1/9 Expediente N.º: EXP202305384 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Dª A.A.A. (en adelante, la parte reclamante) ejerció el derecho de acceso ante CONSULTING PERICIAL DE RIESGOS, S.L. (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. Dª A.A.A. (en adelante, la parte reclamante) manifiesta que, a raíz de dar parte de un siniestro ocurrido en su vivienda, la entidad aseguradora designó a CONSULTING PERICIAL DE RIESGOS, S.L. (en adelante, la parte reclamada) para realizar la valoración de los daños en su vivienda. Tras realizar la correspondiente visita y realizar diversas fotografías del interior de la vivienda, la parte reclamada solicitó la aportación de documentación adicional (copia del DNI de la titular del seguro, número de cuenta bancaria, justificante del pago del seguro, copia de la póliza vigente y recibo de la póliza donde figurase el desglose de la prima del consorcio) para poder así continuar con la tramitación del expediente, pues en caso contrario tendría lugar la anulación del expediente sin indemnización. A raíz de la petición, en fecha 26 de enero de 2022, la parte reclamante indica que facilitará dicha documentación requerida "una vez recibamos la relación y las fotografías", recibiendo respuesta (en la misma fecha) indicando lo siguiente: "Le informamos que tanto las fotografías realizadas por el perito, así como como las anotaciones realizadas, son personales e intransferibles". La parte reclamante facilita la información requerida y, en fecha 5 de agosto de 2022, solicita a la parte reclamada que se le facilite información relativa al informe pericial y, en especial, las fotografías realizadas del interior de su vivienda y, además, acceso a sus datos personales objeto de tratamiento, sin que haya recibido contestación dentro del plazo legalmente establecido. Junto a la reclamación aporta hilo de correos electrónicos intercambiados con la entidad reclamada (desde el 26 de enero al 27 de mayo de 2022) relativos al requerimiento de documentación y aportación de ésta, así como la solicitud de las fotografías realizadas y la respuesta a dicha solicitud. Asimismo, aporta copia del formulario cumplimentado relativo al derecho de acceso y copia de la solicitud de acceso al informe pericial y, en especial, a las fotografías realizadas en la vivienda, así como acreditación del envío y acuse de recibo de fecha 5 de agosto de
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La parte reclamada señala que las fotografías solicitadas se tomaron a petición de la reclamante (propietaria y asegurada) y en su presencia, para que quedara constancia de los daños reclamados ya que, por el estado en el que se encontraban los enseres afectados, iba a retirarlos y proceder a las reparaciones, mostrándonos las diferentes dependencias afectadas de la vivienda. Manifiesta que ha tenido conocimiento y documentación de la totalidad de la valoración de los daños antes de proceder al cierre. Indica que dicho informe le fue requerido de manera particular por el organismo Consorcio Compensación de Seguros, el cual solicitó los servicios del gabinete de la parte reclamada, por lo que se entregó de manera privativa es decir, cualquier petición que realicen los asegurados no es a éste gabinete a quien se tiene que dirigir. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 22 de mayo de 2023, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes, señalando, en síntesis, que “(…) cabe destacar que el informe pericial fue requerido por el CONSORCIO COMPENSACIÓN DE SEGUROS solicitando los servicios de éste Gabinete siendo un proveedor externo, por lo que se entregó dicho informe de manera privativa y contractual, pudiendo la parte reclamada ejercer el resto de derechos en materia de protección de datos (rectificación, oposición, supresión, portabilidad y limitación), mediante comunicación dirigida al Delegado de Protección de Datos del Consorcio de Compensación de Seguros en ***EMAIL.1, o mediante correo postal a ***DIRECCIÓN.
- Adjuntamos respuesta del CONSORCIO COMPENSACIÓN DE SEGUROS emitida a la parte reclamante en relación al ejercicio de los derechos de acceso.” En dicha respuesta le facilitan sus datos personales, y señalan que el gabinete de peritación asignado a su siniestro, Consulting Pericial de Riesgos S.L., es un proveedor externo del Consorcio de Compensación de Seguros que actúa como encargado del tratamiento. Asimismo, manifiesta que el Consorcio de Compensación de Seguros ha tenido conocimiento de su petición en fecha 5 de junio de
- CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas, señalando, en síntesis, “(…) En cuanto a los posibles incumplimientos de Consulting Pericial de Riesgos S.L, entendemos se están produciendo tanto como encargado del tratamiento en cuanto a los datos proporcionados por CCS (habiendo respondido éste como responsable) así como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 responsable debido a su requerimiento directo de datos, figura respecto a la que aún no ha dado respuesta a la solicitud de acceso, no permitiendo con ello y de forma ya reiterada la solicitud de rectificación y cancelación de datos.” QUINTO: Otorgada audiencia a la parte reclamada, manifiesta que “(…) añadir a lo expuesto hasta la fecha, y en base a las conversaciones mantenidas sobre el asunto de referencia con el Consorcio Compensación de Seguros, la siguiente alegación que a continuación se expone, siendo el resultado de mutuo acuerdo entre éste Gabinete que suscribe y dicho organismo: Independientemente de que Consulting Pericial de Riesgos S.L. recabe datos personales de forma directa de la reclamante, dicha entidad se posiciona en todo caso como encargado del tratamiento de los datos de carácter personal, siendo el Consorcio de Compensación de Seguros el responsable del tratamiento. El Consorcio de Compensación de Seguros ha informado a la mediadora de la asegurada, en el momento de recabar sus datos al registrar la correspondiente reclamación, así como a la propia asegurada, en posteriores comunicaciones durante la tramitación del expediente, sobre las condiciones del tratamiento de sus datos personales conforme a lo dispuesto en el art. 13 del Reglamento (UE) 2016/679 General de Protección de Datos (RGPD). En el mencionado aviso informativo se pone en conocimiento de la reclamante que sus datos personales serán tratados, principalmente, con la finalidad de gestionar el expediente de siniestro, así como la posibilidad de acceso a sus datos personales por parte de proveedores de valoración de daños, en su condición de encargados del tratamiento. El Consorcio de Compensación de Seguros y Consulting Pericial de Riesgos S.L. han suscrito el pertinente acuerdo de tratamiento de datos personales conforme al art. 28 RGPD, donde se recogen las garantías y medidas de seguridad que debe aplicar el encargado del tratamiento, entre las que se encuentran los deberes de confidencialidad. La referencia al uso “personal” de las imágenes por parte de Consulting Pericial de Riesgos S.L., en ningún caso tiene un sentido literal, sino que se intentó transmitir a la reclamante que las imágenes se encontraban bajo deberes de confidencialidad relacionados con la prestación de servicios de valoración al Consorcio de Compensación de Seguros y, en consecuencia, no estaban autorizados a ponerlas a disposición de la reclamante.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Asimismo, el artículo 63.2 de la LOPDGDD determina que "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 22 de mayo de 2023, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Encargado de tratamiento El artículo 28.3 del RGPD, Encargado del tratamiento, dispone “
- El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado: a) tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público; b) garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria; c) tomará todas las medidas necesarias de conformidad con el artículo 32; d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento; e) asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III; f) ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado; g) a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros; h) pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable.” Asimismo, el artículo 33 de la LOPDGDD, Encargado del tratamiento, establece
- El acceso por parte de un encargado de tratamiento a los datos personales que resulten necesarios para la prestación de un servicio al responsable no se considerará comunicación de datos siempre que se cumpla lo establecido en el Reglamento (UE) 2016/679, en la presente ley orgánica y en sus normas de desarrollo.
- Tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3 del Reglamento (UE) 2016/
- Esta previsión no será aplicable a los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público. Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades.
- El responsable del tratamiento determinará si, cuando finalice la prestación de los servicios del encargado, los datos personales deben ser destruidos, devueltos al responsable o entregados, en su caso, a un nuevo encargado. No procederá la destrucción de los datos cuando exista una previsión legal que obligue a su conservación, en cuyo caso deberán ser devueltos al responsable, que garantizará su conservación mientras tal obligación persista.
- El encargado del tratamiento podrá conservar, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento.
- En el ámbito del sector público podrán atribuirse las competencias propias de un encargado del tratamiento a un determinado órgano de la Administración General del Estado, la Administración de las comunidades autónomas, las Entidades que integran la Administración Local o a los Organismos vinculados o dependientes de las mismas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 mediante la adopción de una norma reguladora de dichas competencias, que deberá incorporar el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679.” VI Conclusión En el supuesto aquí analizado, la parte reclamante ejerció su derecho de acceso ante la parte reclamada, que, como ha manifestado durante la tramitación del presente procedimiento, es un proveedor externo contratado por CONSORCIO COMPENSACIÓN DE SEGUROS, pudiendo la parte reclamante dirigirse a esta última entidad para ejercitar sus derechos. Asimismo, adjuntan copia de la respuesta remitida por CONSORCIO COMPENSACIÓN DE SEGUROS a la parte reclamante en relación al derecho ejercitado. En consecuencia, tal como se desprende de la normativa anteriormente citada, especialmente el artículo 28.3.e) del RGPD, la parte reclamada dio traslado de la petición de la parte reclamante al responsable del tratamiento para que atendiera su derecho. Por ello, procede desestimar la reclamación presentada. La parte reclamante tiene la posibilidad, si a su derecho conviene, de dirigirse directamente al responsable para ejercitar los derechos regulados en la normativa de protección de datos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación CONSULTING PERICIAL DE RIESGOS, S.L. formulada por Dª A.A.A. contra SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A. y a CONSULTING PERICIAL DE RIESGOS, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es