← España

PS-00123-2021

1/6  Procedimiento Nº: PS/00123/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00123/2021, instruido por la Agencia Española de Protección de Datos, a la entidad, ALLIANZ COMPAÑIA DE SEGUROS Y REASEGUROS, S.A., con CIF.: A28007748, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por Dª. A.A.A., (en adelante, “la persona reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 29/10/19, tiene entrada en esta Agencia, escrito presentado por la reclamante, en la que indicaba, entre otras, lo siguiente: “Se me ha cobrado un seguro de moto. Ni yo soy titular ni tomadora ni por supuesto he dado autorización para que se utilicen mis datos”. SEGUNDO: De conformidad con el artículo 65.4 de la LOPGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistentes en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubiere designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. Así, con fecha 10/12/19, y 12/06/20, se remitió escritos de requerimientos de información a la entidad reclamada. TERCERO: Con fecha 02/07/20, la entidad reclamada, envía escrito de contestación al requerimiento realizado por esta Agencia, en el cual, entre otras, indica: Se adjunta al presente escrito como Documento nº 1, respuesta trasladada a la reclamante dando contestación a las razones que motivaron su reclamación instada ante este Órgano Regulador: Según los archivos internos de esta Compañía, se informa a la reclamante que consta como tomadora de una póliza de moto emitida en 2016 a través de un intermediario de seguros, PERIS CORREDORIA DE SEGUROS, S.A. y, anulada por ella misma en 2017. Tras investigar los hechos que originaron la reclamación, el intermediario de seguros nos informa que el recibo que se cargó en la cuenta de la reclamante obedeció a un claro error informático. Se informa a la reclamante que los hechos que nos describe el intermediario son los siguientes: - Se procedió por parte de la reclamante a la venta de la moto, previamente asegurada en ALLIANZ, a otra persona, quién, a su vez, contrató una nueva póliza con esta Compañía en 2019, a través de otro intermediario de seguros, agente exclusivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 - El error tuvo lugar en el momento de formalizarse la contratación. Al introducir el número de matrícula para poder emitir la nueva póliza, el sistema interno, por algún motivo, arrastró el número de cuenta corriente titularidad de la reclamante y, a raíz de ello, se le cargó en su cuenta, de forma totalmente involuntaria, la prima de seguro correspondiente a la póliza contratada por el nuevo titular de la moto. - Precisamente, que se trató de un error informático se desprende de forma clara del comprobante del cargo que se presentada a la Agencia Española de Protección de Datos, donde consta otra persona y no la reclamante, como titular del recibo. - Al pasarle al cobro el recibo a la reclamante, ésta ordena al Banco la devolución del mismo. - Asimismo, nos consta que la reclamante formuló una reclamación interna a esta Compañía sobre dicho cargo indebido y, que el Departamento de Defensa del Cliente, le contestó en fecha 9 de diciembre de 2019 admitiendo el error (…)”. CUARTO: A la vista de los hechos denunciados y de las evidencias observadas en la página web, la Directora de la Agencia Española de Protección de Datos, con fecha 24/03/21, acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos por infracción del artículo 6 del RGPD, respecto de la falta de diligencia a la hora de eliminar los datos personales del reclamante de sus bases de datos, con una multa inicial de 30.000 euros. SEXTO: Notificado el acuerdo de inicio a la entidad reclamada el 28/03/21, no se ha recibido en esta Agencia, ningún tipo de alegaciones a la incoación de expediente, en el plazo concedido al efecto que terminó el día 12/04/21. HECHOS PROBADOS 1.- Según se manifiesta en la reclamación, la reclamante indicó que, se le había cobrado un seguro de moto sin ser titular ni tomadora del seguro, por lo que no había un tratamiento lícito de los datos personales. 2.- Según las alegaciones de la entidad reclamada, la reclamante era tomadora de una póliza de moto emitida en 2016 y anulada por ella misma en 2017. Tras investigar los hechos que originaron la reclamación, el intermediario de seguros informó a la aseguradora que el recibo que se cargó en la cuenta de la reclamante obedeció a un error informático. FUNDAMENTOS DE DERECHO I Es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 El artículo 64.2.

  1. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, en adelante LPACAP, dispone que: “El acuerdo de iniciación deberá contener al menos: (…)
  2. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de inicio se advertía de lo dispuesto en el artículo 64.2.
  3. f)de la LPACAP, se concretaba la presunta infracción cometida junto con su correspondiente tipificación, se determinaba el importe de la sanción con arreglo a los criterios de graduación tenidos en cuenta en función de las evidencias obtenidas a esa fecha, informándose también de las reducciones previstas sobre el importe fijado en virtud de lo dispuesto en el artículo 85 de la LPACAP. En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
  4. f)de la LPACAP, el acuerdo de inicio es considerado Propuesta de Resolución, toda vez que contenía un pronunciamiento preciso acerca de la responsabilidad imputada y, tras su notificación en la forma descrita en el antecedente de hecho cuarto, el reclamado no ha formulado alegaciones al mismo en el plazo concedido a tales efectos. III En el presente caso, la reclamante indica que, la aseguradora ha pasado al cobro un recibo de un seguro de moto, con fecha 02/10/19, donde ella no es titular, ni tomadora de la póliza, ni ha dado autorización para que se utilicen sus datos personales. La compañía aseguradora afirma que, la reclamante constaba como tomadora de una póliza de moto, emitida en 2016, que fue anulada por ella misma en año 2017. El cargo del recibo en su cuenta, en el año 2019, se debió a un error informático involuntario, ocurrido cuando se hizo la compra- venta de la moto y se cambió el titular en la póliza. IV El RGPD se ocupa, en su artículo 5, de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de licitud, lealtad y transparencia, señalado: “1. Los datos personales serán:
  5. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); A su vez en el apartado 2 se señala que: 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»). A su vez el artículo 6 del RGPD, sobre la licitud del tratamiento de datos personales, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” En el presente caso, aunque la entidad reclamada tuviera el derecho al tratamiento de los datos personales de la persona reclamante, al tener ésta suscrita una póliza de seguros en el año 2016 con la compañía, al realizar la cancelación de la póliza en el año 2017, la aseguradora perdió el derecho a seguir tratando sus datos. Por tanto, el tratamiento de los datos personales realizado en el año 2019, (número de cuenta bancaria), por la aseguradora, al pasar al cobro el recibo, podrían suponer la vulneración del artículo 6 del RGPD. Por su parte, el artículo 72.1.
  8. b)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  9. b)del RGPD. De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el art. 83.2 del RGPD: - La duración de la infracción, teniendo en cuenta el alcance o propósito de la operación de tratamiento, (apartado a). - Los hechos objeto de la reclamación son imputables a una falta de diligencia de la parte de la entidad reclamada, (apartado b). - Se encuentran afectados identificadores personales básicos, datos personales, (apartado g). Por su parte, el artículo 76.2 de la LOPDGDD, establece que, de acuerdo a lo previsto en el artículo 83.2.
  10. k)del RGPD, se tendrá en cuenta, como factores agravantes de la sanción, los siguientes: - El carácter continuado de la infracción, (apartado a). - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b). El balance de las circunstancias contempladas, con respecto a la infracción cometida por la entidad, al vulnerar lo establecido en su artículo 6 del RGPD, permite fijar una sanción de 30.000 euros, (treinta mil euros), por la falta de diligencia debía a la entidad, al seguir realizando un tratamiento de los datos personales de la reclamante sin causa legítima después de haber dado de baja la póliza de seguros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER, a la entidad, ALLIANZ COMPAÑIA DE SEGUROS Y REASEGUROS, S.A., con CIF.: A28007748, una sanción de 30.000 euros (treinta mil euros), por infracción del artículo 6 del RGPD, al realizar un tratamiento ilegítimo de los datos personales de la reclamante. SEGUNDO: NOTIFICAR la presente resolución a la entidad ALLIANZ COMPAÑIA DE SEGUROS Y REASEGUROS, S.A., y al reclamante sobre el resultado de la reclamación. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  11. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  12. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.