E-01634-2014

1/6 Expediente Nº: E/01634/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidade CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., (CASER), en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes ECHOS PRIMERO: Con fecha 28/01/2014 ha tenido entrada en la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) un escrito de A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta que CONSUPLAN VIDA, CORREDURÍA DE SEGUROS Y REASEGUROS, S.L., (en lo sucesivo, CONSUPLAN o la denunciada) ha incurrido en un desvío de finalidad al haber tratado sus datos bancarios -que había recabado para la celebración de un seguro de responsabilidad civil derivada de su actividad profesional- vinculados a un seguro de accidentes del que es tomador su hermano, B.B.B.. Aporta con su denuncia copia del documento que IBERCAJA le envió, relativo al recibo girado contra la cuenta bancaria de la que es titular en esa entidad financiera el 13/01/2014 y que fue devuelto: En él figura como entidad emisora del recibo “Caja de Seguros Reunidos, S.A., Caser” y la indicación “*******” correspondiente a un Seguro Colectivo de Accidentes del que es titular “B.B.B.” y en el que aparece el nombre de CONSUPLAN. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ANTECEDENTES Con fecha 28 de enero de 2014 se reciben en el registro de la Agencia Española de Protección de Datos escritos de denuncia de A.A.A., y con fecha 24 de marzo de 2014, se recibe contestación al escrito de subsanación y mejora de solicitud. En dichos escritos se pone de manifiesto los siguientes hechos: En la cuenta bancaria del denunciante se ha cargado el recibo de un seguro de accidentes de CAJA DE SEGUROS REUNIDOS S.A. CASER emitido a nombre del hermano del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Adjunto a la denuncia se ha aportado: ? Copia de la cuenta bancaria donde se ha cargado el recibo en la que figura como titular el denunciante. ? Copia del recibo emitido a nombre del hermano del denunciante y remitido a su cuenta bancaria. ? Copia del aviso del pago del recibo emitido a nombre del hermano del denunciante. ACTUACIONES PREVIAS DE INSPECCIÓN Tal y como consta en la documentación remitida por CASER con fechas de registro de entrada 4 de julio y 29 de agosto de 2014: 1. CASER manifiesta que el tomador del Seguro es B.B.B. y como asegurado se encuentra además A.A.A. y aporta copia de la “Solicitud de Seguro CASER ACCIDENTES COLECTIVOS SEGURO DE CONVENIOS” cumplimentado a nombre de B.B.B. como Tomador del Seguro. En dicha solicitud consta como domicilio de cobro, la misma cuenta corriente que en el recibo remitido por el denunciante y de la cual es titular A.A.A.. Asimismo aporta la “Condiciones particulares y especiales” del mencionado Seguro a nombre de B.B.B. donde figura también la misma cuenta corriente y en el listado de Asegurados figuran B.B.B. y A.A.A.. CASER manifiesta que conforme a la legislación vigente no es obligatorio archivar una copia del DNI del tomador del seguro, por dicho motivo no dispone de copia del DNI de B.B.B.. 2. CASER manifiesta que debido a la modalidad contratada “Seguro de Accidentes Colectivos Seguro de Convenios”, se presumió una relación laboral entre ambos y por tanto se precisaba su consentimiento en virtud de lo dispuesto en el artículo 11.2

1. c)de la LOPD, según el cual no será necesario el consentimiento “cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros”. En este caso al considerar que había una relación laboral es obligatorio, para dar cumplimiento al contrato de trabajo, la contratación de un seguro de accidentes que ampare al empleado. CASER manifiesta que es importante señalar que en los seguros de personas el tomador del seguro puede coincidir con el asegurado, como suele ocurrir en los seguros individuales o relativos a una sola persona, pero la distinción surge necesariamente en los seguros colectivos puesto que la cualidad de tomador debe de recaer exclusivamente en una sola persona, física o jurídica. En el contrato de este caso, B.B.B., reunía la condición de tomador y asegurado y A.A.A. exclusivamente la cualidad de asegurado.>> FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD, establece: 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial ,laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7,apartado 6 ,de la presente Ley , o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos ,siempre que no se vulneren los derechos y libertades fundamentales del interesado” El Tribunal Constitucional, en su Sentencia 292/2000, de 30/11/2000 (Fundamento Jurídico 7), se refiere al contenido esencial del derecho a la protección de datos de carácter personal e indica que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Por otra parte, el artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en sus apartados 2 y 3, respectivamente: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos” “Los datos de carácter personal será exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. III La denuncia que examinamos versa sobre el tratamiento de los datos bancarios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 del denunciante que, supuestamente, la correduría de seguros CONSUPLAN habría hecho desviándose de la finalidad para la cual fueron recogidos, en prueba de lo cual el denunciante ha remitido a la AEPD copia del recibo de la prima de una póliza de seguro girado contra su cuenta bancaria el 13/01/2014. El denunciante ha manifestado que facilitó sus datos a la correduría de seguros con ocasión de un contrato de responsabilidad civil derivada de su actividad profesional pero que no autorizó que fueran utilizados para el cobro de un seguro de accidentes del que es tomador su hermano B.B.B.. Del examen del recibo emitido por IBERCAJA a nombre del denunciante por un importe de 145,39 € contra la cuenta corriente de la que es titular en esa entidad (**** ** ********) se verifica que el cargo se giró por CASER, que correspondía a una póliza de accidentes a nombre de B.B.B. y que en él consta también el nombre del corredor, CONSUPLAN. El denunciante ha acreditado que él es el único titular de esa cuenta bancaria y a tal fin ha remitido a la AEPD la copia de una página de la Libreta de Ahorro en la que constan los veinte dígitos de la cuenta y sus datos personales, incluido su número de NIF. Por lo que respecta a la póliza de seguro cuya prima se pretendió cargar en la cuenta bancaria del denunciante CASER ha facilitado a la AEPD copia de la solicitud de seguro que incluye en el en el apartado dedicado a “Datos del Tomador del Seguro” el nombre, apellidos y NIF del hermano del denunciante, B.B.B., un domicilio en calle Alajate , como “Domicilio de cobro” los veinte dígitos de la cuenta corriente de la que el denunciante es titular en IBERCAJA: **** ** ********, y que contiene una firma estampada en el lugar destinado a la firma del solicitante del seguro. Según la información que consta en los sistemas informáticos de CASER la póliza ***PÓLIZA.1 es un póliza de seguro de “colectivos innominados” en la que B.B.B. (con NIF ***NIF.1) tiene la condición de tomador y cuya fecha de inicio fue el 15/01/2013. Sobre el origen de los datos bancarios del denunciante que han sido tratados vinculados a una póliza de la que es tomador otra persona, su hermano, ha informado que se los facilitó la sociedad que medió en la contratación del seguro (CONSUPLAN) y que son los que B.B.B. hizo constar en la solicitud de seguro suscrita con CONSUPLAN, “motivo por el cual la aseguradora, en virtud del principio de la buena fe mercantil, presumió que los datos incluidos en dichos documentos eran veraces”. En el documento denominado “solicitud de seguro” que obra en poder de esta Agencia se puede comprobar que en el apartado destinado al “tomador” aparece el nombre de B.B.B. y su NIF, y en el apartado domicilio de cobro los veinte dígitos de la cuenta bancaria del denunciante. El contrato de seguro suscrito con CASER es un seguro de accidentes de “Colectivos innominados” en el que tienen la condición de asegurados tanto el tomador de la póliza, B.B.B., como el denunciante, A.A.A.. En definitiva, la documentación obtenida por la Inspección de Datos de la AEPD no ofrece indicio alguno que confirme la versión de los hechos que el denunciante nos ofrece, según la cual él habría facilitado sus datos bancarios a la correduría C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 CONSUPLAN para un seguro de responsabilidad civil derivada de su actividad profesional y ésta, desviándose de la finalidad para la cual se los proporcionó, los asoció a una póliza de seguro diferente (vida y accidentes) de la que su hermano es tomador. Es más, ni siquiera está acreditada la existencia de la citada póliza de responsabilidad civil. Por el contrario, todo parece corroborar la explicación de CASER según la cual fue el suscriptor de la póliza, B.B.B., hermano del denunciante, quien facilitó los datos bancarios al corredor, CONSUPLAN, y éste a CASER, sin que existan elementos de juicio en los que sustentar la “desviación de finalidad” en el tratamiento de los datos que el denunciante atribuye a CONSUPLAN. Parece obligado ponderar las particulares circunstancias que concurren en el presente caso, como son que el denunciante y titular de la cuenta bancaria que consta como domicilio de pago de la prima, es, además, asegurado en el contrato, junto con su hermano y tomador, y ambos lo son frente a un mismo riesgo -vida e invalidez- derivado de una misma actividad profesional -fontanería-. También debe ser tenido en cuenta que el denunciante no pone en tela de juicio el consentimiento para el tratamiento de sus datos personales en calidad de asegurado en la póliza que examinamos, sino exclusivamente el tratamiento de sus datos bancarios. Añadir a las consideraciones anteriores que no se tiene noticia de que el denunciante hubiera solicitado a la entidad aseguradora CASER o al corredor CONSUPLAN la rectificación del dato que estimaba inexacto, sus datos bancarios como domicilio de pago de un seguro en el que si bien no figura como tomador sí consta como asegurado. En este sentido debe recordarse que el Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD (RLOPD) establece en su artículo 8.5: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello.” (El subrayado es de la AEPD) A tenor de las consideraciones precedentes, habida cuenta de las particulares circunstancias que concurren en los hechos sometidos a nuestra consideración y el carácter restrictivo y excepcional del procedimiento administrativo sancionador, no existen elementos para apreciar una infracción de la normativa reguladora del derecho a la protección de datos de carácter personal, por lo que debe acordarse el archivo de las actuaciones de investigación practicadas. Por lo tanto, de conformidad con lo señalado, Por el Director de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CAJA DE SEGUROS REUNIDOS COMPAÑIA DE SEGUROS Y REASEGUROS, S.A. (CASER) y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es