PS-00163-2016

1/8 Procedimiento Nº PS/00163/2016 RESOLUCIÓN: R/01200/2016 En el procedimiento sancionador PS/00163/2016, instruido por la Agencia Española de Protección de Datos a la entidad FIATC MUTUA DE SEGUROS Y REASEGUROS A PRIMA FIJA y a A.A.A., vista la denuncia presentada por B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 03/05/2015 tiene entrada en esta Agencia un escrito de B.B.B. (en lo sucesivo el denunciante), en el que declara que FIATC MUTUA DE SEGUROS Y REASEGUROS A PRIMA FIJA (en lo sucesivo FIATC), le reclama el abono de un seguro que nunca ha contratado. Aporta copia de carta de asesoría jurídica Iuralia, en nombre de FIATC, de 14/04/2015 de reclamación del pago junto con el recibo del seguro de póliza de FIATC, periodo 23/02/2015-23/02/2016, emitido a nombre del denunciante, es decir, con nombre y apellidos en distinto orden y una dirección incorrecta. En posteriores escrito manifiesta que tras recibir el requerimiento de pago contactaron con MAPFRE FAMILIAR COMPAÑIA DE SEGUROS Y REASEGUROS (en lo sucesivo MAPFRE), anterior aseguradora del vehículo, que les comunicó que la póliza estaba dada de baja, que no tenían nada que ver con la carta y en FIATC le informan que la contratación de la póliza se realizó a través de un comercial en una oficina, del que le facilitan el nombre para aclarar lo sucedido. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a A.A.A. (en lo sucesivo FACR), FIATC y MAPFRE, teniendo conocimiento de lo siguiente: - Con fecha 30/09/2015 se recibe respuesta de MAPFRE en el que manifiesta respecto del denunciante: 1. Adjuntamos la siguiente documentación e información que consta en nuestros archivos. 1.1. Copia de Condiciones Particulares de la póliza ***PÓLIZA.1 contratada por el afectado, y copia de la documentación aportada por éste para la contratación de la misma. 1.2. Salvo error u omisión no consta en nuestros archivos ningún siniestro, contestación a escrito alguno o reclamación efectuada por el afectado o por terceros en su nombre. 1.3. Tampoco hemos podido localizar relación alguna entre el afectado y algún posible fraude, ni como asegurado ni como perjudicado. 2. Impresión de pantallas con la información que consta en nuestros archivos sobre productos contratados. 3. Que por la información que hemos podido consultar, y salvo error u omisión, no se ha comunicado ninguna información sobre el afectado a los ficheros de morosidad y en consecuencia, tampoco ha solicitado su exclusión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 - Con fecha 28/10/2015 se recibe respuesta de FIATC en el que manifiesta respecto del denunciante: 1. Se anexa como documento n°1 copia impresa de todos los datos que figuran en los ficheros de FIATC relativos al denunciante.  Copia de póliza ***PÓLIZA.2 de FIATC a nombre del denunciante de vehículo con matrícula ***MATRÍCULA.1. Se comprueba que coincide con el documento aportado por el afectado. 2. En relación con la solicitud de copia de toda la documentación que pueda acreditar el consentimiento otorgado por el denunciante pata la contratación de la póliza y la emisión de recibos, dicha documental debería haberla aportado a FIATC el mediador FACR sin embargo no lo hizo. Es el mediador, FACR, quién recogía materialmente, físicamente los datos del potencial asegurado, a través de la correspondiente Solicitud de Seguro que a tal fin le facilita FIATC. Solicitudes que suponen formularios de recogida de datos, y que llevan incluidas las correspondientes cláusulas LOPD (al amparo del artículo 5 de la Norma y concordantes), así como incluyen un campo destinado a la firma del interesado. El mediador es un encargado del tratamiento de FIATC, que es la Responsable, como así lo dispone el legislador (artículos 62 y 63 de la Ley 26/2006 de Mediación de Seguros y Reaseguros Privados)… (…) En el caso que nos ocupa, el mediador notificó a FIATC la supuesta nueva contratación de un seguro con el hoy denunciante (es decir facilitó a FIATC los datos), en fecha de entrada 23/02/2015, a través de un sitio web de FIATC, al que el mediador estaba conectado. (…) Pero en el caso que nos ocupa, el mediador no sólo faltó al cumplimiento de sus deberes LOPD, sino que como se expondrá a continuación, el agente ha engañado a FIATC, no sólo al hoy denunciante, sino también a FIATC. Es decir falseó que el afectado deseaba una póliza con FIATC, siendo FIATC también víctima de tal acto, como el denunciante. Así es, el agente FACR falseó una póliza para obtener una comisión de FIATC, de modo que su engaño buscaba un perjuicio contra FIATC. En el caso del agente, por cada solicitud de alta recibía un adelanto (denominado subvención). Lo que el agente buscaba era cobrarla, disponer del dinero en mano. Y si a posteriori se descubría el engaño, no cobraría el resto de comisión, pero ya tenía el adelanto en su poder. Pero FIATC gracias a diversos acontecimientos, descubrió el engaño. A continuación procedemos a consignar tales acontecimientos. 1) Marzo 2015: El agente no entregó a FIATC ninguna documental suscrita por el afectado, es más puso muchas objeciones en relación con sus deberes básicos, corno por ejemplo no acudir a las dependencias de FIATC para reunirse con la Entidad. El seguro del denunciante debía iniciarse a finales de febrero de 2015. Ante la actitud extraña del agente, en marzo de 2015 FIATC le bloquea el acceso al mediador a la web de FIATC, lo que significa en la práctica que ya no le permite C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 realizar más contrataciones en nombre de FIATC. (…) 2) Mayo 2015: El día 2, el hoy denunciante contacta con FIATC, y manifiesta que no ha tenido relación con ese mediador y que por tanto se ha falseado una supuesta póliza a su nombre. FIATC atiende su reclamación y da de baja dicha póliza sin acarrear ningún perjuicio económico contra el afectado. El 7 de mayo, FIATC da de baja a este agente por su comportamiento. (…) 3) Mayo 2015: El día 11, la policía comunica a FIATC que ha abierto diligencias de investigación de estos hechos La policía pidió a FIATC su colaboración. (…) 3. Se adjunta como documento n°6 copia de la póliza de seguro cancelada del afectado, y como documento nº 7 copia del único recibo que se le envió. Como fue anulado se ha generado con ocasión de la presente respuesta una copia de dicho recibo para poder atender el presente requerimiento de información de la Agencia. 4. Se adjunta corno documento nº 8 el contrato de agencia de seguros del ex agente infractor y causante de todos estos hechos, FACR. Se comprueba por la Inspección que el contrato de 1/11/2014 incluye en la cláusula 12ª la referencia a Protección de Datos-Acceso por cuenta de terceros. Se comprueba que la referencia al Reglamento es obsoleta: Real Decreto 994/1999 por el que se aprueba el Reglamento sobre Medidas de Seguridad de los ficheros Automatizados. 5. Por cierto, en el registro público de mediadores de seguros de la Dirección General de Seguros y Fondos de Pensiones (en su web), se puede encontrar inscrito en la actualidad a dicho señor como agente actualmente de HELVETIA SEGUROS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 TERCERO: Con fecha 15/04/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FIATC y a FACR, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. c)de dicha norma, pudiendo ser sancionados con multa de 40.001 € a 300.000 €, cada uno de ellos de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Con posterioridad al acuerdo de inicio y en relación con el denunciado FACR fue devuelta por el Servicio de Correos la notificación del Acuerdo de inicio remitida al mismo por motivo desconocido, por lo que de conformidad con el artículo 59.5 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (para lo sucesivo LRJAP y PAC), que señala: “Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el "Boletín Oficial del Estado", se procedió a notificar mediante este medio si bien la publicación se realizó de manera extemporánea, el 05/05/2016. QUINTO: El artículo 122.4 del Reglamento de la LOPD señala que: “4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”, y considerando que desde la fecha del acuerdo de inicio del procedimiento sancionador el denunciado FACR no ha sido notificado de la apertura del mismo a FACR en plazo, habiendo transcurrido más de doce meses a contar desde la fecha de entrada de la denuncia en esta Agencia, se procede al archivo por caducidad de las actuaciones previas E/04850/2015 respecto a FACR, sin perjuicio de la apertura de nuevas actuaciones al no haber prescrito la presunta vulneración de la LOPD y de la continuación del presente procedimiento en relación con la entidad FIATC. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 48 de la LOPD en su apartado 3, introducido por la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, dispone que “los procedimientos sancionadores tramitados por la Agencia Española de Protección de Datos, en ejercicio de las potestades que a la misma atribuyan esta u otras Leyes, salvo los referidos a infracciones de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, tendrán una duración máxima de seis meses.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 III El artículo 13.2 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, establece: “2. El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento”. IV Por otra parte, el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos de Carácter Personal señala en su Disposición Transitoria Quinta que: “El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor.” La Disposición Final Segunda determina: ”El presente real decreto entrará en vigor a los tres meses de su íntegra publicación en el “Boletín Oficial del Estado”. Habiéndose publicado el mismo el 19/01/2008, el citado Reglamento de desarrollo de la LOPD, entró en vigor el 19/04/2008 El artículo 126, señala: “1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo”. El artículo 122, señala: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas” (el subrayado es de la AEPD). V A tenor de lo dispuesto en los artículos transcritos, las actuaciones previas han de entenderse caducadas transcurridos más de doce meses desde que tuvo entrada en la Agencia la denuncia del afectado, hasta la notificación del acuerdo de inicio del procedimiento sancionador. Es necesario señalar que en el presente caso resulta de aplicación el plazo máximo de doce meses de duración establecido en el artículo 122 del Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, que establece para la realización de dichas actuaciones previas, tomando en consideración que tal norma reglamentaria es de aplicación a actuaciones iniciadas con posterioridad a su entrada en vigor (es decir, a partir del 19 de abril de 2008). En el presente caso consta que la denuncia tuvo entrada en esta Agencia Española de Protección de Datos el 03/05/2015, llevándose a cabo con posterioridad actuaciones previas al objeto de determinar si concurrían circunstancias que justificaran la iniciación del procedimiento sancionador correspondiente. El procedimiento sancionador nº PS/00163/2016 se inició mediante acuerdo de la Directora de la Agencia Española de Protección de Datos de fecha 15/04/2016, no habiéndose notificado al denunciado FACR el acuerdo de apertura del mismo en plazo, al haber sido devuelta por el Servicio de Correos la notificación remitida al mismo por desconocido, por lo que de conformidad con el artículo 59.5 de la LRJAP y PAC se procedió a notificar mediante la inserción de anuncio en el B.O.E., si bien su publicación se efectuó el 05/05/2016 por lo que al haber transcurrido más de doce meses a contar desde la fecha en la que la denuncia tuvo su entrada en esta Agencia procede su archivo y declarar la caducidad de las actuaciones previas respecto de FACR, sin perjuicio de la apertura de nuevas actuaciones al no haber prescrito la presunta vulneración de la LOPD y de la continuación del procedimiento sancionador en relación con la entidad FIATC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 La AN en sentencia de 21/10/2014 señala que: “El artículo 92 de la LRJPAC, al que se remite su artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, "no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán el plazo de prescripción". Por consiguiente, declarada la caducidad de unas actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, no se encuentra imposibilitada la Administración actuante para iniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. Por tanto, habiéndose producido dilación en el inicio del procedimiento sancionador incoado al denunciado FACR, procede declarar la caducidad de las citadas actuaciones previas, respecto del citado denunciado, al haber transcurrido más de doce meses a contar desde la fecha en la que la denuncia tuvo su entrada en esta Agencia y continuar el procedimiento sancionador respecto a FIATC. No obstante, al no haber prescrito la supuesta infracción cometida por FACR se procede a realizar nuevas actuaciones en el marco del expediente E/02594/2016. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador seguido contra A.A.A. por la presunta vulneración del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
3. c)de dicha norma, continuando el procedimiento sancionador respecto a FIATC, y ordenar a la Subdirección General de Inspección de Datos de esta Agencia que proceda a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/02594/2016, al no haber prescrito la presunta infracción cometida por A.A.A.. SEGUNDO: NOTIFICAR la presente resolución a A.A.A., SEGUROS Y REASEGUROS A PRIMA FIJA y a B.B.B.. FIATC MUTUA DE De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es