← España

PS-00039-2018

1/8  Procedimiento Nº PS/00039/2018 RESOLUCIÓN: R/01304/2018 En el procedimiento sancionador PS/00039/2018, instruido por la Agencia Española de Protección de Datos a la entidad SANTA LUCÍA, S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS, vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: El 27/10/2017 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que SANTA LUCÍA, S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS (en lo sucesivo SANTA LUCÍA), aseguradora de la que ha sido cliente, le ha citado en sus oficinas para hacerle entrega de un regalo y, personado en el local, le han presentado un formulario para participar en un sorteo en el que consta impreso que consiente recibir publicidad. Ante este hecho, comunica a la empleada que no desea bajo ninguna circunstancia recibir información de los productos de la compañía. El denunciante aporta copia del formulario “Rellena tus datos para participar en el sorteo de un exclusivo iPad Mini”. En él figura impresa esta leyenda: “Sí estoy interesado en participar en el sorteo de un regalo promocional así como en recibir información de los productos” de SANTA LUCÍA, sin que conste en el citado documento ningún mecanismo para mostrar su negativa. SEGUNDO: Con fecha 20/01/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SANTA LUCÍA por una presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción leve en el artículo 44.2.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 900 a 40.000 euros, de acuerdo con el artículo 45.1 de dicha Ley Orgánica. TERCERO: Notificado el acuerdo de inicio, la representación de SANTA LUCÍA, mediante e-mail de 06/03/2018, solicitó una ampliación del plazo otorgado para formular alegaciones; plazo que fue ampliado por el instructor del expediente mediante escrito de fecha 07/03/2018. La representación de la entidad, en escrito de fecha 19/03/2018, formuló alegaciones en las que solicitó el archivo del expediente por cuanto, a su juicio y a tenor de la documentación aportada, los hechos no son constitutivos de infracción C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/8 alguna. Invoca en apoyo de su pretensión los argumentos siguientes: - La vinculación del denunciante con la entidad: a tal efecto manifiesta que el denunciante consta en sus archivos como asegurado de la póliza número ***POLIZA.1 del “Combinado de decesos y accidentes” (aporta documento) y también como “antiguo tomador” del seguro “Combinado de Hogar” (póliza número ***POLIZA.2). Esta póliza estuvo vigente hasta enero de 2017. En ella el tomador aceptó la cláusula de información comercial y no consta que con posterioridad a la extinción del contrato hubiera solicitado la cancelación de sus datos. Se adjunta copia de la póliza de seguro de hogar mencionada. - Que con que con ocasión de una campaña de fidelización llevada a cabo en ***LOCALIDAD.1 por el agente de seguros de la compañía “se ofreció a los clientes que acudieran para recibir diversos obsequios de la Aseguradora (camisetas, mochilas, etc.)” “…que a los clientes que acudieron se les ofreció la posibilidad de participar en un sorteo de un iPad Mini para lo cual debía de rellenar presencialmente un formulario respecto del cual, de las circunstancias y de su finalidad, resulta evidente la plena información de que disponían los participantes incluyendo tanto de la naturaleza de los datos como de su destino y demás informaciones exigidas por el artículo 5 LOPD”. - Que el documento del formulario que el denunciante cumplimentó (obra en el expediente una copia aportada con la denuncia y otra idéntica remitida por SANTA LUCÍA con el escrito de alegaciones) confirma sus manifestaciones. - Que la entidad actuó legítimamente cumpliendo todas las expectativas del cliente y proporcionando la información precisa. CUARTO: Con fecha 11/04/2018, de conformidad con lo dispuesto en el artículo 77 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se abrió un período de prueba acordando practicar las siguientes diligencias: - Incorporar y dar por reproducida a efectos de prueba la denuncia presentada y la documentación anexa. - Dar por reproducidas las alegaciones al acuerdo de inicio del procedimiento sancionador PS/00039/2018 formuladas por SANTA LUCIA y la documentación adjunta. QUINTO: En fecha 25/05/2018 fue emitida Propuesta de Resolución en el sentido de que, por la Directora de la Agencia Española de Protección de Datos se sancione a SANTA LUCÍA por infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
  2. c)de dicha norma, con multa de 5.000 € (cinco mil euros), de conformidad con lo establecido en el artículo 45.1 de la citada Ley Orgánica. Asimismo, se acompañó Anexo conteniendo la relación de los documentos que obran en el expediente a fin de obtener copia de los que se estimara conveniente. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/8 La propuesta de resolución se notificó electrónicamente a SANTA LUCÍA siendo la fecha de puesta a disposición el 25/05/2018 y la fecha de aceptación de la notificación electrónica el 28/05/2018. La representación de la entidad denunciada solicito una ampliación del plazo inicialmente otorgado para alegar y copia de la documentación del expediente el 07/06/2018; copia que fue remitida y ampliación que fue concedida mediante escrito de 08/06/2018. Finalizado el plazo conferido para presentar alegaciones a la propuesta de resolución (ex artículo 73.1 LPACAP), no se tiene noticia de la entrada en el Registro de este organismo de las alegaciones de la denunciada. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1. El 27/10/2017, tiene entrada en esta Agencia escrito del denunciante en el que manifiesta que SANTA LUCIA, aseguradora de la que ha sido cliente, le ha citado en sus oficinas para la entrega de un regalo; personado en el local le presentan un formulario para participar en el sorteo de un iPad mini y que una vez rellenado me entregan el regalo, pidiéndoles que no le llamen por teléfono, cuestión que en el cuestionario rellenado no se contempla ya que solo permite con un Si impreso que consiente en recibir publicidad, indicándole a la empleada que no deseo bajo ninguna circunstancia recibir información de sus productos. 2. El denunciante ha aportado el cuestionado correspondiente a Rellena tus datos y participa en el sorteo de un exclusivo iPad Mini en el constan los datos personales del denunciante y en el que consta a continuación del apartado Tipos de Seguro de que dispones y en grandes caracteres Sí y a continuación “estoy interesado en participar en el sorteo de un regalo promocional, así como recibir información de los productos de santalucia. Y doy mi consentimiento para que estos datos formen parte de un fichero, cuyos titulares es Santa Lucia A.A. Compañía de Seguros y Reaseguros, con domicilio en Plaza de España nº 15, 28008 Madrid; para que puedan enviarme la citada información y a donde podré dirigirme para poder ejercitar los derechos de acceso, rectificación, cancelación y oposición”. 3. SANTA LUCIA en escrito de 19/03/2018 aporta el mismo cuestionario con la indicación escrita en el mismo, a mano y en grandes caracteres, NO LLAMAR; aportan igualmente escrito de la Agencia de Osuna en la que indican que “Cuando un cliente rellena el formulario y manifiesta que no quiere recibir información comercial sobre los productos de santalucia, los empleados del agente realizan una anotación en el formulario NO LLAMAR para que el cliente no reciba comunicaciones comerciales”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/8 en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) II Se imputa a SANTA LUCIA una infracción del artículo 5 de la LOPD, “Derecho de información en la recogida de datos”, que establece: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  4. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  5. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  6. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  7. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  8. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  9. c)y
  10. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. El precepto concreta el momento en que se ha de informar al interesado del que se recaban datos personales -exactamente, con la recogida de los datos- y del contenido de la información que preceptivamente ha de facilitársele. El cumplimiento de lo dispuesto en el artículo 5 LOPD garantiza que el consentimiento al tratamiento que el titular de los datos otorgue sea ajustado a Derecho. Así, la LOPD define el consentimiento (artículo 3.h), como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consiente el tratamiento de los datos personales que le conciernan” (el subrayado es de la Agencia) Puede traerse a colación en este sentido por ser muy esclarecedora la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que se pronuncia sobre la vinculación entre el consentimiento al tratamiento de los datos y la información acerca de la finalidad del referido tratamiento: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/8 “(…) el derecho a consentir la recogida y el tratamiento de los datos personales (art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. (El subrayado es de la AEPD) III A la luz de la documentación que obra en el expediente y de lo manifestado por el denunciante, resulta acreditado que el Sr. A.A.A. fue cliente de SANTA LUCÍA hasta enero de 2017 pues suscribió con la entidad en el año 2011 una póliza de hogar (“Seguro Combinado del Hogar”) Obra en el expediente la Solicitud del contrato de seguro de hogar y las Condiciones Particulares del contrato firmadas por el denunciante en calidad de tomador de la póliza. El artículo 30 de la LOPD, “Tratamiento con fines de publicidad y de prospección comercial” dispone: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesado u obtenidos con su consentimiento” (…) 4. Los interesados tendrá derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”. (El subrayado es de la Agencia) A. Esta Agencia no tiene noticia -pues nada ha manifestado el denunciante al efecto- de que, bien durante la vigencia del referido contrato de seguro de hogar bien una vez terminado aquél, el afectado se hubiera dirigido a SANTA LUCÍA oponiéndose C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/8 al tratamiento de sus datos con fines publicitarios. Si, como parece desprenderse de la documentación aportada por SANTA LUCÍA, el denunciante es “asegurado”, que no tomador, de una póliza de decesos, la entidad continúa legitimada para tratar sus datos con la finalidad exclusiva de dar cumplimiento a las obligaciones asumidas en su virtud; en ningún caso para el tratamiento de sus datos con fines publicitarios. De tal modo que, una vez terminado el contrato de seguro de hogar, si el denunciante y tomador de dicho contrato no deseaba recibir publicidad debería haberse opuesto al tratamiento con fines publicitarios, ya que no procedía solicitar la cancelación de sus datos al encontrarse SANTA LUCÍA legitimada para el tratamiento en virtud del seguro de decesos en el que el denunciante es asegurado. En la medida en que esta Agencia no tiene constancia de que el denunciante se hubiera opuesto al tratamiento de sus datos con fines publicitarios y de prospección comercial -ya fuera durante la vigencia del seguro de hogar ya fuera después de extinguido ese contrato- SANTA LUCÍA podía legítimamente tratar los datos de su antiguo cliente -actual denunciante- con fines publicitarios. Razón por la cual la llamada telefónica que el denunciante recibió en su domicilio invitándole a pasarse por sus oficinas en ***LOCALIDAD.1 para recoger un regalo era ajustada a Derecho. Precisión que parece necesaria pese a que tal conducta -la llamada telefónica a su domicilio para recoger un regalo- no constituye el objeto de la denuncia. B. Centrándonos en el cuestionario sobre el que versa la denuncia que ha motivado la apertura de este expediente sancionador han de hacerse las siguientes consideraciones: El formulario de SANTA LUCÍA que es objeto de la denuncia, a través del que se recogían datos personales y en el que efectivamente no se ofrecía mecanismo alguno para que el titular de los datos mostrara su negativa a recibir publicidad, era de cumplimentación obligatoria para participar en un sorteo de un Ipad Mini. No estamos ante un formulario de recogida de datos en el marco de contrato entre el denunciante y SANTA LUCÍA, ni menos aún en el marco de un “proceso de formación de un contrato”. Se concluye por ello que no resulta de aplicación al supuesto que nos ocupa el artículo 15 del Reglamento de desarrollo de la LOPD (RLOPD), precepto que exige que el formulario de recogida de los datos permita la marcación de una casilla claramente visible que no esté pre marcada para manifestar la negativa a un tratamiento determinado que sea distinto del que está implícito en el cumplimiento y ejecución del contrato, como pudiera ser el tratamiento con fines publicitarios. No resulta de aplicación esa disposición toda vez que el artículo 15 RLOPD se circunscribe a aquellos supuestos en los que se solicita el consentimiento “en el proceso de formación de un contrato”, situación que no se produce en el supuesto analizado. El artículo 15 del RLOPD establece que “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 7/8 manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” (El subrayado es de la Agencia) Respecto al formulario de SANTA LUCÍA, en el que la entidad efectivamente recogía datos personales pero no en el marco de un contrato en formación, la obligación de la aseguradora era únicamente la de informar al afectado en los términos del artículo 5 LOPD y no la impuesta por el artículo 15 RLOPD. Así viene a reconocerlo implícitamente la SAN de 30/01/2013 (Rec. 400/2011) que confirmó la resolución sancionadora dictada por la AEPD por incumplir la obligación del artículo 15 RLOPD en el marco de una contratación. Frente a la pretensión de la entidad sancionada de que procedía únicamente aplicar el artículo 5 LOPD la Sala de la Audiencia manifestó (Fundamento de Derecho Sexto): <<La persona que una vez elegido su producto por catálogo llama por teléfono a la entidad recurrente para realizar el pedido, sabe lógicamente, que tiene que entregar una serie de datos para tramitar y gestionar el pedido. Ahora bien, cuando se trata del tratamiento de datos para actividades como por ejemplo de prospección comercial, que no tienen relación directa con el mantenimiento, desarrollo o control de la relación contractual que motivó la recogida de datos, no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el artículo 15 del RDLOP en relación con el deber de información en la recogida de datos regulado en el citado artículo 5.1 LOPD. C. Sentado lo anterior, procede analizar si el formulario de SANTA LUCÍA a través del cual se recogían datos personales de las personas interesadas en participar en un concurso de un Ipad se adecuó a las exigencias del artículo 5 LOPD. La leyenda que el formulario incorpora dice: “Sí estoy interesado en participar en el sorteo de un regalo promocional, así como recibir información de los productos de santalucia. Y doy mi consentimiento para que estos datos formen parte de un fichero, cuyos titulares es Santa Lucia A.A. Compañía de Seguros y Reaseguros, con domicilio en Plaza de España nº 15, 28008 Madrid; para que puedan enviarme la citada información y a donde podré dirigirme para poder ejercitar los derechos de acceso, rectificación, cancelación y oposición” Señalar a propósito de esta leyenda que mediante la cumplimentación del formulario -que es un acto libre y voluntario, del que no depende el nacimiento de una relación contractual ni su vigencia- el titular de los datos otorga el consentimiento expreso, libre e informado, al tratamiento de sus datos con dos finalidades: participar en un concurso y recibir publicidad de los productos de SANTA LUCÍA. Así pues, siendo esas las finalidades para las que se recaba el consentimiento a través del ciado formulario quien no desee otorgarlo deberá de abstenerse de cumplimentarlo. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 8/8 Por otra parte, el examen del cuestionario permite concluir que en él se informó, con carácter previo a la recogida de los datos, de manera expresa, precisa e inequívoca, de que aquéllos se incorporarían a un fichero; de cuál es la finalidad del tratamiento (participar en un sorteo y enviar publicidad); de la identidad y dirección del responsable del fichero y de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. En consideración a lo expuesto, al no apreciarse en la conducta que constituye el objeto de la denuncia indicios de una presunta infracción de la normativa de protección de datos de carácter personal, corresponde acordar el archivo de la denuncia. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Acordar el ARCHIVO del expediente sancionador PS/00039/2018, instruido a SANTA LUCÍA, S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS, con NIF A28039790, por cuanto no se aprecia en la conducta sometida a la valoración de esta Agencia indicios de infracción de la normativa de protección de datos. SEGUNDO: NOTIFICAR la presente resolución a SANTA LUCÍA, S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.