PS-00221-2022

1/73  Expediente N.º: EXP202202567 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) en fecha 14/01/2022 interpuso una reclamación ante la Agencia Española de Protección de Datos (AEPD). La reclamación se dirige contra LÍNEA DIRECTA ASEGURADORA, S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS, con NIF A80871031, (en lo sucesivo, la parte reclamada o LÍNEA DIRECTA). El hecho en el que basa la reclamación es el siguiente: El agente de seguros exclusivo de LÍNEA DIRECTA, la mercantil MAJOREL S.P. SOLUTIONS, S.A., (en adelante, MAJOREL), sin recabar su consentimiento, ha consultado a través de la página web de la Dirección General de Tráfico (DGT) el saldo de puntos asociados a su carné de conducir. Para poder efectuar esta consulta MAJOREL ha obtenido previamente de la DGT una clave de acceso, para lo cual ha debido de facilitar datos personales de la parte reclamante -el NIF y la fecha de expedición de su carné de conducir- y una dirección de correo electrónico -en este caso, una dirección de la que el reclamante no es titular- a la que la DGT ha remitido la clave. Recibida la clave, ha accedido a la información de los puntos que se encuentra registrada en la DGT. La parte reclamante manifiesta: “Hoy día 13/01/2022 solicité a compañía de seguros Línea Directa Aseguradora precio del seguro del coche. Me llamó por teléfono un mediador (MAJOREL SP SOLUTIONS, S.A.U.) […]. Esta entidad ha consultado sin mi consentimiento mi saldo de puntos del carnet de conducir, a través de la Web de la DGT, sin certificado. Han introducido en la Web de la DGT mi DNI, mi fecha de expedición del carnet de conducir, y han insertado un email que no es de mi propiedad, sin mi consentimiento, para que la DGT le enviase una clave de acceso para conocer mi saldo de puntos del carnet de conducir. Posteriormente he comprobado el email que han utilizado accediendo a la Web de la DGT y solicitando la recuperación de clave por email. El email que me aparece es ***EMAIL.1 Decido interponer denuncia ya que en ningún momento he dado mi consentimiento para que realicen en mi nombre esa consulta.” (El subrayado es nuestro) Con su escrito de reclamación aporta: -Una captura de pantalla que lleva en el encabezamiento la indicación “Gobierno de España”, “Ministerio del Interior”, “Dirección General de Tráfico” y que incluye esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/73 información: “Solicitud de clave de acceso. Paso 2 de 2- Verificación de datos personales.” Inmediatamente debajo, en un recuadro, figuran estos datos de la parte reclamante: el nombre, apellido 1, apellido 2, NIF y la fecha de expedición de su carné de conducir. A continuación, en dos recuadros precedidos de las rúbricas “E-mail” y “Comprobación de E-mail”, figura en ambas casillas esta dirección electrónica: ***EMAIL.1. Por último, precedida del símbolo de información, aparece esta leyenda: “La dirección de correo electrónico que nos indique será donde recibirá su clave de acceso”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a LÍNEA DIRECTA y a MAJOREL para que procediesen a su análisis e informasen a esta Agencia, en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a lo prevenido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) en fecha 03/03/2022. La notificación fue aceptada en esa misma fecha por ambas entidades como lo acreditan los acuses de recibo que obran en el expediente. A. Respuesta de LÍNEA DIRECTA al traslado de la reclamación y solicitud de información de la Subdirección General de Inspección de Datos (SGID) En fecha 31/03/2022 se recibe la respuesta de la Delegada de Protección de Datos (DPD) de LÍNEA DIRECTA en la que solicita que se proceda al archivo de la reclamación. Sobre el fundamento de la licitud del tratamiento invoca la concurrencia de dos bases jurídicas: los apartados

1. a)y
2. b)del artículo 6.1 RGPD. Comienza haciendo referencia a “tres hechos diferenciados” que a su juicio se plantean en la reclamación y que conllevan distintos tratamientos de datos: i. El primero sería en su opinión la “solicitud de precio de seguro” que el reclamante hizo a LÍNEA DIRECTA. Dice que ha de valorarse la licitud de “atender la solicitud de contratación de un seguro del que se ha pedido precio” y, añade: “Por lo que resulta de la llamada, el reclamante había introducido ya todos sus datos por internet para obtener una cotización, o al menos había solicitado ser llamado (“Te llamamos gratis”) ii. El hecho segundo consiste en la “llamada telefónica por parte de MAJOREL”. Explica que MAJOREL es agente exclusivo de LÍNEA DIRECTA, por lo que estamos ante un encargado de tratamiento que actúa por cuenta y en nombre de esa parte. Aporta (documento número 1) el contrato de Agencia de seguros celebrado entre MAJOREL y LÍNEA DIRECTA el 14/04/2021 en virtud del cual se adaptó el contrato de Agencia de seguros exclusiva que ambas partes habían suscrito el 01/09/2010 a las previsiones del Real Decreto-ley 3/2020, de 4 de febrero, de medidas urgentes por el que se incorporan al ordenamiento jurídico español diversas Directivas de la Unión Europea en el ámbito de la contratación pública en determinados sectores, entre ellos el de seguros privados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/73 El contrato de encargo de tratamiento consta de treinta y cinco estipulaciones. Forman parte de él el Anexo I, “de protección de datos personales”, el Anexo II, “requisitos de seguridad a implementar por el encargado”, el Anexo III “Complementario al Anexo RGPD. Indicadores del plan de calidad”, y el Anexo IV, “Código Ético”. Aporta como documento número 2 unas capturas de pantalla obtenidas el 30/04/2022 de la página web de la Dirección General de Seguros y Fondos de Pensiones (DGSFP) en las que consta inscrita MAJOREL como agente exclusivo de seguros con contrato con LÍNEA DIRECTA desde el 03/02/2011. iii. El hecho tercero es la “Consulta de los puntos DGT”. Frente a lo manifestado por la parte reclamante de que los puntos asociados a su carné de conducir se consultaron “sin su autorización ni consentimiento”, la DPD de LÍNEA DIRECTA, alega: “Se ha investigado si esto fue así, pues en los contratos de encargo de tratamiento se incorpora, cláusula séptima, la necesidad de recabar la autorización para llevar a cabo cualquier actividad como la descrita. También se incluyen recordatorios al respecto, como se justifica con los planes de calidad para operadores de ventas externos. Se aporta el mismo como DOCUMENTO NÚMERO 3.” (El subrayado es nuestro) Describimos seguidamente los dos documentos mencionados por la DPD: a)La estipulación séptima del contrato de Agencia -aportado como documento 1- que establece: “INFORMACIÓN Y PROTECCIÓN DE LA CLIENTELA COMERCIALIZACIÓN A DISTANCIA Además de las obligaciones generales en materia de información referidas en cláusulas anteriores, en la realización de comercialización a distancia, la Agencia queda obligada de forma previa a la celebración de los productos objeto de intermediación bajo este Contrato, a cumplir con las obligaciones previas exigidas en la normativa específica y en concreto en la LSSICE y en la LCD en todo aquello que le fuera de aplicación. Por tanto, la Agencia deberá identificarse como tal, en todas las llamadas y cumplir con las restantes previsiones a tal efecto establecidas bajo las referenciadas normativas. Asimismo, la Agencia manifiesta su capacidad para obtener el consentimiento expreso y jurídicamente válido de los clientes para la realización de las actuaciones previas a la contratación del producto de seguro mediado conforme a las previsiones contenidas en el RGPD y en la LOPDPGDD e incluidas en el Anexo Complementario RGPD adjunto al presente contrato, de acuerdo con las instrucciones que al respecto le indique LINEA DIRECTA. […].” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/73
3. b)Los “planes de calidad para operadores de ventas externos” que la aseguradora reclamada aporta como documento número 3, consisten en un documento en Word en el que se ha transcrito parte del encabezamiento de un correo electrónico. En el extremo izquierdo del documento se indica: “Motor_calidad”. “Enviado por Motor_calidad” “18/02/2020.17:12”. En el extremo derecho, los apartados “Para” y “cc” están en blanco. En el apartado “cco” se incluyen varias direcciones de correo electrónico, de ellas, la única que pertenece al dominio “majorel” es: “***EMAIL.2”. Como “Asunto”, consta en el documento “Operativa pautas generales ventas”. Inmediatamente debajo se incluye este texto, sin ninguna indicación sobre su procedencia o sobre el documento del que se hubiera extraído: <<CAMPAÑA 15 PUNTOS: - Como cualquier campaña, se puede aplicar si nuestro precio es superior o hay queja del cliente. - Hay que preguntar si tiene los 15 puntos. - Hay que solicitar el justificante de los 15 puntos o pedir autorización al cliente para realizar la consulta online. >> se considera incidencia media. >> en cotización y/o cierre.>> (El subrayado es nuestro) Como documentos números 4 y 5 la DPD de LÍNEA DIRECTA aporta la grabación de la conversación telefónica mantenida entre el trabajador/operador telefónico de MAJOREL y la parte reclamante. La conversación se interrumpe por la comida del reclamante, de ahí que existan dos grabaciones. La DPD hace estas consideraciones respecto a los audios de las conversaciones mantenidas “ […]
4. b)Se observa en la conversación que la consulta a los puntos de la DGT se efectúa en el seno de la contratación de una póliza de seguros de vehículo, que fue finalmente contratada. Se adjunta como DOCUMENTO NÚMERO 6 la póliza que tuvo efecto justamente el mismo día de la llamada, esto es, el día 13/01/2022.
5. c)La contratación de la póliza, cuyo precio depende, entre otros, de que se tengan o no los 15 puntos, implica corroborar esta información con la DGT. Se reproduce la transcripción de la grabación en esta parte (en negrita y subrayados los puntos que inciden en el presente requerimiento): • Operador: “yo tengo un precio inicial de 501 euros, vale, es inicial, ¿usted tiene los 15 puntos de carnet de conducir?” • Cliente: “Sí” • Operador: “vale, ¿me dice por favor la fecha de expedición de su carnet?’” • Cliente: “sí, 31/05/2007” (…) • Operador: “disculpe, ¿me repite la fecha de expedición de su carnet?” • Cliente: “31/05/2007” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/73 • Operador: “un segundito que hago la consulta” • Cliente: “sí” • Operador: “le pongo en espera y vuelvo con usted en seguida, ¿vale?” • Cliente: “claro” (…) periodo de varios minutos en que se efectúa la consulta a la D.G.T. • Operador:” Gracias por la espera A.A.A., actualmente tiene 11 puntos de carnet de conducir” • Cliente: “no lo sé, yo tengo los 15” • Operador: “no, tiene 11 porque lo acabo de consultar a la D.G.T., no sé si le han quitado recientemente 4 puntos…” (…) Se contrata la póliza aplicando descuento y valorando los 11 puntos para ello entre otros puntos.
6. d)Nótese que se hace referencia a la posibilidad de que los 4 puntos que supuestamente le faltan han sido retirados “recientemente”, lo que implica que el acceso se ha efectuado en ese instante “reciente” a la DGT. De hecho, el propio reclamante aporta un “pantallazo” desde su móvil del sistema de acceso a la página web de la D.G.T. para la consulta de sus puntos, lo que nos hace presuponer que conocía el sistema utilizado, o estaba familiarizado con el mismo, de manera que era consciente de que la única consulta posible para contrastar su saldo de puntos era a la web de la D.G.T.
7. e)Este DPD considera que hubiera sido más conveniente y ajustado a la política de calidad que el operador indicara expresamente no solo “¿hago la consulta?”, sino que hubiera añadido “a la D.G.T.”, o que empleara una fórmula como “¿me autoriza la consulta de sus puntos a la D.G.T.? Sin embargo, del contexto de la conversación, está claro que cuando el operador indica “un segundito que hago la consulta (…) ¿vale?” y el reclamante responde “sí”, o “claro”, es porque dicho reclamante estaba consintiendo y autorizando tal consulta, como así se desprende de haberle dejado en espera por más de dos minutos, y que el reclamante esperara pacientemente, y acto seguido el operador retomara la conversación informando de los puntos que se tiene “tras consulta a la D.G.T.”, (aquí sí se dice literalmente por el operador que la consulta ha sido a la D.G.T), lo que no generó sorpresa alguna entonces, o de que se contrate a la póliza finalmente.
8. f)También hemos de indicar que la consulta de los puntos no requiere de consentimiento expreso, como afirma el reclamante, lo que exponemos en la siguiente alegación.” (El subrayado es nuestro) La DPD concluye: “En suma, no se cohonesta bien la reclamación formulada con el contenido y el tono de la conversación mantenida, pues tras escuchar la misma no puede negarse que el reclamante supo, en todo momento, que se iban a consultar sus puntos a la D.G.T. y que ello se hacía para mejorar el precio del seguro, que ya le había dado el operador.” La DPD de LÍNEA DIRECTA aporta con el número 6 dos documentos:
9. a)“Las condiciones particulares del seguro de automóvil póliza nº ***REFERENCIA.5”, emitidas el 13/01/2022, en las que figura como tomador y conductor el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/73 Entre los datos incluidos en el condicionado particular destaca el apartado referente a la “Prima” del seguro. En relación con la “Prima anual” consta “Total anual...530,79€”. Debajo, “Descuento campaña...-265.39€”. Y a continuación: “A pagar …265,40€”.
10. b)Un documento que trata dos cuestiones: (
11. i)“Información previa a la contratación de Línea Directa Aseguradora, S.A.” (
12. ii)“Información sobre el mediador”, estructurado en cuatro sub-epígrafes. El tercero de ellos, “Tratamiento de datos de carácter personal del cliente” incluye esta información: “El responsable del fichero de los datos de los clientes que contraten un seguro es LÍNEA DIRECTA ASEGURADORA, S.A. que realizará los tratamientos que se detallan en la Política de Privacidad que está disponible en la página web de la entidad aseguradora y se acompaña a la documentación contractual. MAJOREL SP SOLUTIONS, S.A.U. tratará los datos facilitados por los clientes, para la mediación del seguro solicitado, como encargado del tratamiento de los datos de LÍNEA DIRECTA ASEGURADORA S.A., siguiendo las instrucciones de la entidad aseguradora.” (El subrayado es nuestro) LÍNEA DIRECTA dedica la alegación quinta de su respuesta al traslado a exponer la “Diferencia entre “consentimiento” y “autorización” para consultar los puntos en nombre del reclamante.” Afirma que “la política de calidad de Línea Directa tiene establecido, para todos los operadores y encargados de tratamiento, que se solicite autorización y consentimiento para la consulta de los puntos a la D.G.T. siendo así del todo explícitos.” Manifiesta seguidamente que, “en el presente caso, lo que se sería exigible es una autorización para consultar los puntos on line por cuenta del titular, al objeto de aplicarle una campaña publicitaria notoriamente conocida (https://www.lineadirectaaseguradora.com/-/15-puntos-seguro).” Argumenta lo siguiente: “El ámbito de esta autorización son las reglas generales del mandato, o representación, regulado en los arts. 1709 y ss. del Código Civil que, como es sabido, permite en el art. 1710 Cc. que el mandato sea expreso (autorización expresa), o “tácito”, es decir, que se infiera o deduzca de los actos del mandatario, como sucede en este caso, donde aunque el operador no emplee la fórmula recomendable de “me autoriza a consultar sus puntos ante la DGT”, tal autorización resulta tácitamente derivada del contexto de la conversación misma. De hecho, nuestro Código Civil regula también la gestión de negocios de tercero sin mandato, como un cuasicontrato (arts. 1888 y ss. C.c.), donde, como señala el art. 1892 Cc. “La ratificación de la gestión por parte del dueño del negocio produce los efectos del mandato expreso”. En este caso está claro que, en el curso de la conversación, se hace referencia a la consulta de la D.G.T. y se asume la obtención de los 11 puntos para, con ellos, aplicar también un descuento, lo que implicaría la ratificación de la consulta previa misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/73 Ahora bien, una vez obtenida la autorización para la consulta del saldo de puntos (mandato tácito ex. Art. 1710 Cc), o asumida la consulta efectuada para la obtención del descuento en cuestión (ratificación ex. Art. 1892 Cc), el uso y tratamiento del dato personal “saldo de puntos” no requiere de consentimiento expreso, a diferencia de lo que señala el reclamante.” (El subrayado es nuestro) LÍNEA DIRECTA, concluye: 1.Que no era necesario el consentimiento de la parte reclamante para la consulta de los puntos de su carné ante la DGT. Afirma: “no estamos ante la necesidad de consentir el tratamiento del saldo de los puntos, pues la base jurídica para el tratamiento de esta información, necesaria para la ejecución o celebración del contrato, sería el art. 6.1.
13. b)RGPD, en la medida en que con el saldo se aplicaba la medida precontractual que requería necesariamente tal tratamiento (campaña descuento por los 15 puntos).” 2.Que, incluso de ser preciso el consentimiento, -tesis que niega- conforme al Considerando 32 del RGPD se considera consentimiento válido “cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales”. 3.Que, a tenor de la Directrices 5/2020 del Comité Europeo de Protección de Datos, en el ejemplo 15, “el consentimiento puede consistir en acciones como saludar con la mano a una cámara inteligente, o incluso en contextos adversos de desequilibrio, como el ámbito laboral, el Comité Europeo viene a considerar válido el sentarse en una determina zona para ser grabado, pues se entiende que las personas que se han sentado en ese lugar consienten tal grabación. Es decir, la legislación sobre privacidad no requiere una fórmula rígida que únicamente pase por “¿consiente usted que se traten sus datos?”, sino que el consentimiento puede inferirse de la conducta del interesado, analizado el contexto en cuestión, con tal de que exista claridad.” 4.Que concurría un mandato tácito del reclamante para efectuar la consulta: “Pues bien, analizado el contexto, teniendo en cuenta la conversación, creemos que no solo concurre un mandato tácito para efectuar la consulta, sino un consentimiento derivado de la conducta del propio reclamante.” 5.En todo caso no se considera necesario obtener el consentimiento para el tratamiento de saldo de puntos “cuando esta información es claramente necesaria para aplicar un descuento de una campaña en concreto (art. 6.1.
14. b)RGPD) -descuento aplicable por tener un saldo de puntos en la medida en que esto refleja ser buen conductor-, sino la mera autorización (mandato o representación) para efectuar la consulta en nombre del reclamante, autorización que puede ser tácita, o que, incluso de no existir, queda subsanada por su ratificación ulterior (art. 1892 Cc).” En la alegación sexta de su escrito de respuesta al traslado – bajo la rúbrica “Consulta de puntos en la DGT informada por la propia Línea Directa”- la DPD de LÍNEA DIRECTA explica que el “saldo de los puntos asociados a la licencia de conducción puede obtenerse de dos modos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/73 (
15. i)mediante un certificado expedido por la D.G.T. o (
16. ii)mediante una consulta del saldo “on line”, es decir a través de la web de la D.G.T. (i)Explica que la obtención de un certificado por el usuario implica que éste deba abonar tasas por importe de 8,67 euros; presentar justificante de compra de dichas tasas; rellenar formularios y presentarlos presencialmente o por internet con firma, “lo que constituye un trámite complejísimo”. Razona a continuación que, “Dado que el sistema de certificado no es ágil, y además implica que el particular debe abonar 8,67 euros, la D.G.T. tiene implementado un sistema de acceso en línea al saldo de puntos, mediante un proceso en el que se introduce el NIF o el NIE del interesado y la fecha de expedición del carnet de conducir, como dato adicional de validación. Como medida adicional de seguridad, para evitar usos indiscriminados por terceros, la D.G.T. incluye la introducción de CAPTCHA, y de un correo electrónico para la obtención del saldo en ese momento. Este correo puede ser, de un solo uso, pues el sistema permite cambiar tal correo con el siguiente acceso. Con el proceso no se puede acceder a más información que la estrictamente referida al saldo de puntos existente en ese momento, de manera que no es accesible o realizable cualquier otra operativa ante la Administración, o cualquier otra información del propio interesado.” Añade: “cuando el interesado no tiene generado su acceso on line a su saldo, o para agilidad y comodidad del mismo, quien así no se ve obligado a tener que dar sus datos de acceso (ya que basta cambiar el correo electrónico en siguiente acceso), o ante lo inviable de contar con un certificado de saldo de puntos, se puede usar este modelo de consulta, que culmina con el envío al interesado de correo electrónico informativo del proceso de consulta seguido ante la D.G.T. En otras palabras, para evitar casos como el presente, como medida adicional al proceso de consulta e información establecido, Línea Directa tiene implementado un proceso de información al interesado mediante el envío de un correo electrónico explicativo, que permite así dejar constancia de haber dado esta información. Desconocemos el motivo por el que el reclamante ha optado por no aportar el correo explicativo, que consideramos relevante.” (El subrayado es nuestro) Aporta, entre otros, estos documentos: -Número 7. Es una captura de pantalla con la siguiente información: En la primera línea “servidorSMTP”. En las columnas “Time” y “Destinatarios”, respectivamente: “2022-01-13 18:11:06:137” y “***EMAIL.3.” Como asunto, “Línea Directa Aseguradora; Resultado consulta de puntos DGT”. La parte reclamada manifiesta que este documento es una copia del que envió al reclamante el 13/01/2022. -Número 8: La reclamada se refiere a él como “la plantilla del correo electrónico remitido a [la parte reclamante] informando de la consulta efectuada y de que puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/73 cambiar el correo utilizado de un solo uso para la consulta del saldo.” El texto del documento dice así: “Estimado {nombresaludo} Nos ponemos en contacto con usted, de acuerdo con la conversación mantenida, para informarle de que hemos realizado la consulta de puntos a la Dirección General de Tráfico con su autorización y consentimiento. Nuestra única finalidad es poder ofrecerle el mejor precio para su Seguro. El saldo actual de puntos facilitado por la Dirección General de Tráfico para {nombre completo} con DNI {NIF} es de {puntos} Le informamos que hemos creado de manera automática una dirección de correo electrónico aleatoria y de un solo uso, que podrá ser modificada por usted si lo desea, al acceder la web de tráfico www.dgt.es.” -Número 9. Denominado por la parte reclamada “Prueba correcto envío de los tres correos electrónicos”. Se trata de una captura de pantalla obtenida el 24/03/2022 que muestra el resultado de tres correos electrónicos enviados en fecha 13/01/2022 desde noreply@lineadirecta.es a la dirección de correo de la parte reclamante. El primer correo se envió a las 18:11:07 y versó sobre el asunto “Resultado de la consulta de punto DGT”. El segundo, enviado a las 18:18:51, tenía como asunto “Bienvenida a Línea Directa”. El tercero, enviado a las 18:21:47, relativo a “Documento de información sobre el producto de seguro”. -Número 10. “Resumen de sobres y encabezados”. A través de él se acredita la recepción por el reclamante en fecha 13/01/2022 a las 18:11:07 de los correos enviados por LÍNEA DIRECTA. La DPD de LÍNEA DIRECTA dedica la alegación séptima de su escrito a las “Conclusiones y decisiones adoptadas al respecto de esta reclamación”. Como medidas adoptadas:
17. a)Comprobar el cumplimiento del plan de calidad. El ya precitado documento 3.
18. b)Instar al agente exclusivo, su encargado de tratamiento, a reiterar y reforzar el cumplimiento del plan de calidad referido y facilitar la formación que requiera su correcta aplicación.
19. c)Que el encargado de tratamiento implementará auditorías específicas.
20. d)Que el encargado de tratamiento le ha informado que el operador ha sido sancionado por falta muy grave y será apartado del servicio a LÍNEA DIRECTA. B. Respuesta de MAJOREL al traslado informativo de la reclamación y solicitud de información de la SGID El DPD responde el 01/04/2022 y dice que MAJOREL cumple con el RGPD. Invoca también dos bases jurídicas del tratamiento: los artículos 6.1.
21. a)y 6.1.
22. b)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/73 Informa que LÍNEA DIRECTA y MAJOREL suscribieron el 14/04/2021 un contrato de Agencia de seguros exclusiva que sustituye al celebrado entre ambas partes en el año 2010, en el que se engloba el servicio de mediación de seguros de motor de la entidad aseguradora. Aporta (documento número 1) copia del contrato de Agencia. Indica que la regulación en materia de protección de datos se encuentra en los anexos al contrato: anexo I, que “contiene los requerimientos del artículo 28 RGPD respecto a la prestación de servicios como encargado del tratamiento”; II, que recoge los “requisitos de seguridad a implementar por el encargado”, y III, relativo a los “indicadores del plan de calidad para el cumplimiento de la normativa RGPD”. Aporta (documento número 2) el “ANEXO 01/2022 DE LA CAMPAÑA VENTAS MOTOR, de fecha 01/01/2022, donde se detalla la campaña “ventas motor” relativa a los hechos reflejados por el reclamante [...]” Explica que “El agente de seguros exclusivo es un intermediario contractualmente vinculado a una única compañía de seguros (en nuestro caso, LÍNEA DIRECTA) que mediante un contrato se compromete a mediar exclusivamente los seguros de la aseguradora [..].” Que “MAJOREL comercializa los seguros de LÍNEA DIRECTA determinados por contrato a través de su plataforma telefónica mediante la emisión y recepción de llamadas, actuando como intermediario entre los posibles clientes, tomadores y asegurados y LÍNEA DIRECTA.” Informa (alegación segunda de su escrito) de las causas que han motivado la incidencia que ha originado esta reclamación y se pronuncia en los siguientes términos: “considera que no hay falta del consentimiento del reclamante a la consulta de sus puntos ante la DGT, ya que, tal y como se expone en la alegación tercera del presente escrito, la conducta del reclamante denota como único motivo la omisión de un mero formalismo rígido (en concreto, no formular la pregunta al interesado) puesto que, como expondremos más adelante, queda claro que el reclamante con su conducta autoriza la consulta del saldo de sus puntos con el único objetivo de beneficiarse de un descuento en su póliza.[…]” El DPD (alegación tercera) hace las siguientes matizaciones frente a la reclamación formulada por la parte reclamante: “El operador de MAJOREL que realiza la llamada de venta del seguro de coche, formalmente no solicita el consentimiento expreso de manera estricta al interesado, incumpliendo la normativa interna (órdenes y manuales) del servicio establecidas por nuestro cliente (LÍNEA DIRECTA) al realizar la consulta de los puntos del carnet de conducir en la DGT, aunque en todo momento [el reclamante] es informado y autoriza dicha consulta en la propia llamada (en varias ocasiones) y, además, recibe en su correo electrónico un email de LÍNEA DIRECTA tras la consulta de sus puntos de carnet (se genera un email automático remitido desde el sistema Galgo de LÍNEA DIRECTA). Es decir, [el reclamante] es conocedor, en todo momento, de que el operador de MAJOREL realiza la mencionada consulta de puntos e inclusive discrepan sobre los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/73 mismos y, tras la consulta de sus puntos, recibe un email informando de este hecho con la exclusiva finalidad de poder ofrecerle el mejor precio al seguro interesado. Por otra parte, en el mencionado email automático que el reclamante recibe, se informa de la creación de una dirección de correo electrónico aleatoria y de un solo uso, que puede ser modificada por el afectado al acceder nuevamente a la web de la DGT. De lo anterior se deduce la total transparencia del procedimiento de consulta de puntos del carnet de conducir que refleja la exclusiva finalidad de poder ofrecer el mejor precio (descuento) del seguro al interesado y sin ningún otra finalidad propia o beneficio obtenido de la consulta de puntos. El operador es consciente de que el cliente recibe el mencionado correo electrónico. Por tanto, el incumplimiento formal del trabajador de MAJOREL no pretendía en ningún momento ocultar el acceso a los puntos de su carnet de conducir, sino que demuestra una mera falta al no seguir paso a paso los protocolos marcado en el servicio. De hecho, en la propia llamada, el operador informa al interesado de que está realizando la consulta dejándole en espera y, tras acceder, le comunica que tras la consulta dispone solo de once puntos y no los quince necesarios para favorecerse del descuento pretendido, siendo autorizado por el reclamante que no se opone a la actuación del teleoperador. [...] Es importante aclarar a la AEPD que se infiere claramente en el contexto de la conversación telefónica mantenida que el interesado acepta la mencionada consulta de sus puntos y queda satisfecho con la acción mediadora de MAJOREL, puesto que accedió en la misma llamada a contratar el seguro de automóvil con LÍNEA DIRECTA, que entra en vigor el próximo mes de abril de presente año. El hecho de discrepar por el número de puntos del carnet de conducir tras informar de los puntos actuales existentes en la DGT, unido a que el teleoperador le informa y le deja en espera mientras se realiza la consulta, refleja el consentimiento derivado de la conducta del propio reclamante. Es decir, esta reclamación denota una intención de retorcer a realidad a posteriori amparándose exclusivamente en una fórmula rígida, que no pretende el legislador, cuando choca frontalmente con conducta y aceptación mostrada en la llamada de comercialización del seguro. [....] Finalmente, MAJOREL podría inclusive considerar (cosa que no hace, al ser un mero encargado del tratamiento) no necesario obtener el consentimiento del reclamante para realizar la consulta del saldo de sus puntos ante la DGT, debido a que esta información es claramente necesaria para aplicar un descuento de una campaña en concreto que refleja ser un buen conductor. Todo ello, a través del mandato que se le otorga a la aseguradora a través del mediador. El DPD (alegación cuarta) comunica a la AEPD las decisiones adoptadas tras realizar la correspondiente investigación y estudio detallado de los hechos reflejados en la reclamación. En síntesis, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/73 “Se procede a abrir una incidencia de seguridad en el servicio relativa a los hechos detallados. Se adjunta captura de pantalla del ticket registrado en el software de gestión de incidencias corporativo (SolveIt).” “Se han tomado medidas disciplinarias respecto al teleoperador especialista en el servicio de LÍNEA DIRECTA que realizó la llamada al reclamante el pasado 13 de enero de 2022 (login ***REFERENCIA.2) al incumplir ordenes, instrucciones, procedimientos y operativa del servicio donde trabajaba y que eran suficientemente conocidas por el empleado tanto en su formación inicial como en las sucesivas formaciones de reciclaje. La Dirección de MAJOREL decidió calificar la falta como muy grave con sanción de suspensión de empleo y sueldo durante 4 días y, tras su reincorporación, se le aparta del servicio de LÍNEA DIRECTA. A simple solicitud por parte de esa Agencia, en caso de estimarse necesario, facilitaremos este escrito.” El DPD se refiere en la alegación quinta a las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. Explica que esta incidencia “es la primera que se recibe, de manera que se entiende que el plan de formación e implementación actual es correcto. Por tanto, se considera un hecho puntual o aislado.” Dice que, “dentro del plan general de mejora de MAJOREL se ha identificado el siguiente plan de acción, partiendo de que todos los teleoperadores de MAJOREL que trabajan en el servicio de LÍNEA DIRECTA han recibido una formación inicial y reciben formaciones de reciclaje periódicas:” Distingue entre un “Plan de acción interno” y un “Plan de acción coordinada con LÍNEA DIRECTA”. En el “Plan de acción interno” se desarrollan las siguientes medidas: “1. Cambio de estándar de la monitorización, estableciendo un refuerzo específico de control de autorización de DGT desde el 01/04/2022, para que la obligación ya existente de solicitar consentimiento y autorización se vea reforzada En el estándar de monitorizaciones, la pregunta de DGT que MAJOREL establecerá a partir de 01/04/2022 es: “¿Obtiene consentimiento y autorización de cliente a realizar la consulta de DGT?” y las posibles respuestas serán: - Si; - No; - N/A El volumen de auditorías donde se realizará este punto de control es de 140 auditorías mensuales aproximadamente (2 auditorías por teleoperador con una media de 70 teleoperadores en los servicios de venta de seguros de coche y moto) 2. Establecimiento de recordatorio de manera quincenal con los puntos a cumplir en las llamadas respecto a la consulta de puntos del carnet de conducir. Se acompaña el recordatorio implementado actualmente que se está comunicando a los teleoperadores del servicio, más la formación que hemos publicado a todo el servicio para hacer hincapié del procedimiento y que se repite periódicamente. 3. Refuerzo y reiteración de punto específico “consulta de puntos DGT” en formación inicial y formación continua. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/73 4. Seguimiento analítico semanal de llamadas con consulta de puntos del carnet de conducir a la DGT.” Añade que actualmente se están realizando auditorías específicas para el control de la correcta aplicación del RGPD en el servicio de LÍNEA DIRECTA. A partir del día 21/03/2022 se replica este control para correcta aplicación de la consulta de puntos del carnet en la página web de la DGT. Serán aproximadamente 20 auditorías semanales solamente para control de este punto, adicionales a las comentadas anteriormente. Aporta estos documentos: 1.El contrato de Agencia de Seguros entre MAJOREL Y LINEA DIRECTA, celebrado el 14/04/2021 (número 1), cuya cláusula vigesimotercera, “Protección de datos”, dispone: “De conformidad con la normativa legal aplicable en materia de Protección de Datos Personales, La Agencia, en su calidad de encargado de tratamiento de los datos de LÍNEA DIRECTA como responsable, se compromete a dar cumplimiento al contenido de lo establecido en el Anexo de Protección de Datos Personales, que forma parte integral del Presente Contrato como Anexo I y III, formando parte integrante del mismo.” Forman parte del contrato cuatro Anexos (I “Protección de datos personales”, II “Requisitos de seguridad a implementar por el encargado”; III “Complementario al Anexo RGPD. Indicadores del Plan de Calidad para cumplimiento de la normativa RGPD”, y IV “Código Ético”) El Anexo I al contrato, “Protección de datos personales”, dice en su estipulación 2, “Objeto del encargo del tratamiento.”: “2.1. Mediante las presentes condiciones, se habilita al Encargado del Tratamiento para tratar, por cuenta del Responsable del Tratamiento, los datos de carácter personal necesarios para prestar el servicio objeto del Contrato de prestación de servicios suscrito entre las Partes (en adelante, el “Contrato Principal” o el “Contrato”). Este Contrato Principal contiene la descripción detallada de los servicios prestados. 2.2. Los tratamientos que concretamente llevará a cabo el Encargado del Tratamiento serán únicamente los estrictamente necesarios para cumplir con el objeto del Contrato Principal. De acuerdo con la naturaleza de tales tareas, el Encargado del Tratamiento podrá realizar las actividades de tratamiento que se indican a continuación: x Recogida x Registro x Estructuración □ Modificación x Conservación x Extracción x Consulta □ Difusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/73 x Interconexión □ Cotejo □ Limitación □ Supresión □ Destrucción x Comunicación 2.3 Las categorías de datos personales y datos personales que el Encargado del Tratamiento debe tratar para la ejecución de las obligaciones derivadas del cumplimiento del objeto del Contrato son los siguientes: o Datos de clientes (nombre, apellidos, NIF, sexo y teléfono.). o Datos de posibles clientes (nombre, apellidos, NIF, sexo y teléfono. La estipulación 5 de este Anexo I, “Obligaciones del Encargado del tratamiento” se refiere en el punto 5.1.
23. b)a “La comercialización y promoción de los productos de seguro de LINEA DIRECTA descritos en el Anexo 1 de este Contrato, en estricto cumplimiento de las instrucciones recibidas de la Aseguradora y ateniéndose a las tarifas de prima que ésta establezca en cada momento.” El Anexo III al contrato de Agencia, “Complementario al Anexo RGPD. Indicadores del Plan de Calidad para cumplimiento de la normativa RGPD”, incluye, entre otras, estas estipulaciones: “Con la finalidad de dar cumplimiento a las obligaciones en materia de protección de datos de carácter personal recogidas en la legislación vigente y en el anexo RGPD de 019/04/2018 firmado entre las Partes, MAJOREL, en su condición de encargado de tratamiento de los datos personales de Línea Directa, se compromete a llevar a cabo las siguientes acciones:  MAJOREL deberá cumplir de manera estricta, con la obligación de informar/leer la cláusula relativa al tratamiento de datos personales (cláusula RGPD) facilitada por LINEA DIRECTA y recoger el consentimiento indicado en las distintas operativas, en las aplicaciones de LÍNEA DIRECTA o las designadas entre las Partes a estos efectos, todo ello, en todas las comunicaciones con los clientes.  MAJOREL deberá realizar auditorías por sus propios medios, de todas las comunicaciones, para el control de esta obligación y reportar el resultado global de las mismas al Responsable del tratamiento, LINEA DIRECTA.” 2. El “Anexo al contrato de agencia exclusiva 01/2022 de la Campaña Ventas Motor”, de fecha 01/01/2022 dice: En el punto I. “Definición de la campaña”: “La campaña consiste en: emisión y recepción de llamadas a clientes con el objetivo de contratar pólizas de coches y motocicletas de Línea Directa”. [...] Punto II, “Duración”: “La campaña comenzará el día 1 de enero de 2020 y finalizará el día 31 de enero de 2022. En cualquier momento LINEA DIRECTA podrá cancelar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/73 campaña a que se refiere el presente Anexo mediante preaviso escrito con 5 días naturales de antelación y sin que proceda reclamación por daños y perjuicios.” (El subrayado es nuestro) TERCERO: Admisión a trámite En fecha 07/04/2022, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de abril, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Información económica sobre LÍNEA DIRECTA Según la información obtenida de la herramienta Axesor, LÍNEA DIRECTA ASEGURADORA, S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS, con NIF A80871031, constituida el 04/05/1994, es la sociedad matriz del Grupo empresarial LDA. El volumen estimado de ventas correspondiente al ejercicio 2022 ascendió a ***CANTIDAD.1 y el número estimado de empleados a ***CANTIDAD.2. QUINTO: Acuerdo de inicio En fecha 04/01/2024 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a LÍNEA DIRECTA, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los artículos 6.1 del RGPD, infracción tipificada en su artículo 83.5.a), y 28 del RGPD, infracción tipificada en su artículo 83.4. SEXTO: Notificación del acuerdo de inicio El acuerdo de inicio se notifica a la parte reclamada electrónicamente, conforme a las normas establecidas en la LPACAP, siendo aceptada la notificación en fecha 08/01/2024, como lo acredita el acuse de recibo que obra en el expediente. SÉPTIMO: Solicitud de ampliación del plazo y de copia del expediente. Alegaciones al acuerdo de inicio “ad cautelam”. 1.-En escrito presentado el 18/01/2024 LÍNEA DIRECTA solicita, al amparo del artículo 32 LPACAP, “la ampliación del plazo para evacuar respuesta al Acuerdo de Inicio del Procedimiento Sancionador, con entrega a esta parte de cuántos informes y actuaciones se hayan incorporado al expediente”. A continuación, en el punto 2 de ese mismo escrito, solicita “subsidiariamente” que se tengan por “efectuadas ad cautelam las presentes alegaciones y por aportados los documentos que se incorporan con el presente escrito.” Solicita también que se practiquen las pruebas que detalla en su alegación sexta. 2.- Mediante sendos escritos de fecha 19/01/2024, el órgano instructor concede la ampliación del plazo de alegaciones por el máximo permitido legalmente y da traslado a la parte reclamada de una copia del expediente administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/73 3.- Alegaciones “ad cautelam” al acuerdo de inicio presentadas por LÍNEA DIRECTA el 18/01/2024. Las alegaciones de LINEA DIRECTA al acuerdo de inicio, estructuradas en seis epígrafes, hacen referencia a dos cuestiones fundamentales: de una parte, a la exposición, y aportación de documentos, de las instrucciones que la aseguradora reclamada dio a su encargada de tratamiento MAYOREL sobre la operación de tratamiento que es objeto de este procedimiento. De otra, a la admisión de que el reclamante no prestó el consentimiento al tratamiento controvertido. LÍNEA DIRECTA vincula el reconocimiento de que la parte reclamante no consintió el tratamiento de sus dato a que MAYOREL y no ella sea considerado responsable del tratamiento. En síntesis, las alegaciones se pronuncian sobre las siguientes cuestiones: 1. Comunica que ha puesto fin al tratamiento sobre el que versa la reclamación. Afirma que “ ya no lleva a cabo el tratamiento al que se refiere el acuerdo de inicio del procedimiento sancionador” y explica que es debido a que “las condiciones de acceso a la información de consulta a los puntos han ido variando a lo largo del tiempo, como consta incluso en la comprobación efectuada en fecha de 15 de marzo de 2023 según se expone en la página 22 del Acuerdo de Inicio.” No obstante, advierte que, en todo caso, sí era posible la consulta en enero de 2022, “en los términos referidos en el requerimiento de información EXP202202567 que se presentó en su día y que damos por reproducido, siempre que se informara al interesado y se solicitara su consentimiento, entre otros puntos que posteriormente detallaremos, todos ellos debidamente documentados.” 2. Comenta ampliamente (alegación segunda) las características del especial” en el que se realizó el tratamiento de datos que nos ocupa. “contexto -Indica que, además de existir un contrato de encargo de tratamiento, MAJOREL y sus empleados están sujetos a una normativa sectorial que conlleva “ la existencia de una formación particular sobre la materia de protección de datos y una particular transparencia en la contratación”. -Que el operador que realizó la llamada telefónica a la parte reclamante intervino como empleado de MAJOREL, en calidad de encargado de tratamiento, y se identificó como tal. Cuestión que, por otra parte, el acuerdo de inicio no pone en tela de juicio. - Que MAJOREL está inscrita en el registro administrativo de mediadores dependiente de la DGSFP con la clave ***REFERENCIA.1. Aporta ( documento 3) captura de pantalla de la inscripción en el citado registro. -Que la actuación de MAJOREL y de sus empleados está doblemente regulada: A través del contrato de distribución de seguros con sus anexos, de una parte. De otra, porque son de aplicación los artículos 140 a 145 del Real Decreto Ley 3/2020 de Distribución de Seguros, en particular el artículo 147.3.
24. b)conforme al cual “todas las personas que participen directamente en la distribución de seguros poseen unos conocimientos y aptitudes apropiados mediante la superación de cursos de formación de acuerdo con lo previsto en el título I y en su normativa de desarrollo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/73 -Que la formación que reciben “está reglada”: Menciona el artículo 165 del RDL 3/2020; el Real Decreto 287/2021, de 20 de abril, sobre formación y remisión de la información estadístico-contable de los distribuidores de seguros y reaseguros, cuyo artículo 7 dispone que será preciso que cualquier empleado supere una formación de al menos 150 horas lectivas, o hasta 300 horas, dependiendo del nivel que ostente. Y la Resolución de 3 de junio de 2021, de la DGSFP por la que se establecen los principios básicos de los cursos y programas de formación para los distribuidores de seguros y de reaseguros. -Considera que la mejor prueba (
25. i)“de lo expuesto acerca de esta cualificada formación de los empleados” y (
26. ii)de “la existencia de las documentadas instrucciones dadas al encargado y a los empleados de éste” “es que la propia resolución de esta Agencia refleja en la página 12 de 42 que MAJOREL calificó la actuación de su empleado como falta muy grave con suspensión de empleo y sueldo por incumplir ordenes, instrucciones, procedimientos y operativa.” 3. Bajo la rúbrica “análisis del contrato de Agencia firmado con MAJOREL y de sus anexos” (alegación tercera) reproduce las siguientes estipulaciones del contrato: -La cláusula séptima, párrafo tercero: “Asimismo, la Agencia manifiesta su capacidad para obtener el consentimiento expreso y jurídicamente válido de los clientes para la realización de las actuaciones previas a la contratación del producto de seguro mediado conforme a las previsiones contenidas en el RGPD y en la LOPDPGDD e incluidas en el Anexo Complementario RGPD adjunto al presente contrato, de acuerdo con las instrucciones que al respecto le indique LINEA DIRECTA”.(El subrayado es nuestro) - La cláusula 5.1.o), apartado III: “Que todos los operadores autorizados que tengan acceso a los ficheros de LÍNEA DIRECTA deberán cumplir con lo dispuesto en la normativa de distribución de seguros, […]”. -La cláusula 5.1.o), apartado IV: “En todo caso, la Agencia garantiza que todos los recursos humanos que destine a la ejecución del presente Contrato con LÍNEA DIRECTA y que por tanto manejen los datos de los ficheros titularidad de LÍNEA DIRECTA cumplen con todas las obligaciones legales y contractuales”. A continuación, afirma que ha quedado debidamente acreditado que el empleado de MAJOREL incumplió las instrucciones dadas por LÍNEA DIRECTA, afirmación que apoya en estos tres elementos: (
27. i)la especial formación del encargado de tratamiento Majorel y de sus empleados; (
28. ii)“la existencia de previsiones contractuales acerca de la necesidad de solicitar el consentimiento cuando así se exija en la operativa (como consta probado se exigió) y que el mismo sea acorde al RGPD” y (iii) “por la existencia de instrucciones específicas para el tratamiento que analizamos en la siguiente alegación” 4. Dedica un epígrafe específico a “las instrucciones dadas al encargado de tratamiento para sus empleados.” Dice que el empleado de MAJOREL que atendió telefónicamente al denunciante no solicitó ni el certificado de sus puntos, ni tampoco solicitó consentimiento para su obtención, incumpliendo así las instrucciones dadas por LÍNEA DIRECTA, y siendo por ello sancionado por infracción laboral. Cita la respuesta de MAJOREL al traslado de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/73 reclamación, en la que declara que el empleado “no solicita el consentimiento expreso de manera estricta al interesado, incumpliendo la normativa interna (órdenes y manuales) del servicio establecidas por nuestro cliente (LÍNEA DIRECTA) al realizar la consulta de los puntos del carnet de conducir en la DGT”. Explica que estas órdenes y manuales son la concreción de instrucciones detalladas y documentadas sobre los tratamientos y comprenden cómo llevar a cabo la operativa con detalle, de manera que “van incluso más allá de la mera referencia a instrucciones documentadas del art. 28.3 RGPD”. Aporta en prueba estos documentos: -Con el número 5, capturas de pantalla de la aplicación informática “Manual Cartera”. En ella quedan documentadas y registradas las instrucciones que han de cumplir todos los operadores, en particular los empleados de un encargado de tratamiento como lo es MAJOREL. Aporta un extracto obtenido de esa aplicación que corresponde a la denominada “OPERATIVA PAUTAS GENERALES DE VENTAS” de fecha 18/02/2020, en la parte correspondiente a la campaña de 15 puntos. Se accede a la notificación que se dirigió a MAJOREL, de la que se aportó a la Agencia, con la respuesta al traslado de la reclamación, un extracto en Word con esta información: “CAMPAÑA 15 PUNTOS: Como cualquier campaña , se puede aplicar si nuestro precio es superior o hay queja del cliente. - Hay que preguntar si tiene los 15 puntos. - Hay que solicitar el justificante de los 15 puntos o pedir autorización al cliente para realizar la consulta online.” Se comprueba que efectuó el envío de esa operativa de ventas el 18/02/2020 a las 17:08:54 mediante un correo electrónico remitido por B.B.B. en nombre de Motor/Línea Directa y los receptores del mensaje, entre ellos consta que se envía copia a la dirección ***EMAIL.4. Además, aporta un informe elaborado por el departamento de calidad de LÍNEA DIRECTA tras haber auditado en el año 2022 a MAJOREL (Informe Majorel ventas 2020) del que comenta que recoge la misma incidencia que se ha presentado en el supuesto de hecho analizado y que implementa planes de refuerzo para recordar la importancia de solicitar consentimiento. En el documento 7.bis, “Informe Majorel ventas 2020” consta una mención a esta incidencia: “DGT o 15 puntos. Aplicarla sin queja de precio y no indicar/pedir permiso para realizar la consulta por la página de la DGT”. Y como medida de refuerzo se recoge en el documento la siguiente: “CONSENTIMIENTO DGT. Os recordamos la importancia de pedir autorización /consentimiento al cliente para poder hacer la consulta de la DGT en el contexto de aplicación de la Campaña 15 puntos. Como sabéis es un tema de especial relevancia legal y que debemos realizar con gran cuidado. El hecho de pedir la fecha de expedición no es suficiente hay que mencionar en la llamada para que se lo pedimos: " para hacer la consulta a la DGT ". En ocasiones omitimos que es para hacer la consulta a la DGT.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/73 5. El epígrafe más extenso de las alegaciones está dedicado al “análisis de las instrucciones documentadas de LÍNEA DIRECTA para los operadores empleados de MAJOREL”. El análisis que la reclamada hace de las instrucciones dadas a su encargado de tratamiento finaliza con dos conclusiones. La primera, que existió un contrato de encargo con sus anexos y que también existieron instrucciones documentadas cuyo incumplimiento genera penalizaciones. La segunda, que el responsable del tratamiento objeto de este procedimiento no es LÍNEA DIRECTA sino MAJOREL. Sostiene LÍNEA DIRECTA que, como indicó en la respuesta al requerimiento informativo, el operador empleado del encargado MAJOREL “no fue riguroso en la aplicación de las instrucciones dadas, sin perjuicio de que, honestamente, del contexto y tono de la conversación creemos que el interesado sí tuvo conocimiento de que se hizo la consulta [...] Sea como fuere, a efectos de Línea Directa es relevante recordar que, conforme al art. 28.10 RGPD el responsable de estos incumplimientos sería MAJOREL, y no Línea Directa.” Basa esa afirmación en que así se concluye en la página 19 del acuerdo de inicio que dice: “De ser cierto que MAJOREL, a través de su empleado, actuó al margen de las indicaciones supuestamente recibidas de LÍNEA DIRECTA, sería ella, en virtud del artículo 28.10 del RGPD, la responsable del tratamiento de datos del reclamante sobre el que versa este acuerdo de inicio. Recordemos que el artículo 28 del RGPD dispone: Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.” Aporta y describe los siguientes documentos: -Un Certificado expedido por MAJOREL en el que este encargado de tratamiento declara que: (
29. i)el correo electrónico remitido el 18/02/2020 por LÍNEA DIRECTA a la dirección ***EMAIL.4 fue recibido correctamente. (
30. ii)Que esa dirección electrónica fue la que MAJOREL facilitó a LÍNEA DIRECTA “como válida para recibir la información de campañas como la de “15 puntos” entre otra”. (iii) Que pone a disposición de la Agencia, por si fueran necesarios, los documentos que acreditan la formación específica que recibió el empleado que atendió a la parte reclamante, así como las medidas que se adoptaron por su actuación con ocasión de la llamada al reclamante. (
31. iv)Que las instrucciones que reciben de LÍNEA DIRECTA se documentan en órdenes y manuales que se complementan con sesiones formativas. (
32. v)Que el “Manual LDA Emisión Motor” (versión 13/07/2021) que se aporta como anexo corresponde con las órdenes y manuales vigentes en enero de 2022. -En el documento “Manual LDA Emisión Motor” (número 8) se ofrece la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/73 a. Explica, apartado 9.3, bajo el título “Descuento DGT 15 Puntos” en qué consisten los puntos de la DGT. b.Indica que la consulta de puntos precisa tener el consentimiento y autorización para realizarla, que tendrá una validez de tres meses y se arrastrará en cualquier presupuesto realizado en ese período de tiempo. En el momento de la consulta el cliente recibirá un email informativo con el resultado de la misma. c.Para los clientes que no deseen que desde LÍNEA DIRECTA se realice la consulta “se podrá utilizar la campaña antigua que luego veremos”. d. Se detallan los pasos del procedimiento a seguir para la consulta de puntos por LÍNEA DIRECTA, en líneas generales, los siguientes: 1.Antes de consultar los puntos DGT hay que terminar la cotización para informar de precio inicial y ver si es necesario aplicar la campaña. 2.(…) Se hace mención a la ANTIGUA CAMPAÑA PUNTOS DGT con esta información: “Siempre que sea posible, debemos aplicar la campaña NUEVA, pero en algunos casos no será posible. Utilizaremos la campaña antigua (…). Cuando el cliente nos indique que (…) tiene los 15 puntos del carnet, le informamos que para acogerse a esta promoción tiene que mandarnos el justificante de puntos. Al aplicar la campaña, (…). Seguidamente se dan las instrucciones para descargar el justificante de la DGT. -Documento de 21/04/2021 de concienciación a los empleados de la necesidad de pedir permiso para realizar la consulta de puntos a la DGT (documento número 10) OCTAVO: Segundas alegaciones de la parte reclamada al acuerdo de inicio. En fecha 29/01/2024 LÍNEA DIRECTA presenta un segundo escrito de alegaciones en el que pide que se consideren definitivas las que presentó “ad cautelam”; que se den por aportados los documentos que presentó con su primer escrito de alegaciones, de fecha 18/01/2024, así como los que incorpora a su segundo escrito de alegaciones: una transcripción completa de la conversación telefónica mantenida con el reclamante y el empleado de MAJOREL tras la llamada efectuada. Igualmente, pide que se tengan por solicitados los medios de prueba expuestos en la alegación sexta del escrito de alegaciones “ad cautelam” de 18/01/2024. NOVENO: Denegación de las pruebas solicitadas por Línea Directa en su escrito de alegaciones de 18/01/2024. 1.La parte reclamada solicitó en sus alegaciones al acuerdo de apertura, a fin de justificar lo expuesto en ellas, la práctica de las siguientes pruebas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/73 “1.Que se tenga por incorporadas las respuestas, con documentos adjuntados a las mismas, presentados en su día en respuesta a los requerimientos de información, tanto por la entidad MAJOREL, como por Línea Directa Aseguradora. 2.Que se requiera a la entidad MAJOREL para que aporte […]: a)Conforme al punto 5 de su certificado aportado como documento número 8 de este escrito, la justificación de los cursos de formación efectuados por el operador D. C.C.C., con login ***REFERENCIA.2. b)Documentos justificativos de las medidas disciplinarias adoptadas por MAJOREL contra el teleoperador (login ***REFERENCIA.2) que realizó la llamada al reclamante el 13 de enero de 2022 al incumplir ordenes, instrucciones, procedimientos operativa del servicio donde trabajaba y que eran suficientemente conocidas por el empleado tanto en su formación inicial como en las sucesivas formaciones de reciclaje. c)Aportación en formato electrónico del correo electrónico de 18 de febrero de 2020 remitido a la dirección ***EMAIL.2 , o en su defecto aportación de las propiedades de dicho correo y su adjunto. d)Aportación de los documentos de recordatorios de penalizaciones, así como de cursos o sesiones de formación de empleados impartidos en fechas inmediatamente anteriores y posteriores al 13 de enero de 2022, en particular de las penalizaciones por incumplir la campaña de los “15 puntos” y no indicar o pedir permiso para realizar la consulta por la página de la DGT, en particular de recordatorios de penalizaciones de 31 de julio de 2020 y de 21 de abril de 2021.” 2.El artículo 77.3 de la LPACAP establece que el “instructor del procedimiento sólo podrá rechazar las pruebas propuestas por los interesados cuando sean manifiestamente improcedentes o innecesarias, mediante resolución motivada.” El órgano instructor, tras el examen del expediente y de las pruebas propuestas, considera que, a excepción de la petición recogida en el punto 1 –“Que se tenga por incorporadas las respuestas, con documentos adjuntados a las mismas, presentados en su día en respuesta a los requerimientos de información, tanto por la entidad MAJOREL, como por Línea Directa Aseguradora.”-, el resto, detalladas en el punto 2, son absolutamente innecesarias y por consiguiente resultaba improcedente su práctica. Esta conclusión se apoya en que su finalidad era reforzar la afirmación de LÍNEA DIRECTA de que proporcionó indicaciones documentadas a su encargado de tratamiento MAJOREL, cuestión sobre la que la entidad reclamada ha hecho en sus alegaciones al acuerdo de apertura un análisis detallado y ha aportado abundante documentación acreditativa. Con las pruebas propuestas se buscaría reforzar aún más dos extremos que no son objeto de discusión a la vista de la documentación aportada anexa a las alegaciones: Que el empleado de MAJOREL había recibido la formación adecuada en la materia y que el empleado incumplió las órdenes e instrucciones de su empleador proporcionadas a través de la aseguradora reclamada, siendo el incumplimiento del protocolo de actuación relativo a la campaña 15 puntos que estaba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/73 obligado a seguir lo que determinó que fuera sancionado disciplinariamente por la empresa. La cuestión que el órgano instructor toma en consideración para estimar que no procede la práctica de las pruebas propuestas no es solo que resultaban innecesarias en la medida en que ya consta prueba bastante de los extremos que quieren acreditarse, sino, fundamentalmente, que, en contra de lo que la parte reclamada considera, desde el punto de vista del incumplimiento de la normativa de protección de datos en nada afecta esa cuestión a la aplicación del artículo 28.10 del RGPD. Esto, porque el presupuesto de hecho al que el artículo 28.10 del RGPD vincula el efecto jurídico de considerar al encargado responsable del tratamiento es que el encargado infrinja el RGPD al determinar los fines y medios del tratamiento. Cosa distinta de que el encargado no haya cumplido las órdenes e indicaciones que le proporcionó de forma documentada el responsable. El desvío de los fines y los medios del tratamiento al que se refiere el artículo 28.10 del RGPD está conectado con la finalidad del tratamiento diseñado por el responsable y con el medio previsto para su cumplimiento: en este caso, la consulta del saldo de puntos que custodia la DGT valiéndose de la página web de la DGT, autenticándose el empleado de MAJOREL con los datos del reclamante (NIF y fecha de expedición de su carné) y facilitando una dirección de correo electrónico que el interesado no conoce en la que recibe la clave de acceso a la información. De tal manera que, no existe un desvío en los fines y los medios del tratamiento cuando el encargado se aparta de las instrucciones y no recaba el consentimiento del reclamante para consultar su saldo de puntos a través de la página web de la DGT pero los datos se tratan para la finalidad prevista por el responsable y por su cuenta. Ese y no otro es el sentido correcto del artículo 28.10 del RGPD, por lo cual los comentarios equivocados que sobre la materia se hubieran incluido en el acuerdo de inicio no pueden alterar el verdadero sentido de la norma. DÉCIMO: Diligencia de incorporación de documentos Mediante diligencia firmada el 14/11/2024 el órgano instructor deja constancia de la incorporación al expediente de referencia de la reclamación presentada y sus documentos anexos; de los documentos generados y obtenidos por la SGID durante el traslado de la reclamación y solicitud informativa; de los escritos de alegaciones presentados por la parte reclamada y de su documentación anexa, así como de las capturas de pantalla de la página web de la DGT obtenidas el 15/03/2023. UNDÉCIMO: Propuesta de resolución En fecha 21/11/2024 el órgano instructor emite la propuesta de resolución del procedimiento sancionador en estos términos: <<1. Que por la Directora de la Agencia Española de Protección de Datos se sancione a LÍNEA DIRECTA ASEGURADORA, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., con NIF A80871031, por una infracción del artículo 6.1 del RGPD, tipificada en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/73 artículo 83.5.
33. a)del RGPD, con multa administrativa (artículo 58.2.i, RGPD) por un importe de 100.000€ (cien mil euros) 2. Que por la Directora de la Agencia Española de Protección de Datos se sancione a LÍNEA DIRECTA ASEGURADORA, COMPAÑÍA DE SEGUROS Y REASEGUROS S.A., con NIF A80871031, por una infracción del artículo 28 del RGPD, tipificada en el artículo 83.4.
34. a)del RGPD, con multa administrativa (artículo 58.2.i, RGPD) por un importe de 200.000€ (doscientos mil euros) 3.Que por la Directora de la Agencia Española de Protección de Datos se ordene a LÍNEA DIRECTA ASEGURADORA, COMPAÑÍA DE SEGUROS Y REASEGUROS S.A., que, en virtud del artículo 58.2.
35. d)del RGPD, en el plazo de tres meses desde que la resolución sancionadora fuese ejecutiva, acredite haber adoptado las medidas necesarias para ajustar su actuación a lo dispuesto en los artículos 6 y 28 del RGPD.>> DUODÉCIMO: Alegaciones a la propuesta de resolución En fecha 04/12/2024 LÍNEA DIRECTA presenta sus alegaciones a la propuesta de resolución en las que solicita que se tenga por evacuado el trámite en tiempo y forma y reitera la petición de que se admita “la práctica de prueba incluida en nuestro escrito anterior consistente en que se requiera a la entidad MAJOREL para que aporte […]: e)Conforme al punto 5 de su certificado aportado como documento número 8 de escrito anterior, la justificación de los cursos de formación efectuados por el operador D. C.C.C., con login ***REFERENCIA.2. f)Documentos justificativos de las medidas disciplinarias adoptadas por MAJOREL contra el teleoperador (login ***REFERENCIA.2) que realizó la llamada al reclamante el 13 de enero de 2022 al incumplir ordenes, instrucciones, procedimientos operativa del servicio donde trabajaba y que eran suficientemente conocidas por el empleado tanto en su formación inicial como en las sucesivas formaciones de reciclaje. g)Aportación en formato electrónico del correo electrónico de 18 de febrero de 2020 remitido a la dirección ***EMAIL.2 , o en su defecto aportación de las propiedades de dicho correo y su adjunto. h)Aportación de los documentos de recordatorios de penalizaciones, así como de cursos o sesiones de formación de empleados impartidos en fechas inmediatamente anteriores y posteriores al 13 de enero de 2022, en particular de las penalizaciones por incumplir la campaña de los “15 puntos” y no indicar o pedir permito para realizar la consulta por la página de la DGT, en particular de recordatorios de penalizaciones de 31 de julio de 2020 y de 21 de abril de 2021.” (El subrayado es nuestro) La reclamada estructura los argumentos que invoca a través de estos epígrafes: 1. Con carácter previo, bajo la rúbrica “Aspectos incluidos en el acuerdo de inicio del procedimiento sancionador que han sido preteridos”, llama la atención (
36. i)sobre lo que denomina “algunas cuestiones de legalidad que estaban presentes en el Acuerdo de inicio de este procedimiento, que han sido preteridas” y (
37. ii)sobre otras “que son propias de la legislación sectorial de seguros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/73 (i)Sobre las cuestiones de legalidad que han sido preteridas. La reclamada dice: “Así, en primer lugar, se nos trasladó en el Acuerdo de Inicio del Procedimiento Sancionador que el sujeto de la infracción sería el encargado de tratamiento MAJOREL, en aplicación del art. 28.10 RGPD, si se conseguía probar que, realmente, se habían dado instrucciones a dicho encargado para recabar el consentimiento. En efecto, la página 19 del Acuerdo de Inicio del Procedimiento Sancionador invitaba a probar que se habían remitido las instrucciones al encargado. Señalaba dicha página (el subrayado y negrita son nuestros, remarcando el adverbio “supuestamente”): De ser cierto que MAJOREL, a través de su empleado, actuó al margen de las indicaciones supuestamente recibidas de LÍNEA DIRECTA, sería ella, en virtud del artículo 28.10 del RGPD, la responsable del tratamiento de datos del reclamante sobre el que versa este acuerdo de inicio. Recordemos que el artículo 28 del RGPD dispone: Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.” ¿Por qué se ponía en duda la remisión de tales instrucciones al encargado en el Acuerdo de Inicio? Debido a que se decía en tal Acuerdo de Inicio que estas instrucciones sobre el tratamiento de los “15 puntos” se habían remitido a un correo electrónico distinto al que prefijaba el contrato del art. 28 RGPD firmado entre las partes, no dando por tanto validez jurídica a las mismas a efectos de dicho art. 28 RGPD. Así, señalaba la página 34 del Acuerdo de Inicio que: Si, como defiende LÍNEA DIRECTA, la prueba de que cumplió el artículo 28.3 del RGPD, esto es, de que existían indicaciones dirigidas a su encargado sobre la operación de tratamiento objeto de la reclamación, es un documento que transcribe parcialmente un correo electrónico que se envió el 18/02/2020 desde “Motor_calidad”, en el que no se indica quién era el destinatario y en cuyo texto sí se alude a la campaña 15 puntos, a la consulta al saldo de puntos a través de la aplicación de la DGT y a la necesidad de recabar su consentimiento del titular de los datos, sería preciso, como mínimo, que estuviera acreditado que el mensaje electrónico se envió a la dirección e-mail indicada en el contrato a efectos de notificaciones entre las partes contratantes (en este caso, estipulación vigesimoprimera, a ***EMAIL.5). Así pues, podemos afirmar que falta en el contrato de Agencia suscrito entre LÍNEA DIRECTA y MAJOREL –en el que, por imperativo del artículo 203.2 del RDL 3/2020 (…) deben de incluirse todos los extremos relativos al encargo de tratamiento a los que se refiere el artículo 28.3. del RGPD- una referencia a la operación de tratamiento (de su objeto, finalidad, naturaleza y datos tratados) que consiste en consultar el saldo de puntos del solicitante del seguro de automóvil a través de la página web de la DGT.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/73 Manifiesta que “Sobre la base de lo entonces indicado, [en el acuerdo de inicio] esta parte aportó prueba abundante que luego referiremos, y solicitó la práctica de otra que ha sido denegada, al respecto de probar la transmisión y la vinculación jurídica de tales instrucciones dadas al encargado, como indicamos en la alegación primera al respecto de la denegación de prueba.” Y añade que tales instrucciones se atisbaban en el acuerdo de inicio como recibidas por MAJOREL al haber sido sancionado en consideración a ellas el empleado que las incumplió. ii. Indica que la legislación en materia de seguros “exige comprobar todas las circunstancias que puedan influir en el riesgo (artículo 10 Ley 50/1980, de 8 de octubre de Contrato de Seguro -en adelante LCS), entre las cuales, obviamente, puede estar el ser buen conductor para poder rebajar el precio del seguro.” Además, hace una somera referencia al principio de suficiencia de la prima y a los criterios en consideración a los cuales las aseguradoras están obligadas a calcular el importe de la prima. iii. Cabe mencionar por su relevancia las siguientes afirmaciones que también hace LÍNEA DIRECTA enmarcadas en el epígrafe de la alegación previa: “Téngase en cuenta que no se toma el saldo de los puntos, sino solo si se cuenta con “los 15 puntos”, es decir, lo que en España equivale a ser buen conductor por haber recibido una bonificación o haber efectuado cursos de sensibilización (lo que no es ni siquiera equiparable a infracción administrativa), pues el sistema español es del todo distinto al de Letonia, Alemania y otros países de nuestro entorno.” Afirma que la Agencia ha hecho “una interpretación extensiva del derecho sancionador a puntos no expresamente reflejados en la norma infractora, como luego diremos (alegación cuarta), e incluso contrarios al art. 27.2 LO 3/2018, de 5 de diciembre de Protección de Datos de Carácter Personal y Garantía de Derechos Digitales (LOPDGDD en adelante), que permite incluso tratar infracciones administrativas con consentimiento del interesado.” Sostiene, además, que la campaña de “los 15 puntos” “se incardinó” en su compromiso con la seguridad vial “para valorar, premiando en el cálculo de la prima, el efecto de ser “buen conductor” por medio de un descuento sustancial en el precio. Es decir, solo el conductor que tuviera la bonificación de “los 15 puntos” podía ser merecedor de un descuento, y ello porque lo permite la ley al apreciarse menor riesgo en estas personas”. Concluye: “En suma, únicamente se trató de convertir la bonificación de puntos dada por la Administración en un ahorro para los asegurados que así lo pidieran, por permitir la ley fijar una prima menor sobre la base de datos ciertos y fiables al no poder ser las primas fijadas libremente sin más, y además indicando que se debía contar con el consentimiento como permite incluso el art. 27.2 LOPDGDD.” (El subrayado es nuestro) NOTA RESPUESTA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/73 2. La alegación primera lleva por título “Acerca de la prueba propuesta: denegación basada en el art. 28.10 RGPD cuando la prueba propuesta servía para justificar la existencia, recepción y vinculación jurídica de las instrucciones dadas al encargado, a efectos de la presunta infracción consistente en la inexistencia de contrato del art. 28 RGPD”. En este epígrafe expone su discrepancia con la inadmisión de la prueba acordada por el órgano instructor y con las razones en las que fundó tal decisión y dice: “El órgano instructor, tras el examen del expediente y de las pruebas propuestas, considera que, a excepción de la petición recogida en el punto 1 (…) el resto -detalladas en el punto 2- son absolutamente innecesarias y por consiguiente resultaba improcedente su práctica. (…). Esta conclusión se apoya en que su finalidad es reforzar la afirmación de LÍNEA DIRECTA de que proporcionó indicaciones documentadas a su encargado de tratamiento MAJOREL, cuestión sobre la que la entidad reclamada ha hecho en sus alegaciones al acuerdo de apertura un análisis detallado y ha aportado abundante documentación acreditativa. Con las pruebas propuestas se buscaría reforzar aún más dos extremos que no son objeto de discusión a la vista de la documentación aportada anexa a las alegaciones: Que el empleado de MAJOREL había recibido la formación adecuada en la materia y que el empleado incumplió las órdenes e instrucciones de su empleador proporcionadas a través de la aseguradora reclamada, siendo el incumplimiento del protocolo de actuación relativo a la campaña 15 puntos que estaba obligado a seguir lo que determinó que fuera sancionado disciplinariamente por la empresa. Frente a las razones en las que el órgano instructor fundamentó la inadmisión de la prueba propuesta -que eran innecesarias en la medida que ya habían resultado acreditados los extremos que pretendían probarse y que en nada afectaba esa prueba a la aplicación del artículo 28.10 del RGPD- LÍNEA DIRECTA considera que si las pruebas propuestas hubieran sido innecesarias no cabría sancionar, como hace la propuesta de resolución, por incumplimiento del artículo 28 del RGPD. “Sin embargo, con el debido respeto, o bien la prueba es necesaria y debe practicarse para justificar que Línea Directa sí ha dado instrucciones vinculantes a MAJOREL que han sido incumplidas, y siendo así no cabría sancionar por infringir el art. 28 RGPD; o bien, si realmente la prueba propuesta es realmente innecesaria, no cabría sancionar por la infracción del art. 28 RGPD, aplicando en tal caso, se copia literalmente, que “el empleado incumplió las órdenes e instrucciones de su empleador proporcionadas a través de la aseguradora reclamada”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/73 Y añade: “La clave de esta disyuntiva es que no cabe denegar prueba a menos que la misma sea manifiestamente improcedente o innecesaria, debiendo prevalecer el derecho a la prueba en caso de duda.” Afirma que “la prueba propuesta por esta parte en vía administrativa se evidencia como pertinente y útil desde el instante en que se propone sancionar a mi representada, pues con tal prueba se acreditará que Línea Directa no solo impone instrucciones concretas a MAJOREL, sino que exige que se lleven a cabo cursos de formación específicos al operador sobre la base de tales instrucciones (es decir, que no queden simplemente en “papel mojado” en un contrato entre mercantiles), e incluso penaliza a MAJOREL económicamente si las incumple, pues solicitábamos que se requiera a la entidad MAJOREL para que aporte ante esta digna Agencia y en relación al tema en liza: “Dicha práctica de prueba se reitera en este acto, pues se trata de documentos que solo pueden ser aportados por MAJOREL, en particular todos los relativos a las relaciones entre empleado y empleador. Téngase en cuenta que, como señalan las págs. 40 y 41 de la Propuesta de Resolución, una de las claves que se imputan sobre estas instrucciones es que no se había exigido consentimiento como tal, sino mera autorización para la comprobación de que se contaba con “los 15 puntos”. Sin embargo, “consentimiento” es lo pedido por Línea Directa a MAJOREL y lo explicitado en el Manual aportado y en los cursos formativos y, precisamente, por su incumplimiento fue sancionado el trabajador.” La reclamada reproduce a continuación estos fragmentos de la propuesta de resolución: “[…] formuló al reclamante la pregunta de si aceptaba que consultara su saldo de puntos. LÍNEA DIRECTA ha aportado con sus alegaciones al acuerdo de inicio diversos documentos que acreditan que existían instrucciones documentadas relativas a que, en relación con la llamada campaña 15 puntos de ventas motor era preceptivo solicitar al cliente su consentimiento para consultar su saldo de puntos e informarle que la consulta se hace a la DGT. Pero olvida LÍNEA DIRECTA que la operación de tratamiento que podían hacer los empleados de MAJOREL, consistente en la consulta del saldo de los puntos en el fichero de la DGT, debía contar con una base de legitimación de las recogidas de modo exhaustivo en el artículo 6 del RGPD y que para que pudiera fundarse en el consentimiento del interesado resultaba necesario que concurrieran los elementos recogidos en el artículo 4.11 del RGPD, es decir que el consentimiento consista en una manifestación de voluntad libre, específica, informada e inequívoca (…)” Tras lo cual, concluye que se ha vulnerado el derecho fundamental a hacer uso de los medios de prueba (ex artículo 24 de la Constitución Española): “Por todo lo expuesto, y debido a que, en el fondo, el instructor no está persuadido de la existencia y transmisión de las instrucciones dadas al mantener la sanción del art. 28 RGPD, se considera que la prueba propuesta arrojaría luz acerca de la realidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/73 la recepción de las instrucciones que hemos aportado documentadas por Línea Directa, en particular en los cursos formativos que el trabajador ha debido realizar. […] el legislador solo permite, y por medio de resolución motivada, denegar prueba “manifiestamente” improcedente o innecesaria, o lo que es lo mismo, solo cabe la no práctica en supuestos en que sea absolutamente evidente tal innecesaridad o improcedencia, lo que no es apreciable en casos como el presente en los que, párrafo seguido a la denegación de la prueba, la Propuesta de Resolución termina sancionando por no acreditar la existencia de las instrucciones dadas.” La resolución supone en sí vulneración de derecho fundamental a utilizar medios de prueba ex. Art. 24 CE y, en este sentido citamos por todas la STC 35/2006, de 13 de Febrero en la que se valora la vulneración de derechos fundamentales en la tramitación del procedimiento administrativo sancionador señalando “…tal vulneración no podría ser sanada en la vía contencioso administrativa, pues como señala la STC 59/2004 de 19 de Abril FJ 4, “el posterior proceso contencioso administrativo no puede servir nunca para remediar las posibles lesiones de garantías constitucionales causadas por la Administración en el ejercicio de su potestad sancionadora. Ello es así, entre otras razone porque el objeto del proceso contencioso administrativo lo constituye la revisión de un acto administrativo de imposición de una sanción.” Menciona también la STS 1599/2023, de 29 de noviembre de 2023 y la STSJ de Madrid, Sala de lo Contencioso, sentencia número 527/2024 (Roj: STSJ M 11243/2024 - ECLI:ES:TSJM:2024:11243) de 25 de octubre de 2024, que recuerda que la aplicación de la denegación de prueba en vía administrativa ha de ser necesariamente restrictiva: Finalmente añade que “la prueba propuesta, en la medida en que afecta a datos de un tercero (MAJOREL y empleados de MAJOREL), solo podría ser aportada por petición de la administración sancionadora.” 3. La alegación segunda lleva como título “Sobre el cumplimiento del art. 28 RGPD”. LÍNEA DIRECTA comienza diciendo: La propuesta de resolución afirma que el tratamiento “no está contemplado en el contrato de Agencia (en el que tiene que recogerse el acuerdo de encargo de tratamiento); ni en el contrato principal ni en ninguno de sus anexos” y si bien se reconoce la existencia de las instrucciones dadas y el registro documentado de las mismas, se indica que estos documentos no son actos jurídicos propiamente dichos.” A continuación, la reclamada reproduce dos párrafos del escrito de propuesta de resolución que no son correlativos, ya que el primer párrafo reproducido va seguido de otros varios en idéntico sentido que se han omitido. Transcribimos a continuación los dos párrafos de la propuesta que la reclamada ha reproducido: “Todos los argumentos que aduce y los documentos que aporta en el trámite de alegaciones al acuerdo de apertura están relacionados con las indicaciones a las que el encargado tenía que ajustar su actuación, completando con ello la documentación aportada con la respuesta al traslado. Los documentos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/73 aportados con las alegaciones al acuerdo de inicio consisten en capturas de pantalla que acreditan que la reclamada cuenta con una aplicación informática en la que se registran las instrucciones facilitadas a los encargados y a sus empleados y que permite acceder al histórico de esas indicaciones, hasta el punto que ha podido acceder al mensaje electrónico enviado 18/02/2020.17:12 con copia, entre otras, a la dirección del dominio “majorel” ***EMAIL.2 referente a la “Operativa pautas generales ventas”.” “En cualquier caso, es necesario destacar que ninguno de esos documentos tiene la naturaleza de acto o contrato que vincule jurídicamente a las partes, como exige el artículo 28.3 del RGPD en relación con el encargo de tratamiento. En definitiva, el contrato de Agencia que obra en el expediente, aportado como contrato de encargo de tratamiento entre LÍNEA DIRECTA y MAJOREL, no incluye ninguna de las indicaciones que integran su contenido obligatorio, a las que se refiere el artículo 28.3 del RGPD”. LÍNEA DIRECTA objeta que tal conclusión de la propuesta de resolución difiere de la recomendación del Comité Europeo de Protección de Datos (CEPD en adelante) en el epígrafe 118 de las Directrices 7/2020, “que refiere que estas instrucciones pueden constar por escrito, de manera alternativa a ser incluidas en un contrato o en un anexo, por ejemplo, en un correo electrónico. Señala el CEPD en el epígrafe 118 de las Directrices 7/2020: “Las instrucciones proporcionadas por el responsable del tratamiento deben estar documentadas. A tal efecto, se recomienda incluir un procedimiento y una plantilla para proporcionar instrucciones futuras en un anexo al contrato u otro acto jurídico. De manera alternativa, las instrucciones se pueden dar en cualquier forma escrita (p. ej., por correo electrónico) y en cualquier otra forma documental, siempre que resulte posible conservar un registro de dichas instrucciones”.” Añade que “lo esencial que refleja el art. 28 RGPD, como antes exigía el art. 12 LO 15/1999, de 13 de diciembre, es que el encargado del tratamiento esté vinculado por las instrucciones que le suministra el responsable, es decir, que tengan efecto jurídico para el encargado. En nuestro caso, esta vinculación es tal que incluso Línea Directa aplica penalizaciones a MAJOREL por incumplir estas instrucciones que se materializan en un Manual, como hemos alegado y justificado.” “Por ello, nótese que obra aportado certificado expedido por el encargado de tratamiento MAJOREL que atestigua que (
38. i)existe y existía al tiempo de los hechos este manual, (
39. ii)que se recibieron las instrucciones en la dirección de correo electrónico indicada para tal fin por MAJOREL, así como que, obviamente, (iii) tales instrucciones son las generadas por y para Línea Directa. Se aportó este certificado con diversos anexos como DOCUMENTO NÚMERO 8 de nuestras anteriores alegaciones. Se reproduce parte del mismo: 4. Invoca la aplicación del artículo 10 de la Ley 50/80 de la Ley de Contrato de seguro y la normativa sectorial de seguros. La vulneración del principio de proporcionalidad y del principio non bis in idem y que la mención a la STJUE es una aplicación extensiva in malam parten de normativa sancionadora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/73 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: En fecha 14/01/2022 la parte reclamante presenta una reclamación en la que expone que el día 13/01/2022 solicitó a LÍNEA DIRECTA precio del seguro del coche y recibió posteriormente una llamada telefónica del mediador MAJOREL “quien ha consultado sin mi consentimiento mi saldo de puntos del carnet de conducir, a través de la Web de la DGT, sin certificado.” Explica que “Han introducido en la Web de la DGT mi DNI, mi fecha de expedición del carnet de conducir, y han insertado un email que no es de mi propiedad, sin mi consentimiento, para que la DGT le enviase una clave de acceso para conocer mi saldo de puntos del carnet de conducir.” “[…] he comprobado el email que han utilizado accediendo a la Web de la DGT y solicitando la recuperación de clave por email. El email que me aparece es ***EMAIL.1”. (El subrayado es nuestro) SEGUNDO: La parte reclamante a porta una captura de pantalla en cuyo encabezamiento figura: “Gobierno de España”, “Ministerio del Interior”, “Dirección General de Tráfico”. A continuación, incluye esta información: -“Solicitud de clave de acceso. Paso 2 de 2- Verificación de datos personales.” - Debajo, en un recuadro, el nombre, apellido 1, apellido 2, NIF y fecha de expedición del carné de conducir de la parte reclamante. -Debajo, en dos recuadros con las rúbricas “E-mail” y “Comprobación de E-mail”, la dirección electrónica: ***EMAIL.1. -Por último, precedida del símbolo de información, la leyenda “La dirección de correo electrónico que nos indique será donde recibirá su clave de acceso”. TERCERO Obra en el expediente, aportada por LÍNEA DIRECTA (documentos 4 y 5 anexos a la respuesta al traslado), la grabación de la conversación telefónica que mantuvieron el reclamante y el empleado de MAJOREL. La transcripción parcial de esa grabación dice: “• Operador: “yo tengo un precio inicial de 501 euros, vale, es inicial, ¿usted tiene los 15 puntos de carnet de conducir?” • Cliente: “Sí” • Operador: “vale, ¿me dice por favor la fecha de expedición de su carnet?’” • Cliente: “sí, 31/05/2007” (…) • Operador: “disculpe, ¿me repite la fecha de expedición de su carnet?” • Cliente: “31/05/2007” • Operador: “un segundito que hago la consulta” • Cliente: “sí” • Operador: “le pongo en espera y vuelvo con usted en seguida, ¿vale?” • Cliente: “claro” [silencio] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/73 • Operador:” Gracias por la espera A.A.A., actualmente tiene 11 puntos de carnet de conducir” • Cliente: “no lo sé, yo tengo los 15” • Operador: “no, tiene 11 porque lo acabo de consultar a la D.G.T., no sé si le han quitado recientemente 4 puntos…” (El subrayado es nuestro) CUARTO: LÍNEA DIRECTA afirma (respuesta al traslado de la reclamación) que “La contratación de la póliza, cuyo precio depende, entre otros, de que se tengan o no los 15 puntos, implica corroborar esta información con la DGT.” (El subrayado es nuestro) QUINTO: LÍNEA DIRECTA aporta ( respuesta al traslado de la reclamación) la plantilla del texto del “correo electrónico explicativo” que afirma haber enviado a la parte reclamante informándole de que efectuó una consulta de sus puntos ante la DGT el 13/01/2022. La plantilla (documento 8 anexo al traslado) dice: “Estimado {nombresaludo} Nos ponemos en contacto con usted, de acuerdo con la conversación mantenida, para informarle de que hemos realizado la consulta de puntos a la Dirección General de Tráfico con su autorización y consentimiento. Nuestra única finalidad es poder ofrecerle el mejor precio para su Seguro. El saldo actual de puntos facilitado por la Dirección General de Tráfico para {nombre completo} con DNI {NIF} es de {puntos} Le informamos que hemos creado de manera automática una dirección de correo electrónico aleatoria y de un solo uso, que podrá ser modificada por usted si lo desea, al acceder la web de tráfico www.dgt.es.” (El subrayado es nuestro) Aporta en prueba del envío del correo la captura de pantalla de una aplicación informática con los detalles del realizado a las 18:11:07 horas del 13/01/2022 desde no-reply@lineadirecta.es a la dirección electrónica del reclamante con el asunto “Línea Directa Aseguradora: Resultado consulta de puntos DGT”, número de mensaje (…). (Documentos 9 y 10 anexos a la respuesta al traslado) SEXTO: LÍNEA DIRECTA manifiesta (respuesta al traslado) que “el saldo de los puntos asociados a la licencia de conducción puede obtenerse de dos modos: (
40. i)mediante un certificado expedido por la D.G.T. o (
41. ii)mediante una consulta del saldo “on line”, es decir a través de la web de la D.G.T. La obtención de un certificado por el usuario implica que el usuario ha de abonar tasas número 4.1, por importe de 8,67 euros, presentar justificante de compra de dichas tasas, rellenar formularios, presentar los mismos presencialmente o por internet con firma, etc. lo que constituye un trámite complejísimo. […].” “Dado que el sistema de certificado no es ágil, y además implica que el particular debe abonar 8,67 euros, la D.G.T. tiene implementado un sistema de acceso en línea al saldo de puntos, mediante un proceso en el que se introduce el NIF o el NIE del interesado y la fecha de expedición del carnet de conducir, como dato adicional de validación.” “Como medida adicional de seguridad, para evitar usos indiscriminados por terceros, la D.G.T. incluye la introducción […] de un correo electrónico para la obtención del saldo en ese momento. […].” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/73 SÉPTIMO: Obran en el expediente las capturas de pantalla obtenidas en fecha 15/03/2023 desde la página web sede.dgt.gob.es/es/permisos-de-conducir/consultatus-puntos/, incorporadas mediante Diligencia del órgano instructor firmada el 13/11/2024, que acreditan que en la fecha en la que se obtuvieron se informaba, bajo el título “Consulta de saldo de puntos”, de cinco vías para acceder a los puntos: Clave; usuario y contraseña; presencial; teléfono y App miDGT. -Bajo el título “¿Qué debes saber?” consta: “Puedes consultar tu saldo actual de puntos siempre que tu permiso se encuentre en vigor. Podrás obtener información de tu historial de recuperación y pérdida de tus puntos en el que se detalla la fecha, los puntos penalizados o ganados, aclarando siempre los posibles tipos de infracciones en la que incurriste o los cursos de sensibilización que realizaste. Si necesitases un certificado oficial de puntos para un tercero, puedes obtenerlo en cualquier Jefatura u Oficina de Tráfico acudiendo con cita previa o solicitarlo por internet. […]. -Bajo el título “¿Quién puede realizarlo?”, se indica: “La propia persona interesada, si se realiza la consulta por internet. Si se realiza por otro medio, cualquier persona autorizada en su nombre. Para realizar la autorización a otra persona que actúe bajo tu representación, puedes designar una persona representante a través de nuestro Registro de apoderamientos. También puede personarse siempre que disponga de un documento firmado por la persona interesada donde le autorice a realizar la solicitud, y donde exprese su carácter gratuito. Para ello descarga y rellena el modelo de autorización de la DGT Otorgamiento de representación. Si el trámite lo va a realizar otra persona en su nombre, en el momento de solicitar la cita previa en el 060, se debe indicar el DNI de la persona interesada y también el de la persona autorizada.” -Bajo el título “¿Qué medios tienes para consultar tus puntos?”, se ofrece esta información: “1. Por internet, accediendo con tu certificado, sistema Cl@ve o con usuario y contraseña.” (El énfasis en negrita es de la DGT. El subrayado es nuestro) OCTAVO: LÍNEA DIRECTA ha alegado (respuesta al traslado) que el tratamiento de los datos del reclamante estaba amparado en las circunstancias
42. a)y
43. b)del artículo 6.1.RGPD. Manifestó: -Que, “teniendo en cuenta la conversación, creemos que no solo concurre un mandato tácito para efectuar la consulta, sino un consentimiento derivado de la conducta del propio reclamante.” (Página 9 del escrito de respuesta al traslado) -Que, “aunque no implique incumplimiento de normativa en materia de protección de datos, se considera que ha existido incumplimiento de la política de calidad por parte del operador, respecto a ser más explícito, o haber insistido más en autorización C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/73 expresa y consentimiento para efectuar la consulta a la D.G.T.” Añade que “se ha informado por parte del encargado de tratamiento que el operador ha sido sancionado por falta muy grave y que será apartado del servicio a Línea Directa” (Páginas 14 y 15 del escrito de traslado) NOVENO: LÍNEA DIRECTA ha aportado (respuesta al traslado, documento anexo 6) el condicionado particular de la póliza de seguro de automóvil suscrita por el reclamante “póliza nº ***REFERENCIA.5- emitida el 13/01/2022. En el apartado dedicado a la “Prima” del seguro figura: - “Prima anual”: “Total anual:...530,79€”. - Debajo: “Descuento Campañas:..-265.39€”. - Y a continuación: “TOTAL A PAGAR: …265,40€”. DÉCIMO :LÍNEA DIRECTA ha alegado (alegaciones al acuerdo de inicio) Que “el empleado de MAJOREL que atendió telefónicamente al denunciante no solicitó ni el certificado de sus puntos, ni tampoco solicitó consentimiento para su obtención, incumpliendo así las instrucciones dadas por LÍNEA DIRECTA, y siendo por ello sancionado por infracción laboral.” (El subrayado es nuestro) UNDÉCIMO: MAJOREL, en su respuesta al traslado: 1.Declara que: El empleado que atendió al reclamante en la contratación del seguro “no solicita el consentimiento expreso de manera estricta al interesado, incumpliendo la normativa interna (órdenes y manuales) del servicio establecidas por nuestro cliente (LÍNEA DIRECTA) al realizar la consulta de los puntos del carnet de conducir en la DGT, aunque en todo momento [el reclamante] es informado y autoriza dicha consulta en la propia llamada (en varias ocasiones) y, además, recibe en su correo electrónico un email de LÍNEA DIRECTA tras la consulta de sus puntos de carnet (se genera un email automático remitido desde el sistema Galgo de LÍNEA DI-RECTA).” Ha “tomado medidas disciplinarias respecto al teleoperador especialista en el servicio de LÍNEA DIRECTA que realizó la llamada al reclamante” “al incumplir ordenes, instrucciones, procedimientos y operativa del servicio donde trabajaba y que eran suficientemente conocidas por el empleado tanto en su formación inicial como en las sucesivas formaciones de reciclaje.” (El subrayado es nuestro) 2.Aporta: el “Anexo al Contrato de Agencia exclusiva celebrado entre Línea Directa Aseguradora S.A. y Majorel SP Solutions, S.A.U. de 14 de abril de 2021”, denominado Anexo 01/2022 de la Campaña Ventas Motor”, de fecha 01/01/2022. Ese anexo no incorpora ninguna mención a la “campaña 15 puntos”. DUODÉCIMO: LÍNEA DIRECTA y MAJOREL han aportado el contrato de Agencia de seguros exclusiva suscrito el 14/04/2021 así como cuatro anexos (Anexo I, “de Protección de Datos Personales”; Anexo II, “Requisitos de seguridad a implementar por el encargado”; Anexo III “Complementario al Anexo RGPD. Indicadores del plan de calidad”, y Anexo IV, “Código Ético”). Además, MAJOREL aportó el “Anexo 01/2022 de la Campaña Ventas Motor” (Hecho Probado undécimo punto 2) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/73 No se han aportado más anexos al contrato de Agencia. La estipulación cuarta del contrato, “Productos y coberturas”, establece que “La Agencia realizará la actividad de distribución y comercialización de los productos de seguro de LÍNEA DIRECTA que se detallan en el Anexo I al presente contrato. Mediante anexo se determinarán asimismo las campañas y las condiciones de comercialización de los diversos productos aseguradores de LÍNEA DIRECTA.” (El subrayado es nuestro) DECIMOTERCERO: Examinado el contenido del contrato de Agencia y sus Anexos no consta en ellos ninguna mención de un tratamiento que el encargado deba realizar en nombre de la entidad aseguradora que verse sobre los datos de fecha de expedición del permiso de conducir junto con el NIF del solicitante del seguro de automóvil y cuya finalidad sea obtener vía online, a través de la página web de la DGT, información que custodia la DGT relativa al saldo de puntos asociado al permiso de conducir del solicitante de un seguro de automóvil, con lo que verifica la certeza de la información suministrada sobre sus puntos por el solicitante de seguro, para el uso del dato con el objeto de aplicar un descuento en la prima. DECIMOCUARTO: Cláusulas más relevantes del contrato de Agencia. -Primera. “Objeto”. “El presente Contrato tiene como objeto, la designación de la Agencia por parte de la Aseguradora como agencia exclusiva y la regulación de las condiciones en las que la Agencia llevará cabo en territorio español la distribución y comercialización de los productos de seguro de la Aseguradora, y a tal efecto, la realización en su caso de la actividad de propuesta o realización de trabajos previos a la celebración de contratos de seguro, de celebración de dichos contratos, así como la asistencia en la gestión y ejecución de dichos contratos de seguro de LINEA DIRECTA, incluyendo en caso de siniestro, en los términos previstos en este Contrato. La actividad de distribución a realizar por la Agencia se realizará en relación con los productos de seguro de la Aseguradora que se especifican en el Anexo I al presente Contrato.[…]” -Tercera. “Canales de venta”. “La Agencia comercializará los seguros de LÍNEA DIRECTA especificados en el Anexo 1, a través de su plataforma telefónica mediante la emisión y recepción de llamadas” -Cuarta: “Productos y coberturas”. “La Agencia realizará la actividad de distribución y comercialización de los productos de seguro de LÍNEA DIRECTA que se detallan en el Anexo I al presente contrato. Mediante anexo se determinarán asimismo las campañas y las condiciones de comercialización de los diversos productos aseguradores de LÍNEA DIRECTA. Adicionalmente la Agencia podrá, en su caso, ofrecer una serie de servicios que se pueden combinar con los productos descritos en el punto anterior, y que se determinarán en el mismo anexo. [...]. -Quinta: “Obligaciones de las partes” “5.1. Obligaciones de la Agencia […]
44. b)La comercialización y promoción de los productos de seguro de LINEA DIRECTA descritos en el Anexo 1 de este Contrato, en estricto cumplimiento de las instrucciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/73 recibidas de la Aseguradora y ateniéndose a las tarifas de prima que ésta establezca en cada momento. -Séptima: “Información y protección de la clientela. Comercialización a distancia”. “[…] Por tanto, la Agencia deberá identificarse como tal, en todas las llamadas y cumplir con las restantes previsiones a tal efecto establecidas bajo las referenciadas normativas. Asimismo, la Agencia manifiesta su capacidad para obtener el consentimiento expreso y jurídicamente válido de los clientes para la realización de las actuaciones previas a la contratación del producto de seguro mediado conforme a las previsiones contenidas en el RGPD y en la LOPDPGDD e incluidas en el Anexo Complementario RGPD adjunto al presente contrato, de acuerdo con las instrucciones que al respecto le indique LINEA DIRECTA.[…].” (El subrayado es nuestro) -Vigesimoprimera: “Notificaciones”. “Toda comunicación entre las Partes relativa a este Contrato deberá hacerse por escrito, bien por correo ordinario, fax o correo electrónico. Se considerará que han sido debidamente entregadas y recibidas las comunicaciones y/o notificaciones efectuadas por correo ordinario, fax o correo electrónico siempre que sea confirmada su recepción por el destinatario o medie acuse de recibo en caso de documento certificado y hayan sido enviadas a los domicilios respectivos de las Partes que se indican a continuación. LÍNEA DIRECTA ASEGURADORA S.A. […] La Agencia […] ***EMAIL.5”. La “Agencia” es el término con el que el contrato de Agencia se refiere a MAJOREL. (El subrayado es nuestro) DECIMOQUINTO: Anexo I al contrato de Agencia, “de Protección de Datos Personales”. Determina las categorías de datos personales y los datos que MAJOREL debe tratar, pero no incluye ninguna mención a la operación de tratamiento que ha dado origen a la reclamación ni al dato de la fecha de expedición del carné de conducir del solicitante del seguro de automóvil ni a los puntos asociados al carné de conducir de un solicitante de seguro de automóvil. Las cláusulas más relevantes del Anexo I al contrato de Agencia son las siguientes: - 2: “Objeto del encargo de tratamiento”. : “2.1. Mediante las presentes condiciones, se habilita al Encargado del Tratamiento para tratar, por cuenta del Responsable del Tratamiento, los datos de carácter personal necesarios para prestar el servicio objeto del Contrato de prestación de servicios suscrito entre las Partes (en adelante, el “Contrato Principal” o el “Contrato”). Este Contrato Principal contiene la descripción detallada de los servicios prestados. 2.2. Los tratamientos que concretamente llevará a cabo el Encargado del Tratamiento serán únicamente los estrictamente necesarios para cumplir con el objeto del Contrato Principal. De acuerdo con la naturaleza de tales tareas, el Encargado del Tratamiento podrá realizar las actividades de tratamiento que se indican a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/73 x Recogida x Registro x Estructuración □ Modificación x Conservación x Extracción x Consulta □ Difusión x Interconexión □ Cotejo □ Limitación □ Supresión □ Destrucción x Comunicación 2.3 Las categorías de datos personales y datos personales que el Encargado del Tratamiento debe tratar para la ejecución de las obligaciones derivadas del cumplimiento del objeto del Contrato son los siguientes: o Datos de clientes (nombre, apellidos, NIF, sexo y teléfono.). o Datos de posibles clientes (nombre, apellidos, NIF, sexo y teléfono. - 3, “Identificación de la información afectada”: "3.1. El Encargado del Tratamiento tendrá acceso únicamente a los datos personales, referentes a las siguientes categorías de interesados: - Datos de clientes (nombre, apellidos, NIF, sexo y teléfono.). - Datos de posibles clientes (nombre, apellidos, NIF, sexo y teléfono). “ - 5. “Obligaciones del Encargado de tratamiento”. “El encargado de tratamiento y todo su personal se obliga a: […] 5.2.Tratar datos de acuerdo con las instrucciones del responsable del tratamiento.” DECIMOSEXTO: LÍNEA DIRECTA (respuesta al traslado) expone que la cláusula séptima del contrato de Agencia incorpora “la necesidad de recabar la autorización para llevar a cabo cualquier actividad como” la que constituye el objeto de la reclamación y menciona en ese sentido los “recordatorios al respecto, como se justifica con los planes de calidad para operadores de ventas externos. Se aporta el mismo como” documento número 3. El documento 3 aportado consiste en la transcripción en Word de parte del contenido de uno correo electrónico. En su extremo izquierdo figura: “Motor_calidad”. “Enviado por Motor_calidad” “18/02/2020.17:12”. En el extremo derecho, los apartados “Para” y “cc” están en blanco. En el apartado “cco” se incluyen varias direcciones de correo electrónico entre ellas, la única que pertenece al dominio “majorel” es “***EMAIL.2”. Como “Asunto”, “Operativa pautas generales ventas”. Se incluye a continuación un texto, sin indicar su procedencia o el documento del que se ha extraído: <<CAMPAÑA 15 PUNTOS: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/73 - Como cualquier campaña, se puede aplicar si nuestro precio es superior o hay queja del cliente. - Hay que preguntar si tiene los 15 puntos. - Hay que solicitar el justificante de los 15 puntos o pedir autorización al cliente para realizar la consulta online. >> se considera incidencia media. >> en cotización y/o cierre.>> DECIMOSÉPTIMO: LÍNEA DIRECTA (alegaciones al acuerdo de inicio) manifiesta que cuenta con un contrato de encargo con sus anexos y que existieron instrucciones documentadas cuyo incumplimiento genera penalizaciones. Aporta un Certificado expedido por MAJOREL en el que afirma que el correo electrónico remitido el 18/02/2020 por LÍNEA DIRECTA a la dirección ***EMAIL.4 fue recibido correctamente y que esa dirección electrónica fue la que facilitó a LÍNEA DIRECTA “como válida para recibir la información de campañas como la de “15 puntos” entre otra”. Afirma también que las instrucciones que recibe de LÍNEA DIRECTA se documentan en órdenes y manuales que se complementan con sesiones formativas y aporta el “Manual LDA Emisión Motor” (versión 13/07/2021) que corresponde con las órdenes y manuales vigentes en enero de 2022. DECIMOCTAVO: El documento “Manual LDA Emisión Motor” contiene, entre otra, estas indicaciones: -La consulta de puntos precisa tener el consentimiento y autorización para realizarla, que tendrá una validez de tres meses y se arrastrará en cualquier presupuesto realizado en ese período de tiempo. En el momento de la consulta el cliente recibirá un email informativo con el resultado de la misma. -Para los clientes que no deseen que desde LÍNEA DIRECTA se realice la consulta “se podrá utilizar la campaña antigua que luego veremos”. -Se detallan los pasos del procedimiento a seguir, en líneas generales, los siguientes: 1.Antes de consultar los puntos DGT hay que terminar la cotización para informar de precio inicial y ver si es necesario aplicar la campaña. 2.(…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/73 LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas 1.Sobre la operación de tratamiento realizada por LÍNEA DIRECTA y sobre los datos personales tratados. A tenor de lo establecido en los artículos 4.1 y 4.2 del RGPD en el supuesto de hecho que nos ocupa consta que la parte reclamada ha llevado a cabo un tratamiento de datos de la parte reclamante con la finalidad específica de acceder a la información del saldo de puntos asociados a su carné de conducir que obra en poder de la DGT y en recoger y utilizar ese dato para, en consideración a él, aplicar un descuento en el precio de la prima del seguro. El artículo 4.2. del RGPD define el tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Como se ha indicado, el tratamiento efectuado por LÍNEA DIRECTA sobre el que versa este procedimiento sancionador tenía como finalidad específica que esa entidad reclamada accediera a la información de los puntos asociada al carné del solicitante del seguro, información que custodia la DGT. Lo expresa con claridad la parte reclamada en su respuesta al traslado de la SGID (Hecho Probado Cuarto) cuando dice: “La contratación de la póliza, cuyo precio depende, entre otros, de que se tenga o no los 15 puntos, implica corroborar esta información con la DGT”.( El subrayado es nuestro) La finalidad del tratamiento efectuado -que la aseguradora acceda a la información que tiene la DGT sobre los puntos del solicitante de seguro y verifique así la certeza de la información proporcionada- es manifiesta a la luz de los hechos acreditados: El empleado de MAJOREL recaba del reclamante el dato de la fecha de expedición de su carné y utiliza también para esa finalidad específica el dato de su NIF, dato que ya obraba en poder de la reclamada al haberlo proporcionado el interesado previamente con el fin de obtener información sobre el seguro de automóvil. El empleado de MAJOREL introduce en la página web de la DGT ambos datos -con los que se identifica ante el sistema informático como si fuera el reclamante- e incluye una dirección de correo electrónico creada ad hoc, a la que el titular de los datos es ajeno (esto es, ni la conoce, ni es su titular, ni tampoco es el usuario de ese email) De ese C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/73 modo MAJOREL recibe en la dirección de correo que proporcionó al sistema de la DGT un mensaje con una clave que le permite acceder a la información del saldo de puntos del reclamante. Posteriormente, utiliza ese dato, en consideración al cual ofrece una rebaja en la prima del seguro. Los siguientes documentos que obran en el expediente aportan más información sobre la operación de tratamiento controvertida. El reclamante manifestó que había comprobado que MAJOREL utilizó la dirección email ***EMAIL.1 vinculada a su NIF y a la fecha de su carné de conducir para recibir a través de la web de la DGT una clave de acceso a su saldo de puntos. Aportó con su reclamación (Hecho Probado segundo) una captura de pantalla de la web www.dgt.es correspondiente a la página “Solicitud de clave de acceso” en la que consta: “Paso 2 de 2. Verificación de datos personales.” En un recuadro, en la primera línea, aparecen cumplimentados con los datos del reclamante los espacios destinados al nombre, apellido 1 y apellido 2. En la línea inferior están cumplimentados los espacios del “NIF o NIE” y “Fecha de expedición de la licencia o permiso” del reclamante. A continuación, consta “E-mail” -seguido de un asterisco que informa de que ese dato es de cumplimentación obligatoria- y “Comprobación E-mail”, y en ambas casillas la dirección de correo ***EMAIL.1. LÍNEA DIRECTA como documento número 8 anexo a su respuesta al traslado aportó una “plantilla” de la información que envía mediante un correo electrónico a los solicitantes del seguro de automóvil después de haber consultado su saldo de puntos a través de web de la DGT utilizando los datos del NIF y la fecha de expedición del carné para autenticarse y obtener una clave (Hecho Probado quinto). En palabras de LÍNEA DIRECTA es un “correo electrónico informativo del proceso de consulta seguido ante la DGT” que “culmina” este “modelo de consulta”. El documento representa una evidencia más de que LÍNEA DIRECTA fue quien diseñó los fines y los medios de la operación de tratamiento -conocida con el nombre de “campaña 15 puntos”- sobre la que versa la reclamación. El documento en cuestión lleva el anagrama de la reclamada y el siguiente texto: “Estimado {nombresaludo} Nos ponemos en contacto con usted, de acuerdo con la conversación mantenida, para informarle de que hemos realizado la consulta de puntos a la Dirección General de Tráfico con su autorización y consentimiento. Nuestra única finalidad es poder ofrecerle el mejor precio para su Seguro. El saldo actual de puntos facilitado por la Dirección General de Tráfico para {nombre completo} con DNI {NIF} es de {puntos} Le informamos que hemos creado de manera automática una dirección de correo electrónico aleatoria y de un solo uso, que podrá ser modificada por usted si lo desea, al acceder la web de tráfico www.dgt.es.” (El subrayado es nuestro) El artículo 4.1. del RGPD define los datos personales como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/73 varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. LÍNEA DIRECTA, para la finalidad del tratamiento que lleva a cabo, recaba del interesado el dato de la fecha de expedición de su carné de conducir y, además, utiliza el dato del NIF para una finalidad distinta de aquella para la cual su titular lo había proporcionado -la solicitud de seguro-. Con estos datos obtiene una clave que recibe en la dirección electrónica que solo ella conoce y con la que accede a la información que consta en los registros de la DGT sobe el saldo de puntos del solicitante del seguro. Recoge y utiliza este dato. En la operación de tratamiento realizada por LÍNEA DIRECTA los datos personales objeto de tratamiento son, además del NIF, el dato de la fecha de expedición del carné de conducir del solicitante del seguro y el dato de su saldo de puntos. Saldo de puntos que puede ser cualquiera pues, incluso aceptando como hipótesis la afirmación que LÍNEA DIRECTA ha hecho en sus alegaciones a la propuesta a tenor de la cual sólo son considerados a efectos de aplicar un descuento en el precio del seguro los “15 puntos”, la finalidad de la consulta es precisamente conocer cuántos son los puntos que tiene el conductor registrados ante la DGT. Llegados a este punto se subraya la relevancia jurídica de la operación de tratamiento a la que nos venimos refiriendo, diseñada por LÍNEA DIRECTA con el fin de conocer el saldo de puntos del reclamante que obraba en los sistemas de la DGT. Esta relevancia es patente por las razones siguientes:
45. a)La relevancia de la operación de tratamiento analizada se evidencia también a la luz de las características que presentaba en la fecha de los hechos la página web de la DGT que la parte reclamada utilizó y que esa Dirección General puso a disposición de los ciudadanos para consultar el dato del saldo de puntos que les concernía. En fecha 15/03/2023 -fecha en la que esta Agencia obtiene diversas capturas de pantalla de la web www.dgt.es, que obran en el expediente- la página web precitada informaba de que la consulta de puntos podía hacerse a través de estos medios: i. “Cl@ve”, ii. “Usuario y contraseña”, iii. “Presencial”, iv “Teléfono” y v. “App miDGT”. A la pregunta “¿Qué necesitas?” la página web responde: “Para consultar tus puntos puedes acceder con tu certificado digital, DNI electrónico, tus credenciales de Cl@ve o bien solicitando usuario y contraseña”. A la pregunta “¿Quién puede realizarlo?” la página web responde: “La propia persona interesada [esta frase se encuentra destacada en negrita en la web], si se realiza la consulta por internet. Si se realiza por otro medio, también podrá realizarla otra persona autorizada en su nombre.” (El subrayado es nuestro) Y continúa diciendo: “Para realizar la autorización a otra persona que actúe en tu representación, puedes designar una persona representante a través de nuestro Registro de Apoderamientos” “También puede personarse siempre que disponga de un documento firmado por la persona interesada donde le autorice a realizar la solicitud, y donde exprese su carácter gratuito. Para ello descarga el modelo de autorización de la DGT “Otorgamiento de representación”.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/73 Se infiere de la información que la página de la DGT ofrecía que esa Dirección General, a quien compete la custodia de los puntos asociados al carné de conducir, restringía la consulta del saldo de puntos a través de su página web -recordemos que por esta vía podía hacerse por medio de certificado digital, DNI electrónico, las credenciales de Cl@ve o solicitando usuario y contraseña- a la persona física titular de los puntos (se refiere literalmente a “La propia persona interesada” y destaca en negrita esa mención). Y, es más, no admitía la posibilidad de que la consulta a través de su página web la pudiera hacer un tercero distinto del interesado actuando en su nombre. A ese respecto subrayamos que la página web advierte de que si la consulta no se hace por internet -dice textualmente, “si se realiza por otro medio”- puede hacerse por un tercero en nombre del interesado, debidamente autorizado. Reproducimos este fragmento de la respuesta de la parte reclamada al traslado (alegación sexta de su escrito, “Consulta de puntos en la DGT informada por la propia Línea Directa”) relativo a la consulta a través de la página web de la DGT: “Es preciso partir de que el saldo de los puntos asociados a la licencia de conducción puede obtenerse de dos modos: (
46. i)mediante un certificado expedido por la D.G.T. o (
47. ii)mediante una consulta del saldo “on line”, es decir a través de la web de la D.G.T. La obtención de un certificado por el usuario implica que el usuario ha de abonar tasas número 4.1, por importe de 8,67 euros, presentar justificante de compra de dichas tasas, rellenar formularios, presentar los mismos presencialmente o por internet con firma, etc. lo que constituye un trámite complejísimo. Se aportan pantallas de información al respecto del referido “certificado” tomadas de la propia D.G.T. […] Dado que el sistema de certificado no es ágil, y además implica que el particular debe abonar 8,67 euros, la D.G.T. tiene implementado un sistema de acceso en línea al saldo de puntos, mediante un proceso en el que se introduce el NIF o el NIE del interesado y la fecha de expedición del carnet de conducir, como dato adicional de validación. Como medida adicional de seguridad, para evitar usos indiscriminados por terceros, la D.G.T. incluye la introducción de CAPTCHA, y de un correo electrónico para la obtención del saldo en ese momento. Este correo puede ser, de un solo uso, pues el sistema permite cambiar tal correo con el siguiente acceso. Con el proceso no se puede acceder a más información que la estrictamente referida al saldo de puntos existente en ese momento, de manera que no es accesible o realizable cualquier otra operativa ante la Administración, o cualquier otra información del propio interesado. Pues bien, cuando el interesado no tiene generado su acceso on line a su saldo, o para agilidad y comodidad del mismo, quien así