← España

PS-00155-2015

1/13 Procedimiento Nº PS/00155/2015 RESOLUCIÓN: R/01990/2015 En el procedimiento sancionador PS/00155/2015, instruido por la Agencia Española de Protección de Datos a la entidad SEGUROS CATALANA OCCIDENTE S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 02/04/2014 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara: Había contratado dos pólizas de seguro con SEGUROS CATALANA OCCIDENTE S.A. (en lo sucesivo SCO), sin embargo en enero de 2014, tiene conocimiento de la existencia de otras tres pólizas de seguro a su nombre, suscritas con la misma compañía y que él no ha contratado. Con fecha 23/01/2014, le cargan en su cuenta bancaria un recibo correspondiente a una prima de seguro de automóvil que no había contratado. Al solicitar información a la compañía, le informan de que hay una investigación interna por estos hechos, no obstante remite un escrito con fecha 31/01/2014 solicitando copia de todas las pólizas, al que no le han contestado. Ha solicitado el acceso a sus datos ante la citada compañía con fecha 25/02/2014, sin haber recibido contestación a su solicitud. Con fecha 09/09/2014, a requerimiento de esta Agencia, el denunciante aporta la siguiente documentación: copia de los correos electrónicos intercambiados entre la compañía y su abogada, relativos a su solicitud de acceso; en uno de ellos de fecha 15/05/2014, le facilitan información sobre las dos pólizas de seguro de automóvil que se encuentran en vigor, ninguna de ellas corresponde al vehículo que consta en el recibo bancario; copia de un escrito recibido de la asesoría jurídica de la compañía, de fecha 09/05/2014, en el que le informan de que “revisada la información por Ud. facilitada, hemos podido detectar una incidencia, que a fecha de la presente ha sido resuelta”. Declaración jurada del denunciante en la que “Declara bajo juramento, que no es ni nunca ha sido titular del vehículo con matrícula ***MATRÍCULA.1”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad SCO, - Con fecha 03/12/2014, SCO ha remitido a esta Agencia la siguiente información: 1. Aportan copia impresa de la información que consta en sus ficheros relativa al denunciante, donde consta como titular de dos pólizas de seguro de automóvil en vigor, de las que aportan copia. Ninguna de ellas es la correspondiente al recibo aportado por el denunciante. 2. Según manifiestan, la póliza a la que corresponde dicho recibo se tramitó a través del portal intranet de la compañía. Dicha tramitación la realizó uno de sus agentes. (No aportan ninguna documentación respecto a ésta contratación) 3. Dicho agente fue cesado como agente exclusivo, con fecha 06/03/2014, hecho que fue comunicado a la Dirección general de seguros. A este respecto, aportan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 copia de la carta remitida al Agente en la que le comunican el cese. 4. Respecto a las comunicaciones mantenidas con el denunciante relacionan las siguientes: a. 27/02/2014, se recibe en el Departamento de Atención al cliente un escrito de la abogada del denunciante, junto con una autorización del mismo. En el escrito, del que aportan copia, se solicita el ACCESO a las pólizas en las que conste el denunciante. b. 15/04/2014, se recibe un nuevo escrito de la abogada del denunciante, del que aportan copia, y en el que informa de la presentación de una denuncia ante esta Agencia, ya que no han dado contestación a la solicitud de acceso. Según manifiestan, por este motivo el departamento de atención al cliente de la compañía informó a la Asesoría Jurídica de la misma. c. Con fecha 09/05/2014, la abogada del denunciante, les comunica que siguen de modo reiterado denegando el derecho de acceso del denunciante. d. Con fechas 9 y 12/05/2014, desde el departamento de Asesoría Jurídica se remite escrito a la abogada del denunciante, en el que le informan de que “revisada la información por Ud. facilitada, hemos podido detectar una incidencia, que a fecha de la presente ha sido resuelta.” e. En esas fechas se intercambian varios correos electrónicos entre la compañía y la abogada del denunciante, y en uno de ellos de fecha 15/05/2014, le dan información sobre las dos pólizas que constan en vigor a nombre del denunciante. NINGUNA DE ELLAS CORRESPONDE CON EL RECIBO BANCARIO aportado por el denunciante. TERCERO: Con fecha 17/03/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SCO por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, SCO mediante escrito de 17/04/2015 formuló en síntesis las siguientes alegaciones: que un agente exclusivo de la compañía ha utilizado inadecuadamente el proceso de contratación para genera una póliza y un recibo en la que los datos del cliente constaban como datos del conductor lo que determino el cese del agente; que no se ha ocasionado ningún daño o perjuicio económico al cliente actuando diligentemente; que no se ha denegado el derecho de acceso al denunciante ni a su abogada, sino todo lo contrario al darle todo tipo de explicaciones; que la compañía lo que ha hecho es lo que correspondía: rectificar los datos incorrectos. QUINTO: Con fecha 22/04/2015 se inició el período de práctica de pruebas, acordándose entre otras: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/04994/2014. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 PS/00155/2015 presentadas por SOC, y la documentación que a ellas acompaña. Solicitar al denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas ó cualquier otra manifestación en relación con los hechos denunciados. En fecha 11/05/2015 el denunciante dio respuesta a la prueba practicada cuyo contenido obra en el expediente. SEXTO: En fecha 16/06/2015, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a SOC por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. b)de dicha norma, con multas de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de SOC el 14/07/2015 presentó escrito de alegaciones formulando en síntesis, que la actuación de la aseguradora en el tratamiento de los datos del denunciante había sido diligente; el reconocimiento de la culpabilidad y la regularización diligente de la situación irregular por lo que procede la aplicación del artículo 45.5 de la LOPD y graduación de la sanción por la concurrencia de circunstancias previstas en el artículo 45.4 de la LOPD. HECHOS PROBADOS PRIMERO. En fecha 02/04/2014, tiene entrada en esta Agencia escrito del afectado denunciando la contratación por SOC de una póliza de auto sin su consentimiento (folios 1 y 2). SEGUNDO. El denunciante aporta copia de su DNI nº ***DNI.1, con domicilio en (C/.............1) (Pontevedra), coincidente con el que figura el escrito de denuncia (folio 5). TERCERO. Consta aportado por el denunciante documento Adeudo por Domiciliaciones emitido por Novagalicia Banco, con cargo a la cuenta titularidad del denunciante el 23/01/2014 y con fecha de valor la misma fecha, entidad ordenante SCO en concepto de cargo prima de seguro del automóvil, recibo nº ***NÚMERO.1, periodo 15/01/2014 al15/01/2015, siendo el bien asegurado automóvil Marca Ford, matrícula ***MATRÍCULA.2, por un importe de 285,44 euros (folio 6). CUARTO. En los ficheros informatizados de SCO constan a nombre del denunciante dos pólizas de automóviles nº ***PÓLIZA.1, de fecha 20/09/2011, siendo los datos del riesgo Renault Clio matrícula ***MATRÍCULA.4 y ***PÓLIZA.2, de fecha 27/01/2011, siendo los datos del riesgo Peugeot 307 matrícula ***MATRÍCULA.3 (folios 54 y 55). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 QUINTO. El denunciante se dirigió a SCO mediante carta de 31/01/2014 solicitando copia de todas las pólizas en vigor suscritas con SCO en las que figurara en la condición de tomador, asegurado y/o conductor, sin obtener respuesta alguna (folios 22 a 24). SEXTO. La dirección letrada del denunciante se dirigió a SCO mediante carta de 25/02/2014 solicitando las citadas copias y los agentes que hubieran intervenido en su contratación y al igual que en el caso anterior, sin obtener respuesta alguna (folios 25 a 27). Petición que sería reiterada el 08/05/2014 (folio 33). SEPTIMO. SCO mediante correo electrónico de 09/05/2014 remitió a la abogada del denunciante la siguiente comunicación “Mediante la presente, le comunicamos que revisada la información por Ud facilitada, hemos podido detectar una incidencia, que a fecha de la presente ha sido resuelta” (folio 40). OCTAVO. A raíz del correo anterior, constan los siguientes e-mails cruzados entre la abogada del denunciante y SCO: 09/05/2014: (abogada) “…reitero que siguen ustedes de modo reiterado, denegando el derecho de acceso de mi cliente, el denunciante, con las consecuencias que ello supone a la luz de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal”. 12/05/2014: (SCO) “…en ningún caso y bajo ninguna circunstancia esta Compañía le ha denegado el derecho de acceso a su cliente; más al contrario; ejercitado este derecho de acceso directamente ante la Sucursal, se detectó una anomalía, la cual ha sido debidamente informada también Vd. por teléfono por esta Asesoría, y que fue solucionada inmediatamente; sin ningún perjuicio para su cliente; en consecuencia; no solo se ha procedido, como correspondía, al derecho de acceso, sino también al derecho de rectificación;…”. 12/05/2014: (abogada) “… Si es verdad que no han denegado el derecho de acceso a mi cliente y que han procedido al mismo, dígame usted, cual es, por enésima vez, el resultado del mismo. Le requiero para que lo haga de forma efectiva… De otro lado, en ningún momento se solicitó el derecho de rectificación, por lo que han procedido unilateralmente a realizarlo, una vez más, sin consentimiento de mi cliente…” 15/05/2014: (SCO) “Adjunto detalle de todas las pólizas asignadas a su cliente; después de reiterarles nuestras disculpas por el error y haber subsanado el mismo”. A continuación se aportan los datos personales relativos al denunciante, así como los correspondientes a dos pólizas del ramo de automóviles suscritas por el denunciante en condición de tomador. 16/05/2014: (abogada) “Me parece una “tomadura de pelo” la información que me dirige. Aparte de in completa, esta información no fue nunca la solicitada. El derecho de acceso de mi cliente siempre se ha referido a los datos obrantes en su archivo relativos a las pólizas que sin consentimiento se suscribieron…” (folios 34 a 39). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 NOVENO. SCO remitió al denunciante escrito de fecha 07/04/2014 en referencia a la póliza: ***PÓLIZA.3, Ramo: Automóviles; Recibo: ***NÚMERO.3; vencimiento: 04/04/2014; importe: 176,17 euros (póliza que no había sido contratada por aquel), señalando: “Como continuación a los diferentes contactos que últimamente hemos mantenido con Vd. en relación con el recibo de la póliza que nos tiene confiada, cuyos datos figuran en la parte superior de este escrito, rogamos tome nota de que hemos procedido a la ANULACION de la misma con efecto del vencimiento del recibo reseñado, siguiendo las instrucciones de nuestro mediador que nos ha indicado que Vd. no desea mantener en vigor la referida póliza” (folio 116). Según SCO “Esta era una de las pólizas afectada por la incidencia, es decir, que se le había imputado erróneamente al Sr. A.A.A.…” (folio 119). DECIMO. SCO en escrito de 14/07/2014 ha manifestado que “La sucursal de la Compañía en Vigo (en adelante, la “Sucursal”) detectó una presunta conducta anómala de un agente exclusivo,…, consistente en imputar pólizas a tomadores de forma incorrecta… A raíz de esta irregularidad, se tomaron las siguientes medidas:  Cesar al agente…  Anular de forma inmediata indebidamente…” (folio 119). las pólizas imputadas UNDECIMO. SCO en escrito de fecha 03/12/2014 ha manifestado “De acuerdo con la consulta informática de la base de datos de esta Compañía, la póliza nº ***PÓLIZA.4 a que corresponde el recibo de prima (recibo nº ***NÚMERO.1) que adjuntan a su escrito de 17 de noviembre de 2014, se tramitó a través del portal intranet de la Compañía, proceso de contratación que no prevé solicitud de firma, es decir, se contrata directamente. El agente de seguro que medio la póliza nº ***PÓLIZA.4, fue el Sr. B.B.B. con NIF… y domicilio en…Sansenxo (Pontevedra). Señalar que el Sr. B.B.B. fue cesado como agente exclusivo de esta Compañía mediante carta de 6 de marzo de 2014, hecho que fue debidamente comunicado a la Dirección General de Seguros y Fondo de Pensiones” (folio 50). DUODECIMO. El 17/11/2014 el Director de la AEPD resolvió estimar en el procedimiento de TD/01025/2014, la reclamación formulada por el denunciante por motivos formales, al haber atendido SCO el acceso solicitado fuera del plazo establecido en la normativa sobre protección de datos (folio 148). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Se imputa a SCO en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Por su parte el apartado 2 del citado artículo establece que: “ 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec. 356/2006) en su Fundamento de Derecho Quinto señala que: “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. En el presente caso, consta acreditado que SCO emitió la póliza nº ***PÓLIZA.4, ramo de autos, girándole al denunciante el recibo de la prima nº ***NÚMERO.1, con fecha de valor 23/01/2014, para el periodo 15/01/2014 al 15/01/2015, automóvil Marca Ford, matrícula ***MATRÍCULA.2, por un importe de 285,44 euros, sin que hubiera obtenido el consentimiento inequívoco del denunciante, quien además de manifestar que no lo había contratado, le fue denegada la información solicitada. La propia entidad denunciada en escrito de 17/04/2015 ha manifestado que “Estamos ante una situación en que un agente de la Compañía,…utilizó inadecuadamente el proceso de contratación través de la intranet para generar una póliza y un recibo…” (folio 104), y en escrito de 14/07/2014 señala “La sucursal de la Compañía en Vigo (en adelante, la “Sucursal”) detectó una presunta conducta anómala de un agente exclusivo,…, consistente en imputar pólizas a tomadores de forma incorrecta…” (folio 104). A mayor abundamiento, SCO también vinculó los datos personales del denunciante a la póliza ***PÓLIZA.3, perteneciente al ramo de automóviles, recibo ***NÚMERO.3; con vencimiento 04/04/2014 e importe 176,17 euros, al reconocer SCO que “Esta era una de las pólizas afectadas por la incidencia, es decir, que se le había imputado erróneamente al denunciante” (folio 119). Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a SCO tratar los datos de la denunciante sin su consentimiento. II La actividad de mediación del seguro privado se encuentra regulada en la Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguros privados. En el presente caso interviene un agente de seguros exclusivo por lo que hay que traer a colación lo establecido en el artículo 13 de la citada Ley. El artículo 13. Concepto y requisitos de los agentes de seguros exclusivos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 “1. Son agentes de seguros exclusivos las personas físicas o jurídicas que, mediante la celebración de un contrato de agencia de seguros con una entidad aseguradora y la inscripción en el Registro administrativo especial de mediadores de seguros, corredores de reaseguros y de sus altos cargos, se comprometen frente a dicha entidad aseguradora a realizar la actividad de mediación de seguros definida en el artículo 2.1 de esta Ley, en los términos acordados en dicho contrato”. Además, el artículo 19. Incompatibilidades de los agentes de seguros exclusivos, establece: “1. Los agentes de seguros exclusivos no podrán ejercer como agentes de seguros vinculados, ni como corredores de seguros o como auxiliares externos de ellos o de otros agentes de seguros exclusivos”. El artículo 62. Condición de responsable o encargado del tratamiento. “1. A los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal: a. Los agentes de seguros exclusivos y los operadores de banca-seguros exclusivos tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en esta Ley. b. (…) c. (…) d. (…) 2. En los supuestos previstos en las letras a y b del apartado 1 anterior, en el contrato de agencia deberán hacerse constar los extremos previstos en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, y, en particular, la indicación de si el agente de seguros va a celebrar contratos mercantiles con los auxiliares externos, a los que se refiere el artículo 8 de esta Ley. Del mismo modo, en el supuesto previsto en el apartado 1.d anterior deberán incluirse en el contrato mercantil celebrado con los auxiliares externos los extremos previstos en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre”. Lo anterior haya que ponerlo en relación con el artículo 43 de la LOPD que señala: “Responsables.- 1. “ Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley” La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que “se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales, por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específico. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento” El propio reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, en el apartado
  4. q)del artículo 5, señala lo siguiente: “
  5. q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. En el presente caso, aunque SCO no realice materialmente el tratamiento, es responsable de la infracción que se deriva de la actuación realizada en atención a que como responsable del fichero es quien decide sobre la finalidad, contenido y uso del tratamiento, es decir, quien tiene capacidad de decisión sobre los datos registrados en su fichero. Por tanto, SCO ha tratado los datos de la denunciante sin su consentimiento en relación con las pólizas ***PÓLIZA.3 y ***PÓLIZA.4 pertenecientes al ramo de automóviles, girando los recibos ***NÚMERO.3 y ***NÚMERO.1 (constando este último adeudado en la cuenta titularidad del denunciante). La responsabilidad en la que haya podido incurrir, en su caso, el encargado del tratamiento (en este caso el agente exclusivo), no le exime del cumplimiento de la normativa en materia de protección de datos personales, pues es la citada compañía aseguradora la que emitió la respectiva póliza y no quien media en su contratación; los datos son incorporados a su fichero y quien los trata de forma automatizada, gira los correspondientes recibos y, la que correlativamente, debe asegurarse que aquel a quien se solicitan los datos para ser tratados por ella, los presta con consentimiento inequívoco y que dicha persona que están dando el consentimiento, efectivamente es el titular de los datos personales en cuestión. III De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
  6. b)tipifica como infracción grave “
  7. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 En este caso, SCO ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6.1 de la LOPD. La entidad mencionada ha tratado los datos del denunciante sin contar con su consentimiento, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en este artículo 44.3.
  8. b)de la citada Ley Orgánica. IV El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. SOC ha alegado la aplicación subsidiaria del artículo 45. 4 y 5 de la LOPD al concurrir una cualificada disminución de la culpabilidad por la entidad y circunstancias que deben ser tenidas en cuenta a la hora de graduar el importe de la sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 SOC, en alegaciones a la propuesta de resolución, ha solicitado la aplicación del artículo 45.5 de la LOPD, al concurrir las circunstancias
  24. d)y
  25. b)y, la aplicación del artículo 45.4 al concurrir criterios previstos en el mismo y que deben ser tenidos en cuenta a la hora de graduar el importe de la sanción. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que SCO vulneró el artículo 6.1 de la LOPD, al tratar los datos del denunciante sin su consentimiento, materializado en la emisión de la póliza nº ***PÓLIZA.4 de automóviles, para el periodo 15/01/2014 al 15/01/2015, girándole al denunciante el recibo de la prima nº ***NÚMERO.1, relativo al automóvil Marca Ford, matrícula ***MATRÍCULA.2, por un importe de 285,44 euros, por lo que la actuación de la entidad ha de ser objeto de sanción. A mayor abundamiento, SCO también vinculó al denunciante con la póliza ***PÓLIZA.3, perteneciente al ramo de automóviles, recibo ***NÚMERO.3; con vencimiento 04/04/2014 e importe 176,17 euros; la propia entidad aseguradora en escrito de 14/07/2014 ha reconocido que “Esta era una de las pólizas afectadas por la incidencia, es decir, que se le había imputado erróneamente al Sr. A.A.A.” (folio 119). No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, al concurrir tanto la circunstancia prevista en el apartado
  26. d)al haber reconocido la entidad denunciada su culpabilidad en los hechos acaecidos, lo que posibilita establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Además, hay que hacer mención a otra circunstancia que se produce en el presente caso que atenúa aún más la culpabilidad de la entidad denunciada; SCO ha manifestado que en abril de 2014 se detectó la conducta anómala del agente exclusivo por lo que fue cesado el 06/04/2014 (folio 56), procediéndose a la anulación de las pólizas. Sin embargo, lo anterior no empecé la actuación poco diligente de la entidad para la resolución de la situación irregular creada a la luz de los hechos considerados probados. Sin embargo, lo anterior no empecé la actuación poco diligente de la entidad para la resolución de la situación irregular creada a la luz de los hechos considerados probados. Hay que indicar que la entidad aseguradora hizo caso omiso a las demandas de información promovidas por el denunciante, tanto ante el agente mediador como ante la entidad aseguradora mediante carta de fecha 31/01/2014. Respuesta que también le fue omitida a la representación letrada del denunciante ante la carta enviada a la entidad el 25/02/2014, solicitando información sobre las pólizas contratadas y los agentes que hubieran intervenido en su contratación; petición que sería reiterada el 08/05/2014 y ante la que la compañía respondía acerca de una incidencia detectada, que había sido resuelta, pero sin precisar ni dar más explicaciones. Ausencia de diligencia confirmada por la Resolución del procedimiento de TD/01025/2014 de fecha 17/11/2014, estimada por motivos formales (folio 148). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Por otra parte, la representación de SCO considera que concurren circunstancias previstas en el artículo 45.4 de la LOPD que no han sido tenidas en cuenta a la hora de graduar el importe de la sanción, sosteniendo que la intencionalidad ha sido mínima y que no se ha obtenido beneficio alguno. No obstante, cabe señalar que la infracción apreciada se puede cometer de forma culposa y que en este caso la falta de diligencia de la recurrente ha sido clara, pues no ha acreditado la existencia del consentimiento inequívoco del denunciante en la contratación de las pólizas en disputa, como así lo ha reconocido la propia recurrente en escrito de 17/04/2015 y 14/07/2014 al señalar que el agente “utilizo inadecuadamente el proceso de contratación a través de la intranet para generar una póliza y un recibo” y que “la Sucursal de la Compañía en Vigo detectó una presunta conducta anómala de un agente exclusivo…consistente en imputar pólizas a tomadores de forma incorrecta” , lo que pone de manifiesto lo inadecuado de los procedimientos implantados por la entidad. Por tanto, la existencia de culpabilidad resulta clara en el presente caso por la falta de diligencia de la entidad, pues si hubiera actuado con la diligencia debida habría cumplido con los requisitos exigibles para acreditar el consentimiento del denunciante. Además, el tenor literal del precepto relativo a “el grado de intencionalidad”, solo tiene sentido interpretando el término “intencionalidad” como equivalente a “culpa” en sentido amplio, es decir, como elemento subjetivo de la infracción en el que se encuadra tanto la intencionalidad, como la culpa en sentido estricto, o negligencia, e incluso la culpa levísima. SCO no ha ajustado su comportamiento a la diligencia que era procedente, atendiendo a las obligaciones que el desarrollo de su actividad le imponen, por lo que se entiende que tal circunstancia concurre no como atenuante de su conducta sino, en todo caso, como agravante de la misma. En cuanto a la ausencia de beneficios, circunstancia prevista en el apartado
  27. e)del artículo 45.4 de la LOPD, tampoco puede aceptarse pues parece evidente que estos han existido a la luz de la manifestación de la representación de la entidad cuando manifiesta que “El hecho de que se haya dado de alta una póliza de forma irregular en nada beneficia a SCO, más teniendo en cuenta que, como no podía ser de otra forma, SCO viene obligada a restituir las cantidades cobradas indebidamente del Denunciante. Dichas cantidades no constan en cualquier caso reclamadas a SCO” . Por lo que atañe a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, hay que tener en cuenta circunstancias que operan como agravantes de la misma, el apartado
  28. c)del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues como consecuencia de la actividad que realiza, la entidad se ve abocada a un tratamiento continuo de datos, tanto de sus clientes como de terceros y
  29. d)del artículo 45.4, “volumen de negocio” toda vez que se trata de una de las grandes aseguradoras del país por cuota de mercado. En el presente caso, valoradas en conjunto las circunstancias del artículo 45.4 de la LOPD, tanto favorables como adversas a la denunciada, se acuerda imponer una sanción de 20.000 euros, de la que SCO debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 PRIMERO: IMPONER a la entidad SEGUROS CATALANA OCCIDENTE S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  30. b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a SEGUROS CATALANA OCCIDENTE S.A. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-00000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.