PS-00195-2016

1/13 Procedimiento Nº PS/00195/2016 RESOLUCIÓN: R/02590/2016 En el procedimiento sancionador PS/00195/2016, instruido por la Agencia Española de Protección de Datos a la entidad MAPFRE ESPAÑA, COMPAÑIA DE SEGUROS Y REASEGUROS, S.A., vista la denuncia presentada por D. C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 09/05/2015 tiene entrada en esta Agencia una denuncia remitida por Don C.C.C. (en adelante el denunciante) contra MAPFRE FAMILIAR, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., (actualmente MAPFRE ESPAÑA, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., en adelante MAPFRE) manifestando lo siguiente: “En el mes de Junio de 2014, 2 meses antes de su vencimiento, procedí a dar de baja por internet el seguro del vehículo Abarth 500c matricula J.J.J., que tenía concertado con la entidad Mapfre, recibiendo un correo de Mapfre Familiar con fecha 9/6/14 acusando recibo de mi oposición a la prorroga con efecto 28/08/2014. No obstante dicha comunicación, en Agosto de 2014 me fue pasado el recibo al cobro por la cuenta de la que soy titular en la entidad Espirito Santo (hoy Novo Banco), siendo la cuenta domiciliada con Mapfre. Dicho recibo fue devuelto. Entendí que con una comunicación fehaciente de no renovación y la devolución del recibo, el asunto quedaba zanjado de conformidad con lo dispuesto en el artículo 22 de la ley de contrato de seguros. Sin embargo, para mi sorpresa e indignación, Mapfre, saltándose cualquier normativa de protección de datos, procedió en el mes de septiembre a cargar dicho recibo que había sido devuelto, en una cuenta de la entidad "La Caixa", a nombre de la empresa Moraga Consulting, SL, de la que ocupo el cargo de administrador, pero que nada tiene que ver con el vehículo del que era titular yo. Dicha actuación incomprensible, reprobable y sancionable fue puesta en conocimiento de Mapfre vía telefónica, vía correo certificado, vía burofax y vía correo electrónico, sin que a día de hoy haya obtenido una respuesta satisfactoria ante la infracción tan evidente cometida por la aseguradora, que sin ningún fundamento ni autorización ha hecho uso de unos datos para cobrar un seguro, a nombre de una persona física, debidamente devuelto y notificado, en la cuenta de una persona jurídica con los consiguientes perjuicios que me han sido ocasionados.” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad MAPFRE, teniendo conocimiento de lo siguiente: SOBRE LA TRAMITACION DE LA BAJA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Se ha requerido a MAPFRE que especifique las causas que han motivado la continuación de la emisión de recibos a nombre del denunciante, con posterioridad a la solicitud de la baja del seguro contratado, adjuntándole copia de los recibos emitidos y la confirmación de la baja recibida por el denunciante. Los representantes de la entidad han manifestado lo siguiente: “Las investigaciones realizadas por mi representada concluyen que el proceso de cobro de recibo por domiciliación bancaria para la prórroga contractual no se detuvo con la antelación suficiente para evitar que el mismo fuera emitido a la entidad bancaria. A partir de la solicitud de oposición a la prórroga realizada a través de la Oficina Internet se activa un proceso interno de verificación y autenticación en el que intervienen distintas áreas de la entidad y como paso previo a hacer efectiva dicha solicitud. En una primera instancia interviene el Centro de Conservación de Recibos, (desde donde se realizan labores de seguimiento de éste y otro tipo de solicitudes de los clientes en relación con sus pólizas) para posteriormente si el contacto es fallido o precisa de una atención más directa, pasar la gestión al agente mediador, como ocurrió en el presente caso y se comunicó al Sr. C.C.C. mediante correo de 9 de junio de 2014 en el que el área de clientes de la Oficina Internet acusa recibo a su comunicación, informando expresamente de que "trasladamos su petición a su Agente/Mediador que en breve se pondrá en contacto con Vd". […] Dicha operativa tiene por objeto verificar la autenticidad de la solicitud hecha por internet y confirmar otras circunstancias relevantes en relación con la póliza y el vehículo asegurado, como son la fecha en que el vehículo dejará de estar asegurado y la necesidad de comunicar la verificación de su transmisión, teniendo en cuenta los efectos y obligaciones que al respecto establecen los artículos 34 a 37 de la Ley 50/1980, de 8 de octubre, de Contrato de Seguro, y en particular los relacionados con la subrogación del adquirente dimanantes del 34 y que necesariamente deben verificarse y estipularse por escrito antes de hacer efectivos en la póliza los cambios derivados de la transmisión del vehículo asegurado, máxime cuando la subrogación del adquirente se realiza de forma automática al momento de producirse dicha transmisión. Según se ha puesto de manifiesto en los antecedentes analizados y tal y como se había informado previamente al tomador, el agente/mediador contactó con él antes de realizar ningún cambio en su póliza con la pretensión de concertar una cita en la que confirmar y formalizar por escrito los efectos de la petición que hizo por Internet, especificando la fecha en que el seguro dejaría de tener efectos, o en su caso, del momento en que se produzca la subrogación del nuevo titular del vehículo. Esta operativa condiciona cualquier alteración del proceso de emisión y cobro del recibo a los resultados de las gestiones e información obtenida por el Agente o área de la entidad encargados de recabarla. Fue precisamente esta operativa y el hecho de que el Sr. C.C.C. no atendiera el requerimiento hecho por el agente para ratificar por escrito la comunicación que hizo por internet, lo que motivó que el proceso automático de gestión de cobro de la prórroga de la póliza F.F.F. no se interrumpiera a tiempo para evitar que el recibo correspondiente se enviara para su cobro a la cuenta bancaria vinculada y con posterioridad, al venir devuelto desde dicha cuenta, el mismo recibo se enviara para su cobro a otra cuenta bancaria facilitada y vinculada a otra póliza contratada por el Sr. C.C.C.. En todo caso el proceso de gestión de cobro se inició mediante la generación del recibo y el correspondiente aviso de renovación realizados con una anticipación superior a dos meses a la fecha de vencimiento de la póliza y antes de que el tomador hubiera hecho la solicitud en la Oficina Internet. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 Finalmente la anulación de la póliza se tramitó el día 17 de octubre de 2014 con fecha de efecto de 27 de agosto de 2014 correspondiente con la del vencimiento anual de la póliza.” - En el correo electrónico remitido por MAPFRE al denunciante se indica textualmente: “Acusamos recibo de la comunicación por Vd. realizada en cuanto a la oposición a la prórroga del contrato número F.F.F. que tomará efecto en fecha 28/08/2014. No obstante lo anterior, trasladamos su petición a su Agente/Mediador que en breve se pondrá en contacto con Vd. No obstante, para cualquier duda, sugerencia o consulta, estamos a su disposición…“ - El correo lo firma “MAPFRE FAMILIAR, S.A.” en las cabeceras de Internet consta remitido desde una máquina del dominio “mapfre.com”. Sobre el número de recibos emitidos con posterioridad al 28/08/2014, los representantes de la entidad han indicado que el recibo n° H.H.H. es el único generado para la renovación de la póliza F.F.F. y que dicho recibo fue generado en fecha 31/05/2014 teniendo en cuenta que se inicia el proceso para la renovación de la póliza con más de dos meses de anticipación a la fecha de vencimiento. Se emitió para su cobro con fecha valor 27/08/2014 en primera presentación y con fecha valor 11/09/2014 en su segunda presentación, esta vez en una cuenta distinta del mismo cliente. Aportan impresión de pantalla con la información de las remesas en las que el recibo fue presentado y sus correspondientes devoluciones. SOBRE EL ORIGEN DE LA CUENTA Se ha requerido a la entidad a aportar copia de toda la documentación que pueda acreditar el origen del dato de cuenta corriente de cargo B.B.B. de la Caixa, así como documentación acreditativa del consentimiento del afectado para el cargo de los recibos en dicha cuenta. MAPFRE ha aportado copia de las Condiciones Particulares de la póliza de seguros nº G.G.G., de un automóvil cuyo propietario es D.D.D.. (en lo sucesivo MORAGA), siendo el denunciante su tomador, constando el citado n° de cuenta bancaria como cuenta para el pago de los recibos. Los representantes de MAPFRE manifiestan que éste es el origen del dato y la fuente de legitimidad de su utilización por MAPFRE indicando que mediante su firma y aceptación, el denunciante autoriza el tratamiento de los datos personales suministrados voluntariamente en dicho documento para, entre otras finalidades, la relativa a la gestión de otras solicitudes o contratos de entidades del Grupo MAPFRE, y siendo precisamente ésta, la gestión del cobro de la prima en la póliza F.F.F. contratada con MAPFRE, la finalidad de su tratamiento en la emisión del recibo de fecha valor 12/09/2014 vinculado a la misma. Significan que el denunciante ha figurado como tomador de la póliza G.G.G. durante todo su período de vigencia entre los días 23/02/2008 y el 23/02/2015 fechas de efecto y anulación respectivamente y que en todo momento el medio de cobro autorizado por éste ha sido la cuenta bancaria B.B.B.. TERCERO: Con fecha 25 de abril de 2016, la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Protección de Datos acordó iniciar, procedimiento sancionador a MAPFRE, por presunta infracción del artículo 6.1 de la LOPD de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, MAPFRE, mediante escrito de fecha 13 de mayo de 2016, formuló alegaciones, significando, que procedió a cargar el recibo correspondiente a la póliza del seguro de automóviles en la cuenta bancaria de La Caixa, en fecha 11 de septiembre de 2014, porque había sido devuelto el que se cargó el día 27 de agosto de 2014 en la cuenta bancaria de Novo Banco. Moraga Consulting facilitó la cuenta de La Caixa para el pago de un seguro, en fecha 23 de febrero de 2008, siendo el tomador el denunciante. En la página 5 de ese seguro autoriza el “tratamiento de los datos personales… de la actualización de los mismos… y la gestión de otras solicitudes o contratos de entidades del Sistema Mapfre”. Con referencia a la solicitud de cancelación de la póliza del seguro del automóvil, el denunciante informó que se debía a la venta del vehículo, no tratándose, por tanto, de una mera comunicación de oposición a la prórroga de su póliza al amparo de lo establecido en el artículo 22 de la Ley 50/1980, de Contrato de Seguro. Parecía una comunicación de transmisión del objeto asegurado, al amparo de lo establecido en el artículo 34 de la misma Ley, lo cual era necesario aclarar con el tomador del seguro. Por ese motivo, sin rechazar la solicitud de cancelación, se le indicó que se contactaría con él para tramitar su petición; lo cual hizo tanto un agente mediador como desde el call center de Mapfre, solicitando que se pasase por la oficina a lo que se negó. Esa negativa provocó que quedase paralizado el procedimiento de anulación de la póliza y se girase el recibo al cobro. QUINTO: Con fecha 19 de mayo de 2016, se inició el período de práctica de pruebas, durante el cual se acuerda practicar las siguientes pruebas: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/05138/2015. 2. Asimismo, dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio, PS/00195/2016, presentadas por MAPFRE, y la documentación que a ellas acompaña. Por otra parte, en relación con la prueba propuesta relativa a la declaración del agente no se considera necesaria ni pertinente a los efectos de la resolución del procedimiento. 3. Se solicitó, en dos ocasiones, al denunciante que aportase toda la documentación que obrara en su poder referida a este procedimiento y que no hubiera sido aportada anteriormente. Las cartas no han sido recogidas por su destinatario. SEXTO: Con fecha 12/08/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad MAPFRE con multa de 40.001 € (cuarenta mil un euros), por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Notificada la citada propuesta, se recibe escrito de alegaciones de la entidad MAPFRE en el que solicita el archivo de las actuaciones o, subsidiariamente, la moderación de la sanción propuesta, alegando lo siguiente: . Se refiere nuevamente al cargo efectuado en la cuenta bancaria de La Caixa señalando que disponía del consentimiento para dicho tratamiento de datos, prestado al suscribir la póliza que daba cobertura al vehículo I.I.I., en la que el denunciante interviene como tomador a título personal y no en representación de aquella sociedad, en la que se autorizaba la utilización de los datos para la gestión de otras solicitudes o contratos de entidades del sistema MAPFRE. En relación con esta póliza, MAPFRE añade que Moraga Consulting, S.L. únicamente figura en esa póliza como propietaria del vehículo asegurado. Todo ello acredita, a juicio de MAPFRE, que los datos fueron facilitados por el denunciante y que éste autorizó su utilización para la gestión de otras pólizas, por más que la referida cuenta bancaria figurase abierta a nombre de la sociedad. Los datos de esta póliza estaban asociados, por tanto, a una persona física. Asimismo, añade que la misma póliza a la que pertenecía el recibo pasado a cobro autorizaba el tratamiento de los datos incluso una vez finalizada la relación contractual o precontractual. . En relación con la comunicación remitida vía internet por el denunciante en fecha 09/06/2014, insiste en que por medio de la misma se solicita la anulación del seguro por la venta del vehículo y no como una “no renovación”, siendo aplicables los artículos 34 y 35 de la Ley de Contrato de Seguro, con efectos distintos a los previstos en el artículo 22 de la misma Ley indicado en la propuesta de resolución. Por este motivo, desde el call center se informó al denunciante sobre la necesidad de justificar la venta del vehículo para proceder a cancelar anticipadamente la póliza, existiendo una grabación en la que el mismo reconoce no haber aportado dicha documentación, lo que provocó la paralización del procedimiento de anulación de la póliza en cuestión. . Las alegaciones reseñadas anteriormente no quedan desvirtuadas por la indicación realizada a la abogada del denunciante señalándole que se había tratado de un error. . Entiende MAPFRE que la sanción propuesta, aun fijándose en el límite mínimo de las sanciones graves, resulta excesiva e injustificada, y considera que debería apreciarse la ausencia de beneficios, la ausencia de intencionalidad y ausencia de perjuicios para considerar aplicable lo establecido en el artículo 45.5 de la LOPD. HECHOS PROBADOS 1) Don C.C.C. suscribió con Mapfre un seguro del vehículo Abarth, matrícula J.J.J., abonando las cuotas del mismo en una cuenta del Banco Espíritu Santo (en la actualidad Novo Banco); número de póliza F.F.F.. 2) Moraga Consulting, S.L., suscribió un seguro del automóvil Jeep Wrangler, matrícula I.I.I., en fecha 23 de febrero de 2008, abonando las cuotas en una cuenta de La Caixa; póliza de seguros nº G.G.G.. (folios 35-36). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 3) Con fecha 9 de junio de 2014, el denunciante se dirigió a Mapfre solicitando “No renovar la póliza del vehículo Abarth, matrícula J.J.J.”, rellenando la casilla de “ A.A.A.” (folio 98). 4) Con fecha 9 de junio de 2014, el Área de clientes de Mapfre envió un correo electrónico de Confirmación de envío de solicitud, en el que indica lo siguiente: “Estimado C.C.C.: Acusamos recibo de la comunicación por Vd. Realizada en cuanto a la oposición a la prórroga del contrato número F.F.F., que tomará efecto en fecha 28/08/2014. No obstante lo anterior, trasladamos su petición a su Agente/Mediador que en breve, se pondrá en contacto con usted. No obstante, para cualquier duda, sugerencia o consulta, estamos a su disposición en el teléfono 902*******, en nuestro Área de Clientes o en cualquiera de nuestras más de 3.000 Oficinas Comerciales.” 5) En el mes de agosto de 2014, Mapfre pasó al cobro la cantidad de 314,62 euros al Banco Novo Banco, a la cuenta del denunciante y en concepto del pago del seguro de la póliza F.F.F.. (folio 4). Este recibo fue devuelto por el denunciante. 6) En el mes de septiembre de 2014, Mapfre pasó al cobro la cantidad de 314,62 euros al Banco La Caixa, a la cuenta de Moraga Consulting, S.L., y en concepto del pago del seguro de la póliza F.F.F.. (folio 3) 7) Con fecha 3 de octubre de 2014, la abogada del denunciante se dirigió a Mapfre, por correo certificado con Aviso de Recibo, indicando lo que había sucedido con la póliza de seguro del automóvil Abarth 500c matricula J.J.J.. Tras dar de baja la póliza, recibir la solicitud y aceptarla por parte de Mapfre, esta aseguradora pasa al cobro el recibo anual en agosto a la cuenta de Novo Banco. Al ser devuelto el pago del recibo, Mapfre gira el cobro del recibo a la cuenta de la entidad Moraga, de la cual es administrador el denunciante. Este recibo también se devolvió pero obligó al denunciante a dar explicaciones a la sociedad por haber recibido un recibo particular en la cuenta de la sociedad. (folios 9 a 12) 8) Con fecha 25 de noviembre, la abogada del denunciante se dirige nuevamente a Mapfre, por burofax, al no haber recibido contestación a su carta anterior. (folios 13 y 14) 9) Con fecha 23 de septiembre de 2014, la abogada del denunciante reitera la reclamación y contestación a Mapfre, mediante correo electrónico. (folio 15) 10) Con fecha 30 de diciembre de 2014, Mapfre se dirige a la abogada del denunciante solicitando acreditación de la representación y firma de su escrito. (folio 16) 11) Con fecha 21 de enero de 2015, la abogada del denunciante se dirige nuevamente a Mapfre haciendo una serie de consideraciones sobre su reclamación (folios 6 y 7) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 12) Con fecha 29 de enero de 2015, Mapfre contestando a la abogada del denunciante que trasladan sus escritos al Área de Reclamaciones. (folio 8) 13) En fecha 24 de marzo de 2015, Mapfre se dirigió a la abogada del denunciante disculpándose en primer lugar, y señalando lo siguiente: “Se ha procedido al estudio del asunto por parte del departamento correspondiente de MAPFRE FAMILIAR, el cual nos indica que el motivo por el cual se pasa el recibo de la póliza de referencia ( F.F.F.) por una cuenta bancaria no asociada a la misma es debido E.E.E.. Como hemos indicado anteriormente, la cuenta bancaria no estaba asociada a la póliza pero sí al tomador de la misma, por lo que al venir el recibo devuelto y enviarlo de nuevo a cobro desde la Oficina, se marca manualmente la cuenta bancaria equivocada” (folio 61). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Se imputa a MAPFRE, en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negociad entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. MAPFRE, no ha acreditado en el procedimiento que cuente con el consentimiento inequívoco del denunciante para el tratamiento de sus datos con posterioridad a la solicitud de no renovación de la póliza de automóvil, póliza nº F.F.F. (aceptada por la entidad aseguradora) y materializado en el giro de la cuota de la póliza una vez anulada, por dos veces, la primera en el Banco donde se venía abonando y que constaba en la póliza, y la segunda vez en la cuenta de una sociedad de la que el denunciante era tomador del seguro de otro vehículo. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a MAPFRE tratar los datos de la denunciante sin su consentimiento. III Alega la representación de MAPFRE que la petición del denunciante podía entenderse que no era la mera oposición a la prórroga de la póliza del vehículo sino la comunicación de la transmisión del objeto asegurado. La Ley 50/1980, de 8 de octubre, de Contrato de Seguro establece, en el artículo 22, en cuanto a la duración y la prórroga del contrato del seguro, lo siguiente: “1. La duración del contrato será determinada en la póliza, la cual no podrá fijar un plazo superior a diez años. Sin embargo, podrá establecerse que se prorrogue una o más veces por un período no superior a un año cada vez. 2. Las partes pueden oponerse a la prórroga del contrato mediante una notificación escrita a la otra parte, efectuada con un plazo de, al menos, un mes de anticipación a la conclusión del período del seguro en curso cuando quien se oponga a la prórroga sea el tomador, y de dos meses cuando sea el asegurador. 3. El asegurador deberá comunicar al tomador, al menos con dos meses de antelación a la conclusión del período en curso, cualquier modificación del contrato de seguro. 4. Las condiciones y plazos de la oposición a la prórroga de cada parte, o su inoponibilidad, deberán destacarse en la póliza.” Por otro lado, el artículo 34 de la misma Ley señala: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 “1. En caso de transmisión del objeto asegurado, el adquirente se subroga en el momento de la enajenación en los derechos y obligaciones que correspondían en el contrato de seguro al anterior titular. Se exceptúa el supuesto de pólizas nominativas para riesgos no obligatorios, si en las condiciones generales existe pacto en contrario. 2. El asegurado está obligado a comunicar por escrito al adquirente la existencia del contrato del seguro de la cosa transmitida. Una vez verificada la transmisión, también deberá comunicarla por escrito al asegurador o a sus representantes en el plazo de quince días. 3. Serán solidariamente responsables del pago de las primas vencidas en el momento de la transmisión el adquirente y el anterior titular o, en caso de que éste hubiera fallecido, sus herederos.” De la lectura de la solicitud realizada por el denunciante: “No renovar la póliza del vehículo Abarth, matrícula J.J.J.”, parece que no hay ninguna duda de que nos encontramos ante lo establecido en el artículo 22 de la Ley de Contrato del Seguro. Además, dicha comunicación la realizó dos meses y medio antes de que venciera el seguro del vehículo mencionado, cumpliendo el plazo establecido en el citado artículo. Efectivamente rellenó del Motivo de no renovación: Desaparición/modificación del riesgo, y la casilla de “ A.A.A.” (folio 98). Pero queda acreditado que el denunciante manifestó su voluntad de no renovar la póliza del seguro del vehículo mencionado. Así lo entendió Mapfre al Acusar recibo de la comunicación en cuanto a la oposición a la prórroga del contrato número F.F.F., añadiendo que tendría efecto en fecha 28/08/2014. En esta comunicación MAPFRE indicó expresamente lo siguiente: “Acusamos recibo de la comunicación por Vd. Realizada en cuanto a la oposición a la prórroga del contrato número F.F.F., que tomará efecto en fecha 28/08/2014”. Y en el escrito aportado por la aseguradora en respuesta al requerimiento de información que le fue remitido por los servicios de inspección de la AEPD se manifiesta: “Finalmente la anulación de la póliza se tramitó el 17 de octubre de 2014 con fecha de efecto de 27 de agosto de 2014 correspondiente con la del vencimiento de la prórroga”. Por ello, queda acreditado que, solicitada la oposición a la prórroga del contrato a su vencimiento (solicitud de baja del contrato), mediante notificación escrita y efectuada de conformidad con lo establecido en el artículo 22 de la LCS, con posterioridad la entidad MAPRE proceda a requerirle el pago del recibo de la prima, en dos ocasiones, la última en una cuenta y entidad bancaria que no era la que había autorizado el denunciante para el cobro de la póliza del seguro de su vehículo. Por otra parte, la entidad MAPFRE manifiesta que dicha póliza autorizaba el tratamiento de los datos incluso una vez finalizada la relación contractual. Sin que esto suponga un pronunciamiento sobre la validez de esta estipulación y su adecuación a lo establecido en el artículo 4.5 de la LOPD, que obliga a cancelar los datos cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la que fueron recabados o registrados, lo que resulta obvio es que esa autorización para utilizar los datos personales una vez finalizada la relación contractual no puede conllevar, precisamente, el mantenimiento de un contrato cuya vigencia ha sido denunciada por el interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Por otro lado, insiste Mapfre en que podía girar el recibo de la póliza a La Caixa, ya que aunque la cuenta estaba a nombre de la sociedad Moragas, tenía asegurado un vehículo la empresa y el tomador era el denunciante. Esta posibilidad se basa en el propio contrato de seguro de Moragas en el que se indica que “el tomador autoriza el tratamiento de los datos personales suministrados… para la gestión de otras solicitudes o contratos de entidades del sistema MAPFRE”. Los datos de esa póliza están asociados a una persona jurídica y no pueden utilizarse para debitar una póliza que, además, estaba cancelada; algo que reconoce expresamente MAPFRE al contestar a la abogada del denunciante “Se ha procedido al estudio del asunto por parte del departamento correspondiente de MAPFRE FAMILIAR, el cual nos indica que el motivo por el cual se pasa el recibo de la póliza de referencia ( F.F.F.) por una cuenta bancaria no asociada a la misma es debido E.E.E.. Como hemos indicado anteriormente, la cuenta bancaria no estaba asociada a la póliza pero sí al tomador de la misma, por lo que al venir el recibo devuelto y enviarlo de nuevo a cobro desde la Oficina, se marca manualmente la cuenta bancaria equivocada” (folio 61). MAPFRE ha alegado a este respecto que el denunciante intervino en la formalización de la póliza a título individual, de modo que los datos de dicha póliza estaban asociados a una persona física (el denunciante) y no a una persona jurídica (Moraga Consulting, S.L.). Sin embargo, en esta póliza, que consta en las actuaciones aportada por MAPFRE, se especifica expresamente que el denunciante, que figura en la misma como tomador del seguro, actúa por cuenta del propietario (en el apartado “propietario” de la misma póliza figura la sociedad mencionada). IV De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
4. b)tipifica como infracción grave “
5. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En el presente caso, MAPFRE ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6.1 de la LOPD. La entidad mencionada ha tratado los datos del denunciante con posterioridad a la solicitud de baja, sin contar con su consentimiento, requiriéndola el pago del recibo de la prima, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en este artículo 44.3.
6. b)de la citada Ley Orgánica. V El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
7. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13
8. b)El volumen de los tratamientos efectuados.
9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
10. d)El volumen de negocio o actividad del infractor.
11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
12. f)El grado de intencionalidad.
13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente caso, ha quedado acreditado que MAPFRE vulneró el artículo 6.1 de la LOPD, al tratar los datos del denunciante sin su consentimiento con posterioridad a la solicitud de la baja en el seguro de automóviles póliza nº F.F.F., reclamándole por dos veces el pago del recibo de la prima correspondiente a un seguro de automóviles cuando ya había comunicado la cancelación del seguro y la aseguradora lo había admitido expresamente. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. A juicio de esta Agencia, en el presente caso se estima que no concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando que el tratamiento de datos personales constitutivo de la infracción está asociado a una operación básica, desde el punto de vista de la actividad que desarrolla MAPFRE, como es la cancelación de una póliza que había sido solicitada por el cliente en tiempo y forma, y aceptada desde el inicio por la propia aseguradora, aunque posteriormente se gestiona por la misma de forma irregular dando lugar a la infracción que se sanciona. Se advierten circunstancias que agravan la conducta de la entidad que ahora se enjuicia. Así, concurren las agravantes previstas en los apartados c), del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de los clientes como de terceros; el apartado
22. d)del artículo 45.4, “volumen de negocio” toda vez que se trata una gran compañía aseguradora por cuota de mercado. A lo que hay que añadir que tardo más de siete meses en contestar las solicitudes de aclaración del problema. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal (apartado b), el volumen de negocio del infractor (apartado d), procede imponer una sanción de 40.001 € por la infracción del artículo 6.1 de la LOPD de la que MAPFRE debe responder. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MAPFRE ESPAÑA, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
23. b)de dicha norma, una multa de 40.001 € (cuarenta mil un euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a MAPFRE ESPAÑA, COMPAÑIA DE SEGUROS Y REASEGUROS, S.A. y a D. C.C.C.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es