1/15 Procedimiento Nº PS/00147/2013 RESOLUCIÓN: R/02110/2013 En el procedimiento sancionador PS/00147/2013, instruido por la Agencia Española de Protección de Datos a la entidad REALE SEGUROS GENERALES, S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 28/06/2011, tuvo entrada en la Agencia Española de Protección de Datos (AEPD), escrito presentado por D. A.A.A. (en lo sucesivo el denunciante), en el que manifiesta la contratación de un seguro de hogar con la entidad aseguradora Reale Seguros Generales, S.A. (en lo sucesivo REALE), sin su consentimiento, habiendo sido intermediado por el agente Pérez Vivar, S.A. El Director de la AEPD, con fecha de 18/07/2012, tras el inicio del Procedimiento Sancionador con referencia PS/0255/2012 a la entidad Pérez Vivar, S.L., y recibir sus alegaciones, se aprecia que también podría ser responsable de los hechos denunciados la aseguradora REALE por lo que se insta a la Subdirección General de Inspección de Datos a que inicie las correspondientes actuaciones previas de investigación frente a la mencionada aseguradora. Con fecha de 05/11/2012, el Director de la AEPD dicto resolución, habiendo quedado acreditado en la misma que la agencia Pérez Vivar, como agente exclusivo de seguros, ha tratado los datos personales del denunciante sin su consentimiento para la contratación de una póliza de seguros con la compañía REALE. En la Diligencia de fecha 18/09/2012 se adjunta diversa documentación cuyos originales constan en las actuaciones previas con referencia E/2974/2011 y en el Procedimiento Sancionador PS/0225/2012. SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos: En el Registro General de Protección de Datos consta inscrito el fichero denominado “POLIZAS”, con el código ***COD.1, cuyo responsable es la compañía REALE y la finalidad del mismo es “gestión y contratación de pólizas de seguro, gestión de clientes”. Del análisis de la información y de la documentación de la compañía REALE que figura en las actuaciones previas con referencia E/2974/2011, en el Procedimiento Sancionador PS/0255/2012 y en la respuesta dada por la aseguradora, con fecha de 10/01/2013, en relación con la contratación de una póliza de seguros a nombre del denunciante sin su consentimiento se desprende lo siguiente: - Las sociedades REALE y Pérez Vivar suscribieron un Contrato de Agencia de Seguros Exclusivo, con fecha de 25 de febrero de 2009, en el que se señala que ambas partes se comprometen a cumplir en su totalidad el artículo 12 de la Ley Orgánica 15/1999, siendo el Responsable del Fichero la compañía aseguradora y el Encargado del Tratamiento el agente. - El denunciante y el agente Pérez Vivar se intercambiaron diversos escritos, mediante correo electrónico, en el marco de una relación precontractual con objeto de elaborar un presupuesto que pudiera mejorar las condiciones de la póliza que tenía suscrita con otra compañía aseguradora y el denunciante facilitó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 la póliza que tenía en vigor donde figuran sus datos personales. Si bien, no consta acreditación documental del consentimiento otorgado por el denunciante para la contratación de una póliza con REALE siendo el agente Pérez Vivar. - Con fecha de 13/04/2011, se procede al cargo de un seguro de la compañía REALE, por importe de 247,90€, en la cuenta corriente del denunciante, según consta en el extracto de movimientos bancarios aportado con el escrito de denuncia. Así mismo, el día 14/04/2011, recibe el denunciante una carta de REALE en la que le comunican que “Me dirijo a Ud., para agradecerle la confianza que ha depositado en Reale al contratar su Póliza de Hogar con nuestra Compañía e informarle de que, tanto su Mediador como nuestro servicio de Atención Telefónica, estamos a su disposición (…). También, figura como mediador Pérez Vivar. Se aporta copia de dicha carta como anexo al escrito de denuncia. No obstante, una vez realizado el cobro del recibo, el denunciante solicitó la anulación de la póliza que se dio de baja “no formalizada” y a la devolución del importe, con fecha de 18/04/2011, según se detalla en la impresión de pantalla aportada por la aseguradora como documento nº 6 anexo al escrito de fecha 5 de diciembre de 2011. - Los datos personales del denunciante que constan en el Sistema de Información de Clientes de REALE, nombre, apellidos, NIF, domicilio, teléfono, datos bancarios y nº póliza ***PÓLIZA.1, fueron facilitados por el propio denunciante al agente, por medio de la póliza vigente de otra compañía aseguradora. Dichos datos personales del denunciante fueron introducidos en el Sistema de Información de la aseguradora por el agente Pérez Vivar, a través del aplicativo que la aseguradora pone a disposición de los agentes, a fin de gestionar las pólizas tramitadas por los mismos. El agente Pérez Vivar remitió un escrito al denunciante, mediante correo electrónico, el día 16/04/2011, dando respuesta a la reclamación realizada por vía telefónica, en el que le señala, entre otros, “el error mío o de la Compañía ha sido enviar el recibo al banco por un fallo administrativo. No sabes cuánto lamento que el envió del recibo te haya ocasionado algún trastorno (…). También te pido excusas (…)”. También, la aseguradora dio respuesta a la reclamación presentada por el denunciante ante el Servicio de Atención al Cliente, con fecha de 14/06/2011, en el que le indican lo siguiente: “Me dirijo a Ud. En respuesta a la reclamación (…) donde pone de manifiesto su disconformidad con la actuación del mediador que le atendió, puesto que formalizó la póliza cuando, según usted declara en ningún momento autorizó la contratación del seguro que se le ofreció. Una vez hemos tenido conocimiento de sus manifestaciones, hemos revisado la documentación e información que obra en poder de la entidad, y dado que la póliza suscrita finalmente no quedó formalizada solo nos queda pedirle disculpas por las deficiencias que ha percibido (…). Se ha tomado debida cuenta de su queja a efectos de evitar que situaciones como la que nos ocupa se reproduzcan en lo sucesivo” Copia de la citada carta figura anexa al escrito del denunciante de fecha 05/07/2012. Por otra parte, la aseguradora ha comunicado que los contratos de mediación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 de conformidad con la Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguros privados, el agente se compromete a cumplir con la legislación vigente, asegurando la concurrencia de los requisitos necesarios para que la contratación de los productos de REALE tenga validez jurídica. Añaden que cabe indicar que los citados contratos igualmente contienen la obligación que corresponde a todo agente de requerir autorización por escrito de REALE en caso de que la suscripción de una póliza de seguro no se perfeccione mediante firma o autorización expresa del tomador, con carácter previo a su inclusión y emisión a través del aplicativo especifico de la aseguradora. Así mismo, la aseguradora remite notas recordatorias a los agentes de la compañía, se adjunta la de fecha 4/10/2012, por correo electrónico, sobre la necesidad de respetar y cumplir la normas, en cuyo apartado 4) se indica “Por último recordaros la importancia y obligatoriedad que tenemos como compañía aseguradora de disponer de las Condiciones Particulares firmadas (…). Tened en cuenta que este documento es el único que acredita la relación contractual Reale-tomador de la póliza”. Con respecto a las actuaciones que efectúa la aseguradora para verificar el consentimiento de las personas que contratan una póliza indican que han definido un proyecto de digitalización de firma que contempla la captura electrónica de la rúbrica de los tomadores de las póliza de seguro con carácter previo a la formalización de los contratos y a la emisión de los recibos. TERCERO: Con fecha 20/03/2012, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a REALE por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, REALE mediante escrito de fecha 10/04/2013, formuló en síntesis, las siguientes alegaciones: - Que REALE contestó al requerimiento información en tiempo y forma, constatándose que los datos del denunciante fueron facilitados por el agente mediador, obtenidos en el marco de una relación precontractual. - La disconformidad con la apertura del presente procedimiento en la medida que se fundamente en hechos recabados a partir de actuaciones, que a fecha de la apertura del mismo han caducado, por haber transcurrido más de 12 meses desde que la Agencia tuvo conocimiento de la denuncia interpuesta por el denunciante. QUINTO: Con fecha 17/04/2013, se inició un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/05232/2012. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00147/2013 presentadas por REALE. SEXTO: En fecha 24/06/2013, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a REALE, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 con multa de 20.000 € (veinte mil euros), por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. En fecha 11/07/2013, la representación de REALE presento escrito de alegaciones, formulando, en síntesis, las siguientes: su disconformidad con lo señalado en la propuesta de Resolución ya que la entidad siempre ha cumplido escrupulosamente la normativa aplicable en materia de protección de datos y, además, en el presente caso actuando diligentemente y de buena fe; que la apertura del procedimiento sancionador adolece de una dilación indebida de las actuaciones previas lo que ha de conllevar la anulación del mismo y su archivo; que el tratamiento de los datos del denunciante por REALE tiene su origen en el marco de una relación precontractual al amparo de lo previsto en el artículo 6.2 de la LOPD que tenía por objeto la futura suscripción de una póliza intermediada por el agente exclusivo; que en el improbable caso de que se considere la existencia de infracción de la normativa sobre protección de datos, se aplique el articulo 45.5 al apreciarse una cualificada disminución de la culpabilidad y antijuridicidad del hecho al concurrir varios de los criterios enunciados en el artículo 45.4 (ausencia de intencionalidad, falta de reincidencia, ausencia de perjuicios), además de que la entidad ha regularizado la situación de manera diligente, estableciendo la escala de sanciones relativa a la infracciones que precedan inmediatamente en gravedad a la considerada, y la disminución de la cuantía sanción en grado mínimo. HECHOS PROBADOS PRIMERO. En fecha 18/07/2012, el Director de la AEPD instaba a la Subdirección General de Inspección de Datos a iniciar actuaciones previas de investigación, al apreciar que REALE pudiera ser también responsable de los hechos denunciados en el curso del procedimiento sancionador PS/00225/2012 (folio 1). SEGUNDO. REALE tiene inscrito en el Registro General de Protección de Datos el fichero Pólizas, código ***COD.1, cuya finalidad es gestión y contratación de pólizas de seguro y cobertura de riesgos incluidos en las mismas, estado y seguimiento de pólizas contratadas (folio 125). TERCERO. En fecha 28/06/2011, tuvo entrada en esta Agencia escrito del afectado denunciando la contratación de un seguro de hogar con la entidad aseguradora REALE, sin su consentimiento, intermediado por el agente exclusivo PEREZ VIVAR (folio 3 a 9). CUARTO. REALE y PEREZ VIVAR suscribieron en Badajoz, el 25/02/2009, Contrato de Agencia de Seguros Exclusivo. En su Capítulo VII, Protección de Datos de Carácter Personal, se señala que ambas partes se comprometen a cumplir en su totalidad el artículo 12 de la LOPD, adoptando el agente exclusivo la condición de encargado del tratamiento (folios 57 a 67). QUINTO. Constan aportadas copias de las Condiciones Generales y Particulares de un seguro REALE Hogar principal, nº póliza/spto ***PÓLIZA.1/1, emitidas por REALE, figurando como mediador PEREZ VIVAR y como tomador y asegurado el denunciante. Como datos del tomador consta nombre y apellidos del denunciante, domiciliado en (C/....................1)-Málaga. En cuanto a la vigencia del contrato figura como fecha de efectos el 13/04/2011 y vencimiento el 13/04/2012, siendo su duración Anual Renovable, importe de la prima 247,90 euros. El pago figura domiciliado en la Caja de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Ahorros de Asturias, nº de Cuenta ***CCC.1, forma de pago anual. En las citadas Condiciones no figura la firma del tomador ni del asegurado (folios 46 a 53). SEXTO. Consta e-mail del agente exclusivo PEREZ VIVAR, de fecha 16/04/2011, dirigida al denunciante ante la reclamación realizada por vía telefónica, en el que se señala “Para poder hacer este tipo de operaciones, nosotros debemos emitir la póliza para que el cliente lleve al banco una copia con la cesión de derechos a favor de ellos, y a partir de ese momento procederemos a formalizar el contrato y al cobro del recibo si el cliente da su consentimiento. El error mío o de la compañía ha sido enviar el recibo al banco por un fallo administrativo. No sabes cuánto lamento que el envió del recibo te haya ocasionado algún trastorno…Para tu tranquilidad… te comento, que inmediatamente que te pusiste en contacto conmigo para comunicarme que lo dejáramos para el año que viene la emisión de la póliza, realice las gestiones oportunas con la compañía para anular la póliza. También te informo de que hasta que el cliente no nos hace llegar las condiciones particulares y generales de la póliza debidamente firmadas no adquiere ningún compromiso legal con la compañía” (el subrayado es de la AEPD) (folio 14 y 15) SEPTIMO. El denunciante presentó reclamación ante el Servicio de Atención al Cliente de REALE, vía e-mail el 12/06/2011, respondiendo la citada entidad al denunciante, el 08/04/2011, indicándole: “Me dirijo a Ud.,… en respuesta a la reclamación que ha interpuesto mediante correo electrónico…donde pone de manifiesto su disconformidad con la actuación del mediador que le atendió puesto que formalizó dicha póliza cuando, según usted declara en ningún momento autorizó la contratación del seguro que se le ofreció. Una vez hemos tenido conocimiento de sus manifestaciones, hemos revisado la documentación e información que obra en poder de la Entidad, y dado que la póliza suscrita finalmente no quedó formalizada solo nos queda pedirle disculpas por las deficiencias que ha percibido y que no han cubierto sus expectativas… (folio 139). Consta Consulta de Movimientos de la cuenta nº ***CCC.1de la Caja de Ahorros de Asturias, figurando con fecha valor 13/04/2011, el importe del recibo de la prima de la póliza nº ***PÓLIZA.1/1 por importe de 247,63 euros (folio 31). OCTAVO. REALE no ha acreditado que cuente con el consentimiento del denunciante para el tratamiento de sus datos en la emisión del seguro multiriesgo del hogar REALE Hogar principal, nº póliza/spto. ***PÓLIZA.1/1. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La representación de REALE ha alegado que el procedimiento sancionador debe anularse, al quedar acreditado la dilación indebida de las actuaciones previas llevadas a cabo por la AEPD, puesto que desde la entrada de la denuncia hasta el acuerdo de inicio del procedimiento sancionador había transcurrido un año y nueve meses. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Sin embargo, el citado alegato no puede ser admitido. Debemos comenzar recordando que el acuerdo del inicio del procedimiento sancionador que nos ocupa, vino precedido de la Resolución del Director de la AEPD de 18/07/2012, en la que se indicaba que tras la apertura de procedimiento sancionador nº PS/00225/2012 a la entidad Pérez Vivar, S.L., y comprobarse que la citada entidad no era una Correduría de Seguros, sino un agente exclusivo de la compañía aseguradora REALE, actuando como encargado del tratamiento, se entendía que REALE como responsable del fichero y de conformidad con el artículo 43.1 de la LOPD, estaba también sujeto al régimen sancionador establecido en la ley; al estar caducadas las actuaciones previas E/02974/2012, por el transcurso del plazo máximo de 12 meses a que se refiere el artículo 122.4 del Reglamento de Desarrollo de la LOPD que habían servido de base para incoar el procedimiento sancionador PS/00225/2012 a la entidad Pérez Vivar, S.L., es por lo que el Director de la AGPD instaba a la Subdirección de Inspección a que se iniciaran las correspondientes investigaciones en el marco del E/05232/2012 frente a la citada compañía aseguradora. El artículo 122.2 del R.D.1720/2007 permite que las actuaciones previas se lleven a cabo de oficio por la Agencia Española de Protección de Datos “por iniciativa propia”; por tanto, es a la luz del inicio de aquel procedimiento sancionador cuando el Director de la Agencia decide acordar se lleven a cabo nuevas actuaciones en el marco del E/05232/2012 , sin que el hecho de que hubiera transcurrido el plazo de 12 meses a que se refiere el artículo 122.4 del RLOPD impida que la AGPD pueda iniciar otras actuaciones u otro expediente por los mismos hechos, en la medida de que la infracción no haya prescrito. Significativa es, en este sentido, la STS cuando señala “la controversia no ha sido pacifica ni por la jurisprudencia ni por la doctrina científica, sin embargo ha quedado zanjada con la Sentencia del Tribunal Supremo de 12 de junio de 2003 ( RJ 2003, 4602) dictada en un recurso de casación en interés de ley, en la que el alto tribunal enjuició la legalidad de una sentencia de una Juzgado de lo contencioso-administrativo de Málaga que anulo una sanción sobre la base de que la dualidad de expedientes sancionadores vulneraba las prescripciones del artículo 44.2 de la Ley 30/1992, habiendo por consiguiente, la administración municipal, impuesto una sanción esquivando la aplicación del régimen de caducidad-perención del procedimiento sancionador. El Tribunal Supremo, sin embargo, no comparte esa conclusión jurídica y fijo la siguiente doctrina legal:” La declaración de caducidad y archivo de actuaciones establecidas para los procedimientos en que la administración ejercite potestades sancionadoras, art. 44.2 LRJPAC no extinguen la acción de la administración para ejercitar las potestades aludidas en ese precepto, siéndoles plenamente aplicable el art. 92.3 de la misma ley”. Con anterioridad a esta sentencia, la jurisprudencia del alto Tribunal, se había ya mostrado decididamente partidaria de la posibilidad de reinicio de un nuevo expediente sancionador para el caso de que la infracción no haya prescrito ( STS 16 de julio de 2001, 29 de octubre de 2001, 5 de noviembre de 2001, o 5 de diciembre de 2001.” La propia A.N. en sentencia de 25/02/2013 ha señalado que “Respecto a dicha alegación haya que señalar, en primer lugar, que el hecho de que la AEPD dictara resolución de 26 de abril de 2010 acordando la caducidad de las actuaciones previas por haber transcurrido el plazo máximo de 12 meses a que se refiere el artículo 122.4 del RLOPD, no impide que la AEPD pueda iniciar otras actuaciones u otro expediente por los mismos hechos, siempre que la infracción no hubiera prescrito. En este sentido cabe citar la STS de 16 de julio de 2001 (Rec. 450/1999) que señala “no obstante haberse producido la caducidad como declaró el Consejo Regulador de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 Denominación de Origen, ello no impedía que se volviera a abrir el expediente ya que no había transcurrido el plazo de prescripción (…). Más recientemente la STS de 9 de febrero 2009 (Rec. 321/2005) indica que “esta misma Sala ha venido ya a reconoce que los procedimientos sancionadores están sujetos a caducidad, si bien precisando, en consonancia con lo dispuesto en el artículo 92.3 de la Ley 30/1992, que la declaración de caducidad del procedimiento no implica la prescripción ni impide el ulterior ejercicio del ius puniendi en un nuevo procedimiento (STS, Sala Tercera, Sección 5ª, de 12 de Junio de 2003, casación en interés de ley)”. Por tanto, nada impide que tras la declaración de caducidad de las actuaciones previas se puedan abrir nuevas actuaciones, siempre que la infracción no haya prescrito…” A mayor abundamiento, la reciente sentencia de la A.N. de 10/07/2013 ha señalado en su Fundamento Tercero que: “Sin embargo, aunque los dos procedimientos de actuaciones previas de investigación tuvieran lugar sobre los mismos hechos, lo cierto es que se tramitaron sucesivamente, comenzando las segundas actuaciones de investigación tras declararse la caducidad de las primeras, tal y como se expuso en el Fundamento de Derecho Primero de esta sentencia, por haberse rebasado el plazo de doce meses de duración máxima que prevé el artículo 122 del Reglamento de la LOPD y en cumplimiento de lo dispuesto en el apartado cuarto de este precepto. Al respecto, el artículo 92 de la LRJPAC, al que se remite su artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, "no producirá por sí sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán el plazo de prescripción". Por consiguiente, declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación, como ha sucedido en el presente caso. Por lo tanto, no es apacible ni aceptable la alegación de la denunciada de que existió dilación en las actuaciones previas llevadas a cabo por la AEPD, sino todo lo contrario. Las actuaciones previas E/05232/2012 se iniciaron el 18/07/2012, por iniciativa propia del Director de la Agencia, habiéndose notificado a REALE, en fecha 20/03/2013, el inicio del procedimiento sancionador, por lo que no habiendo transcurrido el plazo de 12 meses a que se refiere el artículo 122.4 del RDLOPD. Además, en relación a la eficacia de las actuaciones previas inicialmente realizadas por la AEPD, en el marco del expediente E/02974/2012 y que dio lugar al procedimiento sancionador PS/00225/2012, nada impide que puedan incorporarse documentos contenidos en dicho expediente a las nuevas actuaciones de investigación efectuadas en el marco del E/05232/2012 y que la compañía aseguradora discute y pone en duda. Por todo los que antecede deben desestimarse las alegaciones efectuadas por la entidad denunciada. III Se imputa a REALE en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Por su parte el apartado del citado artículo establece que: “ 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que: “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. En el presente caso, consta acreditado, la emisión de la póliza multiriesgo del hogar, REALE Hogar principal, nº ***PÓLIZA.1/1, figurando como tomador el denunciante y sin que conste firmada por éste, quien además ha manifestado que no ha autorizado póliza alguna con la citada entidad aseguradora, ni otorgado su consentimiento para la misma. REALE no ha acreditado durante el presente procedimiento que contara con el consentimiento del denunciante para el tratamiento de sus datos en la suscripción del seguro miltiriesgo del hogar. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD. IV La Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguros privados, establece en su artículo 8.1, que: “1. Los mediadores de seguros podrán celebrar contratos mercantiles con auxiliares externos que colaboren con ellos en la distribución de productos de seguros actuando por cuenta de dichos mediadores y podrán realizar trabajos de captación de la clientela, así como funciones auxiliares de tramitación administrativa, sin que dichas operaciones impliquen la asunción de obligaciones”. El artículo 13, que contiene el concepto y los requisitos que deben cumplir los agentes de seguros exclusivos, en su apartado 1, señala que: “1. Son agentes de seguros exclusivos las personas físicas o jurídicas que, mediante la celebración de un contrato de agencia de seguros con una entidad aseguradora y la inscripción en el Registro administrativo especial de mediadores de seguros, corredores de reaseguros y de sus altos cargos, se comprometen frente a dicha entidad aseguradora a realizar la actividad de mediación de seguros definida en el artículo 2.1 de esta Ley, en los términos acordados en dicho contrato”. Por su parte el artículo 62, relativo a la condición de responsable o encargado del tratamiento, señala que: “1. A los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal: a. Los agentes de seguros exclusivos y los operadores de banca-seguros exclusivos tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 b. (…) c. (…) d. Los auxiliares externos a los que se refiere el artículo 8 de esta Ley tendrán la condición de encargados del tratamiento de los agentes o corredores de seguros con los que hubieran celebrado el correspondiente contrato mercantil. En este caso, sólo podrán tratar los datos para los fines previstos en el apartado 1 de dicho artículo 8. Todo ello hay ponerlo en relación con el artículo 43 de la LOPD que señala: “Responsables.- 1. “ Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley” La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que “se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales, por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. El propio reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, en el apartado
- q)del artículo 5, señala lo siguiente: “
- q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados” (El subrayado es de la Agencia). En el presente caso, aunque REALE no realice materialmente el tratamiento, es también responsable de la infracción que se deriva de la actuación realizada en atención a que como responsable del fichero, es quien decide sobre la finalidad, contenido y uso del tratamiento, es decir, quien tiene capacidad de decisión sobre los datos registrados en su fichero. Por tanto, REALE ha tratado los datos de la denunciante sin su consentimiento. La responsabilidad en la que haya podido incurrir, en su caso, el encargado del tratamiento (en este caso el Agente Exclusivo), no le exime del cumplimiento de la normativa en materia de protección de datos personales, pues es la citada compañía aseguradora la que emitió la respectiva póliza conteniendo los datos de la denunciante y no quien media en su contratación; los datos son incorporados a su fichero y quien los trata de forma automatizada, gira los correspondientes recibos y, la que correlativamente, debe asegurarse que aquel a quien se solicitan los datos para ser tratados por ella, los presta con consentimiento inequívoco y que dicha persona que están dando el consentimiento, efectivamente es el titular de los datos personales en cuestión. V Alega la representación de REALE que no se ha incumplido el artículo 6.1 de la LOPD puesto que los datos para la emisión de la póliza habían sido recabados por un agente de seguros exclusivo de la compañía, en el ámbito de una relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 precontractual, con la finalidad de ofrecerle una presupuesto de un seguro multiriesgo del hogar de REALE. Sin embargo el citato alegato no puede admitirse; una cosa es la oferta de un seguro y cuestión muy distinta, que sin aceptación de la misma, el asegurador emita una póliza de seguro y cargue en la cuenta del denunciante la prima de la póliza presupuestada. La Audiencia Nacional ha señalado con reiteración en numerosas sentencias que la negativa del denunciante, en el sentido de no haber suscrito ningún contrato con la entidad denunciada, traslada a ésta última la carga de probar la indicada contratación, y por ende el consentimiento para el tratamiento de sus datos personales. En este mismo sentido se pronuncia la Sentencia de la Audiencia Nacional, de fecha 21 de diciembre de 2001, que señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Por tanto, corresponde a REALE, estar en condiciones de acreditar que ha obtenido el consentimiento de la denunciante, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento ha sido prestado. VI De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
- b)tipifica como infracción grave “
- b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En este caso, REALE ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6.1 de la LOPD. La entidad mencionada ha tratado los datos del denunciante sin contar con su consentimiento, materializado en la contratación de una póliza multiriesgo del hogar, REALE Hogar principal, nº ***PÓLIZA.1/1, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en este artículo 44.3.
- b)de la citada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 Ley Orgánica. VII El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 absorbente”. La representación de REALE ha solicitado la aplicación del artículo 45.5 de la LOPD, como consecuencia de circunstancias que permiten la existencia de una disminución de la culpabilidad aplicando una sanción de la escala inferior, correspondiente a las sanciones leves y, adicionalmente, la aplicación del apartado 4 del citado artículo, al concurrir supuestos contemplados en el mismo (ausencia de beneficios, falta de intencionalidad, no reincidencia, ausencia de perjuicios, buena fe, establecimiento de procedimientos de control para evitar situaciones como la acaecida.), que permitirían rebajar la cuantía de la sanción a imponer. Por lo que se refiere a la ausencia de intencionalidad, circunstancia prevista en el apartado
- f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la citada aseguradora hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a titulo de simple negligencia. En cuanto a las ausencia perjuicios a la denunciante, circunstancias previstas en los apartados
- e)del artículo 45.4 tampoco pueden aceptarse. La Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señalando que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados” y en sentencia de fecha 02/12/2010, señala que “También ha considerado la Sala irrelevante a los efectos de la aplicación de la citada atenuación privilegiada la falta de beneficios para la recurrente o la ausencia de perjuicios para el denunciante” (el subrayado es de la AEPD). También hace referencia la representación de REALE a las circunstancias previstas en las letras g), falta de reincidencia en sanciones de la misma naturaleza e i), la acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad aseguradora tenía y tiene implantados procedimientos adecuados de control interno y supervisión con respecto a la emisión de pólizas a través de agentes exclusivos; sin embargo, es necesario señalar que las citadas circunstancias no pueden ser invocadas como atenuantes de la conducta infractora, premiando la no infracción de la normativa en materia de protección de datos de carácter personal y el cumplimiento de deberes que la ley impone a las entidades que, como la denunciada, trabajan con gran cantidad de datos y, que como en el presente caso han devenido insuficientes. Por último, en cuanto a la buena fe la Audiencia Nacional en su Sentencia de 24/05/02 ha señalado que “la buena fe en el actuar, para justificar la ausencia de culpa – como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que REALE vulneró el artículo 6.1 de la LOPD, al tratar los datos del denunciante sin su consentimiento, materializado en la emisión de la póliza de un seguro REALE Hogar principal, nº póliza/spto. ***PÓLIZA.1/1, por lo que su actuación ha de ser objeto de sanción. No obstante, teniendo en cuenta las especificas circunstancias que concurren en el presente caso, permite apreciar la existencia de motivos para la aplicación de la circunstancia contemplada en el aparto
- b)del artículo 45.5 de la LOPD, puesto que la aseguradora en el momento en que tuvo conocimiento de la reclamación del denunciante procedió a regularizar la situación de manera diligente, anulando la póliza discutida y, además, pidiendo disculpas por las deficiencias observadas, lo que permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". Por otra parte, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 se advierten otras circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Así, concurren la agravante prevista en el apartado
- c)del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues como consecuencia de la actividad que realiza, la entidad se ve abocada a un tratamiento continuo de datos, tanto de sus clientes como de terceros y del apartado
- d)del artículo 45.4, “volumen de negocio” del infractor, ya que se trata de una gran entidad aseguradora por cuota de mercado. En el presente caso, valoradas en conjunto las circunstancias del artículo 45.4 de la LOPD, se acuerda imponer una sanción de 20.000 euros, de la que REALE debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad REALE SEGUROS GENERALES, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a REALE SEGUROS GENERALES, S.A. y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es