1/18 Procedimiento Nº PS/00117/2016 RESOLUCIÓN: R/01980/2016 En el procedimiento sancionador PS/00117/2016, instruido por la Agencia Española de Protección de Datos a la entidad MGS SEGUROS Y REASEGUROS, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 05/11/2015 tiene entrada en esta Agencia una denuncia de A.A.A. (en lo sucesivo la denunciante), en la que declara que la aseguradora MGS SEGUROS Y REASEGUROS, S.A. (en lo sucesivo MGS), utilizó sus datos personales para hacer una póliza de hogar por su cuenta, la número ***PÓLIZA.
- Tiene constancia de la existencia de la póliza cuando le llega noticia del procedimiento judicial monitorio ******/2014 de 27/06/2014 iniciado por la denunciada, reclamándole la prima de la anualidad del 2014-
- La denunciante explica: “Tenemos una cuenta conjunta con mi esposo B.B.B. en BANKIA. En el año 2013, intentamos contratar una póliza de hogar, por intermedio de nuestra sucursal bancaria con la aseguradora MGS a nombre de C.C.C., dicha póliza era la acabada en número 74, pero dimos la orden de bloquearla y anularla”, porque la fecha de efectos se quería que fuese para finales del mes de febrero del 2013, y MGS la hace efecto va para el 30/12/
- No obstante el Banco efectuó el cobro del recibo en “múltiples ocasiones”. “Dirigimos una reclamación a atención al cliente de BANKIA por su mala gestión de contratación. Además, recibieron una carta de MGS sobre la citada póliza, precisando que quedaba cancelada. “A Bankia se le pasó devolver un descuento de esta póliza por valor de 185,18 €, suma que se apropió de forma indebida la aseguradora para hacer una póliza de hogar por su cuenta, la acabada en 43 en la cual utilizo mi nombre en forma ilegal”. Añade la denunciante que denuncia la suscripción de una nueva póliza de hogar, la acabada en 43 sobre el mismo inmueble, apareciendo ella como titular, y que MGS se apropió de la cantidad de 185,18 € como prima de la póliza, de lo que no se dio cuenta hasta que recibió el 27/06/2014 noticia de la demanda judicial de MGS que pretendía cobrar la prima de 2014-
- Aporta: 1) Copia extracto del Seguro Hogar con tomador B.B.B. , póliza 74, suscrito con CAJA RIOJA MEDIACIÓN DE SEGUROS, efecto desde 30/12/2012 a 30/12/2013 y la vivienda asegurada: (C/...1) de ***LOCALIDAD.1, La Rioja, figurando cono cuenta bancaria de domiciliación: ***CCC.1 importe 185,18 €. 2) Copia de escrito MGS de 7/03/2013 en el que informa que queda sin efecto la citada póliza 74 por impago de la primera prima. 3) Copia de escrito de solicitud de 26/02/2013, sellada por BANKIA, en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 que B.B.B. insta la devolución de adeudo domiciliado de 185,18 € por la póliza acabada en
- 4) Copia de hoja resumen de seguro hogar, póliza 43, a nombre de la denunciante, efectos desde 1/02/2013 a 1/12/2014, importe 185,18 € domiciliación bancaria ***CCC.1, operador de banca seguro: CAJA RIOJA MEDIACION, y copia de extracto de recibo de 25/03/2014 emitido por MGS sobre la misma póliza por importe de 199,40 €. 5) Copia de reclamación de 199,40 €, presentada ante el Juzgado de Primera instancia por MGS contra la denunciante, reclamando 199,40 €, prima asociada a la póliza de hogar acabada en 43, titularidad de la denunciante. 6) Copia de la sentencia 103/2015 dictada por el Juzgado el 25/05/2015 que resuelve la reclamación de cantidad. En la misma, se pone de manifiesto que no puede considerarse justificado que la demandada firmara y aceptara el contrato de seguro en virtud del cual la aseguradora reclama, pues negó la firma del contrato y la aseguradora presentó un documento carente de firma en el apartado correspondiente al tomador del seguro. Entre los fundamentos de derecho, en el primero se indica que la denunciante (demandada) niega la suscripción del contrato de seguro, asegurando que tuvo dos pólizas de seguro sobre la misma vivienda, si bien la otra estaba a nombre de su esposo. También se refiere a la doctrina a aplicar, procedente de la sentencia de 19/09/2011 de la Audiencia Provincial de Sevilla, fundamento de derecho segundo, párrafo tercero que indica: “...ante la falta de firma del asegurado de la póliza y la negación del demandado de la falta de consentimiento es obvio que no basta para acreditar la relación jurídica con la aportación por la aseguradora de un contrato de seguro, que es un contrato de adhesión elaborado por ella misma. Será preciso acreditar mediante la utilización de otros medios probatorios previstos en las leyes procesales que el demandado prestó su consentimiento y se obligó en los términos que vienen establecidos en la póliza, para que el Tribunal adquiera la convicción de la realidad de la existencia de la relación jurídica. Es comprensible que en la dinámica mercantil generadora de relaciones de aseguramiento propias de la actividad de la demandante, en algunas ocasiones pueda resultar, por circunstancias varias, que una determinada Póliza no sea firmada por el asegurador, no quedando constancia expresa de su consentimiento. Pero si se da esta situación, y el asegurado niega haber concertado relación jurídica alguna con la aseguradora, no basta que en el proceso se presente un ejemplar de contrato de seguro sin firmar para acreditar la existencia del contrato. Es preciso en este caso que la demandante efectúe un mayor esfuerzo probatorio y presente en el Juzgado unas pruebas documentales, testificales o de cualquier otra naturaleza que por sí solas o en su conjunto lleven a la convicción del Juzgador que la relación jurídica en la que se funda la demanda es cierta y vincula a las partes litigantes. ”La sentencia aportada indica que “Tal falta de prueba ha de conllevar la desestimación de la demanda por no estar acreditado el devengo de la cantidad que reclama en virtud de un contrato cuya existencia no está justificado” En el fallo, se desestima la demanda presentada por MGS SEGUROS contra la denunciante y la absuelve de los pedimentos deducidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 7) Copia de su contestación a esa demanda, presentada por la denunciante el 2/09/2014 en la que indica que el 18/03/2013 contrataron la póliza de hogar acabada en 20 por importe de 185,44 € a nombre de B.B.B. , pero que no ha contratado la póliza 43 ni adeuda el importe reclamado de 199,44 €. 8) Copia de reclamaciones de pago de MGS a la denunciante, de 7/03 y 2/04/2014 de seguro hogar póliza 43, 199,40 € indicando que el mediador del seguro fue CAJA RIOJA MEDIACION DE SEGUROS, y el acuse de recibo de uno de ellos, con fecha 7/04/
- 9) Copia impresa de extractos de movimientos de cuenta de entidad 2038 – BANKIA- imprimidos a 1/08/2014 en los que pueden verse, desde 31/12/2012 diversos cargos y retrocesiones de la cantidad de 185,18 €, hasta 25/02/2013, y de 199,40 € desde 11/02/2014 a 3/03/2014 manifestando la denunciante que corresponden a cargos y retrocesiones de los abonos por los seguros. 10) Copia de escrito dirigido a MGS de 30/12/2014 en que solicita la devolución de la cantidad de 185,18 € por la póliza 43
(40)no contratada que se entrega en MGS según acuse de recibo el 5/01/2015 (folio 40 a 43). En el escrito firmado por la denunciante y su esposo precisan que en el 18/03/2013 se contrató una póliza de seguro de hogar, la acabada en 20 a nombre de B.B.B. por valor de 185, 44 €, y les figura también la acabada en 43 a nombre de la denunciante por valor de 185,18 € que no reconoce. 11) Copia de escrito de BANKIA de 5/03/2015 en el que detalla que la póliza 43 a nombre de la denunciante no ha sido contratada en BANKIA y la intermediación no consta.
(49). 12) Copia de escrito de 1/10/2015 dirigido a MGS, defensor del Cliente en el que reproduce la no contratación de la póliza 43 y que la póliza 20 se abonó en efectivo sin proporcionar número de cuenta de domiciliación, que esta póliza la cancelación antes de su vencimiento, en enero 2014, y que pese a ello en 2014 se les pasa al cobro el pago de dicha póliza 20 y de la 43. Aporta copia de la respuesta, que no es de MGS sino de una entidad denominada D.A. DEFENSOR SL indicando que el asunto se resolvió en el juicio con sentencia 103/2015 y que daban traslado a MGS del escrito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita a MGS:
- a)Copia de los datos que de la denunciante figuren en sus sistemas.
- b)Copia del contrato de seguro póliza 43, fecha efecto 1/02/2013.
- c)Copia de documentación que acredite fechas e importe de vencimientos pagados Con fecha 29/01/2016, MGS informa: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 1. Aportan impresión de pantalla de sus sistemas informáticos donde consta la denunciante como tomador de una póliza de Hogar con número ***PÓLIZA.1. El domicilio que figura es (C/...1) (La Rioja). En mediador figura BANKIA. 2. El origen de estos datos según manifestaciones de la entidad se encuentra en la solicitud-cuestionario del seguro de hogar. Adjunta copia del mismo, conteniendo los datos de la denunciante, entidad bancaria 2037, CAJA RIOJA, cuenta ***CCC.1 importe 185,18 €, figurando una firma, que cotejada con el DNI o la denuncia presentada por la denunciante no se asemeja en nada, siendo sustancialmente disimilar con las de su DNI o la de la denuncia. Consta fecha de efectos 1/02/2013 pero no consta la fecha en que se firma. La vivienda asegurada es (C/...1) (La Rioja). Además del cuestionario se adjunta las condiciones de contratación en las que se indica que el ejercicio de los derechos se podrá ejercitar ante MGS, titular del fichero y que el servicio de atención al cliente es la entidad DA Defensor SL con la dirección
(94). En este caso concreto, manifiestan que se recibió en la sucursal de MGS la solicitud de emisión de nueva póliza firmada por la denunciante para la emisión de una póliza a su nombre; que se recibió copia de su DNI acreditativo de su identidad y se formalizó el pago mediante recibo enviado al cobro a la cuenta designada por la tomadora en la solicitud del seguro. Aportan copia de la póliza, constando fecha de efecto de la póliza el día 01/02/2013. Asimismo, aportan copia del DNI de la denunciante sin sello o marca alguna, ni fecha. La copia de la póliza aportada se encuentra sin firmar por el tomador. Manifiestan que es frecuente que las pólizas enviadas a los tomadores no se devuelvan firmadas a la compañía de seguros; que esta circunstancia no supone ni puede suponer que no se proporcione por la compañía aseguradora la cobertura solicitada ya que, esa medida supondría la casi total paralización de la actividad aseguradora; que la aportación de la solicitud de emisión de la póliza, firmada por el tomador, junto a la copia de su DNl acreditativo de su identidad, es requisito suficiente en la práctica aseguradora para que las compañías procedan a la emisión de la póliza, póliza cuyo consentimiento inequívoco final es el pago por el tomador del importe de la prima convenida. No aporta ni acredita el medio por el que recibió la solicitud de emisión de póliza y el DNI. Adjuntan copia de un registro interno en el que según manifiestan, consta como cobrada la prima cobrada, en prueba de conformidad y consentimiento otorgado al producto de seguro contratado
(131). Indican que el cobro se envió a la cuenta designada por la tomadora en la solicitud del seguro. Aparece el literal “situación de la orden de cobro” Cobrado Banco”. El recibo correspondiente a la anualidad 01/02/2013 a 01/02/2014 fue abonado el 04/02/
- La siguiente anualidad 01/02/2014 a 01/02/2015 fue reclamada judicialmente por MGS al venir devueltos los recibos por domiciliación bancaria. No aporta copia del recibo emitido
- La reclamante, a pesar de lo anterior, solicitó a través del Defensor del Cliente el reintegro de la prima satisfecha a MGS, que procedió de inmediato a su devolución a la denunciante y a la anulación de la póliza, atendiendo diligentemente a cuantas necesidades puso de manifiesto la misma. Actualmente, MGS no reclama nada a la denunciante. Aportan copia de la reclamación enviada por la reclamante al Defensor del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 Cliente de MGS, con sello de entrada 08/10/2015 en “D.A. DEFENSOR” y copia de la contestación remitida por D.A. DEFENSOR SL MGS el 09/10/2015, indicando que sobre la reclamación recayó sentencia 103/2015, archivándose el expediente, y dando traslado a MGS. Aportan copia de nuevo escrito de la denunciante de 21/10/2015, sello de D.A. DEFENSOR, y respuesta de 28/10/2015 en que informa que “la aseguradora ha manifestado que va a proceder a devolver el recibo de 185,18 € reclamado” TERCERO: Con fecha 4/03/2016, la Directora de la AEPD acordó iniciar procedimiento sancionador a MGS SEGUROS Y REASEGUROS, S.A. por la infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.b) de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 30/03/2016 la denunciada reitera las manifestaciones hechas en las actuaciones previas, y añade: 1) El Mediador recibió la solicitud de emisión del seguro firmada y formulario de seguro a MGS. envió el 2) El recibo inicial fue abonado el 4/02/2013, y no fue devuelto. 3) Señala que tras la devolución del recibo de la prima correspondiente a la segunda anualidad de la póliza por parte de la tomadora, la denunciante solicitó al Defensor del Cliente el reintegro de la prima satisfecha de la primera anualidad, procediéndose a su evolución a la tomadora. 4) Solicita subsidiariamente la aplicación del artículo 45.5 de la LOPD por la reducción de la culpabilidad y antijuridicidad derivada de: a. No existen daños y perjuicios sufridos por la denunciante. b. En cuanto tuvo conocimiento de la voluntad de cancelación de la póliza se efectuó y devolvió la prima satisfecha. c. Falta de intencionalidad, como prueba la existencia de un procedimiento interno específico para la contratación del producto de seguro, implantado por la sociedad con anterioridad a la comisión de la supuesta infracción. Aportan documento 6 que consiste en las normas de contratación seguro del hogar 2015 que contiene referencia a normas de contratación y que no contiene ningún punto referido a protección de datos ni procedimientos para el aseguramiento del consentimiento otorgado. d. Falta de obtención de beneficio alguno e. Manifiesta que somete su cumplimiento interno de protección de datos a auditorias bienales, y adjuntan copia de documento
- El documento es un certificado de un Abogado que certifica que se ha sometido a auditoria de protección de datos en sucesivos años, 2008, 2011 y 2013, indicando “examinándose en el informe de auditoría las recomendaciones de orden jurídico que deberían ser desarrolladas por la empresa en sus diversos procedimientos de recogida de datos, las indicaciones de orden técnico y las obligaciones derivadas de la Ley 56/2007 de Medidas de impulso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 la sociedad de la información”. No se contiene informe alguno detallado de los ficheros ni del documento de seguridad en relación con el cumplimiento de las medidas implantadas, ni dictamen sobre la adecuación de las medidas y controles a la Ley y su desarrollo reglamentario, no se identifican eventuales deficiencias o medidas correctoras o recomendaciones propuestas. Tampoco se contiene las conclusiones que analizadas por el responsable de seguridad se hubieran elevado al responsable del fichero o tratamiento (artículo 96 del RLOPDD). Finaliza indicando que pone a disposición de sus empleados y mediadores documentación en soporte informático en la que constan los principios que en materia de protección de datos han de cumplirse. Aporta copia de documento 8 en donde se contienen correos electrónicos de junio 2015 (fecha posterior a los hechos acaecidos). También aporta copia de documentos que pone a disposición de los Mediadores que explican la normativa aplicable al ámbito de seguros. QUINTO: Con fecha Con fecha 1/04/2016, se recibe escrito de la denunciante tras haber recibido el acuerdo de inicio, en el que reitera que no ha contratado ningún seguro a su nombre ni se facilitó su documento de identidad para la contratación de seguro alguno. Añade, que el 15/12/2015 fue convocada por MGS para el extorno de los 185,18 € y la persona que la atendió, ***NOMBRE.1 le pidió copia del documento del DNI, y sacó una fotocopia del mismo. Aporta además: -Copia de una carta a la denunciada de 23/10/2015, de D.A. DEFENSOR, expediente *****/15 informando que el Defensor del Cliente es una entidad independiente de MGS ope5rando en un sistema al que voluntariamente se adhieren las partes.
(256)-Copia de una carta a la denunciada de 28/10/2015, expediente *****/15 informando que la aseguradora ha manifestado que va a extornar el recibo de 185,18 €. -Escrito de la denunciante al Defensor del Cliente de 30/11/2015 indicando que todavía no ha recibido el abono de los 185,18 €, indicando de nuevo el Defensor el 11/12/2015 que se le ha informado por MGS que van a contactar con Vd. Desde su sucursal para entregarle el talón. -Copia de documento fechado el 7/12/2015 que lleva logo de MGS que es el un escrito dirigido a la denunciante en el que le informa que han extendido a su favor por el concepto que se especifica, tratándose de póliza 43: 185,18 €, figurando “recibo de extorno de la prima 43, 185,18 €.” SEXTO: Con fecha 4/04/2016 se realiza escrito de incorporación a efectos probatorios de la documentación que integra la denuncia y los documentos que la acompañaba, así como las actuaciones previas, y las alegaciones al acuerdo de inicio, remitiendo copia a la denunciada. SÉPTIMO: Con fecha 4/04/2016 se dirigió escrito a la denunciante para que aportara si lo consideraba pertinente algún nuevo documento de que disponga y no lo hubiera presentado en su denuncia, figura recibido el 7 del mismo mes. OCTAVO: Con fecha 25/04/2016 la denunciada obtuvo copia del expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 NOVENO: Con fecha 9/06/2016, se acuerda por la Directora de la AEPD el cambio de Instructor por ausencia temporal del designado, comunicándolo a las partes. DÉCIMO: Con fecha 24/06/2015 se emitió propuesta de resolución, del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a MGS SEGUROS Y REASEGUROS, S.A. con 50.000 €, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b) de dicha norma, de conformidad con el artículo 45.2 y 4 de dicha LOPD.” DÉCIMO PRIMERO: Con fecha 28/07/2016, sobre: la denunciada reitera sus alegaciones 1) Precisa que el “cuestionario de seguro del hogar de 1/02/2013” sí que estaba debidamente firmado por la denunciante y les fue remitido por el mediador para la emisión de la póliza. Adjuntan una copia de un correo electrónico entre una empleada de CAJA RIOJA de 30/01/2013 a otra de MGS referido a A.A.A. con el literal “Solicitamos contratación de hogar según datos adjuntos”, viéndose un archivo adjunto formato “zip”. Reitera que la copia del DNI fue aportada por la denunciante cuando solicitó la emisión de la póliza, y se remitió por el mediador, CAJA RIOJA, junto con el documento de solicitud de emisión de la póliza. Según indica, este documento acreditaría que se otorgó el consentimiento inequívoco. 2) Excusa su responsabilidad que hace recaer en el mediador del seguro, CAJA RIOJA, luego BANKIA, entidad profesional acostumbrada al manejo de datos, a quien le corresponde la comprobación de la concurrencia del consentimiento de los tomadores, recabando su firma y habiendo obtenido copia del DNI. Declara que ellos se limitaron a incorporar los datos. Aporta copia de contrato suscrito entre EUROMUTUA SEGUROS Y REASEGUROS a prima fija, y CAJA RIOJA MEDIACION DE SEGUROS OPERADOR DE BANCA SEGUROS VINCULADO, SAU fechado el 14/11/
- En el objeto figura la mediación de seguros de la entidad aseguradora a través del operador de Banca Seguros. En la cláusula decimoquinta se considera al operador de Banca Seguros, CAJA RIOJA como encargado e tratamiento de los datos personales propiedad de la entidad aseguradora. En la cláusula primera se indica que el objeto de la mediación del operador de Banca seguros consistirá en la presentación, propuesta y realización de trabajos previos a la celebración de os contratos de seguro. 3) Manifiesta que la aportación de copia del DNI para el cobro del talón no es cierta pues el talón se hace nominativo, no al portador, sin que sea necesario que quien lo reciba por parte de MGS tuviera que acreditar su identidad. Indica que la manifestación de la denunciante de que “aportó su DNI para el cobro de la prima” restituida por esta parte, efectivamente es cierta, pero no ha sido correctamente interpretada por la AEPD, pues la denunciante se refería a que aportó su DNI en la entidad financiera para que le fuese abonado el talón, al ser nominativo. Tal aportación a MGS no era necesaria y constituiría una absoluta inutilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 En tal sentido se debe indicar, si se acude al folio 255, la denunciante señala: “El día 15/12/2015 fui a MGS a reclamar el extorno de los 185,18 €, la persona que me llamó por teléfono para informarme y entregarme dicho valor fue la comercial ***NOMBRE.1 y para dármelo me pidió mi documento de identidad y sacó una fotocopia del mismo”. La fecha, 15/12/2015, cuadra, pues es posterior a 7/12/2015, fecha en que aparece un escrito de MGS dirigido a la denunciante informándole del retorno de la cantidad. Los términos en que se expresa la denunciante son inequívocos, en cuanto se refieren a la recepción del talón, no al cobro del mismo en que por descontado se debió haber identificado. 4) Manifiesta que es una contradicción indicar que no se acredita el abono de la prima y en la misma frase indicar que la denunciante reclamó el cobro de lo indebido. Además, la denunciante podría haber pedido la devolución del primer recibo de dicha prima de dicha primera anualidad, para lo que dispone según la Ley de Servicios de Pago 16/2009, de 8 semanas siguientes a la fecha de adeudo efectivo en su cuenta, que fue el 4/02/2013 pero no lo hizo. Además, la denunciante solicita la devolución de la prima una vez vencido el periodo de cobertura. No es cierto que la denunciante solicitara la devolución de la prima durante la vigencia del seguro, unos meses después del inicio de la cobertura, teniendo en consideración que “la primera reclamación enviada por la denunciante a ellos reclamándoles la restitución de la prima satisfecha era de 31/12/2014” fecha en que dicha anualidad ya había vencido desde el 31/01/
- En relación a esta alegación, pretendiendo la denunciada que la denunciante abonó la primera prima, se debe indicar que diversas circunstancias indican que el citado pago ni se correspondía al abono de la prima, negándose reiteradamente por la denunciante su concertación, ni de otras circunstancias se deriva tal supuesto abono. Ello es así, pues junto a la confusión que se detecta en el extracto de movimientos aportado por la denunciante en su denuncia (5 a7), la coincidencia de importes de 185,18 € que era la prima de la póliza del seguro de hogar a nombre del marido, anulada, y que coincide con la cantidad de la prima del seguro a nombre de la denunciante, y los cargos y retrocesiones que se aprecian en los movimiento, la devolución de dicha cantidad solicitada el 25/02/2013 a BANKIA
(12)reiterando dicha puesta de manifiesto el 19/08/2014
(44)y 13/11/2014
(45), expresando en el primero el cobro sucesivo de 185,18 € el 1/02 y 4, 12, 25 del mismo mes de 2013
(44)cuando no se tenía suscrito seguro alguno con dicha entidad según la denunciada. Añade la denunciante que del citado seguro se dio cuenta cuando le llegan noticias del monitorio el 27/06/2014, y contando que las impresiones de los movimientos de la cuenta están sacados el 1/08/
- 5) CAJA RIOJA se integró en BANKIA a raíz de la reestructuración del sistema financiero el 2/06/
- El Banco de España el 29/06/2010 firmó un protocolo de integración. El 1/02/2013, CAJA RIOJA ya estaba integrada en BANKIA, sorprendiendo la manifestación de BANKIA de que ellos no tienen conocimiento de su existencia, cuando la propia denunciante indica que la contratación se hizo a través de BANKIA. Aporta copia de liquidación de comisiones a CAJA RIOJA fechada el 28/02/2013 en cuyo listado se aprecia una primera comisión por la póliza acabada en 74 de B.B.B. , y otra a la póliza de la denunciante de 4/02/2013, póliza acabada en
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 6) A efectos del artículo 45.5 de la LOPD solicita que se tenga en cuenta: a. Que los datos se recogieron por el Mediador de seguros, CAJA RIOJA. b. En cuanto a la permanencia de la infracción, se formalizó el seguro que tenía apariencia de cierto y veraz y que se contaba con el consentimiento, comenzando a desplegar efectos el contrato para cubrir los riesgos que se hubiesen presentado. Tras el impago de la segunda anualidad, se bloquearon los datos utilizándose para los procedimientos judiciales. c. La vinculación de la actividad de la denunciada con el tratamiento de datos no puede ser por si un agravante, dependiendo del número de denuncias que tenga un responsable en función de los datos que trata. No parece que el sentido de la norma sea castigar a las empresas que más datos traten por el solo hecho de tener más clientes que otras. d. Indica el error producido que se contienen en el párrafo que analiza la falta de diligencia ya que la dente no ha estado en el fichero ASNEF, y que se subsana por ser un error de copia y pega e. En cuanto a los perjuicios que se indican al indicarse que se retuvo una cantidad indebida, se debe considerar que la cantidad fue pagada voluntariamente por la denunciante y que luego pidió, una vez consumido la anualidad la restitución, acreditándose con la devolución un enriquecimiento injusto por parte de la denunciante que tuvo cubierto por dicho año el servicio contratado. En cuanto tuvo conocimiento de la voluntad de cancelación sobrevenida de la póliza, se devolvió a la reclamante la prima. f. En el documento 8 de las alegaciones se indicaba la diligencia que habían demostrado en la recogida de datos y se acredita su comunicación a empleadores y mediadores, y en el 9 la campaña formativa a que tienen derecho los mediadores de la compañía a través de su portal. no mostrándose de acuerdo con la manifestación de la propuesta que indica que no existían procedimientos de recogida y vías para tratar correctamente los datos. HECHOS PROBADOS
- La denunciante indica que dio los datos de su esposo D B.B.B. a BANKIA para contratar un seguro del hogar con MGS, póliza acabada en 74, manifestando que la anularon pues le daban efectos de 30/12/2012
(1)y pese a ello se le cargó en su cuenta de BANKIA 185,18 euros, aportando copia del apunte en la cartilla
(5), figurando una anulación del cargo el 16/01/2013
(6). Aporta copia del contrato de dicha póliza firmado el 27/12/2012 constando los datos bancarios ***CCC.1, y copia de escrito de MSG de 7/03/2013 dirigido al titular indicando que el seguro queda sin efecto
(11). En el contrato figura operador de Banca seguros vinculado: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 CAJA RIOJA, si bien la denunciante aporta cargo del seguro en una cuenta de BANKIA (en la que CAJA RIOJA se había integrado (289,290, 339 a 341) en la que se aprecian extractos de movimientos bancarios desde 31/12/2012 a 25/02/2013, constando 5 cargos por dicha cantidad y 4 retrocesiones de 185,18 € (5 a 7). 2. La denunciante denuncia que MGS ha dado de alta con sus datos una póliza del hogar acabada en 43, sin su consentimiento y figurando ella como titular
(1)cobrando una cantidad de 185,18 € de forma indebida. (1, 40, 44, 50 a 56).
- La denunciante aporta copia de requerimientos de pago por 199,40 € de MGS de la póliza de seguro de hogar 43, fechados a 7/03 y 2/04/2014 (28,30).
- La denunciante puso en conocimiento de la denunciada la no concertación de la póliza bajo su titularidad en 2/09/2014 en su contestación a la demanda que le había interpuesto en el Juzgado a la denunciante
(34). También en carta de reclamación al Defensor del Cliente el 1/10/2015 (50 a 57), indicando este que daba traslado a MGS y que efectivamente disponía de dicho documento
(142), disponiendo también MGS de otro escrito de la denunciante de 17/10/205 (58, 59, 144-145). Antes, se acredita el envío de la denunciante a MGS de otro escrito fechado el 30/12/2014, en el que manifiesta la no contratación de la póliza 43, el cobro indebido de 185,18 y la devolución de dicha cantidad, recibido por la entidad el 5/01/2015
- Consta acreditado que MGS reclamó al Juzgado de Primera Instancia 4 de Logroño, monitorio 713/2014 B contra la denunciante a la que solicita el pago de 199,40 € por la póliza de seguro del hogar acabada en 43 a nombre de la denunciante, con efectos 1/02/
- De acuerdo con la demanda dirigida al Juzgado por MGS el 12/06/2014, se manifiesta que no se pagó el recibo del periodo 1/02/2014 a 1/02/
- La sentencia 103/2015 de 25/05/2015 considera que MGS no acredita la realidad del contrato suscrito y en concreto la efectiva aceptación del mismo absolviendo a la demandada de los pedimentos
(38).
- La denunciante y la denunciada aportan copia de condiciones particulares del contrato de seguro y /o “Proyecto” de seguro del hogar a su nombre, que figura sin firmar, fechado a 31/01/2013, con efectos de póliza desde 1/02/2013 a 1/02/2014 con importe de 185,18 €, y los datos bancarios ***CCC.1 (22 y 24, 92 a 95, 97 a 131), mientras que en la solicitud cuestionario de dicho seguro, aportado por la denunciada, no consta su fecha, figuraba una firma al lado del tomador que no se asemeja ni a la firma que de la denunciante obra en su DNI ni a la que figura en la denuncia (89 a 91, 2 y 4). En operador de Banca seguros vinculado figura CAJA RIOJA, si bien la denunciante aporta cargo del seguro en una cuenta de BANKIA donde se observan cargos y retrocesiones de dicha cantidad. Como copia de contrato de seguro firmado no consta presentación de documento alguno
- Los datos de la denunciante figuran en los sistemas de MGS como tomador de una póliza de Hogar con número ***PÓLIZA.
- El mediador fue CAJA RIOJA (integrada en BANKIA). Fecha efectos póliza 1/02/2013 y en último recibo cobrado 1/02/2013
(87). Manifiesta la denunciada que se cobró la prima emitida en 2013 de 185,18 € en la cuenta designada por la tomadora en la solicitud del seguro. 5. BANKIA detalla en escrito de 5/03/2015 que la póliza 43 a nombre de la denunciante no ha sido contratada en BANKIA y su intermediación no consta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18
(49), si bien CAJA RIOJA se había integrado en BANKIA y en las condiciones de las copias de los contratos figuraba como mediador CAJA RIOJA. 6. La denunciante dirigió a MGS escrito de 30/12/2014, en que solicita la devolución de la cantidad de 185,18 € por la póliza 43
(40)entregado en MGS, según acuse de recibo el 31/12/2014.
(40)7. La denunciante aporta copia de escrito dirigido al Defensor del Cliente de MGS entregado el 7/10/2015 (50 a 56) reiterándolo en escrito de 17/10/2015 solicitando la devolución del cobro indebido de 185,18 € de la póliza seguro hogar 43, que le consta recibida a la denunciada (144-145, 5 a 7). Como respuesta del Defensor del Cliente de 28/10/2015 se informaba a la denunciante que MGS le iba a retornar los 185,18 €,
(147)que se llevó a efecto tras reiteración de la solicitud por denunciante de 30/11/2015, finalmente, el 15/12/2015 (255, 260) según manifiesta la denunciante, a través de la entrega de un talón nominativo según manifestó la denunciada
(282). La denunciante manifiesta además, que para recibir la cantidad, se le pidió y se le fotocopió copia del DNI por parte de MGS. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a la denunciada la infracción del art. 6 de la LOPD, que establece en su apartado primero que: “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3
- h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28/02/2007 -recurso nº.236/2005-, “el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la Audiencia Nacional de 8/11/2012 -recurso nº. 789/2010-) ligándolo con los posibles responsables de las infracciones que se determina en el artículo 43.1 de la LOPD con el literal: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” La LOPD define en su artículo 3: Tratamiento de datos: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.”, y Responsable del fichero o tratamiento: “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Los datos personales de la denunciante fueron incorporados a los sistemas de información de la denunciada que niega haber suscrito contrato alguno a su nombre, emitiéndose requerimientos de pago y reclamando la cuantía de la prima del segundo vencimiento anual ante el Juzgado. El Juzgado en la sentencia de mayo 2015 certifica que la demandante, “a la que incumbía acreditar la realidad del contrato suscrito, pudiendo ella acreditar mediante documento o cualquier otro modo la efectiva aceptación del mismo” no acredita que el devengo de la cantidad que reclama proceda de un contrato cuya existencia esté justificada. En el fundamento de derecho Segundo indica que de la prueba practicada, no puede considerarse justificado que la demanda firmara y aceptara el contrato de seguro en virtud del cual la aseguradora reclama, pues negó la firma del contrato y la aseguradora presentó un documento carente de firma en el apartado del tomador del seguro”. Este mismo contrato al que se refiere la sentencia es el de la póliza de la denunciante, acabada en 43. Si dicha sentencia valoraba dicha falta de acreditación del consentimiento, los documentos aportados a este procedimiento no varían esa consideración. Esos documentos son el cuestionario de seguro que cuenta con una firma disimilar a la de la denunciante y la copia del DNI de la denunciante. El primer documento pudo haber sido llevado al procedimiento judicial relatado. En cuanto a la copia del DNI, por un lado, abundando en las manifestaciones de la denunciada, este se ha obtenido para el abono del talón. Sin entrar a analizar la necesidad u obligatoriedad de dejar copia del DNI a la denunciada para dicho trámite, la tenencia del DNI sin fecha, sin sello alguno o referencia de para que se dispone, puede indicar su obtención en cualquier trámite en el que denunciante –denunciada han intervenido y han podido obtenerlo. Precisamente, la manifestación de la denunciante en alegaciones al acuerdo de que se le ha solicitado tal DNI en el momento de recibir el abono de los 185,18 € sirve para la tenencia que por sí sola no se considera obtención del requerimiento, por lo que la alegación no puede ser estimada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 En lo referente a que se abonó la primera anualidad del seguro de la póliza 43, las anotaciones internas, como la del supuesto pago del primer recibo procedente de los propios sistemas no constituyen acreditación de ello, y además, no es cierto que se abonara dicha cantidad, pues desde los meses siguientes al descuento bancario que se deduce de los movimientos de cargo de la cuenta 5 cargos, 4 retrocesiones del Banco, estuvo la denunciante solicitando el cobro indebido, y relacionándolo además con dicha póliza, por lo que no queda acreditado que hubiera abono ni que correspondiera a la causa del contrato. III En cuanto a la imputabilidad de la responsabilidad por el tratamiento de datos que la denunciada pretende desviar al mediador del seguro, se ha de tener en cuenta en primer lugar la constancia de datos en sus sistemas, que ella emitió recibos con dichos datos, que efectuó requerimientos de pago a la denunciante, incluyendo su reclamación judicial. En segundo lugar que los datos desde su recogida se incluyen en un fichero titularidad de la denunciada según obra en el contrato de mediación firmado, con independencia de las responsabilidades que pueda exigir a dicho mediador. En relación con ello, la LOPD señala que es responsable del fichero o del tratamiento: “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.”(Artículo 3.d LOPD) y en este supuesto, todas esas acciones suponen un tratamiento sobre el que decidió la denunciada, siéndole exigible la responsabilidad a la misma. Además, como se ha puesto de manifiesto anteriormente, no existe copia de contrato firmado, sino una solicitud de cuestionario de seguro, cuya firma no se asemeja a la del DNI. Por lo demás, la copia del DNI no se acredita que se hubiera obtenido en el momento de la contratación y para dicho trámite. En primer lugar, no consta fecha de recepción o sello del citado DNI, tampoco se acredita que figurara insertado en el correo electrónico que el mediador del seguro CAJA RIOJA envía a MGS el 30/01/2013, documento que se aportó por primera vez en la propuesta de resolución y en el que no se aprecia que se contuviera DNI alguno. Finalmente, se debe tener en cuenta que la denunciante era titular de una cuenta en CAJA RIOJA, entidad que posiblemente dispusiera de dicho DNI, así como las manifestaciones de la denunciante sobre la obtención del DNI cuando se le entrega el talón el 15712/2015, y que nada de ello figura en la sentencia recaída en el asunto. Así, no se acredita que dicha copia del DNI pueda considerarse que se obtuvo en el proceso de obtención del consentimiento. La denunciada, sobre la base de una sentencia que analizó los elementos del consentimiento en relación con el seguro discutido es terminante y no consta aspecto alguno relacionado con lo que alega la denunciada. Dicha sentencia de la que no consta fuera recurrida por la denunciada es terminante en cuanto a la valoración del consentimiento y determina que no existe prueba alguna que coadyuve a que pueda considerarse que la denunciada hubiera otorgado su consentimiento para dicho acto. A tal efecto, la denunciada en sus alegaciones no menciona en ningún momento dicha sentencia cuando lo cierto es que sus efectos desde su declaración suponen que el tratamiento debe ser cancelado pues era improcedente. IV El artículo 44.3.
- b)de la LOPD, considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 En este caso, la denunciada ha incurrido en la infracción descrita ya que ha vulnerado dicho principio, consagrado en el artículo 6.1 de la LOPD, cuando trató sus datos en relación con una supuesta contratación de una póliza de seguro. V El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La denunciada solicita que se aplique el artículo 45.5
- a)de la LOPD, considerando que no existía intencionalidad, no se ocasionaron daños y perjuicios, ni se obtuvo beneficio, y que en cuanto tuvo conocimiento de la voluntad de cancelación de la póliza, se efectuó la devolución de la prima, y existencia de un procedimiento interno específico para la contratación del seguro, implantado con anterioridad a la comisión de la infracción. La Audiencia Nacional (AN) tiene establecido en multitud de sentencias en relación al art. 45.5 LOPD, que no es sino una manifestación del llamado principio de proporcionalidad (art. 131.1 de la Ley 30/1992), incluido en el más general de prohibición de exceso, y reconocido por la jurisprudencia como principio general del derecho. Ha añadido la AN que dicha regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual, insistimos, puede darse, por excepción, en casos muy extremos (de aquí la expresión "especialmente cualificada") y concretos (por todas SAN, Sec. 1ª, de 24/09/2010 (Rec 245/2010). Cabe indicar que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. A este respecto, el Tribunal Supremo viene declarando como en la Sentencia de 13/04/2005 -recurso nº. 241/2003 -, que es exigible a las entidades que operan en el mercado de datos de datos de carácter personal una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26/11/2008). Y ello porque, siendo el de la protección de los datos personales un derecho fundamental (STC 292/2000, de 30/11), los depositarios de esos datos -más aún cuando se trata de empresas habituadas o dedicadas específicamente a la gestión de datos de carácter personal deben ser especialmente diligentes y cuidadosos a la hora de realizar operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En tal sentido la sentencia de 5/2015 reconoció no figurar acreditada la concertación de contrato alguno por la denunciante, y la denunciada no acredita modo alguno de obtención de su consentimiento. En contra de lo alegado por la denunciada respecto a la falta de intencionalidad, para la comisión de la infracción, no es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 determinante dicho elemento, pues estas infracciones se pueden cometer por falta de diligencia. La concurrencia de las causas alegadas para la aplicación del 45.5.
- a)de la LOPD que eventualmente coadyuven a su aplicación, han de ser cualificadas, en el sentido de importantes o decisivas. Así, en este acaso no se puede decir que no se ocasionaron daños y perjuicios pues la denunciante tuvo que solicitar el reembolso de la prima ante el Banco desde el mismo mes de febrero de 2013, luego insistir a la denunciada, y ante la falta de efectividad de esta, ante el Defensor del Cliente ante el que tuvo que insistir también en la respuesta y efectividad del extorno, que se produce en 15/12/2015, teniendo en cuenta que había recaído la sentencia en mayo 2015 que era suficientemente clara sobre la consideración de la supuesta contratación. En cuanto a que existe un procedimiento interno que asegura el tratamiento correcto de los datos por existir un manual de contratación, y auditorías bianuales, ambos elementos alegados son demasiado genéricos y sin conexión con protección de datos, recogiendo el primero exclusivamente normas, sin referencia ni mención a la recogida y protección de datos y verificación de la contratación. Sobre las auditorías, no se contiene ni se valora ningún aspecto concreto relacionado con la infracción. Así, las circunstancias alegadas no pueden merecer la aplicación del artículo 45.5 de la LOPD. Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: 1. En relación con el carácter continuado de las infracciones (apartado 4.a), los datos personales de la denunciante se dieron de alta en 2013 sin justificación legal para ello, manteniéndose hasta que de forma reiterada, y siete meses tras la sentencia, la denunciante obtuvo el extorno de la cantidad cobrada indebidamente en 2013. Este período es el que permanecieron los datos en los sistemas de la denunciada, que se ven ampliados al no tener en consideración el fallo de la sentencia de mayo 2015. Tras dicha sentencia, la denunciada seguía tratando los datos de forma indebida, al no retornar un ingreso que de ella tuvo desde 2013, lo que contribuye a considerar aumentada la permanencia de la infracción del tratamiento de datos sin consentimiento. 2. Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial y el objeto social de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. La sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006) exige a estas entidades que observen un adecuado nivel de diligencia, e indica a este respecto: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 3. En relación con el grado de intencionalidad (apartado 4.f), recordar con la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrió en una grave falta de diligencia. Extremo este que se evidencia del relato de hechos probados, que pone de manifiesto que tras la sentencia se desoyeron las peticiones de la denunciante sobre reintegro de la prima indebidamente cobrada. 4. En los perjuicios causados a la denunciante (apartado 4.h), la denunciante fue demandada en el Juzgado, por la pretensión del abono de una póliza acudiendo a citaciones en un proceso que se inicia en 2014 (folio 15) habiendo puesto de manifiesto la no contratación de la póliza antes de recaer sentencia. Después de recaer sentencia, la denunciada no procedió a la devolución de la cantidad cobrada en 2013, y tuvo que acudir al Defensor del Cliente hasta que en diciembre, más de seis meses después obtuviera el retorno de la cantidad, lo que acredita perjuicio económico en tanto retuvo una cantidad indebida. 5. Por las medidas adoptadas (apartado 4.i), no se acredita que en los hechos concretos se hubieran tomado ninguna medida, que de haberse producido, habría evitado los hechos como el denunciado. En el presente caso, teniendo en consideración el concurso de los criterios de graduación que se dan en este expediente: 1) El carácter continuado de la infracción (apartado 4.a), 2) Vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal (apartado 4.c), 3) Grado de intencionalidad derivado de la falta de diligencia (apartado 4.f). 4) Los perjuicios causados (apartado 4.
- h)y, 5) La apreciable falta de medidas adoptadas, Procede imponer una sanción de 50.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MGS SEGUROS Y REASEGUROS, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la LOPD, una multa de 50.000 €, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a MGS SEGUROS Y REASEGUROS, S.A., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es