1/6 Expediente Nº: E/05417/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la FEDERACION ANDALUZA DE CAZA, y MAPFRE FAMILIAR, CIA. DE SEGUROS Y REASEGUROS, S.A., en virtud de denuncia presentada por Doña B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28 de julio de 2015, tuvo entrada en esta Agencia escrito presentado por Doña B.B.B. (en adelante denunciante), en el que manifiesta que contrató un seguro de salud con la compañía MAPFRE Familiar Cía. de Seguros y Reaseguros, S.A. (en adelante MAPFRE), a través de un agente comercial, y que con objeto de que el importe fuera más económico le afiliaron a la Federación Andaluza de Caza, sin haberlo autorizado. Que recibe en su domicilio por correo postal la Licencia Federativa de Caza y que se dio de baja con la aseguradora MAPFRE el 31 de diciembre de 2014. Por lo que considera que tanto MAPFRE como la Federación Andaluza de Caza no han actuado bien y exige responsabilidades. Se adjunta con el escrito de denuncia diversa documentación como: Impresión de pantalla de un mensaje emitido por correo electrónico, desde la dirección A.A.A. a la dirección <fac@fac.es>, el día 25 de junio de 2014, en el cuerpo del mensaje consta Adjunto pago de licencia tipo P para licencia federativa de caza para cliente B.B.B. con DNI D.D.D.. Ruego, se me envíe por éste medio la licencia federativa de la asegurada”. Resguardo de ingreso en efectivo, emitido por Unicaja Banco, a la Federación Andaluza de Caza, de fecha 25 de junio de 2014, en el apartado observaciones se especifica DNI E.E.E.. Licencia Federativa de Caza a nombre de la denunciante en el que consta: nombre, apellidos, NIF, fecha de nacimiento, sexo, domicilio postal y fecha de cobertura del 25 de junio de 2014 al 25 de junio de 2015. En el que se informa de los aspectos contemplados en el artículo 5 de la Ley Orgánica 15/1999. Certificado individual seguro colectivo/boletín de adhesión, Mutuasport seguros de caza, a nombre de la denunciante y suscrito por la mutua y por la Federación de Caza, fecha de emisión el 25 de junio de 2014. Extracto de condiciones generales de la póliza colectiva concertada con la Federación Autonómica de Caza. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 extremos: 1. En el Registro General de Protección de Datos constan inscritos los ficheros denominados “licencias federativas” y “pólizas con datos de salud”, con los códigos ***CÓD.1 y ***CÓD.2 respectivamente, cuyos responsables son la Federación Andaluza de Caza y MAPFRE. 2. La compañía MAPFRE ha informado a la Inspección de Datos en relación con el seguro contratado a nombre de la denunciante lo siguiente: En el Sistema de Información de Clientes de la aseguradora la Sra. B.B.B. consta como ex asegurada en la póliza colectiva de salud nº ***NÚM.1, de la que es tomadora la Real Federación Española de Caza, con CIF Q******, figurando: nombre, apellidos, NIF, fecha nacimiento, sexo, domicilio postal, teléfono, fecha efecto inicial 30-06-2014, fecha vencimiento 31-12-2014, anulada a petición del titular. Se adjunta Certificado individual de la póliza colectiva nº ***NÚM.1 de la que es tomadora la Real Federación Española de Caza y la asegurada/beneficiaria la denunciante. La denunciante suscribió el Boletín de Adhesión - Seguro colectivo de Caza, impreso manuscrito, con fecha de 18 de junio de 2014, en el que consta Cuestionario de salud, junto con las Cláusulas Generales, entre las que se encuentra Cláusula General de tratamiento de datos de carácter personal y, en concreto, se especifica que “acepta que sus datos, excluidos los de salud, puedan ser comunicados entre el tomador del seguro y la aseguradora para el cumplimiento de todas las finalidades (…). Todas las páginas de las cláusulas se encuentran firmadas por la denunciante. Se adjunta copia de la citada documentación y del DNI de la denunciante. Añade la aseguradora que los datos personales utilizados en la contratación de la póliza tienen su origen en la propia denunciante quien los facilitó al mediador para dicha finalidad, agente de seguros Don C.C.C., con el que MAPFRE tiene suscrito Contrato de agentes de seguros, con fecha de 13 de febrero de 2013. El mediador facilitó a MAPFRE los datos de la denunciante para la emisión de la póliza a través de un aplicativo, con fecha de 25 de junio de 2014, y la documentación fue remitida por correo interno. No les consta a MAPFRE acuerdo o relación directa con la Federación Andaluza de Caza; no obstante existe un acuerdo entre MAPFRE y la correduría de seguros Rasher Asesoramiento, S.L. para la distribución del seguro de salud denominado “Colectivo Real Federación Española de Caza”, producto del que el citado corredor es mediador exclusivo. La denunciante ha manifestado a MAPFRE su disconformidad con la negativa a facilitarle determinadas prestaciones de la póliza, por los plazos de carencia estipulados, por lo que anuló la póliza y trasladó su malestar con la actuación del agente y que iba a poner los hechos en conocimiento de AEPD. Añade la aseguradora que, el agente ha manifestado reiteradamente que la Sra. B.B.B. era perfectamente consciente y conocedora tanto de las condiciones de la póliza, como de que para su contratación y por tratarse de una póliza de seguro para un colectivo, debía darse de alta en la Federación Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Caza, y en esos términos formalizó ella misma la solicitud de adhesión a la póliza y el alta federativa. Se emitieron recibos mensuales para el periodo de cobertura del 30 de junio de 2014 al 31 de diciembre de 2014. También, en el Sistema de Información de MAPFRE constan los datos personales de la denunciante asociados a la póliza de riesgos combinados del hogar ***NÚM.2, actualmente en vigor. 3. La Federación Andaluza de Caza ha informado a la Inspección de Datos en relación con el tratamiento de los datos personales de la denunciante lo siguiente: Los datos de la denunciante fueron facilitados a través de un correo electrónico, desde la dirección A.A.A., en el cual se adjuntaba el justificante bancario de pago de la Licencia Federativa, con fecha de 26 de junio de 2014, de la que se adjunta copia. La comunicación del vencimiento de la licencia federativa, con fecha 25 de junio de 2015, fue enviada a la denunciante por correo ordinario, acompañando copia de la misma. No existe acuerdo de colaboración entre MAPFRE y la Federación Andaluza de Caza. Mutuasport, Mutua de Seguros, creada por los cazadores, es una entidad sin ánimo de lucro y es la que expide los seguros obligatorios para la práctica de la caza, los cuales van incluidos en Ias licencias federativas. El 29 de mayo de 2015 la denunciante ejerció el derecho de acceso, que fue contestado por parte de la Federación Andaluza de Caza, el 1 de julio de 2015. Adjuntan copia de ambos documentos. La Federación Andaluza de Caza no ha hecho uso de los datos de la denunciante salvo para comunicar a la propia interesada el vencimiento de su licencia, sin que los haya utilizado para otros fines ni cedido a terceros. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La Sra. B.B.B. concreta su denuncia en la actuación de Mapfre y de la Federación Andaluza de Caza, ya que, a su criterio, no ha consentido para que le hiciesen la licencia Federativa Autonómica de Caza. Corresponde indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la denuncia. La LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. Este precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
- h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De acuerdo con las disposiciones transcritas el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular del que se dispensa al responsable del fichero - entre otros supuestos previstos en la LOPD- cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD), pues en tal caso el consentimiento otorgado por el contratante lleva implícito el consentimiento para el tratamiento de su datos personales en tanto son necesarios para su desenvolvimiento o ejecución. El principio del consentimiento o autodeterminación recogido en el artículo 6.1 de la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos y alude a la necesidad de contar con el consentimiento inequívoco e informado del afectado para que el tratamiento de sus datos sea ajustado a Derecho. Conforme al citado precepto el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos que en palabras del Tribunal Constitucional Sentencia 292/2000, de 30 de noviembre, F.J. 7- “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.” La cesión de datos personales se regula en el artículo 11 de la LOPD que dispone: “Comunicación de datos.1.Los datos de carácter personal objeto de tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. (El subrayado es de la AEPD) III La denuncia que examinamos versa sobre el tratamiento que Mapfre y la Federación Andaluza de Caza han hecho de los datos personales de la denunciantematerializado en la emisión de la licencia federativa de caza- sin su consentimiento, según indica la Sra. B.B.B.. Las actuaciones llevadas a cabo por la Inspección de Datos de la AEPD han puesto de manifiesto los siguientes hechos con relevancia a los efectos que nos ocupan. Mapfre, a través de un agente mediador de seguros, emitió una póliza colectiva de salud, de la que es asegurada Doña B.B.B. y tomadora del seguro la Real Federación Española de Caza, con fecha de efecto inicial de 30 de junio de 2014 y con fecha de vencimiento de 31 de diciembre de 2014, anulada a petición de la titular. Mapfre facilitó copia del Boletín de Adhesión – Seguro Colectivo de Caza, de fecha 18 de junio de 2014, que incluye un cuestionario de salud junto a las cláusulas generales, entre las que se encuentra la “Cláusula General de tratamiento de datos de carácter personal”, en la que se especifica lo siguiente: “acepta que sus datos, excluidos los de salud, puedan ser comunicados entre el tomador del seguro y la aseguradora para el cumplimiento de todas las finalidades…” El Boletín y todas las páginas conteniendo las cláusulas generales están firmadas por la denunciante. La denunciada recibió la licencia federativa de caza a su nombre en el mes de junio de 2014, y las cuotas fueron abonadas hasta el mes de diciembre del mismo año; de lo que se desprende que conocía que el seguro de salud contratado estaba relacionado con el colectivo de Caza. Por lo que respecta a los datos personales de la denunciante, fue ella misma la que los facilitó, incluyéndolos de su puño y letra, en el Boletín de Adhesión del Seguro Colectivo, en cuyo encabezamiento figura “Colectivo de Caza” y firmando la aceptación a que los datos se comunicasen entre el tomador del seguro (Real Federación Española de Caza) y la aseguradora MAPFRE. A la luz de la documentación que obra en el expediente hemos de concluir que existía consentimiento para el tratamiento de los datos de la denunciante por parte de Mapfre y de la Federación Andaluza de Caza, al haber suscrito un contrato con la aseguradora y aceptado las condiciones del mismo. En síntesis, facilitó sus datos personales a la entidad denunciada, aceptó las condiciones generales del contrato de Adhesión -consintiendo así el tratamiento de sus datos personales con la finalidad de dar cumplimiento a dicho contrato, ex artículo 6.2 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a la FEDERACION ANDALUZA DE CAZA, a MAPFRE FAMILIAR, CIA. DE SEGUROS Y REASEGUROS, S.A. y a Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es