1/5 Expediente Nº: E/04284/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad MAPFRE SEGUROS GENERALES, CIA. DE SEGUROS Y REASEGUROS, S.A y D. D.D.D. en virtud de una denuncia presentada por D. G.G.G. y en base a los siguientes HECHOS PRIMERO: Con fecha de 22 de abril de 2013 tiene entrada en esta Agencia un escrito de D. G.G.G. ( en adelante el denunciante) en el que declara lo siguiente: 1.- Que en un pleito judicial entre Dª E.E.E. (hija del denunciante) y D. B.B.B., el abogado de éste, D. D.D.D., ha presentado copia de su DNI y de una póliza de seguro de automóvil con MAPFRE de la que es tomador el denunciante. 2.- Que sospecha que dicha póliza fue obtenida por D. D.D.D. a través de su madre Dª F.F.F., que es agente de seguros de MAPFRE en el municipio de Trujillo (Cáceres). SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- En fecha de 18/11/2013 se solicita a D. D.D.D. que acredite el origen de los datos de la póliza de seguros objeto de la denuncia, recibiéndose respuesta en fecha de 4/12/2013 en la que informa de lo siguiente: C/ Jorge Juan, 6 28001 – Madrid • Que la información relativa a la póliza de seguros fue aportado por el propio D. G.G.G. a las actuaciones (procedimiento ordinario 816/2011) seguido en el Juzgado der Primera Instancia nº 2 de Plasencia. • Dicha información contenía los datos del propio D. G.G.G., número de póliza, cuenta bancaria, vehículo asegurado, etc. • Como prueba de lo anterior D. D.D.D. aporta copia de diversos recibos bancarios relativos al pago del mencionado seguro señalando que fueron aportados por D. G.G.G. a las mencionadas actuaciones. • Aporta también, copia de un escrito de fecha 5/11/2012 según el cual M.M.M., abogado de D. G.G.G., le solicitaba una indemnización de 25.000 € o en caso contrario le denunciaría por la www.agpd.es sedeagpd.gob.es 2/5 aportación al pleito ya citado de los documentos objeto de la presente denuncia ante la Agencia Española de Protección de Datos.
- En fecha de 9/12/2013 se recibe escrito de MAPFRE en el que pone de manifiesto que en sus sistemas informáticos no consta el acceso a la póliza ni a datos de D. G.G.G. por parte de la agente Dª. F.F.F..
- FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III En el supuesto que nos ocupa, el denunciante manifiesta que el abogado de la parte contraria de un juicio que tiene pendiente su hija, ha aportado copia de la póliza que tiene contratada con MAPFRE SEGUROS GENERALES, de la que él es el tomador, y que fue la madre de este abogado, en su condición de agente de seguros de MAPFRE, la que accedió indebidamente a la póliza. No obstante, de las actuaciones de inspección practicadas por esta Agencia, cabe señalar que la información sobre la existencia de una póliza cuyo tomador es el denunciante, el número de esta póliza, cuenta bancaria, vehículo asegurado y otros datos fueron aportados en la documentación de la demanda interpuesta por la hija del denunciante y que dio origen al procedimiento judicial. No hubo, por tanto, en la contestación a la demanda presentada ante el juzgado por el abogado de la parte contraria (D. D.D.D.) revelación de datos del denunciante al contestar el escrito de demanda en la medida en que estos ya habían sido aportados por el propio denunciante. Por otro lado, en cuanto a la afirmación del denunciante sobre el acceso indebido a su póliza realizado por la madre del abogado D. D.D.D. Dª F.F.F.) en calidad de agente de seguros de la oficina de MAPFRE SEGUROS, cabe señalar que esta entidad afirma que, tras realizar las necesarias comprobaciones y consultas a los archivos y registros de la entidad, no consta registro alguno de acceso a la póliza por parte de la agente Dª F.F.F.. A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “
- Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En el presente caso, no se ha aportado ninguna evidencia o indicios de los que pueda deducirse que la madre del denunciado haya accedido a la póliza del denunciante. IV A la vista de las consideraciones precedentes debe concluirse que no existe en la actuación de los denunciados vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a MAPFRE SEGUROS GENERALES, CIA. DE SEGUROS Y REASEGUROS, S.A, a C.C.C. y a D. G.G.G.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es