E-02324-2017

1/10 Expediente Nº: E/02324/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad MUTUA MADRILEÑA AUTOMOVILISTA, S.S. en virtud de denuncia presentada por C.C.C. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15 de marzo de 2017, tuvo entrada en esta Agencia escrito de Dña. C.C.C. (en lo sucesivo la denunciante) en el que denuncia a MUTUA MADRILEÑA AUTOMOVILISTA, S.S. en lo sucesivo la denunciada) por los siguientes hechos: Que ha recibido un correo electrónico de la aseguradora Mutua Madrileña (en adelante MM) en el que, entre otros, le solicitan su consentimiento para la cesión de sus datos personales a otras entidades de la compañía con objeto de enviarle publicidad. También, solicitan el consentimiento para enriquecimiento y análisis de su perfil con datos de registros públicos y sitios web. Añade que, el teléfono gratuito que informa MM para oponerse al tratamiento de datos no funciona y que el envío de una carta certificada a la dirección postal supone un coste adicional para el cliente. Que según la denunciante tuvieron lugar los hechos a partir del: 1 de marzo de 2017 Se adjunta con el escrito de denuncia impresión de un correo electrónico remitido desde la dirección <noresponder@mutua.es> a la dirección < B.B.B.>, el día 1 de marzo de 2017, en el que le informan de la renovación de la póliza del vehículo y en el pie del cuerpo del mensaje consta el siguiente texto: Información sobre protección de datos de carácter personal: Los tratamientos de datos que se realizaran de los tomadores y asegurados serán los previstos y aceptados en el propio contrato y consentimiento tácito previo, en su caso, así como los previstos en la presente cláusula. El tomador asegurado consiente que los datos personales proporcionados y de cualquier otro dato que se faciliten a lo largo de la relación contractual, serán incluidos en un fichero, responsabilidad de MM (….), única destinataria de los datos, salvo en el supuesto de las cesiones previstas en la presente cláusula, con la finalidad de llevar a cabo la relación contractual, la gestión propia de la actividad aseguradora, la prevención e investigación del fraude, así como para valorar y delimitar el riesgo. (…). (Publicidad) El tomador/asegurado igualmente autoriza: 1. Que le remita información publicitaria y comercial, sobre productos o servicios relacionados con la automoción y afines, productos o servicios financieros, de seguros, ocio y viajes, de telecomunicaciones, de hogar, sanitarios y asistenciales e inmobiliarios, incluso adaptada a sus circunstancias personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 2. El enriquecimiento y análisis de su perfil como cliente de MM para la realización de estudios de marketing, la adaptación de los productos, servicios y publicidad (si así lo hubiese autorizado previamente), mejorando nuestras interacciones con Usted en función de las segmentaciones realizadas (…). Para ello, MM podrá recopilar información sobre Usted de fuentes accesibles al público o en otras terceras fuentes tales como registros públicos (p.ej. el Registro de la Propiedad, la Dirección General del Catastro o la Dirección General de Tráfico), ficheros de instituciones públicas (p.ej. el Instituto Nacional de Estadística) y sitios web en los que Usted publique voluntariamente información y/o en los que aparezca publicada información sobre Usted (p.ej. redes sociales como Facebook, Twiter o Linkedin, blogs, o foros ………) (…). Podrá obtener mayor información respecto de las anteriores fuentes a través del link <http://www.mutua.es/seguros/politicacookies.jsp>. La información obtenida a través de estas terceras fuentes podrá ser combinada con su información de cliente. (*) La información y consentimiento sobre qué datos captará MM, bien directamente, bien a través de terceros con los que tenga alianzas o acuerdos establecidos serán proporcionados a través de las políticas de cookies establecidas en cada momento en cada sitio web. 3. Con la misma finalidad publicitaria y comercial, (…) el tomador/asegurado consiente la comunicación de sus datos identificativos (nombre apellidos, datos generales del contrato, dirección, teléfono, email) así como todos los indicados en el punto 2 con el fin que las entidades que se listan a continuación también puedan enriquecer su perfil en los mismos términos y con las mismas fuentes que se prevén para MM en el punto anterior. La cesión se entenderá permitida a las siguientes entidades: (

1. i)entidades del Grupo MM que se refieren y que en el futuro se refieran, en la página web (www.mutua.es apartado legal), Autoclub MM, S.A.U., Mutuactivos Pensiones, S.A.U., Sociedad Gestora de Fondos de Pensiones, Mutuactivos, S.G.I.I.C., S.A.U. (…); y (
2. ii)aquellas entidades que sean incorporadas en el informe anual de MM y figuren en el mismo como empresas del grupo y/o empresas con las que se consoliden cuentas (memoria disponible en la web….). Una vez finalizada la relación contractual con Usted MM (y las entidades de su grupo si así lo hubiere autorizado) podrán seguir haciendo uso de sus datos para fines comerciales y publicitarios, (…), hasta que usted no revoque el consentimiento, o en cualquier caso, una vez transcurra un año desde la extinción de pleno efecto de la relación contractual. 4. Autoriza a las sociedades del grupo MM, con la finalidad que se realice una gestión centralizada desde MM de sus productos contratados (…), a que comuniquen los datos referidos en el punto 3 a todas las sociedades del Grupo MM. Dichos datos se incorporaran en un fichero de cada una de las sociedades del Grupo MM. Que reciban los datos con las citadas finalidades. La comunicación se producirá una vez realice una contratación con alguna de las citadas sociedades y no manifieste su oposición a que se comuniquen sus datos a terceros. El titular de los datos podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición al tratamiento y/o cesión de los mismos, dirigiéndose por escrito a la dirección (…). Si el titular de los datos no autorizase los tratamientos indicados en los puntos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 anteriores y cesión de sus datos con las finalidades señaladas, podrá comunicarlo en el plazo de 30 días, manifestando su negativa. En caso de no pronunciarse, se entenderá que autoriza el tratamiento publicitario, de enriquecimiento, de segmentación y de cesión de sus datos de carácter personal de conformidad con lo anterior. Podrá manifestar la anterior negativa, dirigiéndose por escrito a la Unidad de Cumplimiento Normativo (C/...1)o llamando al teléfono gratuito ***TELF.1 (…). También, adjunta escrito de la denunciante dirigido a la MM mediante el que ejercita su derecho de oposición y desacuerdo a que sus datos sean tratados de conformidad con el citado correo electrónico, remitido mediante correo postal certificado el día 7 de marzo de 2017. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. La Inspección de Datos, con fecha de 19 de septiembre de 2017, se ha puesto en contacto con el nº de teléfono ***TELF.1 y una locución automática informa de lo siguiente: “Gracias por llamar a Mutua Madrileña este teléfono es de uso exclusivo para ejercer los derechos a que se refiere la Ley de Protección de Datos incluida la oposición al uso de los datos contractuales para el envío de ofertas publicitarias de todas las empresas del grupo para ejercer sus derechos en lo que se refiere a la Ley de Protección de Datos pulse 1 para cualquier otra gestión pulse 2” Al pulsar 1 informan de lo siguiente “Le rogamos que después de la señal diga nombre, apellidos, DNI, nº de póliza o contrato, el detalle de su petición, nº de teléfono de contacto, que únicamente será utilizado para confirmar la tramitación o aclarar su solicitud (…)”. Dichas circunstancias constan en la Diligencia de fecha 19 de septiembre de 2017. 2. La entidad Mutua Madrileña ha informado a la Inspección de Datos, con fecha de 13 de noviembre de 2017, en relación con la cláusula Información sobre protección de datos de carácter personal que consta en el escrito remitido a la denunciante lo siguiente:  La cláusula se comenzó a insertar en los recibos de vencimiento del seguro, consentimiento tácito, a partir del 1 de diciembre de 2015, por lo que toda la cartera de clientes ya la ha recibido además de los nuevos clientes que han suscrito la póliza de seguro. El número de personas que han aceptado la cláusula es de 1.529.825 y 242.444 se han opuesto.  Las fuentes indicadas en la cláusula de las que se obtendrá información para el enriquecimiento de los datos de los clientes son los siguientes:  Registros públicos: Registro de la propiedad: No utilizado ni previsto utilizar. Dirección General del Catastro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 Dirección General de Tráfico: Usado únicamente en el proceso de cotización para la contratación de un seguro de coche y/o moto. No usado en la gestión de la cartera de clientes y la finalidad es la de la identificación del riesgo a asegurar.  Ficheros de instituciones públicas: Instituto Nacional de Estadística (INE): acceso a la página web para obtener información asociada a los códigos postales y a las secciones censales como: renta media, nivel de paro, densidad de población, gasto medio por familia, edad media, etc.  Sitios web en los que el tomador/asegurado publique voluntariamente información y/o en los que aparezca publicada información sobre el tomador/asegurado: Redes sociales como Facebook, Twitter o Linkedin: No se accede ni se planea acceder a ningún tipo de información pública en redes sociales de los mutualistas con finalidades publicitarias o de marketing. En determinados procesos de detección de fraudes se puede acceder a estos medios, concretamente en análisis de casos con alta probabilidad de ser fraudulentos que son llevados a cabo por el área especialista de investigación de fraude. Blogs o foros relacionados con los sectores financiero, seguros, asistencial, inmobiliario, asegurador, automoción, comercio, ocio y viajes, nuevas tecnologías, telecomunicaciones, sanidad, hogar, energía y transporte: No se accede ni se planea acceder. Sitios web explotados por MM o por terceros con los que MM tiene acuerdos o alianzas a través de los cuales pueden obtenerse datos derivados de la navegación (preferencias o hábitos).  Ficheros de solvencia patrimonial y crédito de ASNEF: para finalidad de tarificación del seguro.  La información obtenida de las precitadas fuentes se utilizara para las siguientes finalidades:  Estimar la siniestralidad futura del cliente.  Estimar la propensión a compra del cliente de otros productos y priorizar clientes en campañas comerciales salientes.  Estimar el valor del cliente para MM.  Ofrecer o no seguros preconcedidos de hogar y vida al cliente.  Mejorar la tarificación a clientes en renovación.  Personalizar la experiencia en la página web de MM.  La información relativa a enriquecimientos de los datos personales no son objeto de comunicación a terceras entidades, si bien los datos identificativos de los tomadores de MM pueden ser objeto de comunicación a la entidad MM Hogar, filial 100% de MM, con la finalidad de realizar acciones de venta. Únicamente serán objeto de comunicación los datos de aquellas personas que hubieran aceptado la cláusula de cesión.  La denunciante recibió la cláusula a través del consentimiento tácito que se le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 remitió junto con su recibo de vencimiento del seguro y envió una comunicación en la que indicaba su oposición a los tratamientos recogidos en la cláusula de protección de datos. Dicha petición fue aceptada y la cliente fue marcada dentro del grupo de clientes a los que no se les enviaría en ningún caso publicidad. Si bien, no consta que se le hubiera dado respuesta al mismo.  Con respecto al teléfono ***TELF.1 que, al menos, no estuvo operativo del 3 al 7 de marzo de 2017, informan que el 8 de marzo de 2017 recibieron una petición de oposición de un mutualista en la cual les comunicaban que el teléfono gratuito número ***TELF.1 que le habían facilitado para poder ejercer los derechos de oposición, no funcionaba. Una vez comprobado que efectivamente, el teléfono puesto a disposición de los asegurados no estaba operativo, realizaron las gestiones necesarias para subsanar la avería. Con fecha 9 de marzo de 2017, se comprobó que la avería había sido resuelta y el teléfono está operativo desde dicha fecha. 3. En el Registro General de Protección de Datos se encuentran inscritos, entre otros, los siguientes ficheros cuyo titular es la compañía Mutua Madrileña:  CLIENTES: cuya finalidad es la “gestión de clientes” con el código ***COD.1.  POTENCIALES CLIENTES: cuya finalidad es “análisis de perfiles, gestión de clientes, publicidad y prospección comercial…” con el código ***COD.2. El contenido de las citadas inscripciones se encuentra anexo a la Diligencia de fecha 8 de enero de 2018. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
3. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 II En el presente caso, debe analizarse la fórmula utilizada por la entidad denunciada para recabar el consentimiento, para lo que hay que valorar el modo de prestación, en este caso tácito, la información que contiene la cláusula y el tratamiento que, efectivamente se ha producido. En primer lugar, dispone el art. 45 del RDLOPD, lo siguiente: 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
4. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
5. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
6. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. En segundo lugar, dispone el art. 14 del RDLOPD, lo siguiente: 1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. 2. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal. En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible. 3. En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 4. Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerará ajustado al presente reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. 5. Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud. La entidad denunciada solicitó el consentimiento de la denunciante para su prestación tácita, - es decir, si no manifiesta lo contrario- y dispuso un medio gratuito a tal fin. Asimismo según informa la citada entidad consta en sus sistemas el ejercicio del derecho de oposición manifestado por la denunciante. Ahora bien, en cuanto al contenido de la cláusula, debe acudirse además de lo previsto en el art. 45 del RDLOPD, al art. 4 de la LOPD respecto al tratamiento excesivo de datos, que dispone lo siguiente: 1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. De acuerdo con la cláusula utilizada para la prestación del consentimiento, ha de considerarse un tratamiento excesivo el que se deriva de la misma. Ahora bien, a requerimiento de la Inspección de Datos, la entidad ha informado que no se accede o no está previsto acceder a datos en los siguientes casos: Registro de la propiedad; Dirección General de Tráfico: Usado únicamente en el proceso de cotización para la contratación de un seguro de coche y/o moto. No usado en la gestión de la cartera de clientes y la finalidad es la de la identificación del riesgo a asegurar; Redes sociales como Facebook, Twitter o Linkedin; Blogs o foros relacionados con los sectores financiero, seguros, asistencial, inmobiliario, asegurador, automoción, comercio, ocio y viajes, nuevas tecnologías, telecomunicaciones, sanidad, hogar, energía y transporte; y respecto de información relativa a enriquecimientos de los datos personales, manifestó que no son objeto de comunicación a terceras entidades. Por ello y a pesar de que dichos tratamiento no encontrarían abrigo en el citado art. 4.1 de la LOPD, en la medida en que no se ha probado que se hayan realizados los mencionados tratamientos en base a la cláusula informativa analizada, no puede establecerse la comisión de la infracciones previstas en el Titulo VII de la LOPD, procediendo al archivo de las presentes actuaciones. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 No obstante lo anterior, debe advertirse a la entidad denunciada que en fecha de 25 de mayo de 2018, será de plena aplicación el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD en adelante), y que de acuerdo con sus disposiciones, no podrán utilizarse datos personales, que no hayan sido obtenido conforme sus previsiones, y respecto del consentimiento establece que será aquella manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta el tratamiento de sus datos personales debe prestarse “mediante una declaración o una clara acción afirmativa”, lo que excluye, obviamente la fórmula del consentimiento tácito utilizada por la entidad denunciada. Por otro lado, el citado Reglamento Europeo de Protección de Datos, recoge el principio de minimización, en cuanto a qué datos pueden tratarse, para qué pueden tratarse, y durante cuánto tiempo pueden tratarse: Dispone, en su art. 5.1
7. c)que los datos personales serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»), Por su parte, el art. 25.2 RGPD, dispone que: El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. En tercer lugar, de acuerdo con el RGPD, indicar que la conservación de los datos debe limitarse en el tiempo al logro de los fines que el tratamiento persigue. Una vez que esas finalidades se han alcanzado, los datos deben ser borrados o, al menos, desprovistos de todo elemento que permita identificar a los interesados. No es posible, según este principio, recabar y tratar datos simplemente por si pudieran resultar útiles o simplemente por el mero hecho de disponer de ellos. Si, por ejemplo, para una finalidad determinada no es necesario que el responsable conozca las pautas de navegación de un usuario, no podrá hacer ese seguimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 Finalmente, deben citarse los considerandos 39 y 42 del RGPD, pues resultan especialmente clarificadores, respecto del citado principio de minimización, al señalar que (…) Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.(…) y respecto de las cláusulas abusivas en la recogida de datos, al señalar que (…)debe proporcionarse un modelo de declaración de consentimiento elaborado previamente por el responsable del tratamiento con una formulación inteligible y de fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales. El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno. IV El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO.- NOTIFICAR la presente AUTOMOVILISTA, S.S. y C.C.C.. Resolución a MUTUA MADRILEÑA De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es