la manera tradicional, el marcado de la casilla destinada a ejercer el derecho de oposición y el envío a la compañía del documento por fax. Aporta diversas impresiones de pantalla obtenidas de www.verti.com relativas a la contratación a su nombre de una póliza de seguro de moto que versan sobre “detalle de alerta”, “firma del contrato de seguro” y “Condiciones Particulares de Motos” correspondientes a la póliza número ***PÓLIZA.

1. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos efectuó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Con fecha 8 de noviembre de 2013 tiene entrada en esta Agencia un escrito de D. A.A.A., en el que denuncia que, ha suscrito una Póliza de Seguro de moto con la entidad VERTI ASEGURADORA, a través de Internet, no obstante una vez impreso el contrato para su firma observó que no había podido marcar la casilla para oponerse a la cesión de sus datos a terceros y recibir publicidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Puesto en contacto telefónico con la entidad le comunican que terminado el proceso de contratación, ha de solicitarlo a Verti. Finalmente imprimió el documento, marcó la casilla manualmente y lo remitió a Verti por Fax. ACTUACIONES PREVIAS DE INSPECCIÓN
2. Con fecha 22 de septiembre de 2013, se realiza inspección en los locales de la entidad VERTI ASEGURADORA, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A, poniéndose de manifiesto los siguientes hechos: 1.
3. VERTI, es una Compañía aseguradora que no cuenta con oficinas físicas para contratación con los clientes, realizándose todas ellas vía Internet o vía telefónica, siendo el 40% de las mismas contratadas íntegramente a través del portal de VERTI en la dirección www.verti.com. 1.
4. En el caso de acceder a través del portal para la contratación de un seguro de vehículos, se puede solicitar solo presupuesto del seguro, para lo cual solo habría que cumplimentar la parte del cuestionario dedicada a datos del vehículo. Una vez que el sistema nos proporciona el importe, podemos optar por guardar dicha información, contratar o por el contrario abandonar la página. 1.
5. En el caso de que el usuario abandone el portal, el sistema guarda los datos aportados, que no son de carácter personal, a efectos estadísticos y seguimiento de la actividad comercial. En el caso de que opte por guardar el presupuesto, el sistema obliga a cumplimentar el cuestionario con datos personales, donde el potencial cliente tiene también la opción de oponerse a recibir información. En el caso de que el potencial cliente no exprese su oposición a recibir información, se realizan acciones de envío de publicidad a través de los medios de contacto facilitados por el potencial cliente. Toda la información aportada es incorporada en el fichero denominado “CLIENTE POTENCIAL”, inscrito en el Registro General de Protección de Datos con el código: ***CÓD.
6. En ambos casos la información es cancelada aproximadamente a los dos años. 1.
7. En el caso de que el cliente decida contratar, deberá cumplimentar todos los datos, tanto personales como la matrícula del vehículo, y seguir los pasos que obliga el proceso. Al finalizar la cumplimentación de todos los formularios, el sistema obliga a marcar la casilla: He leído y acepto los términos de la POLITICA DE PRIVACIDAD de la compañía. Pinchando en el espacio POLITICA DE PRIVACIDAD, aparece información relativa a LOPD asimismo figura una casilla a marcar por el cliente, en su caso, donde puede oponerse tanto a la cesión de sus datos a terceros como al tratamiento de sus datos con fines distintos del cumplimiento de su relación contractual. 1.
8. Una vez cumplimentados datos bancarios o de tarjeta para el pago del seguro, VERTI realiza el proceso de Firma Online a través de Logalty, como tercero de confianza, para lo cual el cliente debe marcar también su casilla de: he leído y acepto las Condiciones de Logalty, para poder continuar con el proceso. En el siguiente paso, aparece la opción pulse AQUÍ para guardar la documentación a firmar, visualizando el contrato con los datos facilitados por el tomador en el proceso de contratación, para su impresión desde un fichero que no puede ser modificado. En el caso de que el Cliente no haya marcado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 la casilla de oposición en el espacio reservado para ello en la política de privacidad de VERTI, en las condiciones particulares del contrato de seguro, quedarán con esa casilla en blanco. Una vez finalizado el proceso, los datos aportados en los formularios quedarán incorporados al fichero “CLIENTES”, inscrito en el Registro General de Protección de Datos con el código: ***CÓD.2, 1.
9. Mediante acceso a la página web de Verti se realizan diversas comprobaciones, en el entorno de pre-producción, ya que el proceso es el mismo: 1.6.1.Se solicita presupuesto de un seguro de moto con los datos del vehículo del denunciante. Se verifica que nos da el importe del mismo y da la opción de Guardar presupuesto o Contratar. 1.6.2.Se elige la opción de Contratar, verificándose que aparece un cuestionario que solicita, entre otros, datos personales del tomador y datos de vehículo para asociarlos al cliente, visualizándose una casilla, que es obligatoria marcar para seguir con el proceso, con el texto: He leído y acepto los términos de la política de privacidad de la compañía. Se comprueba, que en el texto de Política de privacidad, existe una casilla que el tomador puede marcar, para oponerse tanto a la cesión de datos a terceros como al envío de información con fines distintos a los derivados de su relación contractual. Se marca ambas casillas y se continúa con el proceso. 1.6.3.Se verifica que una vez incorporados los datos elegidos para el pago, existe una información de Logalty, y que obliga también a cumplimentar una casilla para aceptar sus condiciones. 1.6.4.Una vez realizado este paso el sistema ofrece al tomador la opción de visualizar y guardar la documentación a firmar, pulsando en la casilla que consta el literal “AQUÍ”, comprobándose que se visualizan las Condiciones Particulares de la póliza contratada, la cual se puede imprimir y guardar. Se verifica que, SI figura cumplimentada la casilla de oposición y cesión de datos en el apartado LOPD Y CESIÓN DE DATOS. 1.6.5.Asimismo, dentro de la Política de Privacidad existe un documento para facilitar al usuario el ejercicio de los derechos ARCO. 1.6.6.Se realiza una nueva contratación de otra póliza a nombre del mismo cliente, verificándose que, aunque no se marca la casilla de oposición existente en el apartado de Política de Privacidad, se generan unas Condiciones Particulares, (Póliza), con dicha casilla marcada, ante lo que la representante de la entidad manifiesta, que como en la prueba realizada anteriormente se marcó dicha casilla, el sistema automáticamente detecta que está identificado como Robinson, por lo que si el cliente en algún momento quiere recibir publicidad, debe solicitarlo expresamente. 1.6.7.Se realiza un nuevo simulacro de contratación a través del portal, con otros datos, no marcando la casilla de oposición existente en la Política de Privacidad, verificándose que se genera la Póliza sin marcar la casilla de LOPD Y CESION DE DATOS. 1.
10. Con fecha 18/10/2013, el cliente remite la Póliza mediante Fax y el día C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 22/10/2013, se le contesta mediante correo electrónico desde VERTI, confirmándole la recepción y cancelación de sus datos con la finalidad de envío de publicidad y cesión de datos. Se adjunta acreditación de dicha documentación 1.
11. Se adjunta documentación relativa a los contactos con el cliente, así como el registro de estado de Protección de Datos donde figura ROBINSON, NO CESION DE DATOS y NO COMUNICADOS COMERCIALES ELECTRÓNICOS, copia del correo electrónico remitido al cliente con fecha 22/10/2013 y copia de las Condiciones Particulares remitidas por el cliente con la casilla de oposición marcada manuscritamente.
12. Una vez realizadas todas las comprobaciones anteriores, la representante de la entidad manifestó que el cliente no debió marcar la casilla de oposición en el aparatado de POLITICA DE PRIVACIDAD, y una vez que continuas, el sistema no permite volver atrás. Por este motivo desde atención al cliente le dieron la posibilidad de enviarlo por FAX.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37 d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD se ocupa en el artículo 30 del “Tratamiento con fines de publicidad y de prospección comercial” y dispone: “1.Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento. (El subrayado es de la AEPD) El Reglamento de Desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD), se ocupa en su artículo 15 del consentimiento prestado en el marco de una relación contractual para tratar o comunicar datos personales con fines no relacionados directamente con el contrato en el que se recaba. En tal supuesto el RLOPD exige que se ofrezca al cliente la posibilidad de manifestar expresamente su negativa al tratamiento o comunicación de los datos y dispone: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. (El subrayado es de la AEPD) La denuncia que nos ocupa versa sobre el presunto incumplimiento por VERTI de la obligación que le impone el artículo 15 del RLOPD para el caso de que, en el mismo documento contractual, se solicite al cliente el consentimiento para tratar o ceder sus datos con finalidades que no guarden relación directa con él. Así, el denunciante ha declarado que cuando contrató con VERTI una póliza de seguro de moto vía internet -debe señalar a este respecto que la compañía denunciada no tiene oficinas físicas, por lo que el 40% de las contrataciones se lleva a cabo desde su página web www.verti.com- no se le ofreció la posibilidad técnica de marcar la casilla destinada a oponerse a que sus datos fueran tratados y cedidos a terceros con fines comerciales y añade que la casilla se quedaba en blanco, lo que supone en la práctica consentir el tratamiento y la comunicación de los datos a terceros con dicha finalidad. Las investigación llevada a cabo por la Inspección de Datos de la AEPD ha podido comprobar que el mecanismo que la entidad denunciada tiene implementado para la contratación on line sí permite que el cliente manifieste su negativa expresa al tratamiento de sus datos con fines publicitarios, si bien ese trámite ha de cumplimentarse en un determinado momento, antes de aceptar la Política de Privacidad, pues una vez iniciada la siguiente fase del procedimiento de contratación no es posible retroceder. Así, se constató que cuando un cliente decide contratar una póliza de seguro, después de haber cumplimentado los datos personales, los de la matrícula del vehículo y los demás que se requieran, el sistema le obliga a marcar el apartado que lleva por rúbrica “He leído y acepto los términos de la POLÍTICA DE PRIVACIDAD de la compañía” y que si se pincha “Política de Privacidad” aparece la información relacionada con la LOPD. En ella figura una casilla en blanco que sí puede marcarse y que tiene por objeto manifestar la oposición a la cesión de los datos a terceros y a su tratamiento para finalidades distintas del cumplimiento, desarrollo y ejecución del contrato en cuyo marco se recaba el consentimiento. Una vez cumplimentados estos datos y los datos bancarios o de la tarjeta con la que se desea hacer efectivo el pago tiene lugar la firma on líne a través de LOGALTY, lo que a su vez exige marcar la casilla “he leído y acepto las Condiciones de Logalty”. El siguiente paso indica marcar “Aquí”, lo que permitirá visualizar el contrato con los datos facilitados por el contratante dispuesto para su impresión; datos que ya no pueden ser modificados. En otros términos, si el cliente no ha marcado la casilla ad hoc antes de aceptar la Política de Privacidad de VERTI, esa casilla figurará en el documento de las Condiciones Particulares sin marcar y sin que el sistema le permita retroceder. Asimismo, los inspectores actuantes comprobaron que si se marca en el momento procedimental oportuno la casilla manifestando la oposición al tratamiento y cesión de los datos con fines publicitarios y ese mismo cliente realiza una nueva contratación, aunque no llegue a marcar en esta segunda póliza la casilla del apartado Política de Privacidad de Verti habilitada para oponerse al tratamiento de los datos, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 las condiciones particulares del nuevo contrato tal casilla aparecerá marcada, pues, según explican los responsable de la compañía el sistema automáticamente detecta que el cliente en cuestión está identificado como “Robinson”. De modo que, en ese supuesto, si el cliente deseara recibir publicidad debería solicitarla expresamente. Las actuaciones llevadas a cabo por la Inspección de Datos de la AEPD en los locales de la denunciada permitieron comprobar, además, que en sus ficheros los datos del denunciante constan con la indicación “Robinson, no cesión de datos y no comunicados comerciales electrónicos” y que obra en su poder el Condicionado Particular del contrato firmado manuscritamente por el denunciante en el que, tal y como él declaró en la denuncia, había marcado de idéntica manera la casilla destinada a oponerse al tratamiento con fines promocionales. Se concluye de lo expuesto que el mecanismo implementado por VERTI para la contratación on line de las pólizas de seguro sí permite que el cliente manifieste expresamente su negativa al tratamiento de sus dato en los términos del artículo 15 de la LOPD, por lo que la actuación de la denunciada es acorde con la normativa de protección de datos, y que los hechos objeto de la denuncia se explican porque el denunciante no hizo valer su declaración de voluntad contraria al tratamiento y comunicación de sus datos con fines publicitarios en el trámite oportuno y aceptó la Política de Privacidad de la compañía, sin que el sistema permita retroceder a fases anteriores del procedimiento de contratación. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
13. PROCEDER AL ARCHIVO de las presentes actuaciones.
14. NOTIFICAR la presente Resolución a VERTI ASEGURADORA, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es