E-00766-2014

1/7 Expediente Nº: E/00766/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SANITAS, S.A. DE SEGUROS, en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 07/11/2013, ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. (en lo sucesivo la denunciante), en el que manifiesta que SANITAS, S.A. DE SEGUROS (en lo sucesivo, SANITAS o la denunciada), entidad con la que suscribió el 01/01/2012 una póliza de seguro de asistencia sanitaria, ha incluido en el citado contrato como beneficiario a su hijo menor de edad, B.B.B., sin su consentimiento y sin que en ningún momento ella le hubiera transferido, comunicado o autorizado a tratar los datos del menor, en particular el nombre y apellidos, fecha de nacimiento y DNI. De lo que concluye que SANITAS ha obtenido estos datos de forma fraudulenta e ilícita y ha contratado en su nombre la citada póliza de asistencia sanitaria incluyéndolo como beneficiario. La denunciante relata que se percató de este hecho cuando observó que el importe del recibo de la póliza abonado en octubre de 2013 era el equivalente al doble de lo que tenía obligación de abonar según lo contratado, por lo que contactó telefónicamente con la denunciada quien le informó de la inclusión en la póliza de su hijo menor. Aporta impresión de pantalla procedente de la página web www.sanitas.es en la que figura como beneficiario su hijo y constan sus datos personales. Copia de los recibos de adeudo en cuenta expedidos por SANITAS el 02/09/2013 -por importe de 51,46 €- y de 01/10/2013 -por importe de 105,89 €-. Asimismo, copia del condicionado particular de la póliza número ***NÚMERO.1 en la que figuran en calidad de asegurados la denunciante y su hijo B.B.B. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se efectuaron actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 7 de noviembre de 2013, escrito presentado por D. C.C.C., en representación de Dª A.A.A. (en adelante la denunciante), manifestando lo siguiente: El día 1 de enero de 2012, suscribió una póliza de seguro de salud con la mercantil SANITAS, S.A. DE SEGUROS, con número de póliza ***NÚMERO.1, prima mensual de 51,46 euros, y que el 1 de octubre de 2013 recibe en su cuenta bancaria donde realiza el abono de los recibos de la póliza un recibo emitido por la aseguradora por un importe de 105,89 euros, por una cuantía equivalente al doble de lo contratado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Al ponerse la denunciante en contacto con SANITAS le informan que es debido a que han incluido en la póliza a su hijo recién nacido, sin que haya contratado ni consentido dicha contratación, en ningún momento, ni haya comunicado ni transferido ni consentido los datos del hijo menor, consistentes en nombre y apellidos, fecha de nacimiento y DNI, por tanto se han obtenido éstos datos de forma fraudulenta e ilícita, siendo además curioso que en la asignación del DNI del menor sea el de la madre, con la adición de un 1 después de la letra. Al consultar en la página web <www.sanitas.es>, en el apartado de “Mi sanitas”, área personal del asegurado, que para poder acceder a ella era necesario la aceptación de las Condiciones Particulares de la Póliza y comprueba que constan los datos personales de su hijo menor, se acompaña impresión de pantalla de dichas circunstancias. Con fecha de 9 de julio de 2014 se procede a la asignación de las actuaciones con referencia E/0766/2014 al inspector que suscribe el presente informe. ACTUACIONES PREVIAS DE INSPECCIÓN La compañía SANITAS ha informado a la Inspección de Datos, con fecha de 20 de agosto de 2014, en relación con la contratación de la póliza a nombre del hijo de la denunciante lo siguiente: La denunciante era titular de una póliza de un seguro de salud con SANITAS cuya alta se realizó con fecha 1 de enero de 2012 y de baja el 1 de enero de 2014. El 19 de septiembre de 2013 el hijo de la denunciante nació en un centro hospitalario concertado por SANITAS, conforme a la cobertura del seguro de salud contratado por la madre, SANITAS se hizo cargo de los gastos sanitarios derivados del parto y la correspondiente hospitalización. Asimismo, en cumplimiento de lo pactado en el contrato, el menor recibió automáticamente cobertura del seguro de salud de SANITAS durante al menos los días inmediatamente siguientes a su nacimiento y así consta en las Condiciones Generales relativas al neonato, cláusula 3.2.1.Asistencia de Neonatología: Comprende el reconocimiento médico, administración de vacunas, y realización de aquellas pruebas que de manera sistemática se efectúan al recién nacido durante sus primeras 48 horas de vida, (…). Por ello, SANITAS tuvo acceso a los datos del neonato necesariamente y en todo caso en cumplimiento estricto del contrato celebrado precisamente con la denunciante, al hacer ésta uso voluntario de la cobertura sanitaria contratada con SANITAS para el parto y posterior hospitalización de la madre y el menor y, todo ello de conformidad con la Ley Orgánica 15/1999 de Protección de Datos Personales (artículos 6.2 y 11.2.c, entre otros). Asimismo, se hace constar que la información a la que tuvo acceso SANITAS fue únicamente la estrictamente necesaria para la ejecución y control del contrato de seguro acordado con la denunciante. Posteriormente, en fecha 23 de septiembre de 2013, SANITAS recibió “Solicitud de Inclusión del Beneficiario” correctamente cumplimentada con todos los datos, tanto de la titular como del beneficiario, hallándose la misma convenientemente firmada tal y como exige el procedimiento y cuya copia se adjunta. En dicho formulario cumplimentado manuscritamente constan los datos personales de la denunciante y nombre, apellidos y fecha de nacimiento de su hijo. Que, con fecha 18 de octubre de 2013, SANITAS recibió reclamación por parte de la denunciante en la que reclama a SANITAS la indemnización por daños y perjuicios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 ocasionados por contratar, sin su consentimiento, el alta de un menor en la póliza de la que es titular. La recepción de dicha reclamación por parte de SANITAS conllevó de forma inmediata la paralización del alta del beneficiario en la póliza, así como el inicio de un proceso de investigación interna que tiene por objetivo aclarar lo sucedido. En particular, el departamento de reclamaciones de SANITAS se puso directamente en contacto con la ejecutiva de ventas que gestionó el alta del menor en la póliza de la denunciante, que comunicó que la titular de la póliza y denunciante es un familiar directo (su hermana), quien confirmó que había informado a la denunciante del proceso de alta del menor como beneficiario en su póliza y que ésta prestó su consentimiento expreso para que realizara el trámite, completara y aportara a estos efectos los datos necesarios, prestando igualmente el consentimiento para presentar la solicitud en su nombre. SANITAS informó a la denunciante del origen de los datos del menor, informándole igualmente de que en todo caso se había procedido a dar cauce a su solicitud, habiendo procedido a tramitar la baja del menor con efectos 1 de septiembre de 2013 y quedando el seguro sin formalizar, y se realizó la devolución a la reclamante de la cuantía obtenida por la inclusión de su hijo. De todo lo expuesto anteriormente se aprecia la ausencia de cualquier culpabilidad de SANITAS, quien inicialmente accedió legítimamente a los datos de la reclamante y el menor en cumplimiento estricto del contrato de seguro celebrado con la madre y tutora del menor. Asimismo, habiendo recibido SANITAS una solicitud de alta por un cauce aparentemente legítimo, procedió en cualquier caso a atender inmediatamente a todas las reclamaciones de la denunciante: en particular, dando curso a la baja del menor de forma retroactiva, respondiendo debidamente a la reclamante con la información solicitada y en el plazo de 10 días naturales y procediendo a reembolsar cualquier cantidad reclamada. Con todo ello, SANITAS actuó diligentemente y en cumplimiento de la normativa de protección de datos personales, sin que pueda achacarse a SANITAS falta alguna. Asimismo la trabajadora que formalizó el contrato dejó de formar parte de la organización, habiendo sido rescindida su relación contractual por parte de SANITAS.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD consagra en su artículo 6 el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. Este precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la citada Ley Orgánica: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. La LOPD califica como infracción grave, tipificada en el artículo 44.3.b), la vulneración del principio del consentimiento y sujeta a su régimen sancionador tanto a los responsables del fichero como a los encargados de tratamiento (artículo 43LOPD). Ahora bien, la exigencia de responsabilidad sancionadora presupone la concurrencia de una conducta antijurídica, descrita en el tipo sancionador, y del elemento subjetivo de la infracción, pues rige en nuestro Derecho el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999 en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A su vez, la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) proclama en el artículo 130.1 el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Solo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la Agencia) Por tanto, a la luz de este precepto, la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. Así, en la Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “....el ilícito administrativo previsto en el artículo 44.3.
3. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 III Centrándonos en los hechos objeto de la presente denuncia y en si éstos entrañan o no una infracción de la LOPD, corresponde hacer las consideraciones siguientes. En primer término que, tal y como aduce la denunciada, la póliza de asistencia sanitaria que la denunciante suscribió el 01/01/2012 incluía entre sus coberturas la asistencia neonatal del recién nacido durante sus primeras 48 horas de vida y que la denunciante hizo uso voluntario de esta cobertura. Extremo que ha sido utilizado por la entidad denunciada para afirmar que los datos del menor B.B.B. que se hicieron constar en el contrato de asistencia sanitaria (Condiciones Particulares) no se obtuvieron ilegítimamente –como afirma la denunciante en su escrito- sino que tuvo acceso a ellos “en cumplimiento estricto del contrato celebrado”. Siendo ello cierto, en respuesta a este alegato parece necesario recordar que la citada póliza de asistencia sanitaria legitima a SANITAS para realizar los tratamientos necesarios para la ejecución del contrato, pero no legitima el tratamiento de los datos del menor en calidad de beneficiario de una póliza de seguro. Ahora bien, SANITAS ha informado a la AEPD que el alta del menor B.B.B. como beneficiario de la póliza de asistencia sanitaria se produjo porque así lo solicitó su madre y representante legal. Indica que en fecha 23/09/2013 recibió una “Solicitud de Inclusión de Beneficiario” correctamente cumplimentada en la que constaban todos los datos del menor y de la titular, su madre. Documento del que nos ha remitido copia y que incluye, además, información adicional como el carácter no prematuro del recién nacido o que no padece enfermedad congénita. El documento está rubricado tanto en el apartado destinado a la firma del tomador (en este caso la denunciante) como en el destinado a la firma del “Agente/compañía”. SANITAS procedió de inmediato, nada más conocer la reclamación de la denunciante, a investigar lo sucedido comprobando que la ejecutiva de ventas que había gestionado el alta del menor en la póliza de la madre era D.D.D., hermana de la denunciante, quien declaró que ésta había prestado su consentimiento expreso para dar de alta al menor como beneficiario, para que realizara el trámite, completara y aportara a estos efectos todos los datos necesarios así como para presentar la solicitud en su nombre. Tras conocer estos hechos la denunciada reaccionó con gran diligencia pues, según ha acreditado documentalmente, procedió a tramitar la baja del menor con efectos 01/09/2013 dejando el seguro sin formalizar. En ese sentido aporta copia de la carta, fechada el 28/10/2014, que dirigió al Abogado de la denunciante y en la que se le comunica que “como sin duda conoce, por parte de nuestra compañía no se han obtenido ni tratado los datos del menor de forma ilícita ni fraudulenta sino directamente de su entorno familiar más cercano donde, según nos informan, contaban con la aprobación y consentimiento de su representada para la inclusión del menor en su póliza. No obstante, tras comprobar que no se han utilizado los servicios, hemos procedido a tramitar la baja de B.B.B. con efecto 1 de septiembre de 2013, quedando por tanto el seguro sin formalizar” Además, SANITAS devolvió a la denunciante la cuantía correspondiente al recibo girado y llevó a cabo una investigación interna para verificar la observancia de los estrictos protocolos de actuación que tiene establecidos en relación con los procesos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 contratación, la obtención y tratamiento de datos personales, y el consentimiento necesario para ello, siendo resultado de esta investigación la rescisión del contrato que mantenía con la ejecutiva de ventas que intervino en la formalización de la póliza. En definitiva, pese a que el protocolo de SANITAS previsto para la recogida y tratamiento de los datos se adecúa a las exigencias de la LOPD, en el presente caso los hechos tuvieron su origen en la actuación de una ejecutiva de ventas de la compañía, hermana de la denunciante, quien habría actuado en representación de ésta para tratar y facilitar los datos personales tanto de ella como del menor y concertar en su nombre la inclusión en la póliza del hijo menor como beneficiario. Así las cosas, no se aprecia en la actuación de SANITAS la concurrencia del elemento subjetivo de la infracción, necesario para que nazca la responsabilidad sancionadora, por lo que debe acordarse el archivo de la presente denuncia. La documentación aportada por la denunciada, una “Solicitud de Inclusión de Beneficiario” en la que constan los datos del menor y que se encuentra firmada, así como las explicaciones ofrecidas y la diligente conducta desplegada nada más tener noticia de la reclamación telefónica de la denunciante, ponen de manifiesto que SANITAS tiene implementado un protocolo correcto en relación con los procesos de contratación y la obtención y tratamiento de datos personales que le ha permitido de manera casi inmediata detectar el origen de la situación irregular y ponerle fin. No cabe, por tanto apreciar culpabilidad alguna en la actuación de la denunciada, que trató los datos personales del menor con la creencia de que la tomadora del seguro había otorgado su consentimiento expreso, pues la ejecutiva de ventas que intervino en la formalización declaró que había recibido el consentimiento expreso de su hermana y denunciante para que facilitara los datos del menor y contratara en representación suya la póliza. En este sentido debemos traer a colación la SAN de 26/04/2002 (Rec 895/20009 en la que la Audiencia expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la Agencia) Este criterio ha sido confirmado por la Audiencia Nacional en Sentencia de 27/01/2011 (Rec. 782/2009), que en un supuesto análogo al que nos ocupa estimó el recurso contencioso administrativo interpuesto por ENDESA anulando la resolución sancionadora dictada por la AEPD por infracción del principio del consentimiento. A tenor de las reflexiones precedentes, y toda vez que en el presente caso está acreditado que SANITAS tiene implementado un protocolo adecuado en los procesos de contratación para salvaguardar el derecho a la protección de los datos de carácter personal y que actuó con diligencia una vez que tuvo noticia de los hechos acaecidos, no se aprecia la concurrencia del elemento subjetivo de la infracción por lo que la conducta que se somete a nuestra consideración no es subsumible en el tipo sancionador del artículo 44.3.
4. b)de la LOPD y ninguna responsabilidad sancionadora es exigible, debiendo proceder al archivo de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a SANITAS, S.A. DE SEGUROS, y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es