E-06059-2013

1/6 Expediente Nº: E/06059/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAJA DE SEGUROS REUNIDOS, CIA. DE SEGUROS Y REASEGUROS, S.A., en virtud de denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 26/06/2013 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que manifiesta que ha recibido una carta de CAJA DE SEGUROS REUNIDOS, CIA. DE SEGUROS Y REASEGUROS, S.A., (en lo sucesivo CASER o la denunciada) en la que le comunica que “me pasa al cobro o lo intenta un cargo de 82,78 producto de pérdidas pecuniarias DIV retirada de carné ligado” y, dado que, afirma, no tiene ninguna relación con esa entidad, considera que el tratamiento de sus datos personales pudiera ser consecuencia de una estafa o un error. En fecha 21/10/2013 el denunciante remitió a la AEPD una copia de la carta que recibió de CASER -y que ha dado origen a esta denuncia- en la que le comunican que le remiten el recibo de la prima, que ya está abonado, correspondiente al periodo indicado en el mismo y cuya presentación es indispensable para hacer uso de los derechos que derivan de su póliza. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Investigación que se reproduce: <<ACTUACIONES PREVIAS DE INSPECCIÓN La compañía CASER ha comunicado a la Inspección de Datos, con fecha de 2 de abril de 2014, en relación con el recibo emitido a nombre del denunciante lo siguiente: Que el denunciante, con fecha 28 de noviembre de 2011, con ocasión de adquirir un vehículo y financiarlo, suscribió un Seguro de Privación del Permiso de Conducir con CASER, por mediación de RCI Banque, S.A. Sucursal en España, con una duración de 36 meses y fecha de vencimiento del seguro 28 de noviembre de 2014. Se adjunta Certificado de Seguro privación del permiso de conducir firmado por el denunciante, en el que consta como asegurado su nombre, apellidos, domicilio postal y NIF; como tomador del seguro RCI Banque, S.A. Sucursal en España; como datos de la póliza: nº de préstamo, fecha de efecto 28.11.2011, duración 36 (meses), edad del asegurado, nominal del crédito y prima única 82,78€; también se adjuntan las Condiciones particulares y especiales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Que por motivos que la aseguradora desconoce, hasta el mes de junio de 2013, la entidad mediadora no trasmitió a CASER el seguro del denunciante, si bien se acepta como fecha de efecto el 28 de noviembre de 2011. Se adjunta Contrato suscrito entre CASER y RCI Banque, S.A. Que el recibo por todo el período de aseguramiento se encuentra satisfecho por la mediación de RCI Banque, S.A. Que la comunicación dirigida por la aseguradora, con fecha 18 de Junio de 2013, al denunciante y que aporta éste junto con su escrito de denuncia, no tenía por finalidad reclamar cantidad alguna sino que, por el contrario, se le informaba que el recibo de primas se encontraba satisfecho, así, literalmente, se le comunicaba en el primer párrafo de la carta: “Adjunto le remitimos el recibo de la prima abonado correspondiente al periodo indicado en el mismo”. Asimismo, se informa a esta AEPD, que una vez revisados los archivos de la aseguradora, no consta reclamación alguna formulada por el denunciante.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6, apartados 1 y 2 de la LOPD, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 11 de la LOPD, “Comunicación de datos”, establece en su apartado 1: “Los datos de carácter personal objeto del tratamiento solo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III La denuncia que examinamos versa sobre el tratamiento de los datos personales del denunciante efectuado por CASER con quien, según ha declarado, no tiene suscrito contrato alguno. Tratamiento de datos del que es exponente la carta fechada el 18/06/2013 que la denunciada envió al denunciante informándole de que el recibo de la prima se encontraba satisfecho y cuya copia este ha aportado a la AEPD. CASER ha informado a este organismo, en respuesta al requerimiento de la Inspección de Datos, que los datos personales del denunciante constan en sus ficheros asociados a un seguro de “privación del permiso de conducir”. Añade que este seguro fue suscrito por el denunciante con ocasión de haber concertado con RCI BANQUE, S.A., sucursal en España (en adelante, RCI) la financiación para la compra de un vehículo a motor. Respecto a la prima del seguro, la denunciada, CASER, manifiesta que el importe –por todo el periodo de vigencia del contrato (del 28/11/2011 al 28/11/2014), pues se trata de una prima única- “se encuentra satisfecho por la mediación de RCI Banque, S.A.” Aclara que la carta que envió al denunciante el 18/06/2013 –carta que ha dado origen a esta denuncia- no tenía por finalidad reclamarle importe alguno sino que, por el contrario, se limitaba a informarle de que la prima estaba abonada, pues decía literalmente: “Adjunto le remitimos el recibo de la prima abonado correspondiente al periodo indicado en el mismo”. La denunciada ha aportado, entre otros documentos, una copia del Certificado de seguro de Privación del Permiso de Conducir suscrito el 28/02/2011 en ***LOCALIDAD.1, (Póliza Número *******) en el que el denunciante tiene la condición de asegurado y RCI asume la condición de Tomador del Seguro. Conforme a la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 50/1980, de Contrato de Seguro, es el Tomador quien asume la obligación de pago de la prima en las condiciones estipuladas en la póliza (artículo 14). Recordemos, por otra parte, que RCI BANQUE, S.A., sucursal en España es la entidad con la que – supuestamente- el denunciante habría contratado el préstamo para financiar la adquisición de un vehículo. En ese documento contractual constan los datos personales del denunciante (nombre, dos apellidos y domicilio) en calidad de asegurado. Además, el documento está firmado en la casilla destinada a la firma del asegurado. Ahora bien, en la hipótesis de que no hubiera sido el denunciante quien firmó la citada póliza de seguro, sino que la hubiera suscrito un tercero suplantando su identidad, desde el punto de vista de la normativa de protección de datos los hechos que se denuncian no serían constitutivos de una infracción de la LOPD. La razón es que CASER trató los datos personales del denunciante apoyándose en la información incorporada al documento que recibió del corredor de seguros –RCI Banque, S.A., sucursal en España, MANDATAIRE DE SEGUROS, que realiza actividades de mediación de seguros en régimen de establecimiento en España-, y que la póliza del seguro estaba firmada en el campo destinado al asegurado, incluyendo además los datos personales del denunciante en el apartado “Datos del asegurado”. En este sentido puede traerse a colación la Sentencia de la Audiencia Nacional (SAN) de 23/07/2010 (Rec. 6/2010) que analiza un supuesto en el que la AEPD sancionó a la recurrente por infracción del artículo 6.1 de la LOPD, por cuanto la póliza de seguro no estaba firmada. El Tribunal advierte que –como se había pronunciado en una Sentencia anterior- distinta es la conclusión a la que se llega cuando la póliza de seguro sí se encuentra firmada y que en tal caso debe entenderse que no existe infracción de la LOPD, y sobre la cuestión relativa a si la firma corresponde o no al titular de los datos añade que es una cuestión que excede de la responsabilidad de la entidad aseguradora. El Fundamento Jurídico Quinto de la SAN citada dice textualmente: “El tratamiento de datos personales sin el consentimiento del afectado, se integra en el tipo descrito en el artículo 44.3
2. d)de la LO 15/1999 “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley..” y, en concreto, con infracción del principio del consentimiento a que se refiere el artículo 6.1 de la LOPD, al disponer que 1.- El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”, pautándose en el apartado 2 del citado precepto una excepción, que no será preciso consentimiento "... cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero..." El principio del consentimiento o autodeterminación constituye una garantía fundamental, dada la notable incidencia que el tratamiento automatizado de datos tiene sobre el derecho a la privacidad. En este sentido la STC de 30 de noviembre de 2000 señala, “... Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento...” De los hechos declarados probados en la resolución impugnada, que no son cuestionados por la actora, resulta que doña *** no prestó consentimiento para contratar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 un seguro de riesgo Hogar-Caser con la recurrente, pese a lo cual le pasó el adeudo de la prima de la póliza de seguro. Ello, con independencia de las posibles responsabilidades en que haya podido incurrir la CAIXA no exoneran de responsabilidad a la recurrente en cuanto al citado contrato no estaba firmado por la denunciante ni existían elementos para deducir el consentimiento tácito para el tratamiento de sus datos personales. La recurrente invoca la doctrina sentada por esta Sala en la sentencia de 4 de julio de 2007 que estimó el recurso. Sin embargo estamos ante supuestos diferentes pues en el caso examinado en la citada sentencia el contrato estaba firmado si bien se cuestionaba que tal firma correspondiese a los denunciantes, extremo que excedía la responsabilidad de la compañía de seguros. En el presente caso la póliza no estaba firmada por la denunciante ni existían elementos para deducir el consentimiento tácito de la misma pese a lo cual la recurrente trato los datos personales de la denunciante sin tener constancia, al menos aparente, de que constaba el consentimiento inequívoco de la misma. Así las cosas, resulta claro que CASER ha infringido el artículo 6.1 de la LOPD, siéndole imputable la conducta tipificada en el artículo 44.3d) de la citada Ley, como recoge la resolución impugnada.” (El subrayado es de la AEPD) En el presente caso, el documento que la mediadora de seguros ( RCI Banque, S.A., sucursal en España, MANDATAIRE DE SEGUROS) envió a CASER estaba firmado y con la prima satisfecha. De manera que la denunciada, al tratar los datos personales del denunciante asociados a la póliza de seguro de privación del permiso de conducir, actuó con la diligencia que era procedente, la diligencia que las circunstancias del caso y el desarrollo de su actividad profesional aconsejan, por lo que faltaba el elemento subjetivo de la infracción, cuya concurrencia es indispensable para exigir responsabilidad en el ámbito administrativo sancionador. Por tal razón la conducta de la denunciada (el tratamiento de los datos del denunciante) no es subsumible en el tipo sancionador del artículo 44.3.b), en relación con el artículo 6.1, de la LOPD. Siguiendo con la misma hipótesis -que la firma que aparece en la póliza de seguro como firma del “asegurado” no fuera realmente la firma del denunciante, sino que, por el contrario, una tercera persona hubiera suscrito ese contrato-, y por lo que respecta a la actuación de RCI Banque, S.A., sucursal en España, MANDATAIRE DE SEGUROS, debe señalarse lo siguiente: La conducta de esta entidad podría constituir una infracción del artículo 11.1 de la LOPD -cesión de datos sin consentimiento de su titular-, infracción tipificada como grave en el artículo 44.3.k de la LOPD, en el caso de que RCI hubiera comunicado a CASER los datos personales del denunciante, en calidad de “asegurado” de la póliza, sin haber recabado previamente su consentimiento. Ahora bien, incluso en tal hipótesis (cesión inconsentida de los datos personales), tampoco en el asunto que nos ocupa sería procedente la apertura de un expediente sancionador contra RCI, por cuanto la infracción de la cesión de datos sin consentimiento de la que pudiera ser responsable (artículo 11.1 LOPD), es una infracción grave cuyo plazo de prescripción son dos años (artículo 47.1). Al ser el término inicial del plazo de prescripción la fecha en la que la infracción se hubiera cometido (artículo 47.2) –esto es, la fecha en la que según el documento contractual se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 suscribió la póliza de seguro, el 28/11/2011- la posible conducta infractora de RCI prescribió el 28/11/2013. En consideración a lo expuesto y toda vez que las pruebas documentales que obran en el expediente demuestran que la conducta de CASER fue respetuosa con las disposiciones de la LOPD, al no advertirse incumplimiento de la normativa de protección de datos, debe acordarse el archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CAJA DE SEGUROS REUNIDOS, CIA. DE SEGUROS Y REASEGUROS, S.A., y a D.A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es