E-02245-2017

1/6 Expediente Nº: E/02245/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades ING BANK NV SUCURSAL EN ESPAÑA, y NATIONALE NEDERLANDEN VIDA COMPAÑÍA DE SEGUROS Y REASEGUROS S.A.E en virtud de denuncia presentada por Dña. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de febrero de 2017, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que denuncia los siguientes hechos:

1. Se le ha realizado un cobro improcedente en el marco de un contrato de seguro de ahorro firmado con la empresa denunciada NATIONALE NEDERLANDEN VIDA COMPAÑÍA DE SEGUROS Y REASEGUROS S.A.E (en adelante, NN), que le ha producido un descubierto en su cuenta corriente. Para revertir la operación, desde NN le indicaron que debía devolver el recibo, hecho lo cual se quedó registrada en sus sistemas de información una situación de impago asociado a la denunciante, y, en consecuencia, la condición de deudora o morosa. Ella teme que esto desencadene futuras acciones de recobro o cualquier otro tratamiento irregular de sus datos. Solicita sea corregida esta situación en aras del principio de calidad de datos.
2. Se le ha bloqueado el acceso a su área privada en la web que la empresa NN ofrece a sus clientes, en tanto no aceptara una modificación en el apartado de costes en las condiciones particulares de su contrato. Tras cuatro meses de comunicaciones con el Servicio de Atención al consiguió que le restituyeran el acceso.
3. La denunciante sospecha de que el comercial que se encargó de contactar con ella para informarle del producto se pudo valer de los datos personales que obran en poder de la empresa bancaria ING DIRECT, de quien ella fue cliente en el pasado. Solo así pudo haberle ofrecido un producto “adaptado a ella”. Apunta una posible cesión de datos entre ING DIRECT y NN o entre ING DIRECT y subcontratistas o terceros encargados de tratamiento (menciona que el comercial es trabajador autónomo), aunque no aporta evidencia de sus afirmaciones.
4. Un empleado de la empresa ING DIRECT (aunque en el expediente parece pertenecer a NN por tener un correo electrónico en dicha compañía), B.B.B., responsable de la oficina donde gestionó la denunciante su cuenta en el pasado, accedió y navegó por su perfil en la red social Linked-In para extraer información de su persona y elaborar un perfil. Tampoco queda claro cómo ha llegado a esta conclusión. De este supuesto hecho la denunciante saca la conclusión de que ING DIRECT o NN no tienen implantadas medidas de seguridad ni política para sus propios empleados que les impida hacer un uso irregular o no ético de la información de sus clientes. La denunciante aporta, entre otras, copia de la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6  Escrito de denuncia donde describe con detalle el producto contratado con la empresa, la incidencia ocurrida y la gestión de la misma con la empresa. Se extrae la siguiente información relevante para comprender el caso: o Fue un comercial C.C.C. el que tomó la iniciativa de contactar con la denunciante sin conocerla a través de la red social Linked-in y el que le publicitó el producto, denominado OPTIPLAN y consistente en un seguro de ahorro, cuya prima inicial consistió en 20.000 euros. o El mismo fue contratado con fecha 31/03/2015 domiciliado en una cuenta bancaria de OPENBANK titularidad de la denunciante. o La particularidad del mismo es que, adicionalmente a la prima inicial, se pueden realizar aportaciones anuales, que según la denunciante el comercial le comentó que eran totalmente optativas. El término “liberación de póliza” significaría que el tomador ha decidido no realizar más aportaciones adicionales, y que la entidad no puede girar más recibos. o Tras múltiples incumplimientos de la compañía, la denunciante decide en Septiembre 2015 liberar la póliza y no realizar más aportaciones. Existe correo de 11/09/2015 en el que la empresa NN acusa recepción de su orden de liberación de póliza. o El día 05/05/2016 la denunciante es avisada por su banco de un descubierto en su cuenta corriente equivalente a 1.224 euros. El motivo es un cargo realizado por NN de ese mismo importe. o Aunque la empresa admite el error en la emisión del recibo, le pide a la denunciante que devuelva el recibo porque “para su Departamento de Finanzas es muy complicado corregir el error y que es más rápido si lo corrige la cliente”. o Después de seguir las indicaciones de la empresa, se quedó registrado en el área privada de cliente, y por tanto, en los sistemas de la empresa, que la denunciante estaba en situación de impago.  Prueba de la recepción por parte de la empresa de la orden de la denunciante de liberación de la póliza: Cadena de correos electrónicos entre la denunciante y el comercial iniciada por ella con fecha 02/09/2015 (se incluyen varias copias de la misma) para hacer saber a la compañía que ella se niega a realizar más aportaciones al producto contratado. En uno de los correos enviados por el comercial, de fecha 11/09/2015, se observa un texto del Servicio de Atención al Cliente en el que se puede leer que “se ha recibido llamada de la denunciante para proceder a la liberación de la póliza, y que si en el plazo de 10 días naturales desde la fecha de la comunicación no se ha recibido notificación contraria, procederán al trámite de la liberación”. La denunciante contesta al comercial con fecha 11/09/2015 que ella no dijo nada de liberar la póliza, y el comercial le aclara lo que significa el término ese mismo día.  Prueba de existencia del cargo improcedente en la cuenta bancaria de la denunciante: Copia del adeudo por domiciliación con fecha 05/05/2016 del cargo de 1.224,88 euros cursado por la empresa NN a la denunciante en concepto del producto OPTIPLAN para el período de 30/03/2016 a 30/03/
5.  Prueba de existencia del recibo improcedente con estado “impagado”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Impresiones de pantalla del área privada de la denunciante en la web de NN, capturadas con fecha 03/11/2016 e 21/01/2017, en las que se puede visualizar que tiene asociado a la póliza en cuestión un recibo en estado “Impagado” en concepto de prima relativa al período que va de 30/03/2016 a 30/03/2017 por importe de 1.224,88 euros.  Motivo del bloqueo del área privada de la web: Suplemento de Condiciones Particulares del producto OPTIPLAN, donde se modifica el apartado correspondiente incluido en el contrato del producto donde se precisan los costes relativos a la gestión de las inversiones y la prestación de las garantías. La web obligaba a la denunciante aceptar estas modificaciones antes de restablecer el acceso, y ella se opone a las mismas (se aporta cadena de correos electrónicos con la empresa NN). Por lo que se puede deducir de correos electrónicos que también aporta, la denunciante no era consciente de la existencia de costes de esa naturaleza asociados al contrato. Posiblemente el comercial no le informó correctamente al respecto. Solo en ese contexto se puede entender la afirmación de la denunciante en su escrito, de que los datos bancarios deberían haber sido cancelados cuando dejaron de ser necesarios al decidir liberar la póliza.  Prueba de admisión de error en la emisión del recibo por parte de la empresa : Correo electrónico de NN con fecha 03/06/2016 dirigido a la denunciante como respuesta a una reclamación cursada con fecha 26/05/2016 (que también se incluye más adelante). NN le recuerda que en caso de “Reducción” (derecho del tomador a interrumpir el abono de las primas periódicas futuras) la garantía de invalidez permanente absoluta queda anulada pero el coste del resto de las garantías se seguirán cobrando. Se muestra un desglose de los costes detraídos del valor total de la inversión desde el inicio de la póliza, que ascienden a 216,74 euros. Por último, se hacen cargo de los gastos incurridos por descubierto en relación al recibo que se envió a su cuenta “por error”.  Prueba de la existencia de bloqueo del área privada en la web : Impresión de pantalla en el que aparece una ventana emergente sobre el resto de información privada en un tono más oscuro, con el siguiente texto: “No podrá realizar transacciones y consultar la situación de su póliza de forma telemática mientras que no formalice su póliza”.  Prueba del contacto del comercial a través de la red social Linked-In: Impresión de pantalla del perfil privado de la denunciante en la red social Linked-in con el mensaje inicial que el comercial C.C.C. le envió con fecha 06/11/
6. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas de inspección que se trascribe: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa NATIONALE NEDERLANDEN VIDA compañía de Seguros y Reaseguros S.A.E ha remitido la siguiente información pertinente a los efectos de la investigación:  La denunciante figura como tomadora y asegurada de una póliza de seguro OPTIPLAN, que combina coberturas de riesgo y ahorro. El saldo del producto a fecha 13/11/2017 asciende a 18.302,88 euros. Se aporta un extracto con la situación global a fecha 29/03/
7.  La duración del plan es de 15 años (la fecha de inicio es 30/03/2015 y la de vencimiento es 30/03/2030).  Se incluyen las condiciones particulares de la póliza, aunque no las generales. Se establece una prima periódica total de periodicidad anual, la cual asciende a 1.200,00 euros y se incrementa un 2% cada año. El importe mínimo de contratación de la prima periódica anual es 1.200 euros. Se lee que una vez satisfecha la prima del primer año del plan, el tomador podrá adaptarla a sus necesidades, pudiendo incrementarla o reducirla observando el límite indicado y lo establecido en el artículo 2 de las condiciones generales. En el apartado 8 se describen los costes establecidos para atender la gestión de las inversiones y prestar las garantías otorgadas durante toda la duración del plan. En el área de firma del tomador se lee un recuadro mecanizado con el texto “Formalizó el 8 de Junio de 2015 a las 10:58 horas”. Según se describe a continuación, para dicha formalización el cliente accedió a su área privada web con código de identificación y su PIN, abrió los documentos contractuales para su revisión, aceptó las condiciones particulares y cláusulas limitativas, y recibió una notificación vía SMS. La empresa ING BANK NV SUCURSAL EN ESPAÑA ha remitido la siguiente información pertinente a los efectos de la investigación:  La denunciante fue cliente de la compañía, llegando a contratar algunos productos (cuentas Naranja y depósitos promocionales). Se incluye detalle de los mismos.  Los datos personales de la denunciante han sido tratados por ING de conformidad con la cláusula de protección de datos personales que aceptó cuando contrató su cuenta en ING, comunicados a terceras entidades en cumplimiento de las obligaciones legales que les competen y a entidades encargadas del tratamiento por cuenta y en interés de ING, al ser necesario el acceso a los mismos para el correcto desarrollo, mantenimiento y ejecución de la relación contractual formalizada con ING y como soporte para la prestación correcta del servicio contratado y con esas exclusivas finalidades.  En ese contexto, comunican que los datos de la denunciante no han sido cedidos a otras terceras entidades distintas a las anteriores.” FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. El artículo 6 LOPD se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y bajo la rúbrica “Consentimiento del afectado” establece: “
8. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
9. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. En el presente caso la denunciante es titular de una póliza de seguro OPTIPLAN, cuya duración del plan es de 15 años (la fecha de inicio es 30/03/2015 y la de vencimiento es 30/03/2030), es decir existe una relación contractual con la denunciante que exime a NN del requisito del consentimiento para el tratamiento de sus datos personales (art. 6.2 LOPD). El hecho de girar un recibo a la denunciante a pesar de su negativa a realizar nuevas aportaciones anuales al seguro cabe enmarcarlo en un posible incumplimiento de las condiciones contractuales pactadas o sobrevenidas cuyo enjuiciamiento no es competencia de esta Agencia, y puede plantearse ante las autoridades de consumo, reguladoras de seguros, o en su caso, la jurisdicción competente. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. Respecto al hecho que en los sistemas de NN figura el recibo objeto de controversia como impagado debe considerarse que, caso de resultar un dato incorrecto, podrá ejercer el derecho de rectificación conforme a lo dispuesto en los artículos 16 y 17 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ING BANK NV SUCURSAL EN ESPAÑA, NATIONALE NEDERLANDEN VIDA COMPAÑÍA DE SEGUROS Y REASEGUROS S.A.E y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es