1/6 Expediente Nº: E/02119/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., y BBVA MEDIACIÓN, OPERADOR DE BANCA SEGUROS VINCULADO, S.A. (OBS), en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 8 de abril de 2018, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. en el que expone lo siguiente: En el mes de diciembre de 2017, contrató mediante contratación directa, una póliza dental con SANITAS. Con fecha 8 de abril de 2018, navegando en la aplicación de BBVA, el cual actúa como mediador “Bancaseguros” con Sanitas, al solicitar la información sobre “Seguros de Salud”, le salió el mensaje: “Lo sentimos, al tener una póliza en vigor en Sanitas no disponemos de oferta para el producto seguro salud BBVA”. En resumen, BBVA Bancaseguros, dispone de información contractual privada con Sanitas. Y, entre otra, anexa la siguiente documentación: Pantallazo del citado mensaje. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 29 de junio de 2018, se recibe escrito en esta Agencia del Banco Bilbao Vizcaya Argentaria, S.A., en el que pone de manifiesto que: 1.1. BBVA, tiene cedidas tanto su red de oficinas como su web, a efectos de la comercialización de seguros, a BBVA OPERADOR DE BANCA-SEGUROS VINCULADO, S.A. (O.B.S), conforme a lo previsto en el párrafo segundo del art. 25 de la Ley de Mediación de Seguros y Reaseguros Privados de 2006. 1.2. O.B.S. mantiene contrato de agencia con SANITAS, y ello le constituye en Encargado del tratamiento para dicha entidad (art. 62.1.a de la citada Ley de Mediación de Seguros). Esto significa que para formalizar contratos de seguros a través de sus canales de distribución, en este caso la web de BBVA, cuando alguien desea contratar un seguro de salud, a efectos prácticos, es como si se estuviese visitando una agencia o una oficina comercial de dicha aseguradora, y por ello, posee acceso a los datos de los sistemas informáticos de la misma, para poder realizar su labor de agente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 1.3. O.B.S. al actuar como agente de seguros de Sanitas, no cuenta con ningún contrato suscrito entre SANITAS y BBVA. El O.B.S. y BBVA tienen suscrito un contrato de prestación de servicios consistente en la cesión de su red de oficinas y la website www.bbva.es, para la mediación de los productos de seguro, y tal y como tiene comunicado a la Dirección General de Seguros y Fondo de Pensiones, según consta en documento que acompaña. 1.4. BBVA, no tiene acceso a información de clientes con póliza de SANITAS, puesto que es el O.B.S., como mediador de seguros, el encargado del tratamiento de los datos personales recabados en la actividad de mediación de los productos de seguro. 1.5. BBVA no ha tenido acceso a los datos del denunciante con relación a su póliza de seguros con SANITAS a través de la website: www.bbva.es (en la opción “Seguros de Salud”), el 8 de abril de 2018, solo cede su espacio web al O.B.S., que es el encargado del tratamiento, con objeto de formalizar la póliza. 1.6. Se adjunta un documento donde consta el tratamiento realizado por O.B.S., en el ejercicio de la actividad de agente de seguros como operador de bancaseguros. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El denunciante señala que BBVA ha accedido a su información referida a la contratación privada que realizó con Sanitas. El artículo 11. 1 y 2 de la LOPD, relativo a la cesión de datos, señala lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
- a)Cuando la cesión está autorizada en una Ley.
- b)Cuando se trate de datos recogidos de fuentes accesibles al público.
- c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6
- d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
- e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
- f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.” Por otra parte, el artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. III En el presente caso, hay que tener en consideración lo establecido en la Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguros privados, para determinar la responsabilidad de los actores. El artículo 25 de dicha Ley, establece el ejercicio de la actividad de agente de seguros como operador de banca-seguros, indicando: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 “1. Tendrán la consideración de operadores de banca-seguros las entidades de crédito, los establecimientos financieros de crédito y las sociedades mercantiles controladas o participadas por estas conforme a lo indicado en el artículo 28 de esta Ley que, mediante la celebración de un contrato de agencia de seguros con una o varias entidades aseguradoras y la inscripción en el Registro administrativo especial de mediadores de seguros, corredores de reaseguros y de sus altos cargos, realicen la actividad de mediación de seguros como agente de seguros utilizando sus redes de distribución. La entidad de crédito o el establecimiento financiero de crédito sólo podrá poner su red de distribución a disposición de un único operador de banca-seguros. Cuando la actividad de mediación de seguros se realice a través de una sociedad mercantil controlada o participada por la entidad de crédito o por el establecimiento financiero de crédito o grupo de entidades de crédito o de establecimientos financieros de crédito, las relaciones con dicha sociedad mercantil se regularán por un contrato de prestación de servicios consistentes en la cesión de la red de distribución de cada una de dichas entidades de crédito o establecimientos financieros de crédito al operador de banca-seguros para la mediación de los productos de seguro. En dicho contrato las entidades de crédito o establecimientos financieros de crédito deberán asumir la obligación de formación adecuada de las personas que forman parte de la red y que participen directamente en la mediación de los seguros para el ejercicio de sus funciones. A los efectos de lo previsto en esta Ley se entenderá por red de distribución de la entidad de crédito y del establecimiento financiero de crédito el conjunto de toda su estructura de la organización de medios personales, oficinas operativas y agentes, de acuerdo con lo previsto en su normativa de creación y régimen jurídico. Una vez cedida a un operador de banca-seguros, la red de la entidad de crédito o del establecimiento financiero de crédito no podrá fragmentarse para que parte de ella participe en la mediación de los seguros como red de otro operador de banca-seguros o como colaborador externo de otro mediador de seguros. El operador de banca-seguros en el ejercicio de la actividad de mediación de seguros se someterá al régimen general de los agentes de seguros que se regula en la subsección 1.ª y se ajustará a lo regulado, respectivamente, en la subsección 2.ª o en la subsección 3.ª de esta sección 2.ª, según ejerza como operador de bancaseguros exclusivo o como operador de banca-seguros vinculado. 2. Para figurar inscrito como operador de banca-seguros en el registro administrativo especial de mediadores de seguros, de corredores de seguros y de sus altos cargos, será necesario, además, cumplir los siguientes requisitos:
- a)Ser entidad de crédito o establecimiento financiero de crédito; en tal caso, no será de aplicación lo dispuesto en el artículo 21.3.
- a)de esta Ley. También podrá ser sociedad mercantil controlada o participada por las entidades de crédito o por los establecimientos financieros de crédito; en este caso, el objeto social deberá prever la realización de la actividad de agente de seguros privados como operador de bancaseguros exclusivo o vinculado.
- b)Deberá designarse un órgano de dirección responsable de la mediación de seguros y, al menos, la mitad de las personas que lo compongan, y, en todo caso, las personas que ejerzan la dirección técnica o puesto asimilado, deberán acreditar haber superado un curso de formación o prueba de aptitud en materias financieras y de seguros privados que reúnan los requisitos establecidos por resolución de la Dirección General de Seguros y Fondos de Pensiones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Asimismo, cualquier otra persona que participe directamente en la mediación de los seguros deberá acreditar los conocimientos y aptitudes necesarios para el ejercicio de su trabajo.
- c)Programa de formación que las entidades de crédito o establecimientos financieros de crédito impartirán a las personas que forman parte de su red de distribución y que participen directamente en la mediación de los seguros. A estos efectos, la Dirección General de Seguros y Fondos de Pensiones establecerá las líneas generales y los principios básicos que habrán de cumplir estos programas de formación en cuanto a su contenido, organización y ejecución.
- d)Cuando ejerza como operador de banca-seguros vinculado, la Memoria a que se refiere el artículo 21.3.
- d)de esta Ley deberá indicar, además, la red o las redes de las entidades de crédito o de los establecimientos financieros de crédito a través de las cuales el operador de banca-seguros mediará los seguros. 3. En la documentación y publicidad mercantil de la actividad de mediación de seguros privados de los operadores de banca-seguros deberá figurar de forma destacada la expresión "operador de banca-seguros exclusivo" o, en su caso, la de "operador de banca-seguros vinculado". Igualmente, harán constar la circunstancia de estar inscrito en el registro previsto en el artículo 52 de esta Ley. En la publicidad que el operador de banca-seguros vinculado realice con carácter general o a través de medios telemáticos, además, deberá hacer mención a las entidades aseguradoras con las que hayan celebrado un contrato de agencia de seguros. 4. Las redes de distribución de las entidades de crédito o de los establecimientos financieros de crédito que participan en la mediación de los seguros no podrán ejercer simultáneamente como colaborador de otros mediadores de seguros. Por otro lado, el artículo 62 de la misma Ley referente a la condición de responsable o encargado del tratamiento de los operadores de banca-seguros, indica en su apartado 1.
- a)“1. A los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal:
- a)Los agentes de seguros exclusivos y los operadores de banca-seguros exclusivos tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en esta Ley.” De las actuaciones practicadas se desprende que BBVA Operador de BancaSeguros Vinculado, S.A., mantiene un contrato de agencia con Sanitas, como encargado del tratamiento de esa entidad, conforme señala el artículo 62.1.
- a)de la Ley de mediación de Seguros. Por esto, cuando el denunciante accedió a la página web de BBVA para contratar un seguro de salud era como si visitase una agencia u oficina comercial de Sanitas. En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos de la denunciante por parte de BBVA, en nombre y por cuenta de Sanitas como agente de la misma, en el marco de la prestación de servicios entre ambas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 IV El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución ARGENTARIA, S.A., y a Don A.A.A.. a BANCO BILBAO VIZCAYA De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es