1/6 Expediente Nº: E/01610/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAJA DE SEGUROS REUNIDOS, CÍA DE SEGUROS Y REASEGUROS,S.A., (CASER) en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 09/12/2014, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que CAJA DE SEGUROS REUNIDOS, CÍA DE SEGUROS Y REASEGUROS, S.A.,(en lo sucesivo, CASER o la denunciada) ha revelado a una tercera persona -empleada y dueña de la empresa con la que contrató las obras de reforma de su hogar tras el siniestro sufrido y por el que su aseguradora, CASER, le indemnizó- previo requerimiento de su DNI y su domicilio, datos de su póliza, del siniestro, de cuánto cobró como indemnización y de algunos dígitos de su cuenta corriente. El denunciante añade que los datos facilitados por CASER a un tercero han permitido la comisión de un presunto delito de calumnias contra su persona que se investiga por la jurisdicción penal. Aporta con la denuncia un CD con la grabación de la llamada telefónica que un tercero hizo a CASER y que esa entidad remitió al Juzgado de Instrucción número 4 de Toledo, que investiga la comisión de una posible infracción penal. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Con fecha de 9 de diciembre de 2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que siendo asegurado de CASER con una póliza de hogar, sufre un siniestro por el que dicha compañía le indemniza. Posteriormente contrata los servicios de una empresa constructora que le hace parte de la reparación y deja otras por hacer por lo que no les abona y les retiene parte del importe acordado hasta que terminen los trabajos. Los dueños de la citada empresa empiezan a molestar a su familia y al denunciante con amenazas y coacciones y empiezan a hablar con los vecinos indicando que era una mala persona y que eran malos pagadores. Esto ha motivado que presente denuncia judicial contra los dueños de la empresa constructora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Poco después una de las empleadas y dueñas de esa empresa llama telefónicamente a CASER para sacar información que utilizar en su contra, indicando que era su hermana cuando él no tiene ninguna hermana con ese nombre. Manifiesta que la empleada de CASER sin requerimiento adicional sobre su identidad y simplemente facilitando su DNI y su dirección, le facilita datos de su póliza, del siniestro, de la indemnización y de algunos de los dígitos de su cuenta corriente. Esto último es el motivo de su denuncia ante la Agencia. Aporta copia de la grabación. ACTUACIONES PREVIAS Con fecha 24 de septiembre de 2015 se personan dos inspectores de la Agencia Española de Protección de Datos en CAJA DE SEGUROS REUNIDOS, CIA DE SEGUROS Y REASEGUROS (en adelante CASER) y comunican a su representante que la inspección tiene relación con la denuncia presentada en la Agencia por un ciudadano asociada a información facilitada telefónicamente a través del centro de atención al cliente, a una tercera persona sobre un siniestro. Asimismo informan que el denunciante aporta también la grabación que en su día le facilitó CASER y con la que no está conforme. 1 Los representantes de CASER realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: La entidad ha elaborado un procedimiento escrito que está a disposición de los operadores que atienen las llamadas telefónicas desde el centro de atención al cliente, en soporte papel y en la intranet, en el cual, en su módulo 2, describe los datos a tener en cuenta por el operador antes de facilitar al interlocutor cualquier tipo de información. Los datos solicitados en cualquier caso son el nombre y apellidos de la persona que llama y relación con el tomador de la póliza. En caso de no ser el tomador de la misma, se solicita el nombre y apellidos del tomador así como un dato adicional que puede ser el DNI, número de póliza o número de expediente si el trámite está iniciado. También puede ser la matricula si se trata de un vehículo, la dirección si se trata de un inmueble o el número de tarjeta de salud. La compañía tiene implantado un standard de calidad por el cual todos los operadores son valorados según la atención prestada a los clientes, siendo los aspectos relativos a la LOPD fundamentales, dado que si realizan incorrectamente este módulo, la valoración es nula, lo que repercute en los incentivos trimestrales que reciben asociados a la valoración de su trabajo. Se adjunta copia del documento denominado “standard calidad CRC, prestaciones, mantenimiento, inf general”. En el documento adjunto se puede comprobar que se especifica “es labor del agente confirmar los datos requeridos al interlocutor, para confirmar que es un interlocutor válido y en calidad de qué nos llama”. Además del standard de calidad, los operadores son formados presencialmente sobre cómo deben atender a las personas que llaman a CASER así como sobre la información que pueden facilitar asociada a cada uno de los casos que se les puede presentar. 2 Los inspectores informan a los representantes de CASER que van a proceder a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 escuchar la grabación aportada por el denunciante para que realicen las manifestaciones que consideren oportunas: Confirman que la grabación es de la empresa. a. La persona que llama se identifica como hermana de D. A.A.A. facilitando su nombre y dos apellidos, la operadora solicita los datos del tomador de la póliza (nombre, apellidos y DNI) y posteriormente vuelve a confirmar que es la hermana. b. La información que facilita la operadora se refiere a facturas que están en poder de la persona que ha realizado la llamada. c. La operadora no facilita ninguna información sobre el tomador del seguro simplemente información sobre aspectos de facturación relacionados con el siniestro conocido por la persona que llama y sobre el que confirma información. d. El único dato aportado por la operadora es la fecha en la que se ha pagado la cantidad ya conocida y los últimos dígitos de la cuenta bancaria donde se ha ingresado el dinero a efectos de que pueda comprobarlo el titular.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de LOPD se ocupa del “Deber de secreto” y establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. El citado precepto tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus titulares. La obligación impuesta por el artículo 10 LOPD conlleva que el responsable de los datos almacenados o tratados y quienes intervengan en cualquier fase del tratamiento no puedan revelar ni dar a conocer su contenido teniendo el “deber de guardarlos”. A través de este precepto se persigue salvaguardar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y, en definitiva, el poder de control o disposición sobre ellos. Este deber comporta que los datos personales no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley. La vulneración del artículo 10 de la LOPD constituye una infracción grave C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 tipificada en el artículo 44.3.d. La Audiencia Nacional, de manera reiterada, ha considerado que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (SAN de 11/06/2009, Rec 500/2008) y pone el acento en que la infracción del artículo 10 de la LOPD exige una efectiva revelación a un tercero “no legitimado para acceder a tales datos” (por todas SAN de 29/05/2013, Rec. 356/2012). En esta Sentencia el Tribunal señala que “Resulta evidente la comisión por la entidad bancaria sancionada de la infracción expresada, puesto que en su condición de responsable del fichero y del tratamiento de los datos de carácter personal del denunciante, vulneró su deber de secreto profesional, al revelar a un tercero no legitimado para acceder a tales datos personales, las posiciones de la cuenta corriente de que aquel era titular y su condición de cotitular de tal cuenta junto con su tía fallecida, de la que era el único heredero, sin el consentimiento de este.” (El subrayado es de la AEPD) Por otra parte, la LOPD, en su artículo 3.a), define “dato de carácter personal” como “cualquier información concerniente a personas físicas identificadas o identificables”. A su vez, el Reglamento de Desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD), en el artículo 5.f), define los datos de carácter personal como “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. Y el apartado
- o)considera “Persona identificable” a “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. Obra en el expediente, aportada por el denunciante, una copia de la grabación de la conversación telefónica mantenida entre una empleada de CASER y la persona que se hizo pasar por la hermana del denunciante identificando a éste, en su condición de titular de la póliza por el nombre, dos apellidos y el NIF. La misma grabación fue facilitada por CASER a los inspectores actuantes durante la visita realizada a sus instalaciones. La audición de dicha grabación permite comprobar que la única información que la empleada de CASER facilitó a la persona que llamó haciéndose pasar por la hermana del denunciante fueron las dos fechas en las que CASER abonó al denunciante dos cantidades en concepto de indemnización por el siniestro sufrido en su vivienda (los días 23 de octubre y el 12 de diciembre), la cuantía abonada en cada una de esas fechas y los cuatro últimos dígitos de los veinte que identifican la cuenta corriente del denunciante en la que la aseguradora hizo los pagos. La audición de la grabación ha permitido verificar que la empleada de CASER pidió a su interlocutora que identificara al titular de la póliza, a lo que éste respondió proporcionando el nombre, dos apellidos y el NIF del denunciante. También pidió a su interlocutora que se identificará, proporcionando entonces el nombre de Carmen y los dos apellidos del denunciante, por lo que la teleoperadora de CASER le preguntó si era su hermana a lo que respondió afirmativamente. El artículo 9 de la LOPD bajo la rúbrica “Seguridad de los datos” establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” A propósito de la obligación impuesta por el artículo 9 de la LOPD es también necesario citar el artículo 93 del RLOPD relativo a la “Identificación y autenticación” que dispone: “1.El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad” La importancia que tienen las medidas de seguridad en relación con el derecho fundamental de protección de datos ha sido destacada por el Tribunal Constitucional, que ha indicado (por todas, SSTC 143/1994 y 197/2003) que un sistema normativo que autorice la recogida de datos, incluso con fines legítimos, y no contemple las garantías adecuadas frente a un uso potencialmente invasor de la vida privada del ciudadano a través de su tratamiento técnico vulneraría el derecho a la intimidad del mismo modo que lo harían las intromisiones directas en el contenido nuclear de ésta. En el asunto que no ocupa, a tenor de la grabación que el denunciante facilitó a la AEPD y que los inspectores pudieron escuchar durante la inspección efectuada en la entidad denunciada, se comprueba que la conversación de la empleada de CASER con la persona que realizó una llamada haciéndose pasar por hermana del denunciante comenzó solicitando la empleada a su interlocutora que facilitara la identidad del titular de la póliza ( proporcionándole entonces el nombre, dos apellidos y NIF del titular), la identidad de la persona que llamaba y el vínculo que existía entre ambos. El procedimiento seguido por CASER cumple las condiciones exigidas por el artículo 93 del RLOPD sobre identificación y autenticación de los usuarios. La persona que realizó la llamada a CASER y se hizo pasar por hermana del denunciante pasó la política de privacidad que la denunciada ha acreditado tener implementada, de modo que estaba legitimada para recibir la información que CASER le facilito. Se añade que pese a que esa persona había pasado con éxito los controles de autenticación de usuario adoptados por CASER de conformidad con lo exigido por la LOPD y normas de desarrollo, pues facilitó el DNI y el nombre y apellidos del titular de la póliza, actual denunciante, la empleada de CASER no llegó a comunicarle los veinte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 dígitos de la cuenta bancaria completo sino únicamente los cuatro últimos dígitos de la cuenta en la que se había abonado la indemnización del siniestro. Trasladando las reflexiones precedentes a los hechos que nos ocupan, se concluye que la conducta que sometida a la valoración de este organismo no vulnera las disposiciones de la LOPD y normas de desarrollo, en particular no constituye una infracción del deber de secreto (artículo 10) ni del deber de seguridad de los datos de carácter personal (artículo 9 LOPD), debiendo acordar el archivo de las presentes actuaciones de investigación previa. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CAJA DE SEGUROS REUNIDOS, CIA DE SEGUROS Y REASEGUROS (CASER) y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es