E-02096-2015

1/7 Expediente Nº: E/02096/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ONO, S.A.U. en virtud de la denuncia presentada por D. B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 05/01/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. B.B.B. (en lo sucesivo, el denunciante) en el que expone que VODAFONE ONO, S.A.U., (en lo sucesivo, ONO o la denunciada) ha cedido sus datos bancarios, sin su consentimiento, a la compañía de seguros AIG EUROPA LIMITED, sucursal en España (en adelante, AIG). El denunciante indica que el 12/12/2014 recibió de AIG una orden de domiciliación de pagos relativa a un seguro de protección familiar en la que constaban los datos de su cuenta bancaria y añade que cuando recibió la llamada del número C.C.C., a principios de diciembre de 2014, en la que se le ofertó un seguro por su condición de cliente de ONO, se limitó a aceptar el envío de información comercial sobre la póliza. Aporta copia de los documentos que le remitió AIG: una carta de presentación y una “Orden de domiciliación para adeudos SEPA” en la que consta, además de su nombre, dos apellidos y domicilio, el número de cuenta IBAN y el swif BICO. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS DE INSPECCIÓN Tal y como consta en el Acta de Inspección E/2096/2015-I/1 realizada en los locales de AIG EUROPE en fecha 21 de septiembre de 2015: 1. AIG EUROPE LIMITED sucursal en España es un establecimiento permanente de la sociedad inglesa AIG EUROPE LIMITED cuya actividad principal es aseguradora estando autorizada por la Dirección General de Seguros y Fondos de Pensiones para suscribir operaciones de seguros en España. AIG EUROPE tiene suscrito un contrato de agencia de seguros en su condición de asegurador con la compañía WILLIS AFFINITY, la cual tiene como actividad principal servicios de mediación de seguros en su condición de sociedad de agencia de seguros vinculada. Entre los servicios que realiza esta compañía se encuentra la captación de potenciales clientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 2. WILLIS AFFINITY y CABLEUROPA, SAU (actualmente VODAFONE ONO SAU (en adelante ONO)) tienen suscrito un contrato de arrendamiento de servicios en el que se incluye la compañía RAINBOW COMUNICACIONES SL, por el cual ésta última sociedad prestará servicios de call center, atención al cliente y telemarketing. Por otra parte ONO, en virtud de este contrato, dirigirá a sus clientes una oferta de productos de seguros previa obtención y grabación de su consentimiento actuando como auxiliar externo de WILLIS AFFINITY en la oferta a sus clientes de productos de seguros de la compañía AIG EUROPE. Tal y como consta en el contrato suscrito entre WILLIS AFFINITY, ONO y RAINBOW COMUNICACIONES SL, esta compañía realizará acciones de captación de clientes partiendo de la base de datos de clientes de ONO y su posterior entrega a AIG EUROPE de los datos de los clientes de ONO que hayan contratado un seguro de esta aseguradora a través de WILLIS AFFINITY. RAINBOW COMUNICACIONES SL será la encargada de contactar con los clientes de ONO en nombre y por cuenta del operador y solicitará el consentimiento expreso para ofertar información sobre el seguro de AIG EUROPE, en nombre de WILLIS AFFINITY, y proceder a su grabación y custodia. De esta manera, si el cliente no otorgará el citado consentimiento no se podrá continuar con la llamada. 3. Para la captación de clientes RAINBOW COMUNICACIONES SL utiliza un argumentario en el que consta: “Asimismo, para sus comodidad, si le parece bien la cuenta/tarjeta en la que se ingresarán las indemnizaciones y se le cargarán los recibos, será la misma donde tiene domiciliado los recibos de ONO. Autoriza a ONO a cederle su número de cuenta para gestionar el pago de la póliza contratada?” 4. Una vez que AIG EUROPE recibe los datos para formalizar el contrato, se remite al interesado un escrito de bienvenida junto con la documentación de la póliza y la “Orden de domiciliación para adeudos directos SEPA” 5. Respecto de la grabación del consentimiento otorgado por B.B.B. para la contratación del seguro de AIG EUROPE se ha verificado que en la grabación figura: El operador se identifica como ONO y pregunta por B.B.B.. Le informa de la grabación de la llamada. Le indica que ONO está proporcionando un plan de protección conjuntamente con AIG EUROPE y WILLIS AFFINITY. Le solicita la fecha de nacimiento y número de hijos. Le informa sobre el plan de protección familiar. Le informa de que la póliza le llegará a su domicilio y que es gratuita durante 30 días. Le informa de que si no le interesa tiene que indicarlo por teléfono o por correo electrónico ya que la póliza queda activada desde este momento. Informa que RAINBOW COMUNICACIONES SL en su condición de auxiliar externo de WILLIS AFFINITY, agente de seguros vinculado le solicita autorización del envío de los datos a AIG para la emisión de la póliza de protección familiar con cobertura a partir de mañana. Le informa de que los recibos se cargaran en la cuenta que tiene domiciliado los recibos de ONO. El operador pregunta: ¿Autoriza a ONO a cederle su número de cuenta a AIG para gestionar el pago de la póliza contratada?. Le informa del teléfono de atención al cliente para cualquier duda. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Solicita confirmar datos de nombre, DNI, domicilio postal, teléfonos. Le informa de cómo desistir de este contrato en el plazo de 30 días. Le informa del artículo 5 de la LOPD. El cliente consiente. 6. En los Sistemas de Información de AIG EUROPE constan los datos de B.B.B. como titular de una póliza emitida en fecha 11/12/2014 y cancelada en fecha 22/12/2014. Constan, entre otros, los datos de cuenta bancaria. Asimismo se comprueba la existencia de un correo electrónico de fecha 20/12/2014 remitido por denunciante donde indica que no ha proporcionado sus datos personales y bancarios y se comprueba que figura un correo de contestación de la compañía AIG EUROPE en el que le indican que ante la imposibilidad de contactar telefónicamente se ha procedido a la cancelación de la póliza. Se verifica que constan los recibos generados, el primero de ellos “Condonado” y los siguientes figuran como “anulados” ante lo que AIG EUROPE manifiesta que al emitir una póliza se generan los recibos de 12 meses por este motivo constan como anulados ya que la póliza se canceló y los recibos no fueron girados a la entidad bancaria.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 11 de la LOPD, bajo la rúbrica “Comunicación de datos”, dispone: “1: Los datos de carácter personal objeto del tratamiento solo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. (…) 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a la que se destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter revocable” (El subrayado es de la AEPD) La vulneración del artículo 11.1 de la LOPD se tipifica como infracción grave en el artículo 44.3.k, de la citada norma. Paralelamente conviene indicar que la Ley 26/2006, de Mediación de Seguros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Privados, en su artículo 8 dice: “1. Los mediadores de seguros podrán celebrar contratos mercantiles con auxiliares externos que colaboren con ellos en la distribución de productos de seguros actuando por cuenta de dichos mediadores y podrán realizar trabajos de captación de la clientela, así como funciones auxiliares de tramitación administrativa, sin que dichas operaciones impliquen la asunción de obligaciones. (…) 2. Los auxiliares externos no tendrán la condición de mediadores de seguros, ni podrán asumir funciones reservadas por esta Ley a los referidos mediadores, y desarrollarán su actividad bajo la dirección, responsabilidad y régimen de capacidad financiera del mediador de seguros para el que actúen. III Los hechos sobre los que versa la denuncia se concretan en una presunta cesión por ONO de los datos bancarios del denunciante a la aseguradora AIG sin su consentimiento. El denunciante invoca como fundamento de su denuncia el documento que recibió de AIG el 12/12/2014, una orden de domiciliación de pagos de una póliza de seguro de protección familiar en la que constaban sus datos bancarios, datos que él niega haber facilitado a AIG pues, según dice, en la llamada telefónica que recibió a principios de diciembre de 2014 ofreciéndole un seguro de protección familiar por su condición de cliente de ONO se limitó a autorizar el envío de información publicitaria sobre el producto. Como expondremos a continuación los documentos recabados por la Inspección de Datos de la AEPD acreditan que no existió una cesión sin consentimiento de los datos bancarios del denunciante por parte de ONO y que la comunicación de esos datos a AIG fue respetuosa con el artículo 11.1 de la LOPD, dado que el denunciante sí había prestado su consentimiento. Obran en el expediente los siguientes documentos relevantes: Por una parte, la grabación de la conversación telefónica mantenida entre el denunciante y RAINBOW COMUNICACIONES, S.L., (en adelante, RAINBOW). Por otra, copia de los siguientes contratos:
2. a)El contrato de colaboración suscrito entre ONO y Willis Affinity, Agencia de Seguros Vinculada, S.L.U., (en adelante, WILLIS) el 09/09/2013. En él se estipula que WILLIS designa a ONO como auxiliar externo, de acuerdo con el artículo 8 de la Ley de Mediación (cláusula segunda). Que la empresa de telemarketing que actúa como encargada de tratamiento de ONO, nada más contactar con los clientes de la operadora, les solicitará su consentimiento para poderles informar acerca de una oferta de relacionada con el sector de seguros en condiciones ventajosas por ser cliente de la compañía. Que una vez obtenida la autorización del cliente, la operadora recabará su consentimiento, de conformidad con el artículo 11 de la LOPD, para la comunicación de sus datos personales de carácter identificativo a la aseguradora AIG y para que un auxiliar externo de WILLIS –que es la encargada de tratamiento de la aseguradoraoferte al cliente que esté interesado la formalización de un contrato de seguro (cláusula décima)
3. b)El contrato de arrendamiento de servicios suscrito el 01/09/2014 entre RAINBOW, ONO y WILLIS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 El objeto de este contrato es la prestación por parte de RAINBOW a favor de ONO y WILLIS, de los servicios de captación de clientes de la base de datos de ONO y la entrega posterior a AIG de los datos de aquellos clientes de ONO que hubieran contratado un seguro con AIG a través de WILLIS, advirtiendo que con carácter previo, RAINBOW suscribió un acuerdo con WILLIS por el cual ésta la designaba como auxiliar externo de dicho mediador, conforme al artículo 8 de la Ley de Mediación de Seguros Privados (cláusula primera). En el contrato se estipula (cláusula quinta) que RAINBOW asume la condición de encargada de tratamiento del fichero de clientes de ONO del que la operadora es responsable,
4. c)Contrato entre AIG y WILLIS, de 10/05/2013, por el que la primera nombra a la segunda agencia de seguros vinculada a la compañía, por lo que tiene la condición de encargada de tratamiento de la aseguradora. En relación a la presunta cesión por ONO a la aseguradora AIG de los datos bancarios del denunciante, el análisis de la conversación telefónica que el denunciante mantuvo con la empleada del call center, la empleada de RAINBOW, cuya grabación nos ha facilitado AIG, revela que el denunciante había autorizado a ONO a comunicar a la aseguradora los datos de la cuenta bancaria en la que le pasaba al cobro los recibos por el servicio telefónico, con la finalidad de que AIG gestionara a través de ella el pago de la prima del seguro contratado. En un momento de la conversación se puede escuchar como la empleada de RAINBOW dice al denunciante: “Asimismo, para su comodidad, si le parece bien, se cargarían sus recibos en la misma cuenta en la que tuviera domiciliados los recibos de ONO. ¿Autoriza a ONO a ceder su número de cuenta a AIG para poder gestionar el pago de la póliza contratada?, ¿de acuerdo, Roberto?. A lo que el denunciante responde afirmativamente con un “Vale”. Seguidamente se escucha a la teleoperadora de RAINBOW confirmar con el denunciante sus datos: nombre, apellidos, DNI, fecha de nacimiento, código postal, teléfono móvil y teléfono fijo. Más adelante el denunciante otorga de nuevo su autorización a ONO para que facilite sus datos bancarios a la aseguradora. La conversación es la siguiente: “¿Autoriza que los recibos por el importe de 15 euros mes sean cargados en la misma cuenta bancaria donde tenga domiciliados los recibos de ONO? ¿De acuerdo D. Roberto? La respuesta, claramente audible es “Sí”. En definitiva, la grabación evidencia que el denunciante consintió de forma expresa, y con carácter previo a la cesión, que ONO facilitara los datos de su cuenta bancaria a AIG y que fue perfectamente informado de la finalidad a la que se destinarían los datos cuya comunicación autorizaba - la gestión del cobro de la póliza de seguro- y del tipo de actividad que desarrollaba la empresa cesionaria. Al hilo de lo anterior hay que añadir que en el contrato de colaboración celebrado el 09/09/2013 entre ONO y WILLIS (mediador de seguros y encargado de tratamiento de AIG) éste nombra a ONO su auxiliar externo, de conformidad con el artículo 8 de la Ley de Mediación de Seguros Privados. Paralelamente, se suscribió un contrato el 01/09/2014 entre ONO, WILLIS y RAINBOW cuyo objeto (estipulación primera) era la prestación por RAINBOW (el call C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 center), a favor de ONO y de WILLIS, “de los servicios de captación de clientela a los clientes de la base de datos de ONO y la posterior entrega a AIG de los datos de los clientes de ONO que hayan contratado un seguro con AIG a través de WILLIS” En este mismo contrato (estipulación quinta), RAINBOW asume la condición de encargada de tratamiento del fichero de clientes de ONO del que la operadora es responsable. Por tanto, de acuerdo con este último contrato, RAINBOW quedó legalmente habilitada para acceder al fichero de clientes de ONO con el fin de prestarle un servicio, por lo que desde el punto de vista de la normativa de protección de datos el acceso a los datos personales del denunciante con tal finalidad no exigía contar con su consentimiento. El artículo 12 de la LOPD establece: “1.No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El precepto permite que la persona o entidad que presta un servicio al responsable del fichero acceda a datos de carácter personal sin que éste se considere, por imperativo legal, una cesión o comunicación de datos y sin que, en consecuencia, se exija el consentimiento del interesado. Advertir también que la Inspección de la AEPD comprobó que en los ficheros de AIG figuraban los datos del denunciante asociados a una póliza de seguro emitida el 11/12/2014 y cancelada el 22/12/2014 a raíz de un correo electrónico del denunciante, de fecha 20/12/2014, en el que señalaba que él no les había facilitado sus datos bancarios por lo que la aseguradora, ante la imposibilidad de contactar con él vía telefónica, resolvió el contrato. Se constató, asimismo que, los recibos generados a raíz de la contratación no se llegaron a girar a la entidad bancaria. De lo expuesto se concluye que el denunciante consintió de manera expresa, y previa a la cesión, que ONO facilitara a AIG sus datos bancarios con la finalidad de que se pasaran al cobro por esa cuenta los recibos de la póliza de protección familiar, por lo que careciendo de indicios de una presunta infracción por parte de ONO del artículo 11.1 de la LOPD, en relación con los datos bancarios del denunciante, se acuerda el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a VODAFONE ONO, S.A.U. y a B.B.B. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es