E-01768-2018

1/5 Expediente Nº: E/01768/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS en virtud de escrito presentado ante la misma por la propia entidad, y en base a los siguientes, HECHOS PRIMERO: Con fecha de 12/03/2018, tiene entrada en esta Agencia un escrito de SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS (en lo sucesivo SANTA LUCIA), en el que comunica que han detectado una incidencia involuntaria en sus sistemas de información, con los siguientes elementos descriptivos: El número aproximado de afectados es de

1. Ha ocurrido en relación con el envío de cartas de renovación de póliza. Se enviaron 55.853 cartas, de las cuales 402 han sido afectadas. Descripción de la incidencia: Envío postal a los tomadores de seguro “asistencia familiar plus” Ramo
2. Han sido incluidos en dichos envíos datos de carácter personal, así como otros datos relativos al seguro contratado, de quienes ostentan la condición de asegurados en otra póliza del mismo producto. Los datos incluidos erróneamente afectan, en cada caso, a una única persona física (un asegurado de SANTA LUCIA), es decir, un asegurado podría acceder, a los datos de otro asegurado como consecuencia del error acaecido. Tan pronto como fue detectada la incidencia se han llevado a cabo las siguientes acciones: Analizada la incidencia, y tras establecer un plan de acción para evitar su repetición, se tomas las siguientes medidas técnicas:
3. -acciones de validación para realizar una doble confirmación del número de afectados (lanzamiento script de validación).
4. -corrección del software: replicando el error en entornos no productivos y aplicando medidas correctoras.
5. -establecimiento de nuevos controles en el proceso de generación de envíos postales.
6. -acciones de formación a usuarios que manejan el software con la finalidad de formar en relación con las correcciones del software y fortalecer la operativa del proceso de uso del programa.
7. -les ha sido comunicada la incidencia a los afectados pidiendo disculpas y les han remitido los datos correctos en relación con la renovación de la póliza del seguro.
8. -refuerzo del servicio de atención al cliente en relación con las posibles solicitudes de información por parte de los afectados. La incidencia producida no resulta susceptible de provocar consecuencias de alto impacto para los clientes afectados, no se estiman posibles la generación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 situaciones como suplantación de identidad a la vista de la categoría de datos personales, nombre y apellidos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, mediante escrito de fecha 06/04/2018 por los servicios de Inspección de la Agencia se solicita información acerca de la brecha de seguridad informada, teniendo conocimiento a través del escrito remitido por la entidad, de fecha de entrada de 14/05/2018, de lo siguiente: “La incidencia tuvo lugar entre el 22 y 24 de enero de
9. En el proceso de generacion de cartas, se ha generado una pagina en blanco no controlada. Esto ha provado que, en el proceso automatico de introducion de cartas en sobres, se desplacen los datos de una pagina a otra y se reflejen datos de asegurados que no corresponden con la idreccion de envio de la carta. A nivel tecnico, el problme es que no se controlaba el numero de lienas que formaban una pagina de una carta. El error solo ocurria en un caso muy especifico que solo se ha producido una vez en la renovacion. Las cartas se lanzan en lotes de 500, produciendose el error en la carta 99 de un lote y afectando a las 401 siguientes. El 29 de enero se procedio a la correccion del software. Se ha desplegado en el entorno de producción, comprobando previamente que no se han producido lanzamiento de cartas en el periodo desde la detección del error hasta la implantación del software. Desde el 6/02/2018 se ha implantado controles específicos de generación de cada una de las cartas, de modo que ninguna de las cartas contenga un número de páginas impares (indicativo de error en cartas a doble cara), las cartas en error, se sacaran del proceso y no se agruparan en los lotes de
10. Sobre los lotes de 500 se pasara otro control de conteo que producirá: - Error, ante el número de cartas impar. - Warning, ( aviso de desarrollo), ante un número de páginas mayor de 1000 No se ha recibido reclamación alguna, únicamente el día 24 de enero llamaron clientes para interesarse por lo ocurrido sin plantear reclamación. Se aportan copia de la carta afectada y copia de la carta con los datos correctos. Se aporta una copia de una carta enviada a los afectados informándoles de lo sucedido. No existe relación del presente caso con lo sucedido en el PS/00236/
11. Se trata de ejecutables distintos, distinta carta y distinta tecnológica utilizada para su impresión. En aquel supuesto se trató de un report de texto plano con carta Preimpresa de imprenta. En este caso, de incide sobre el XML con plantilla LibreOffice. En el caso precedente se imprimían a simple cara, y en este caso se hace a doble, precisamente esa circunstancia es la determinante de la indecencia comunicada, dado que al faltar la página en blanco se produjo el efecto automático de comenzar a mezclar unas caras con otras”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 10 de la LOPD, señala que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Por otra parte, el artículo 9 de la LOPD establece en relación con la seguridad de los datos que: “
12. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
13. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
14. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 IV En el caso presente, la propia entidad SANTA LUCIA, en su condición de responsable del fichero, se dirigió a la Agencia mediante escrito de fecha 12/03/2018, informando de la detección de una incidencia en sus sistemas de información, que afectaba a tomadores del seguro modalidad “Asistencia familiar plus”, con motivo del envió de las cartas de renovación de las citadas pólizas, durante el proceso de impresión y ensobramiento de las mismas en las que se incluía información relativa a los asegurados conteniendo datos de carácter personal de quienes ostentaban tal condición pero en otras pólizas del mismo producto asociando dichos datos de manera errónea, conculcándose de esta forma el deber de secreto. Es digno de destacar que SANTA LUCIA en cuanto tuvo conocimiento de la incidencia actuó de manera inmediata para corregir la situación provocada adoptando medidas oportunas y adecuadas, analizando las causas que la habían provocado, estableciendo un plan de acción para evitar su repetición en el futuro y remitiendo a los afectados nueva comunicación en la que se les pedía disculpas por lo ocurrido y remitiéndoles los datos corregidos, reforzando el servicio de atención al cliente en relación con las solicitudes de información sin que se haya recibido reclamación alguna consecuencia de lo ocurrido. Todas esta batería de medidas las puso en funcionamiento incluso antes de ponerlo en conocimiento de la Agencia, de tal manera que la incidencia estaba solucionada antes de remitir la carta informando de la misma. Se hace necesario tener en cuenta a la hora de valorar la conducta de la entidad denunciada, el carácter restrictivo y nunca expansivo del derecho administrativo sancionador, como recoge la propia Audiencia Nacional, en Sentencias de 16 de marzo de 2004 y 2 de marzo de 2005, que ante circunstancias similares a la ahora examinada ha manifestado lo siguiente: “De mantenerse la interpretación que subyace en la resolución recurrida resultaría que cualquier error de anotación, por mínimo que fuese, en los movimientos de cualquier cuenta corriente constituiría una infracción grave de la Ley Orgánica 1571999, conclusión ésta que por su misma desproporción resulta inaceptable”. “…lo acontecido es resultado de un simple error cuya imputación de carga infractora de algún tipo implicaría una interpretación forzada de la legislación de protección de datos de carácter personal, teniendo en cuenta el carácter restrictivo y nunca expansivo que debe presidir toda acción administrativa sancionadora incluida claro está, le regulada en la Ley Orgánica 15/1999, de 13 de Diciembre. De mantenerse la interpretación que subyace en la resolución recurrida resultaría que cualquier equivocación en el envío de correspondencia a la dirección de una persona, aún tratándose de un domicilio que figura como tal en el fichero de clientes de cualquier empresa, o entidad, constituiría una infracción grave de la Ley de Protección de Datos, conclusión que consideramos no guarda la necesaria proporción con los hechos enjuiciados”. Además, habría que señalar que el comportamiento de la entidad seria ajustado a lo contenido y señalado en el Reglamento Europeo de Protección de Datos, en relación con la seguridad de los datos personales, tanto en su considerando 85 como en el artículo
15. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a SANTA LUCIA, S.A., COMPAÑIA DE SEGUROS Y REASEGUROS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es