PS-00025-2023

1/22  Expediente Nº: EXP202201254 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de febrero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PELAYO MUTUA DE SEGUROS Y REASEGUROS A PRIMA FIJA (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202201254 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y con base en los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 1/12/2021 interpone reclamación ante la Agencia Española de Protección de Datos (AEDP). La reclamación se dirige contra PELAYO, MUTUA DE SEGUROS Y REASEGUROS A PRIMA FIJA, con NIF G28031466 (en adelante, la parte reclamada o la ASEGURADORA). El motivo en el que basa la reclamación es que con fecha 22/09/2021, sin su consentimiento, la ASEGURADORA facilitó a un tercero sus datos de identidad (nombre, apellidos, NIF, domicilio y número de teléfono); información relativa a la póliza de seguro de la que ella era tomadora y asegurada; información de los siniestros declarados e información de la prima del seguro (importe, fecha de vencimiento y fecha de pago). El tercero al que se comunicaron los datos era la persona con quien la reclamante había suscrito un contrato de arras para la venta del vehículo asegurado y que figura identificado en algunos documentos como “B.B.B. comprador” (en lo sucesivo, el tercero). La reclamante manifiesta que los hechos tuvieron lugar en una oficina de la ASEGURADORA “sita en ***DIRECCIÓN.1”. Así, la parte reclamante expone que el 27/11/2020 contrató con la ASEGURADORA un seguro a todo riesgo para su vehículo; que en septiembre de 2021 inició negociaciones para la venta del vehículo y que el 22/09/2021 recibió del tercero a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/22 través WhatsApp copia de un documento con el nombre de la ASEGURADORA que contenían datos personales y datos de la póliza de seguro. Tras lo sucedido, presentó reclamación en fecha 23/09/2021 ante la ASEGURADORA. Aporta con su reclamación, además de la copia del DNI, estos documentos: -Varias capturas de pantalla de un terminal móvil con los mensajes de WhatsApp que le remite el tercero. En todas las capturas aparece la fecha 22/09/2021:  Unos mensajes de texto remitidos entre las 13:50 horas y las 13:54 horas con el siguiente contenido: “No lo he subido a casa el papel q me han dado en pelayo, luego te lo mando”; “También me han apuntado un teléfono gratuito de pelayo para que llames e intentes que te los soluciones”; “Me han dicho que no me puedes ceder el seguro que resta hasta el fin del seguro”; “Que lo tenéis que dar de baja para que yo deje hecho el mío, que lo quería dejar hecho en estos días”  Imagen del documento que la trabajadora del agente de la ASEGURADORA entregó al tercero. Consta en ese documento el número de póliza “***PÓLIZA.1” “Pelayo Mutua de Seguros” y la siguiente información distribuida en estos epígrafes: “Datos del cliente”: en el que se incluye el nombre y dos apellidos de la reclamante, su NIF, número de teléfono móvil, domicilio y nacionalidad. “Datos de la póliza”: en el que figura la fecha de la póliza, la matrícula, marca y modelo del vehículo. “Siniestros”: Aparecen reflejados cuatro siniestros sobre los que se facilita su respectivo número de identificación, la fecha en la que ocurrió y la fecha en la que se declaró. Los dos últimos registrados son: i. Número XXXXXXXX, ocurrido el 29/08/2021 y declarado el 06/09/2021. ii. Número XXXXXXXXX, ocurrido el 26/08/2021 y declarado el 26/08/2021. -Condicionado del contrato de seguro: Las cláusulas del condicionado que detallan los riesgos excluidos de cobertura en la póliza ***PÓLIZA.1 y un documento relativo a la “Modificación del seguro de automóvil ***PÓLIZA.1”, que entró en vigor el 17/11/2020 y que se refiere al vehículo sobre el que versan los hechos. - Escrito que el Abogado de la reclamante dirigió a la ASEGURADORA el 23/09/2021. - Escrito de respuesta de la ASEGURADORA, de 11/10/2021. En esencia, alega que la oficina en la que ocurrieron los hechos era de un agente y no de la propia compañía. Que la empleada del agente facilitó al tercero los datos sobre la base del interés legítimo del tercero, ya que éste aportó un contrato de arras suscrito con la reclamante, por lo que era de su interés la declaración de ese siniestro. Alega, asimismo, que el tercero era ya conocedor de los datos de la reclamante a través del contrato de arras suscrito con ella y que, puesto que tenía el vehículo en su poder era lógico pensar que había accedido a la documentación del vehículo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la ASEGURADORA para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/22 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación se efectuó electrónicamente, conforme a la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) siendo la fecha de puesta a disposición y de aceptación, respectivamente, el 2 y 3 de febrero de 2022. Así consta en el certificado emitido por el servicio de Soporte del Servicio de Notificaciones Electrónica y Dirección Electrónica Habilitada de la FNMT que obra en el expediente (en adelante, certificado de la FNMT) La ASEGURADORA responde a la petición informativa en fecha 01/03/2022. Solicita que se proceda al archivo del procedimiento al haber quedado acreditado que no ha existido ninguna vulneración del derecho de la reclamante en materia de protección de datos. En defensa de su pretensión argumenta que la empleada del agente facilitó al tercero los datos sobre la base del interés legítimo que éste ostentaba, ya que aportó un contrato de arras suscrito con la reclamante, por lo que era de su interés la declaración de ese siniestro. Que el tercero era ya conocedor de los datos de la reclamante a través del contrato de arras celebrado con ella y que, puesto que tenía el vehículo en su poder era lógico pensar que había accedido a la documentación del vehículo. Hace también estas manifestaciones: -Reitera que es falso que la información hubiera sido facilitada por una empleada de la ASEGURADORA. La información la facilitó una empleada del agente CUSEGUR 2015, AGENCIA DE SEGUROS, S.L., mediador con el que la compañía aseguradora tenía suscrito el correspondiente contrato de Agencia y que desarrollaba su actividad en la oficina ubicada en la ciudad de XXXXXX. -Que es falso que la reclamante iniciara las negociaciones para la venta del vehículo en septiembre de 2021 pues ha manifestado en diversas ocasiones que en fecha 27/08/2021 ya tenía suscrito el contrato de arras. Alude a la grabación de una conversación mantenida por la reclamante con una teleopoeradora de la ASEGURADORA. -Que, recibida la reclamación, contactó con el agente y su empleada/comercial, quien había facilitado los datos al tercero, que le informó que se presentó en la oficina un señor para solicitar precio para un seguro de un coche sobre el cual ya tenía suscrito un contrato de arras para la venta del vehículo con fecha 27/08/2021 e informó a la comercial que el coche ya estaba en su poder. Que cuando dio los datos del vehículo para calcular el presupuesto del seguro se le informó de que ese vehículo tenía una póliza en vigor en la ASEGURADORA y que, hasta tanto no se diera la baja por la tomadora de la póliza (la reclamante) no podía asegurarse el vehículo a su nombre. Que días más tarde el tercero volvió de nuevo a la oficina para contratar el seguro y se le volvió a comentar que “la póliza continuaba en vigor, que no se había cursado la baja todavía y además nos estaban reclamando un siniestro. Es ante esta información cuando el [tercero] solicita que se le facilite impresión de la pantalla, ya que como se ha expuesto anteriormente había manifestado que el coche estaba en su poder con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/22 fecha anterior a la que constaba como fecha de ocurrencia del siniestro (29/8/2021).” Que el tercero manifestó a la comercial del agente que necesitaba copia del documento para hablar con el taller y la asegurada (la parte reclamante) para enseñarles que el 29 de agosto había una reclamación por si lo estaban defraudando. -Menciona otras cuestiones, tales como que el DNI del letrado de la reclamante que se dirigió por carta a la ASEGURADORA coincide con el de la persona que consta como contrario en el parte amistoso de siniestro declarado por la reclamante y que dio origen a que se le facilitara al tercero información relativa al seguro del vehículo. Que no tiene sentido que el tercero facilitase a la reclamante por WhatsApp un pantallazo con el documento informativo obtenido del comercial del agente si no era para pedirle explicaciones de los hechos, por lo que propone que se requiera a la reclamante para que aporte la conversación íntegra mantenida a través de WhatsApp con el tercero y no la selección que ha facilitado. Aporta la copia del correo electrónico intercambiado entre el Gerente Comercial de la Aseguradora y el agente exclusivo el 29/09/2021 con la finalidad de esclarecer los hechos objeto de la reclamación. TERCERO: Con fecha 1/03/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. La admisión a trámite de la reclamación se notificó a la parte reclamante por correo postal el 1/03/2022 y consta recibida el 10/03/2022. Así lo acredita el certificado que obra en el expediente. CUARTO: La Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1, ambos del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Se tiene conocimiento de los siguientes extremos que constan en el Informe de Inspección, del que se transcribe este fragmento: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Al objeto de investigar la ocurrencia de los hechos descritos, con fecha 22 de abril de 2022 se realizó una solicitud de información a cada una de las entidades identificadas en el epígrafe anterior. Las respuestas a dichos requerimientos tuvieron entrada en la sede electrónica de la Agencia Española de Protección de Datos con fecha 5 de mayo de 2022. Y la información aportada más relevante es la que sigue: - Contrato de Agencia En la documentación aportada por la ASEGURADORA se acredita que, a través del Contrato de Agencia suscrito con el AGENTE con fecha 1 de febrero de 2014, el AGENTE acepta realizar su actividad de mediación sobre una cartera de seguros propiedad de la ASEGURADORA y gestionarla, además de realizar nueva producción para la ASEGURADORA como Agente de Seguros Exclusivo. Se adjunta también el Anexo al Contrato de Agencia con las nuevas condiciones en materia de protección de datos suscrito el 9 de mayo de 2018 y la Resolución de Contrato de Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/22 comunicada por el AGENTE con fecha 31 de enero de 2022, fecha desde la cual el AGENTE ya no presta servicios de distribución en seguros para la ASEGURADORA. - Respuesta del AGENTE En relación con la reclamación interpuesta por la parte reclamante, el AGENTE manifiesta: “Que nada ha tenido que ver con la suscripción de la póliza aludida ni con la persona indicada (parte reclamante). Que dicha persona (parte reclamante) jamás fue atendida en la oficina en la oficina que esta sociedad tiene en Cuenca en su calidad de Agencia de la ASEGURADORA, ni ha tenido relación alguna con la sociedad. […]”. - Vigencia de la póliza de seguro del coche de la reclamante La ASEGURADORA informa de que el seguro del coche estuvo en vigor hasta el 16/11/2021 a nombre de la reclamante, que el seguro fue baja a vencimiento y que la ASEGURADORA no tiene contrato suscrito con el nuevo adquiriente. Se aporta la grabación telefónica de la conversación mantenida el 27/08/2021 a las 15:11 horas entre la ASEGURADORA y la parte reclamante. - La parte reclamante informa de que su vehículo ha sido vendido, que tiene firmado el contrato de arras y que va a firmar el contrato de compraventa el 30/09/2021. - La operadora de la ASEGURADORA le informa de que para atender su solicitud de dar de baja el seguro a partir de esa fecha, de forma anticipada, con motivo de la transmisión del vehículo, tiene que enviar un escrito firmado a la compañía con copia de su DNI, fotocopia del contrato de compraventa o fotocopia del permiso de circulación ya transferido a la persona que hubiera comprado el vehículo (facilitándole la dirección de email correspondiente a estos efectos). - La parte reclamante manifiesta que el comprador quiere asegurar el coche con la ASEGURADORA a todo riesgo y la operadora le reitera que para ello es necesario que la parte reclamante curse primero la baja. La ASEGURADORA indica que la parte reclamante envió un email a Pelayo el 21/09/2021, a la dirección de correo electrónico solicitudbaja@pelayo.com, aportando copia de su DNI y un escrito firmado con fecha 27/08/2021 “a los efectos de tramitar la no renovación del seguro del vehículo contratado con ustedes. Se remite el escrito y se comprueba que la parte reclamante hace constar también “Que tengo la intención de vender el vehículo descrito. Con contrato de compromiso de venta de fecha 27/08/2021 y posterior contrato de compra de fecha 30/09/2021”. La ASEGURADORA señala que no aportó ninguno de los dos contratos. - Siniestros ocurridos con fechas 26/08/2021 y 29/08/2021 1. Siniestro 21147277 con fecha de ocurrencia: 26/08/2021 Fecha de declaración: 26/08/2021 Forma de declaración: mediante llamada telefónica, se aporta grabación. Datos del siniestro: […] la interesada manifiesta que ha vendido el coche y necesita repararlo de forma urgente por este motivo, porque no se lo puede entregar así a la persona que lo ha comprado. Asimismo, refiere que necesita un taller que se lo repare lo antes posible, por lo que se le ofrece la posibilidad de llevar el vehículo a un taller garantizado que trabaja con Pelayo, lo que acepta, facilitándose, por ello, cita con el taller: AUTOMOCIÓN RYCAUTO S.L. sito en XXXXXX, para el día siguiente, 27/8/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 Se aporta grabación de la conversación telefónica mantenida por la parte reclamante con la ASEGURADORA con fecha 27/08/2021 donde la parte reclamante manifiesta que “…Ayer di partes… y lo he llevado hoy (al taller), me lo han peritado y me lo tienen que arreglar para que el coche esté en condiciones. Yo sé que este señor va a contratar el seguro con vosotros…”. 1. Siniestro 21152561 con fecha de ocurrencia: 29/08/2021 Fecha de declaración: 06/09/2021 Forma de declaración: reclamación recibida de compañía contraria Dados del siniestro: Este siniestro es grabado el día 6/9/2021 por la reclamación de Allianz, compañía aseguradora del otro vehículo implicado en el siniestro, recibida a través del sistema informático, en la cual se indicaba que el siniestro había ocurrido con fecha 29/08/2021. El contrario que figura en la declaración amistosa del accidente es el abogado que aparece en el sello de un escrito que con fecha 23/09/2021 dirige la parte reclamante a la ASEGURADORA. Con fecha 16 de junio y 8 de julio de 2022 se solicita al taller AUTOMOCIÓN RYCAUTO S.L. sito en XXXXXX información relativa a la gestión de las reparaciones del vehículo de la parte reclamante. Con fecha 22 de junio y 14 de julio de 2022 tienen entrada en la sede electrónica de la AEPD las respectivas respuestas. A continuación, se expone la información trasladada. - En relación con la aclaración solicitada de si el día 27/08/2021 el vehículo referido fue llevado al taller y con qué motivo, para peritación y/o reparación y en el caso de que haya sido así, acreditación de la persona que realizó la entrega del vehículo, persona que lo retiró y fecha de la retirada. El taller traslada que la parte reclamante es la persona que entrega el vehículo para fotoperitar, pero no consta la fecha ya que, en protocolo interno, cuando un vehículo es llevado a fotoperitar no se toma nota en la base de datos, a excepción del teléfono para avisar al cliente cuando se ha peritado y puede ir a recogerlo. - En relación con el segundo siniestro aporta la siguiente información: C/ Jorge Juan, 6 28001 – Madrid o Fecha peritaje: 06/09/2021 a las 11:28 horas. o Foto peritación: C.C.C., DNI ***NIF.1 o Perito Pelayo: D.D.D. o Persona que entrega y retira el vehículo del taller : B.B.B., E.E.E., DNI ***NIF.2 o No consta fecha de entrega ni retirada del vehículo, se presume que el vehículo se entrega con fecha 06/09/2021 puesto que es la fecha en que se apertura la Orden de Reparación. No consta fecha de recogida, solo fecha del pago mediante transferencia el día 15/09/2021. El vehículo lo retira B.B.B., E.E.E., pero desconocemos la fecha ya que la empleada y recepcionista C.C.C., que quien realiza dicha entrega ya no trabaja en Automoción Rycauto. www.aepd.es sedeagpd.gob.es 7/22 - Aporta Orden Reparación del vehículo con fecha 06/09/2021 dirigida a B.B.B., E.E.E. y facturas dirigidas a la ASEGURADORA con fecha 10/09/2021 y a la parte reclamante con fecha 23/09/2021, donde se indica pagado y se refleja la fecha de la transferencia, 15/09/2021. Con fecha 7 de junio de 2022 se le solicita colaboración a la Dirección General de Tráfico, DGT, para la identificación de los titulares del vehículo referido en este expediente desde el 17 de noviembre de 2020 hasta la actualidad. Con fecha 1 de julio de 2022 la DGT informa de que dicho vehículo fue matriculado en España con fecha 25 de octubre de 2017 por la parte reclamante y que con fecha 29 de octubre de 2021 fue transferido a su actual titular, Dª XXX, con NIF ********X. Con fecha 7 de junio de 2022 se envía a la parte reclamante una solicitud de información relativa a los hechos que denuncia, entre la que se incluye el contrato de arras. Este requerimiento de información que tiene de fecha de acuse de recibo el 15 de junio de 2022 no ha sido atendido en plazo ni a fecha de redacción del presente informe. - En el mail aportado el AGENTE manifiesta que “B.B.B. comprador” le pidió la impresión de pantalla con la póliza de seguro del coche de la parte reclamante cuando comprobó que no podía hacer el seguro del coche de matrícula la del vehículo de la parte reclamante que había comprado, porque esa matrícula seguía activa en la ASEGURADORA, y temió que le estuvieran defraudando. - Se constata un hecho que despertó la sospecha de fraude en “B.B.B. comprador”, con fecha 06/09/2021 la parte reclamante declara a la ASEGURADORA un siniestro ocurrido el 29/08/2021, fecha posterior a la que la parte reclamante manifiesta haber firmado el contrato de arras para la venta de su vehículo, 27/08/2021.>> FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. El artículo 63.2 de la LOPDGDD determina que "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Disposiciones aplicables C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 El RGPD se refiere a los principios que presiden el tratamiento de los datos de carácter personal en el artículo el artículo 5, “Principios relativos al tratamiento”, que dispone: “1. Los datos personales serán: […]

1. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»); […] 2.El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” El artículo 32 del RGPD, “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
2. a)la seudonimización y el cifrado de datos personales;
3. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
4. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
5. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. III Responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 La ASEGURADORA reclamada es responsable de las presuntas infracciones del RGPD que dan lugar a la apertura de este procedimiento sancionador había cuenta de su condición de responsable del tratamiento efectuado. El artículo 4 del RGPD, “Definiciones”, se refiere en el apartado 7 al responsable del tratamiento o responsable como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Asimismo, el artículo 4.8 del RGPD define al encargado del tratamiento o encargado como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. La normativa sectorial de seguros contiene disposiciones específicas sobre la posición que ocupan, como responsable de tratamiento o encargado de tratamiento, los distintos sujetos que intervienen en la actividad de distribución de seguros. Es necesario, por ello, referirse al Real Decreto-Ley 3/2020, de 4 de febrero, de “medidas urgentes por el que se incorporan al ordenamiento jurídico español diversas directivas de la Unión Europea”, (en adelante el R.D-ley 3/2020) cuyo Libro Segundo está dedicado a las “Medidas para la adaptación del derecho español a la normativa de la Unión Europea en materia de seguros privados y planes y fondos de pensiones”. Los mediadores de seguros son una de las tres clases de distribuidores de seguros que contempla el Real Decreto-Ley 3/2020(artículo 134). A su vez, en la categoría de mediadores de seguros se incluyen los agentes de seguros y los corredores de seguros (artículo 135). Por otra parte, de acuerdo con el artículo 137 del R.D-Ley 3/2020, los mediadores de seguros pueden celebrar contratos mercantiles con “colaboradores externos” quienes realizaran actividades de distribución por cuenta de dichos mediadores pero que no tendrán en ningún caso la condición de mediadores de seguros. El artículo 137.2. establece que “Los colaboradores externos desarrollarán su actividad bajo la dirección, régimen de responsabilidad administrativa, civil profesional, y régimen de capacidad financiera del mediador para el que actúen.” A efectos del RGPD y la LOPDGDD, el artículo 203 del R.D-Ley 3/2020 precisa que los agentes de seguros tendrán la condición de encargados de tratamiento de la entidad aseguradora con la que hubieran suscrito el contrato de Agencia. Y añade que tendrán la condición de encargados de tratamiento de los agentes de seguros los colaboradores externos con los que éstos contraten en los términos previstos en el artículo 137 del R.D-Ley 3/2020. Así, el artículo 203 del R.D-Ley 3/2020, “Condición de responsable o encargado del tratamiento”, dispone: 1.A los efectos previstos en la Ley Orgánica 3/2018, de 5 de diciembre, así como en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/22 respecta al tratamiento de datos personales y a la libre circulación de estos datos:
6. a)Los agentes de seguros y los operadores de banca-seguros tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en el título I.
7. b)[…]
8. c)Los colaboradores externos a los que se refiere el artículo 137 tendrán la condición de encargados del tratamiento de los agentes o corredores de seguros con los que hubieran celebrado el correspondiente contrato mercantil. En este caso, solo podrán tratar los datos para los fines previstos en el artículo 137.1. 2. En el supuesto previsto en la letra
9. a)del apartado 1, en el contrato de agencia deberán hacerse constar los extremos previstos en el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Del mismo modo, en el supuesto previsto en el apartado 1.
10. c)deberán incluirse en el contrato mercantil celebrado con los colaboradores externos los extremos previstos en el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.” (El subrayado es nuestro) El artículo 204 del R.D-ley 3/2020, añade que “2. Los agentes de seguros […] únicamente podrán tratar los datos de los interesados en los términos y con el alcance que se desprenda del contrato de agencia de seguros y siempre en nombre y por cuenta de la entidad aseguradora con la que hubieran celebrado el contrato.” La oficina en la que tuvieron lugar los hechos objeto de la reclamación, ubicada en XXXX, pertenece al agente de seguros exclusivo de la ASEGURADORA, CUSEGUR 2015 Agencia de Seguros, S.L., con NIF B86920824. Efectivamente, como la ASEGURADORA ha alegado, la empleada de la oficina del agente no es empleada suya, sino de su encargado de tratamiento, el agente CUSEGUR. El agente, en este caso, actuó a través de su empleada en el desarrollo de la actividad de distribución en la que la ASEGURADORA había fijado los medios y los fines de los tratamientos que se realizaban. Es más, el agente CUSEGUR afirma que no medió en el contrato de seguro que la parte reclamante tenía suscrito con la ASEGURADORA desde 2020. De forma tal que, en el presente caso, CUSEGUR intervino únicamente en la actividad preparatoria de la contratación de una póliza de seguro de automóvil con un tercero, con quien la reclamante había celebrado un contrato de arras para la venta de su vehículo, quien acudió a su oficina en XXXX. El agente actuó en su condición de encargado de tratamiento de la ASEGURADORA reclamada, conforme al artículo 203.1.
11. a)del R.DLey 3/2020. IV Sobre la presunta infracción del artículo 5 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/22 1.Se atribuye a la ASEGURADORA una infracción del artículo 5.1.
12. f)del RGPD relativa al principio de confidencialidad. El considerando 39 del RGPD dice que “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” Procede mencionar, en este punto, la Sentencia del Tribunal Constitucional (STC) 292/2000, que en su Fundamento de Derecho 7, a propósito del contenido del derecho a la protección de datos personales, dice: “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.” (El subrayado es nuestro) 2.Consta acreditado en el expediente que la ASEGURADORA, a través de su encargado de tratamiento, el agente exclusivo COSEGUR, facilitó al tercero un documento en el que se recogían datos personales de la reclamante referentes a su identificación personal, contacto telefónico, domicilio y nacionalidad, y referentes a la póliza de seguro sobre el vehículo que ha dado origen a la controversia que nos ocupa y a los siniestros que había declarado a la ASEGURADORA durante la vigencia del contrato suscrito con ella. En su respuesta a la solicitud informativa de la Subdirección de Inspección la ASEGURADORA niega que hubiera vulnerado el derecho de la reclamante en materia de protección de datos y alega que el tercero tenía conocimiento de la información pues, tiempo antes de los hechos, el 27/08/2021, había suscrito con la reclamante un contrato de arras para la compra de su vehículo. Y añade que, habida cuenta de que tuvo en su poder el vehículo antes de que ocurrieran los hechos, cabe pensar que accedió a la documentación que debía figurar en el citado vehículo. En este sentido, se ha conocido a raíz de las actuaciones de inspección practicadas, que fue el tercero quien entregó y retiró el vehículo del taller de reparación. Si bien no se puede acreditar la fecha de la entrega en el taller se infiere que fue el 6/09/2021 por ser entonces cuando se abrió el parte para la peritación del vehículo. No obstante, no ha quedado acreditado que el tercero hubiera conocido con anterioridad a los hechos todos los datos concernientes a la reclamante que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/22 incluyeron en el documento al que tuvo acceso. A lo que cabe añadir que, para que el tercero pudiera acceder legítimamente a los datos de la afectada, debía existir una base jurídica para ese tratamiento conforme al artículo 6.1 del RGPD. La ASEGURADORA ha declarado a propósito de esta cuestión que la comercial de su agente de seguros actuó sobre la base del interés legítimo del tercero que, a su juicio, se puso de manifiesto por su condición de futuro comprador y tenedor en ese momento del vehículo objeto de la controversia. Frente a lo alegado por la parte reclamada, y sin perjuicio del resultado de la instrucción, se debe subrayar que, con arreglo al principio de proactividad, artículo 5.2 del RGPD, la ASEGURADORA debería en tal caso haber desplegado la diligencia que resultaba procedente, atendidas las circunstancias particulares que se presentaron, para acreditar que el tratamiento estaba basado en el fundamento de licitud que se invoca y haber recabado la documentación precisa para acreditar la concurrencia de esa base jurídica. Además, el tercero no resultó ser el comprador del vehículo pues según información suministrada por la DGT el vehículo referido en este expediente fue transferido con fecha 29/10/2021 a una persona cuyos datos no coinciden con los del tercero. 3. La Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) dispone en el artículo 28.1 que “Solo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, […] que resulten responsables de los mismos a título de dolo o culpa.” El considerando 74 del RGPD dice sobre esta cuestión: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” La Sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección 1ª, de 13/04/2005 (Rec. 230/2003), después de dar por sentado que la responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico y que debe de respetarse siempre el principio de culpabilidad -que se infiere de la Constitución, en particular de los principios de legalidad y de prohibición de exceso, artículo 25 C.E., o de las exigencias inherentes al a un Estado de Derecho-, dice lo siguiente: “En el caso presente es necesario tomar en consideración […] que cuando existe un deber especifico de vigilancia la culpa se integra por el simple incumplimiento del deber de vigilancia, sin que sea necesaria ninguna mayor acreditación a la hora de valorar si se ha producido la trasgresión del deber de guardar secreto. Este criterio resulta de sentencias como la de fecha 18 de Diciembre de 2002 (recurso 1096/2000) en un supuesto muy semejante al que ahora nos ocupa y cuyos argumentos son perfectamente trasladables al caso presente, según la cual "Pues bien, la conducta que configura el ilícito administrativo -artículo 44.2.
13. e)dela Ley Orgánica 5/1992requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/22 simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, (...) pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción prevista en el citado artículo. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente". (El subrayado es nuestro) En este caso, el elemento de la culpabilidad, necesario para que nazca la responsabilidad sancionadora frente a la ASEGURADORA, se conforma por la falta de diligencia demostrada por la parte reclamada en el cumplimiento del principio de confidencialidad. 4. La infracción del artículo 5.1.
14. f)del RGPD que se atribuye a la reclamada en este acuerdo de inicio se encuentra tipificada en el artículo 83.5.
15. a)del RGPD, que dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
16. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; […]” A efectos de prescripción de las infracciones, el artículo 72 de la LOPDGDD, bajo la rúbrica “Infracciones consideradas muy graves”, dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
17. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” V Sobre la presunta infracción del artículo 32 del RGPD 1.Se atribuye a la ASEGURADORA una infracción del artículo 32 del RGPD, precepto que obliga al responsable del tratamiento a garantizar la seguridad de los datos y a aplicar las medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad ajustado al riesgo que conlleva el tratamiento. La adecuación del nivel de seguridad al riesgo deberá ser evaluada por el responsable y reconsiderada periódicamente en función de los resultados obtenidos teniendo en cuenta para ello entre otros factores- los riesgos que pueda presentar el tratamiento como consecuencia de la comunicación no autorizada de dichos datos. Las medidas técnicas y organizativas que deberán de aplicarse son las pertinentes para responder al riesgo existente, valorando a tal fin, entre otros factores, el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/22 del tratamiento y los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. El considerando 83 del RGPD dice en ese sentido: “