E-02159-2017

1/9 Expediente Nº: E/02159/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BILBAO C.A. DE SEGUROS Y REASEGUROS S.A., en virtud de denuncia presentada por DALO SERVICIOS INTEGRALES S.L.U. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24 de marzo de 2017, tuvo entrada en esta Agencia escrito de DALO SERVICIOS INTEGRALES S.L.U. (en lo sucesivo la entidad denunciante) en el que pone de manifiesto los siguientes hechos:  Que la entidad denunciante es mediador exclusivo de la compañía GENERALI desde el año

1.  Que en 2013 la entidad denunciante contrató a Dª. A.A.A. para la realización de tareas de asesoramiento y contratación de seguros de GENERALI.  Que para el exclusivo ejercicio de su actividad (asesoramiento y contratación de clientes de GENERALI) se le facilita a Dª. A.A.A. acceso a los datos de los clientes de GENERALI.  Que en 2016 se detecta que Dª. A.A.A. llevaba tiempo realizando un uso fraudulento de los datos personales de los clientes de GENERALI, sirviéndose de los mismos para la contratación de pólizas para la compañía BILBAO C.A. DE SEGUROS Y REASEGUROS S.A. (en lo sucesivo SEGUROS BILBAO).  Que habiendo puesto estos hechos en conocimiento de SEGUROS BILBAO, esta entidad no ha tomado ninguna acción al respecto. Con fecha 13/11/2017 se registra de entrada en la AEPD un escrito de la la entidad denunciante en el que manifiesta:  Que Dª. A.A.A. continua apropiándose de información confidencial de la denunciante y haciendo uso fraudulento de la misma en beneficio propio. La entidad denunciante aporta, entre otra, copia de la siguiente documentación:  Certificado de formación precontractual de Dª. A.A.A. que acredita, con fecha 3/9/2013, que posee los conocimientos necesarios para el ejercicio de la actividad de agente de seguros exclusivo.  Contrato de trabajo indefinido Dª. A.A.A. con la entidad denunciante con fecha de inicio de actividad laboral 1/8/
2.  Detalle de la clave de mediador de la entidad denunciante como Agente de Seguros Exclusivo Persona Jurídica con fecha de inscripción 17/7/2014 con contrato de agencia con GENERALI ESPAÑA, SOCIEDAD ANÓNIMA DE SEGUROS Y REASEGUROS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9  Detalle de la clave de mediador de la entidad denunciante como Agente de Seguros Exclusivo Persona Física con fecha de inscripción 2/11/2016 con contrato de agencia con SEGUROS BILBAO.  Carta dirigida por D. B.B.B. (DNI ***DNI.1) con fecha de 21/12/2016 a SEGUROS BILBAO, en la que expone: o Que ha sido suscrita como asegurado una póliza de seguro con Ustedes, con la intervención mediadora de Dª. A.A.A., mediante engaño y sin consentimiento por mi parte. Así, mientras la citada trabajaba como empleada de mi actual Agente de Seguros (“MULTIGESTIÓN DALO. SEGUROS GENERALI” (…) procedió de forma unilateral a cambiar mi actual póliza de seguros con “Generalí" por una nueva concertada con esa entidad “Seguros Bilbao”, con mi total desconocimiento y siendo mi voluntad expresa la de continuar con mi asegurador “Multigestión Dalo”. o Que solicita la baja de la póliza y la cancelación de sus datos personales.  Carta dirigida por Dª. C.C.C. (DNI ***DNI.2) con fecha de 21/12/2016 a SEGUROS BILBAO, en la que expone: o Que ha sido suscrita como asegurado una póliza de seguro con Ustedes, con la intervención mediadora de Dª. A.A.A., mediante engaño y sin consentimiento por mi parte. Así, mientras la citada trabajaba como empleada de mi actual Agente de Seguros (“MULTIGESTIÓN DALO. SEGUROS GENERALI” (…) procedió de forma unilateral a cambiar mi actual póliza de seguros con “Generalí" por una nueva concertada con esa entidad “Seguros Bilbao”, con mi total desconocimiento y siendo mi voluntad expresa la de continuar con mi asegurador “Multigestión Dalo”. o Que solicita la baja de la póliza y la cancelación de sus datos personales. Adjunta, entre otra, copia de la carta de bienvenida de fecha 2/12/2016 dirigida por Seguros Bilbao a Dª. C.C.C. por la contratación de la póliza número ***POL.
3.  Carta dirigida por Dª. D.D.D. (DNI ***DNI.3) con fecha de 13/3/2017 a SEGUROS BILBAO, en la que expone: C/ Jorge Juan, 6 28001 – Madrid o Que ha sido suscrita como asegurado una póliza de seguro con Ustedes, con la intervención mediadora de Dª. A.A.A., mediante engaño y sin consentimiento por mi parte. Así, mientras la citada trabajaba como empleada de mi actual Agente de Seguros (“MULTIGESTIÓN DALO. SEGUROS GENERALI” (…) procedió de forma unilateral a cambiar mi actual póliza de seguros con “Generali" por una nueva concertada con esa entidad “Seguros Bilbao”, con mi total desconocimiento y siendo mi voluntad expresa la de continuar con mi asegurador “Multigestión Dalo”. o Que solicita la baja de la póliza y la cancelación de sus datos personales. www.agpd.es sedeagpd.gob.es 3/9  Carta dirigida por la entidad denunciante al Servicio Público de Empleo de Principado de Asturias con fecha de 27/1/2017 en la que, en relación con Dª. A.A.A., se solicita el cambio de motivo de despido de despido por causas objetivas a despido disciplinario al haberse descubierto prácticas irregulares y delictivas de la trabajadora.  Querella interpuesta por la entidad denunciante con fecha 26/1/2017 ante el Juzgado de Instrucción de Pravia contra Dª. A.A.A. por los delitos de apropiación indebida, estafa, falsedad documental y revelación de secretos. En el escrito se especifican, entre otros, los siguientes hechos: o Que Dª. A.A.A. fue contratada con fecha de inicio 1/8/2014 como empleada administrativa con tareas de atención al público. o Que, con carácter previo a suscribir el contrato laboral, Dª. A.A.A. había realizado y superado el curso de formación necesario para el ejercicio de la actividad de agente exclusivo de GENERALI SEGUROS. o Que, con fecha de 31/12/2016, Dª. A.A.A. fue despedida. o Que Dª. A.A.A., tras la extinción de su relación laboral, procedió a la apertura de un negocio de “Agencia inmobiliaria y de Seguros Bilbao” llamado “INMOBILIARIA NG”. o Que Dª. A.A.A., mientras estuvo trabajando para la entidad denunciante y con total desconocimiento de ésta, utilizaba la base de datos secretos de la citada mercantil y la información confidencial de los clientes de la misma, así como sobre los productos contratados, en provecho y beneficio propio y de terceras empresas, entre otros, procedió de forma unilateral a cambiar determinadas pólizas de seguros suscritas con la aseguradora “GENERALI SEGUROS” vinculada a esta parte como agente exclusivo, para suscribirlos con otra entidad de seguros ajena a esta parte, “SEGUROS BILBAO”, y en muchos casos, utilizando engaño y sin consentimiento de los clientes afectados, entre otros:  D. B.B.B. (DNI ***DNI.1).  Dª. C.C.C. (DNI ***DNI.2). C/ Jorge Juan, 6 28001 – Madrid o Que ha tenido conocimiento de que la utilización por la querellada de los datos secretos y confidenciales de la empresa “Dalo SL” en provecho propio y en beneficio de una empresa ajena como “Seguros Bilbao”, se vienen realizando, cuando menos, desde el día 5 de agosto de
4. o Que los datos secretos y confidenciales de “Dalo SL”, no sólo han sido utilizados por la querellada mientras trabajaba en la empresa de una forma ilícita, en provecho propio y en beneficio de una aseguradora ajena como “Seguros Bilbao” con la que concertó las pólizas de seguros que procedió a cambiar respecto a determinados clientes de la empresa querellante asegurados en “Generali Seguros”, sino que además, sigue disponiendo de los mismos en su propio negocio de “agencia inmobiliaria y de Seguros Bilbao”, llamado “Inmobiliaria NG”, y que fue abierto tras ser despedida. (…) A mayor abundamiento, la www.agpd.es sedeagpd.gob.es 4/9 entidad mercantil querellante ha requerido de un modo fehaciente a través de sendos burofax de fechas 5 y 9 de enero de 2017, dirigidos a la querellada y a la aseguradora “Seguros Bilbao”, para que “cesen de inmediato en el uso de datos de personas físicas y jurídicas clientes de "Dalo Servicios Integrales SLU” y de “Generali Seguros”, para su propio beneficio, y que cesen también el uso de esos datos personales que se encuentran protegidos por la ley, devolviendo y destruyendo los que puedan estar en su poder.  Impresiones de pantalla del portal “Fotocasa” en las que, según manifiesta la entidad denunciante, se muestran imágenes de su propiedad que habrían sido publicadas en el portal por Dª. A.A.A. sin su consentimiento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas de inspección E/2159/2017 que se trascribe: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa BILBAO C.A. DE SEGUROS Y REASEGUROS S.A. en su escrito de fecha de registro 5/7/2017 (número de registro ***REG.1) ha remitido la siguiente información pertinente a los efectos de la investigación:  En su escrito de respuesta a la solicitud de información, BILBAO C.A. DE SEGUROS Y REASEGUROS S.A., expone además que en relación con la denuncia presentada por DALO SERVICIOS INTEGRALES S.L.U en fecha 14 de marzo del 2017, entendemos que esta Entidad Aseguradora resulta perjudicada con motivo de una querella presentada por DALO SERVICIOS INTEGRALES S.L.U. contra A.A.A. y que está dirimiéndose en sede judicial, no teniendo dicha SLU la condición de persona física interesada para la interposición de una denuncia contra el responsable del tratamiento o el ejercicio de derechos reconocidos por la normativa de protección de datos de carácter personal a las personas físicas titulares de tales derechos.  Adjunta (documento número 8) contrato de agente de seguros exclusivo de Dª. A.A.A. con BILBAO C.A. DE SEGUROS Y REASEGUROS S.A. firmado por ambas partes con fecha de 2/9/
5. La cláusula X del contrato, relativa a la protección de datos de carácter personal, especifica que el Agente ostenta la condición de encargado de tratamiento y los derechos y obligaciones que de tal condición se derivan.  Adjunta (documento número 9) una copia del Anexo de cláusula de prevención del blanqueo de capitales, código ético del Grupo Catalana Occidente y protección de datos de carácter personal suscrita por Dª. A.A.A. en fecha 29/11/2016 en la que se amplían y actualizan las obligaciones derivadas del cumplimiento de la normativa de protección de datos. El documento se encuentra firmado en los apartados correspondientes a la agente y la compañía.  En relación con D. B.B.B. (DNI ***DNI.1): C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 o Adjunta (documento número 1) una copia impresa de los datos que figuran en sus sistemas relativos a D. B.B.B. (DNI ***DNI.1). Expone que los datos están bloqueados y su tratamiento se encuentra restringido a la atención de la reclamación presentada por dicha persona en fecha 5 de enero del 2017, a través de correo electrónico dirigido por Dña E.E.E., responsable comercial de DALO SERVICIOS INTEGRALES S.L.U. La fecha de alta de los datos que consta en el sistema es 24/1/
6. Manifiesta que dicha póliza nunca entró en vigor al presentarse reclamación por parte del interesado en fecha 5 de enero del 2017 que motivó la investigación delos hechos por parte del Servicio de Atención al Cliente de la Entidad y el envío de la respuesta al interesado atendiendo su solicitud en fecha 26 de enero del
7. o Adjunta (documento número 3) una copia de la póliza de seguro de automóviles (número***POL.2) de BILBAO, SOCIEDAD ANÓNIMA DE SEGUROS Y REASEGUROS a nombre de D. B.B.B.. No se advierte firma del tomador del seguro. o Con respecto a la póliza descrita en el punto anterior, expone además que, al no llegar a tomar efecto no se giró ningún recibo a la misma. o Explica que la contratación se realizó a través de la agente de seguros exclusiva Dª. A.A.A., entendiendo lógicamente la Entidad, que en cumplimiento de las obligaciones asumidas por dicha ex agente a través de contrato de agencia suscrito en fecha 2 de septiembre del 2016, el consentimiento de los interesados había sido debidamente otorgado previa aportación de la información establecida en el artículo 5 de la Ley Orgánica de Protección de Datos de Carácter Personal. o En relación a las reclamaciones interpuestas sobre esta póliza, informa de que conocida la reclamación cursada por el interesado, se procedió a atender su solicitud y a darle respuesta a través de burofax de fecha 26 de enero del
8. Adjunta (documento número 6) una copia de la carta dirigida por D. B.B.B. con fecha de 21/12/2016 (coincida con la anexada por el denunciante). Adjunta (documento número 7) una copia de la carta de fecha 26/1/2017 dirigida por BILBAO, SOCIEDAD ANÓNIMA DE SEGUROS Y REASEGUROS a D. B.B.B. en la que le informan de que, en atención a su petición, la póliza no ha tomado efecto y sus datos han sido cancelados.  En relación con Dª. D.D.D. (DNI ***DNI.3): C/ Jorge Juan, 6 28001 – Madrid o Adjunta (documento número 2) una copia impresa de los datos que figuran en sus sistemas relativos a Dª. D.D.D. (DNI ***DNI.3). La fecha de alta de los datos que consta en el sistema es 12/11/
9. o Adjunta (documento número 4) una copia de la póliza de seguro de automóviles (número***POL.3) de BILBAO, SOCIEDAD ANÓNIMA DE www.agpd.es sedeagpd.gob.es 6/9 SEGUROS Y REASEGUROS a nombre de Dª. D.D.D. con fecha de alta 12/11/
10. No se advierte firma del tomador del seguro. o Adjunta (documento número 5) una copia del recibo girado (número KX723546) a Dª. D.D.D. en relación al cobro anual de la póliza descrita en el punto anterior. o Expone que la póliza fue contratada por la tomadora con su consentimiento y prueba de ello es que la interesada ha declarado a la Entidad Aseguradora, dos siniestros tramitados con número de expediente ***EXP.1 de fecha 12/03/2017 y número de expediente ***EXP.2 de fecha 28/03/
11. Adjunta (documento número 5 bis) una copia del parte del siniestro ***EXP.2 en el que consta la participación de la denunciante. o Manifiesta que no tiene constancia de la existencia de reclamaciones por parte de Dª. D.D.D. frente a esta entidad.  Adjunta (documento número 10) una copia de la carta dirigida por BILBAO C.A. DE SEGUROS Y REASEGUROS S.A. a Dª. A.A.A. a 14/2/2017 en la que se le comunica que tras la investigación de una reclamación se ha puesto de manifiesto una irregular actuación en la contratación de las pólizas ***POL.1 y ***POL.
12. La carta, que contiene firma “Entregado y Reconocido” de Dª. A.A.A., incluye además el siguiente texto: De acuerdo con la normativa aplicable y el Contrato de Agencia suscrito, la contratación de las pólizas que se realicen a través de su mediación como Agente de Seguros debe ser siempre correcta, debiendo desarrollar por su parte la actividad dentro de las normas establecidas en la Compañía, lo cual no ha ocurrido en el presente caso, pues de otra forma, además de incumplirse dicha obligación, se podrían ocasionar problemas que deben evitarse, y por lo tanto, cualquier posible consecuencia derivada al respecto le será imputable directamente. Por todo ello, deberá tomar por su parte las medidas necesarias para que lo ocurrido no se vuelva a repetir, para dar de esta forma un correcto cumplimiento de la actividad de mediación que se desarrolla como Agente de Seguros, reservándose esta Compañía, en su caso, el ejercicio de su acción sobre las consecuencias derivadas del incumplimiento de las obligaciones legales y/o contractuales correspondientes.  Adjunta (documento número 11) una copia de la carta dirigida por BILBAO C.A. DE SEGUROS Y REASEGUROS S.A. a Dª. A.A.A. a 9/6/2017 en la que le comunica la resolución del contrato de Agencia. La carta, que contiene firma “Recibí” de Dª. A.A.A., incluye además el siguiente texto: Dicha resolución viene motivada por la reclamación realizada por dos personas sobre sendas pólizas que fueron mediadas por Vd. sin acreditar su consentimiento, y respecto de la cual ya recibió una amonestación por escrito; hecho al que se une la presentación de una querella criminal contra Vd., en el Juzgado de instrucción de ***LOC.1 (Diligencias Previas nº X.1/2017), por hechos presuntamente delictivos relacionados con sus actividades profesionales, lo que, sin prejuzgar la veracidad de los mismos, nos ha generado una pérdida de confianza en su labor como agente de seguros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 (…) Que en relación con los datos de los clientes cuyas pólizas haya gestionado y una vez ha quedado resuelta la relación contractual con esta Entidad, no puede tratarlos, utilizarlos o conservarlos de forma alguna, debiendo destruir o devolver a la Compañía, todo soporte o documento donde consten dichos datos personales.” FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el supuesto que nos ocupa, debe analizarse el tratamiento de los datos de D. B.B.B. y Dª. C.C.C. realizado por SEGUROS BILBAO. En este sentido y pesar de negar haber contratado con dicha entidad una póliza de seguro (de automóvil) se ha acreditado que Dª. C.C.C. tramitó dos siniestros con la cobertura ofrecida por la póliza cuya contratación negaba lo cual pone evidencia dicha afirmación cabiendo considerar en consecuencia la existencia de una consentimiento expreso de la misma por cuanto de los referidos actos se colige la existencia del mismo. En el caso de D. B.B.B. si bien sus datos personales obraban en poder de SEGUROS BILBAO, no es menos cierto que la póliza de seguros objeto de su reclamación nunca tuvo efectos ni se le cobró prima alguna por cuanto en el momento en que se tuvo conocimiento de su reclamación se anuló la misma antes de su entrada en vigor. Debe tomarse en consideración que los afectados no formularon denuncia ante esta Agencia sino que efectuaron reclamación ante SEGUROS BILBAO, la cual fue utilizada por DALO en la denuncia formulada ante esta Agencia. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia no se han acreditado elementos probatorios que permitan atribuir a SEGUROS BILBAO una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a BILBAO C.A. DE SEGUROS Y REASEGUROS S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es