E-11426-2021

1/7  Expediente Nº: E/11426/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 3 de marzo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra MUTUA MADRILEÑA AUTOMOVILISTA SOCIEDAD DE SEGUROS A PRIMA FIJA con CIF V28027118 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Tratamiento sin consentimiento de su DNI en consulta efectuada a ficheros ASNEF y BADEXCUG, pese a no existir relación contractual ni solicitud de contratación alguna. Solicitado el derecho de acceso se responde que no se tienen datos pese a lo anteriormente constatado. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 8 de abril de 2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 9 de abril de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 6 de mayo de 2021 se recibe en esta Agencia escrito de respuesta indicando que para obtener una cotización de un seguro en MUTUA MADRILEÑA, a través de su canal web, es necesario introducir una serie de datos personales, entre ellos el NIF, en un formulario diseñado al efecto para los cual es necesario aceptar la cláusula sobre protección de datos en la que se informa sobre la consulta a los sistemas de información crediticia. Se manifiesta además que se facilitó a la reclamante el derecho de acceso a los datos personales tratados por MUTUA MADRILEÑA y que son DNI, sexo, edad y teléfono, facilitados a través de la web para obtener la cotización de un seguro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 TERCERO: Con fecha 7 de octubre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Los representantes de la entidad reclamada manifiestan que se trata de un proceso de solicitud de una cotización de un seguro a través de la página web de la Compañía. Para obtener una cotización de un seguro en la entidad reclamada, a través de su canal web, sólo es necesario introducir los datos personales, entre ellos el NIF, que son imprescindibles para la mera cotización, en un formulario diseñado al efecto. Estos datos deben ser aportados por los interesados y no pueden remitirse si no han leído previamente la cláusula de protección de datos. Por ello, hasta que no se desplaza, a través del scroll, hasta el final del texto con la información de protección de datos, el usuario no puede continuar. Dado que es el propio interesado quien informa de sus datos personales al solicitar una cotización por un producto de seguro, estos deben presumirse válidos. Para poder obtener una correcta tarificación del riesgo el dato del NIF es necesario consultar los ficheros de solvencia patrimonial y de crédito, al objeto de valorar el riesgo y para comprobar si el solicitante es ya cliente de la entidad o ha pedido más presupuestos. El dato de solvencia consultado para realizar la cotización deja de ser utilizado transcurrido un mes desde su obtención y no se utiliza para ninguna otra finalidad. Dado que, en el supuesto de la reclamante no se formalizó el contrato de seguro, los datos recogidos en la cotización no se han utilizado para nada. En el presente caso, la entidad no tuvo motivos para sospechar que el solicitante no fuera el titular de los datos personales facilitados a través de la web en el proceso de cotización realizado que motivó la reclamación, el dato de solvencia fue consultado exclusivamente para la realización de la cotización. No se volvió a utilizar para nada y, además, no consta en la actualidad ningún dato personal de la reclamante en las bases de Mutua Madrileña. La entidad reclamada manifiesta que tiene implementadas medidas de seguridad con la finalidad de minimizar el riesgo de solicitudes de cotización fraudulentas y garantizar el cumplimiento de las obligaciones normativas impuestas por el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Dichas medidas, son, entre otras, las siguientes:  Veto Digital: Se lleva a cabo un veto de carácter digital en función del comportamiento que realiza el usuario exclusivamente en el entorno digital de Mutua Madrileña a la hora de solicitar una cotización vía web para, de esta forma, tratar de identificar y bloquear comportamientos anómalos (por ejemplo, modificar varias veces datos relevantes para la cotización, avanzando y retrocediendo en el proceso de navegación).  Scoring Digital: Del mismo modo, y en paralelo, se lleva a cabo un veto en función del dispositivo desde el que se realice la cotización, sistema operativo, tipo de IP, momento horario en el que se realice de la cotización, etc., y todo ello con la finalidad de detectar anomalías o comportamientos sospechosos que pudieran responder a ulteriores comportamientos fraudulentos. No obstante, a la vista de los hechos que dan origen al procedimiento de referencia marginal, desde Mutua Madrileña se ha evaluado la posibilidad de implantación de nuevas medidas de seguridad para llevar a cabo una verificación más profusa de la identidad de un solicitante de cotizaciones en entorno web. Las medidas que se ha valorado implantar son las siguientes:  Solicitud de una fotografía de la persona que realice la cotización del seguro junto con el DNI. Evaluada esta medida se considera que, a la vista de la finalidad del acto para el que se requeriría la verificación - la solicitud de precio para un producto de seguro-, esta medida supondría un tratamiento excesivo y desproporcionado que, además, en su caso podría requerir el uso de herramientas de análisis biométrico.  Solicitud de firma electrónica. Evaluada esta medida, entienden que en la fase solicitud de cotización y de acuerdo con el estado de la técnica, resultaría excesiva para la finalidad que se persigue. Dada la naturaleza, finalidad y contexto del tratamiento, se considera que ambas medidas serían excesivas y desproporcionadas para la finalidad para la que se tratarían los datos. Sin perjuicio de las anteriores medidas evaluadas, desde Mutua Madrileña, y en cumplimiento de su diligencia debida y del principio de responsabilidad proactiva, se ha estudiado la posibilidad de adoptar las siguientes medidas adicionales, estando en proceso su planificación y puesta en marcha:  En el inicio de la solicitud de una cotización, en la misma pantalla en la que Mutua requiera el DNI al interesado, se está valorando incluir un aviso de declaración responsable en el que se indique que los datos proporcionados por él son veraces y que, en caso contrario, estaría incumpliendo la normativa de protección de datos. El texto podría ser el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 “Se compromete a que sus datos sean veraces. De no serlo, le recordamos que estaría incumpliendo la normativa vigente de protección de datos”.  Por otra parte, se está analizando la posibilidad de implementar un nuevo protocolo que incluya una medida consistente en que, para aquellos supuestos en los que se produzca una usurpación de identidad en fase precontractual de la que Mutua Madrileña tenga conocimiento, se ponga a disposición del interesado la posibilidad de solicitar el veto de su NIF hasta que él mismo revoque dicha solicitud. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Sistemas de información crediticia El artículo 20 de la LOPDGDD, que regula los sistemas de información crediticia, dispone en su apartado primero lo siguiente: "1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
3. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
4. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7
5. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
6. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
7. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
8. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
9. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta." III El artículo 6.1
10. f)del RGPD en relación a la licitud del tratamiento establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 IV Conclusión En el presente caso, la reclamante presenta reclamación contra el reclamado, por una presunta vulneración del artículo 6.1 del RGPD en relación con la licitud del tratamiento de sus datos personales por efectuar una consulta en los sistemas de información crediticia, sin base de legitimación. De la documentación obrante en el expediente se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación de las reclamadas para ejercer la potestad sancionadora. Esto es así porque en este supuesto, la parte reclamante denuncia el tratamiento de sus datos personales por la entidad reclamada para efectuar una consulta en los sistemas de información crediticia de ASNEF y BADEXCUG, pese a no haber procedido a celebrar contrato alguno con esta entidad, solicitando la cancelación de sus datos. En este sentido, esta Agencia tras realizar las correspondientes actuaciones de investigación, considera que la entidad reclamada ha actuado con una diligencia razonable ya que de conformidad con el artículo 20 de la LOPDGDD, indicado en el fundamento de derecho III, la entidad reclamada se encuentra legitimada para acceder a sistemas de información crediticia. Esto es así, porque en este caso concreto, de conformidad con las actuaciones de investigación realizadas, se constata que cuando un interesado solicita un presupuesto de seguro, de forma automática se consultan los sistemas de información crediticia con el objetivo de tener un elemento más de cara a valorar el riesgo para la contratación de una póliza de seguro debido a las características particulares de dicho negocio y de esta manera dar un precio estimado de la póliza, ya que este es el servicio requerido por la reclamante al acceder a la plataforma de la entidad reclamada. En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en dicha normativa. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a MUTUA MADRILEÑA AUTOMOVILISTA SOCIEDAD DE SEGUROS A PRIMA FIJA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
13. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es