PS-00039-2017

1/9 Procedimiento Nº PS/00039/2017 RESOLUCIÓN: R/02453/2017 En el procedimiento sancionador PS/00039/2017, instruido por la Agencia Española de Protección de Datos a la entidad SANTA LUCIA S.A. COMPAÑIA DE SEGUROS Y REASEGUROS, vista la denuncia presentada por Dña. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 14 de noviembre de 2016 tiene entrada en esta Agencia Española de Protección de Datos (AEPD) escrito de Dña. A.A.A. (en lo sucesivo el denunciante) en el que manifiesta ser cliente de SANTA LUCIA, S.A. COMPAÑÍA DE SEGUROS Y REASEGUROS. SANTA LUCIA ASEGURADORA (en lo sucesivo SANTA LUCIA). La entidad ofrece la opción de gestión de sus servicios vía online para lo cual el cliente suscribe un contrato de servicios vía internet entre cuyas cláusulas se establece: “Tratamiento informático de datos personales Santalucia le informa que los datos de carácter personal, suministrados voluntariamente por el Cliente a través de la página web de santalucía, serán incluidos en las bases de datos de santalucía, con la finalidad de gestionar cualquier solicitud, precontrato, contrato, servicio o prestación que solicite a través de la misma. El Cliente acepta: Que renuncia a su derecho de comunicación de la primera cesión de datos y consiente que, con posterioridad, se recaben datos suyos de carácter personal comunicados por terceros. Asimismo, se compromete a informar a los terceros cuyos datos personales ha comunicado a santalucía de que se ha producido tal comunicación. Que santalucía pueda tratar sus datos, incluso después de finalizada la relación contractual, para crear perfiles específicos de cliente en relación con los seguros que comercializa y remitirle publicidad de sus productos o servicios, incluidas comunicaciones comerciales electrónicas, así como publicidad de productos o servicios de otras entidades aseguradoras, entidades de crédito y gestoras de residencias de tercera edad, con las que santalucía establezca acuerdos de colaboración. La realización de encuestas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 El envío de Boletines Informativos por medio de correo electrónico, previa suscripción voluntaria (ver el enlace Boletines en la página web) con la finalidad de remitirle información sobre santalucía, elaboración de encuestas de productos o servicios de otras entidades aseguradoras, entidades de crédito y gestoras de residencias de la tercera edad, con las que santalucía tenga algún acuerdo de colaboración. El Cliente podrá en cualquier momento ejercer sus derechos de acceso, rectificación, cancelación y oposición en relación con sus datos de carácter personal, para lo cual puede dirigirse por escrito al responsable del tratamiento Santa Lucía S.A., Compañía de seguros y Reaseguros, (C/...1), a la atención del Departamento de Seguridad Informatica, a la dirección de correo electrónico: arcolopd@santalucia.es, o al Servicio de Atención al Cliente ((C/...1))” SEGUNDO: Con fecha 28 de marzo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SANTA LUCIA por presunta infracción del artículo 5 de la LOPD, en relación con el 15 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), tipificada como leve en el artículo 44.2.

1. c)de la citada Ley orgánica. TERCERO: Notificado el acuerdo de inicio, SANTA LUCIA formuló las siguientes alegaciones: 1ª. Los hechos denunciados se refieren a la opción que la entidad ofrece a sus clientes (aquellos que ya son tomadores de un seguro) de contratar la gestión de sus servicios vía online y para lo cual se les ofrece de manera voluntaria contratar este servicio, y en ningún caso a la contratación online de los servicios de la entidad por cuanto esta posibilidad no existía hasta el presente año 2017. 2ª El único contrato que liga a SANTA LUCIA con el cliente es el contrato de seguro en el cual se informa en los términos exigidos por el artículo 5 de la LOPD, y se ofrece la posibilidad de oponerse al envío de comunicaciones comerciales. 3ª. La denunciante consintió el tratamiento de sus datos personales incluso después de finalizada la relación contractual, y para remitirle comunicaciones comerciales por cuanto en fecha 01/11/2011 firmó un suplemento de la póliza del seguro que tenía contratado con la entidad, documento en el cual no marcó la casilla contenida en el mismo y que le ofrecía la posibilidad de oponerse a los referidos tratamientos de datos. Si bien posteriormente y a través de una llamada telefónica de fecha 27/10/2016 manifestó su oposición al tratamiento de datos con fines comerciales. 4ª El servicio de gestión online, cuya aceptación en voluntaria y totalmente gratuita, se ofrece únicamente con la finalidad de dar la posibilidad al cliente de auto gestionar con mayor sencilla y disponibilidad los datos de sus pólizas en vigor. No se trata de un contrato bilateral y oneroso, sino más bien de unas condiciones de uso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 5ª En el proceso de incorporación de la posibilidades tramitar online lo relativo a sus pólizas se ofrece al cliente la opción de aceptar o rechazar las condiciones del servicio de autogestión mediante estas opciones que se visualizan en ambas casillas y que el cliente debe seleccionar una u otra, de tal manera que en el presente caso la denunciante no aceptó las condiciones del ofrecimiento de prestación de servicios vía online y por tanto el procedimiento de selección de este servicio no se culminó. QUINTO: En fecha 09/08/2017 se emitió propuesta de resolución en el sentido de imponer a SANTA LUCIA una multa de 10.000 € por la infracción del artículo 5 de la LOPD en relación con el 15 del RLOPD. SEXTO: Notificada la propuesta de resolución SANTA LUCIA reitera que no existe ningún nuevo servicio ni nueva formación contractual, el contrato sigue siendo el originario de seguro y que únicamente se abre la posibilidad de sumar a ello la gestión on-line. La finalidad de la nueva gestión online es la propia del mantenimiento, desarrollo o control de la relación contractual, y en cuanto se introduce un nuevo elemento cual es, la información publicitaria, es este elemento el que convierte en lógica la introducción de la casilla de aceptación o rechazo cumpliendo con lo exigido con el artículo 15 de la LOPD. De manera subsidiaria, graduación de la sanción conforme a los criterios del artículo 45.4 de la LOPD, habida cuenta que se trata de un sólo caso, la ausencia de intencionalidad y de perjuicios los interesados. HECHOS PROBADOS PRIMERO: En la página web www.santalucia.es, titularidad de SANTA LUCIA se ofrece a sus clientes la opción de gestionar sus pólizas online para lo cual es necesario su registro en el Área de Clientes (Área Privada) de dicha web. SEGUNDO: Para efectuar dicho registro el cliente debe facilitar una serie de datos “Datos del asegurado/Tomador del Seguro” entre los cuales y de manera obligatoria están: nombre, primer apellido, NIE/NIF, fecha de nacimiento y e-mail. TERCERO: Una vez facilitados los datos personales la citada web muestra al cliente un documento denominado “Contrato de Servicios Vía Internet” en el cual figura, de una parte SANTA LUCIA, y de otra el cliente identificado con su nombre y apellidos y NIF, señalando que la formalización del mismo se regirá por (entre otras) las siguientes “CONDICIONES: Objeto: El objeto del presente contrato es la concesión de acceso al Cliente para que pueda hacer uso del servicio on-line a través de Internet y acceder telemáticamente a la información relativa a los productos y servicios de los que sea titular Servicio: A través de este servicio el Cliente podrá acceder de modo seguro (SSL Secure Sockets Layer) a los datos de las pólizas que tengan suscritas o suscriba en el fututo y siempre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 que el modo de contratación de estas lo permita, y a realizar las operaciones que estén en servicio y a las que en un futuro se vayan habilitando. Las operaciones realizadas a través de este servicio estarán sujetas a los términos y condiciones pactadas en los contratos que dan origen a la relación aseguradora entre ambas partes. Procedimiento de incorporación: El Cliente deberá solicitar su incorporación al servicio a través de página web de santalucía facilitando los datos que se le soliciten al objeto de validar su identidad y formalizar este contrato. El Cliente podrá acceder, consultar y obtener una copia en soporte duradero de las Condiciones Generales del presente contrato, a través del Área de Clientes de la web de la Compañía (http://www.santalucia.
2. es)… Duración: El contrato se pacta por tiempo indefinido, siempre y cuando se mantengan en vigor la póliza o pólizas suscritas por el Cliente que dan origen al presente contrato. No obstante las partes podrán solicitar su resolución mediante notificación escrita dirigida a la otra parte (además con la posibilidad que el Cliente lo notifique a través de la página web). Tarifas: El servicio para la concesión de acceso al Cliente para que pueda hacer uso del servicio on-line a través de Internet y acceder telemáticamente a la información relativa a los productos y servicios de los que sea titular se prestará con carácter gratuito. “Tratamiento informático de datos personales: Santalucia le informa que los datos de carácter personal, suministrados voluntariamente por el Cliente a través de la página web de santalucía, serán incluidos en las bases de datos de santalucía, con la finalidad de gestionar cualquier solicitud, precontrato, contrato, servicio o prestación que solicite a través de la misma. El Cliente acepta: Que renuncia a su derecho de comunicación de la primera cesión de datos y consiente que, con posterioridad, se recaben datos suyos de carácter personal comunicados por terceros. Asimismo, se compromete a informar a los terceros cuyos datos personales ha comunicado a santalucía de que se ha producido tal comunicación. Que santalucía pueda tratar sus datos, incluso después de finalizada la relación contractual, para crear perfiles específicos de cliente en relación con los seguros que comercializa y remitirle publicidad de sus productos o servicios, incluidas comunicaciones comerciales electrónicas, así como publicidad de productos o servicios de otras entidades aseguradoras, entidades de crédito y gestoras de residencias de tercera edad, con las que santalucía establezca acuerdos de colaboración. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 La realización de encuestas. El envío de Boletines Informativos por medio de correo electrónico, previa suscripción voluntaria (ver el enlace Boletines en la página web) con la finalidad de remitirle información sobre santalucía, elaboración de encuestas de productos o servicios de otras entidades aseguradoras, entidades de crédito y gestoras de residencias de la tercera edad, con las que santalucía tenga algún acuerdo de colaboración. El Cliente podrá en cualquier momento ejercer sus derechos de acceso, rectificación, cancelación y oposición en relación con sus datos de carácter personal, para lo cual puede dirigirse por escrito al responsable del tratamiento Santa Lucía S.A., Compañía de seguros y Reaseguros, (C/...1), a la atención del Departamento de Seguridad Informatica, a la dirección de correo electrónico: arcolopd@santalucia.es, o al Servicio de Atención al Cliente ((C/...1))” CUARTO: En este proceso de contratación se ofrece al cliente la opción de “aceptar” o “rechazar”. Caso de seleccionar “aceptar” el cliente consiente en la contratación referida en el hecho anterior. Caso de seleccionar “rechazar” no se verificará la referida contratación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Se imputa a SANTA LUCIA una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
4. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
5. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
6. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
7. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
8. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
9. c)y
10. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, SANTA LUCIA debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. El alcance y la manera en la que debe recabarse el consentimiento vienen recogida en los arts. 12.2 y 15 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establecen lo siguiente: “Artículo 12 Principios generales 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. Corresponde pues analizar el contenido y alcance del consentimiento que SANTA LUCIA solicita a sus clientes cuando estos se registran el en Área de Clientes (Área Privada) a través del formulario online contenido en la web de la entidad y que debe ser rellenado a tal efecto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 En este caso si bien los datos facilitados por los clientes en el citado proceso de registro son datos que ya obran en poder de SANTA LUCIA, lo sustantivo del caso es que ese proceso de registro supone la contratación por parte de los clientes de un servicio distinto al que ya disponen en atención a la póliza o pólizas de las que son tomadores, y por tanto estamos ante un proceso de formación de un contrato (su carácter no oneroso es indiferente) en el cual se solicita al cliente el consentimiento para el tratamiento de sus datos para finalidades (en este caso publicitarias) que no guardan relación directa con el mantenimiento, desarrollo o control de la relación contractual, la cual tiene por objeto la “concesión de acceso al Cliente para que pueda hacer uso del servicio on-line a través de Internet y acceder telemáticamente a la información relativa a los productos y servicios de los que sea titular”. Por tanto, en el proceso de contratación de un nuevo servicio SANTA LUCIA solicita a sus clientes consentimiento para el tratamiento de sus datos para finalidades que no en modo alguno guardan relación con el servicio, ya que estas nuevas fincalidades (publicitarias) no tienen relación alguna con el servicio que se contrata. Determinado lo anterior resulta acreditado que en el proceso de formación del referido contrato (en el proceso de registro en el Área de Clientes), SANTA LUCIA no permite a sus clientes manifestar su negativa al tratamiento de sus datos con los fines publicitarios que se recogen en las condiciones del “contrato de servicios vía internet”, en concreto, “….crear perfiles específicos de cliente en relación con los seguros que comercializa y remitirle publicidad de sus productos o servicios, incluidas comunicaciones comerciales electrónicas, así como publicidad de productos o servicios de otras entidades aseguradoras, entidades de crédito y gestoras de residencias de tercera edad, con las que santalucía establezca acuerdos de colaboración. La realización de encuestas.” Alega SANTA LUCIA que la posibilidad de gestión online no se trata de un nuevo contrato o servicio y que se enmarcaría en un servicio necesario para el mantenimiento de la relación contractual y por tanto el tratamiento de los datos con fines publicitarios no constituiría un tratamiento para finalidades no relacionadas directamente con el mantenimiento, desarrollo o control de la misma. Resulta indiferente la calificación jurídica que al servicio de gestión online pueda darle SANTA LUCIA por cuanto lo cierto es que para poder acceder a dicho servicio la entidad exige, sin posibilidad de oponerse en ese momento, el otorgamiento del consentimiento para el tratamiento de sus datos con fines publicitarios, fines que reiteramos no guardan relación directa con el mantenimiento, desarrollo o control de la relación contractual (pólizas de seguros), vulnerando por tanto lo establecido por el artículo 5 LOPD y 15 RLOPD. Recordar que este tratamiento de datos con fines publicitarios en modo alguno es necesario para el mantenimiento de la relación contractual ya que como indica la propia entidad el registro en el servicio online es voluntario, y por tanto los clientes pueden o no registrarse y solicitar dicho servicio. III El artículo 44.2.
11. c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” Por tanto en el caso que nos ocupa se ha podido comprobar que SANTA LUCIA incumple lo dispuesto en el artículo 5 LOPD, en relación con el artículo 15 del RD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 1720/2007, en la medida en que se ha podido comprobar que, en el proceso de formación del contrato de servicio vía internet, no permite a sus clientes manifestar su negativa al tratamiento de sus datos personales para finalidades (publicitarias) que no guardan relación directa con el mantenimiento, desarrollo o control del contrato ya que este tiene por objeto que los clientes gestionen sus pólizas online, para lo cual el tratamiento de sus datos con fines publicitarios en modo alguno se constituye como necesario a los efectos señalados anteriormente. Por tanto debe considerarse que SANTA LUCIA ha incurrido en la infracción leve descrita, sin que se acredite que este prpceder haya sido variado por la entidad en el sentido de permitir a los clientes que se registran para solicitar el servicio de gestión online de sus pólizas la posibilidad de oponerse en el momento del registro al tratamiento de sus datos con fines publicitarios. IV El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
12. a)El carácter continuado de la infracción.
13. b)El volumen de los tratamientos efectuados.
14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
15. d)El volumen de negocio o actividad del infractor.
16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
17. f)El grado de intencionalidad.
18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Procede graduar la sanción propuesta de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD, que operan como agravantes: - la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, pues resulta evidente que el desarrollo de la actividad empresarial de la entidad requiere de un continuo tratamiento de datos personales (artículo 45.4c)) - el volumen de negocio o actividad del infractor, toda vez la entidad es una de las grandes entidades aseguradoras del país. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 PRIMERO: IMPONER a la entidad SANTA LUCIA S.A. COMPAÑIA DE SEGUROS Y REASEGUROS, por una infracción del artículo 5.1 de la LOPD en relación con el artículo 15 del RLOPD, tipificada como Leve en el artículo 44.2.
22. c)de la LOPD, una multa de 10.000 €, de conformidad con lo establecido en el artículo 45.1 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a SANTA LUCIA S.A. COMPAÑIA DE SEGUROS Y REASEGUROS. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
23. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es