← España

PS-00275-2022

1/16  Expediente Nº: EXP202105693 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de agosto de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (CASER) (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202105693 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 26 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (CASER) con NIF A28013050 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: en el mes de mayo de 2016 el reclamante suscribió con BANCO IBERCAJA (en lo sucesivo IBERCAJA) un préstamo hipotecario a un determinado tipo de interés y, para mantener dicho tipo de interés, una de las condiciones del préstamo era contratar un seguro de salud con la aseguradora reclamada. El reclamante contrató la póliza de salud, figurando él como tomador y siendo el único titular de la cuenta de cargo abierta con la entidad financiera reclamada. Como beneficiaria de la póliza figuraba su pareja por aquel entonces y de la que actualmente se encuentra separado desde el 14/04/2021; desde el 08/06/2021, la aseguradora reclamada ha realizado diversas modificaciones en los datos de la póliza, sin su consentimiento, en concreto, se modificó el tomador y la cuenta de cargo de la prima, despareciendo el reclamante y su cuenta bancaria, figurando en su lugar su expareja como tomadora y la cuenta de esta; días más tarde, el 16/06/2021, se volvió a incluir al reclamante como tomador, pero la cuenta de cargo seguía siendo la de su expareja; finalmente, y tras las reclamaciones efectuadas por el reclamante, el 17/06/2021, se modificó la cuenta de cargo, pasando a ser la cuenta privativa del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 A raíz de lo sucedido, el 05/07/2021, presentó reclamación ante la aseguradora reclamada, recibiendo respuesta el 22/07/2021, pidiendo disculpas e indicando que las modificaciones en la póliza se realizaron a instancia de la entidad financiera y que tan pronto tuvieron conocimiento del desacuerdo del reclamante, rectificaron la incidencia. Asimismo, el 21/07/2021, presento reclamación ante la entidad financiera, en relación con la modificación unilateral de la póliza vinculada a su contrato de préstamo, recibiendo respuesta el 27/07/2021, indicándole que las modificaciones se solicitaron desde su oficina gestora por la persona asegurada (su expareja) y que, no obstante, se han mantenido las bonificaciones del préstamo. El reclamante manifiesta que el hermano de su expareja trabaja en la oficina desde la que se instaron las modificaciones no consentidas en los datos contractuales. Aporta admisión a trámite de la solicitud de divorcio, copia de las reclamaciones efectuadas y de las respuestas recibidas, así como reclamación dirigida a la Dirección General de Seguros y Fondos de Pensiones, de 20/10/2021. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20/12/2021 como consta en el acuse de recibo que obra en el expediente. El 14/01/2022 el reclamado respondió al requerimiento formulado señalando que el 31/05/2016 el reclamante formalizó con IBERCAJA un préstamo con garantía hipotecaria pactándose en un tipo de interés fijo del 3,25% (tipo de interés sin cumplir las bonificaciones), salvo que, efectivamente se verificara que se cumplían las condiciones de bonificación según lo indicado en el apartado de la escritura hipotecaria "VINCULACIONES Y OTROS COSTES", en cuyo caso sería de aplicación lo allí referido con un tipo de interés mínimo aplicable del 1,750% para el supuesto que se cumplan todas las bonificaciones pactadas, entre las que se encuentra la contratación con CASER del seguro "Ibercaja Salud". El tipo de interés pactado en la escritura es el tipo de interés acordado en la operación de préstamo hipotecario y que las bonificaciones pactadas tienen carácter opcional y voluntario para el prestatario, no siendo de obligado cumplimiento, por lo que, si lo desea, puede cancelar y no mantener el seguro de salud indicado o contratar otro de los citados en el anexo de condiciones de bonificación. Con fecha de efectos 01/01/2017, el reclamante suscribe con CASER la póliza colectiva "Caser Salud Integral" en la que se figura como tomador e incluye como única asegurada a Dña. B.B.B., contratación realizada en las oficinas de IBERCAJA, en su calidad de red de distribución del operador de banca seguros del Grupo Ibercaja (la entidad IBERCAJA MEDIACION DE SEGUROS, S.A.U. (en lo sucesivo IBERCAJA MEDIACION) y que mantiene contrato de agencia con CASER. Las primas del seguro se adeudaban en la cuenta de IBERCAJA titularidad del reclamante. El día 08/06/2021, IBERCAJA MEDIACION en su calidad de mediadora de la póliza de seguro y, por tanto, encargada del tratamiento de los datos responsabilidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 CASER, tramita una solicitud formulada en las oficinas de IBERCAJA, en la que solicita la modificación de la cuenta asociada a dicha póliza para proceder ella misma a los pagos de las primas, dado que es la única asegurada, y a su vez, modificar su posición contractual de asegurada por la de tomadora de la póliza y asegurada de la misma póliza, no efectuándose ninguna modificación en la póliza, limitándose a trasladar la solicitud de la asegurada a la entidad aseguradora. El 09/06/2021 CASER procede, con efectos desde el día 8 de junio, a sustituir al tomador del seguro (reclamante) por la que hasta ese momento era la asegurada de la póliza (Dña. B.B.B.), presuponiendo por el principio de la buena fe mercantil que de dicha sustitución era conocedor el reclamante, quién habría otorgado su consentimiento, al menos de forma tácita. El hecho de que al perder la condición de tomador del seguro el reclamante quedaba liberado de las obligaciones y deberes que derivan del contrato de seguro, inducían a pensar que el tomador del seguro conocía y aceptaba su sustitución en la póliza. Tras las comunicaciones del reclamante al Centro de Relación con los Clientes de CASER en las que manifestó no haber aceptado o consentido el cambio de tomador del seguro, una vez verificado que no figuraba en los archivos documento alguno suscrito por el tomador del seguro (reclamante) solicitando o autorizando dicho cambio, con fecha 16/06/2021, se retrotrajo la póliza a la situación anterior, restituyéndose a reclamante como tomador del seguro y, el día 17 de junio, se volvió a incluir su número de cuenta a los efectos del pago de los recibos de primas. En cuanto al contrato de préstamo hipotecario formalizado por el reclamante con IBERCAJA, los cambios realizados en la póliza del seguro de salud por la entidad aseguradora, objeto de esta reclamación, no modificaron el tipo de interés que venía siendo aplicado al mismo. Asimismo, el reclamado en su respuesta de 14/01/2022 manifestaba, entre otros aspectos, los siguientes: “ El tratamiento de los datos del reclamante por la aseguradora se encuentra legitimado por el contenido del artículo 6.1.

  1. b)del RGPD que establece que el tratamiento de los datos personales será licito si es necesario para la ejecución de un contrato en el que el asegurado sea parte. Adicionalmente, el tratamiento de los datos de los tomadores de los seguros por las Aseguradoras se encuentran legitimado por el artículo 99.1 de la Ley 20/2015, de 14 de julio, de Ordenación, Supervisión y Solvencia de las Entidades Aseguradoras y Reaseguradoras, que faculta a las compañías aseguradoras a tratar los datos de los tomadores de los seguros, sin necesidad de recabar su consentimiento, para el desenvolvimiento del contrato de seguro; debiéndose tomar en consideración que, tan pronto como tuvo noticias Caser de la ausencia de consentimiento otorgada por el reclamante rectificó el cambio del tomador. Con respecto al acceso a los datos responsabilidad de Caser por Ibercaja Mediación, este se encuentra legitimado por asumir esta última sociedad la condición de encargada del tratamiento de conformidad con lo dispuesto en el artículo 203.1.
  2. a)del Real Decreto-ley 3/2020, así como por el hecho de haber suscrito entre ambas un contrato comprensivo de las obligaciones establecidas en el artículo 28 del RGPD. - Que la reclamación formulada por el reclamante se basa en la ocurrencia de unos hechos que, al incluirlos el reclamante en su escrito presentado ante la AEPD, los reconoce como auténticos. - Y se reproduce también parte de la información que trasladó al reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 o Todas las referencias que se hacen por esta parte a la entidad IBERCAJA, vienen referidas a Ibercaja Mediación de Seguros, S.A.U., que es la sociedad mediadora del seguro suscrito por usted y, por tanto, encargada del tratamiento de los datos responsabilidad de Caser. o Que tan pronto como tuvo noticias Caser de que usted no había solicitado el cambio de tomador del seguro, procedió a restituir el contrato a la situación anterior”. TERCERO: Con fecha 26/01/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Al objeto de investigar la ocurrencia de los hechos descritos, el 09/03/2022 se realizó una solicitud de información al reclamado, IBERCAJA e IBERCAJA MEDIACION. Las respuestas a dichos requerimientos tuvieron entrada en la sede electrónica de la AEPD el 24/03/2022 (el reclamado), y el 29/03/2022 (IBERCAJA e IBERCAJA MEDIACION). En la documentación recabada se describen las actuaciones de las distintas entidades para gestionar modificaciones de una póliza de seguro de salud y, a continuación, se reproduce un extracto del contenido aportado con el fin de introducir las aplicaciones informáticas que se referencian: “[…] El proceso para modificar los datos de una póliza de seguro de salud, con carácter general, se inicia en las oficinas de la IBERCAJA, dado que allí es donde se dirigen los clientes para ello. […] La gestión de las modificaciones de una póliza de salud del reclamado, en la mayoría de los casos puede realizarse directamente desde las oficinas de IBERCAJA a través de la aplicación informática del reclamado “Portal Bancaseguros. […] La modificación del tomador de la póliza de un seguro de salud, es decir, la sustitución de la persona del tomador inicial por otra persona supone una modificación de los intervinientes en el contrato, excediendo de sus datos personales, y ha de ejecutarse por el reclamado. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Las solicitudes que las oficinas de la IBERCAJA no pueden realizar directamente en el aplicativo del reclamado son comunicadas a IBERCAJA MEDIACION, para su traslado al reclamado, de la siguiente forma: - Aplicativo de Consultas Internas” Remedy-Ibersic” - Buzón de correo electrónico ***EMAIL.1 La IBERCAJA MEDIACION traslada la petición al reclamado a través de la herramienta “Peticiones SGO” que se encuentra disponible en el “Portal Bancaseguros” del reclamado, a la cual no tienen acceso las oficinas de la IBERCAJA. […] Una vez hecha la introducción, se expone para cada entidad investigada el resultado de las actuaciones de investigación. EL RECLAMADO: En la documentación aportada, en el Registro de la Actividad de tratamiento de datos personales “Tratamiento de Producción de Seguros Generales”, se identifica al reclamado como la entidad responsable de las actividades de tratamiento de datos personales. Con fecha 08/06/2021 la IBERCAJA MEDIACION abre el expediente ***EXPEDIENTE.1 a través de la función “Peticiones de Operaciones (SGO)” que se encuentra disponible en la aplicación informática “Portal Bancaseguros” y le traslada al reclamado solicitud de cambio de tomador de la póliza de seguro Salud Integral del reclamante. El reclamado no recaba los “escritos firmados por el tomador cedente y el tomador que acepta”, documentación necesaria según el procedimiento para la modificación de una póliza de seguro de salud mediante la emisión de un suplemento que el reclamado ha descrito en el marco de las actuaciones previas de investigación. A continuación, se reproduce un extracto de la descripción del “Procedimiento establecido para la modificación de una póliza de seguro de salud mediante la emisión de un suplemento” del reclamado: Por su importancia hay que destacar que en el Procedimiento de Emisión de Seguros Generales se detalla la documentación que debe aportarse junto con la solicitud de modificación de las condiciones de un seguro. Concretamente, en lo que respecta a la documentación necesaria para solicitar la sustitución del tomador, se establece literalmente: “Cambio de Tomador. Se requiere escrito o escritos firmados por el tomador cedente y el tomador que acepta. Además, en el documento tienen que facilitarse los datos personales del nuevo tomador: nombre, apellidos, documento, domiciliación bancaria, domicilio de prestación, etc. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 El tomador deberá ser mayor de 18 años, o en caso de ser menor de 18 años y mayor de 16, declarado legalmente mayor de edad por un juez.” Con fecha 09/06/2021 el reclamado hace efectivo el cambio en la póliza de seguro Salud Integral del reclamante en los términos solicitados por la IBERCAJA MEDIACION: el Área de Producción de Salud, cambia el número de cuenta y el tomador del seguro, por entender que el tomador del seguro consentía, al menos tácitamente su sustitución. Con fecha 16/06/2021 y como consecuencia de las reclamaciones formuladas por el reclamante al reclamado, el reclamado insta a IBERCAJA MEDIACION a abrir un expediente solicitando que se retroceda la póliza de seguro Salud Integral del reclamante a la situación anterior, incluyendo como tomador al reclamante y su cuenta corriente como domicilio del pago del recibo de primas. Con fecha 16/06/2021 el reclamado retrotrae la póliza de seguro Salud Integral del reclamante a la situación anterior al día 9 de junio de 2021. IBERCAJA MEDIACION Se señala que IBERCAJA MEDIACION, sociedad participada por IBERCAJA, actúa como encargado del Tratamiento respecto a los tratamientos de datos necesarios para distribuir los seguros del reclamado, que es la entidad responsable del Tratamiento, y que la IBERCAJA actúa como subencargado del tratamiento. Se indica que el personal de IBERCAJA MEDIACION no tiene presencia física en ninguna oficina de la red de distribución de la IBERCAJA y que cualquier gestión sobre las pólizas de seguros de salud realizadas en las oficinas de la IBERCAJA son realizadas por empleados de dicha entidad. Con fecha 08/06/2021 la IBERCAJA MEDIACION recibe de IBERCAJA, a través de la aplicación “Remedy-Ibersic”, una consulta de cambio de tomador en la póliza de seguro Salud Integral del reclamante; solicitando que la asegurada pase a ser la tomadora del seguro y facilitando adicionalmente una nueva cuenta domiciliaria para el pago de la prima del seguro; para su traslado al reclamado. Con fecha 08/06/2021 la IBERCAJA MEDIACION traslada al reclamado, a través de la función “Peticiones de Operaciones (SGO)” de la aplicación “Portal Bancaseguros”, petición de cambio de tomador de la póliza de seguro Salud Integral del reclamante. Se aporta captura de pantalla de la aplicación “Portal Bancaseguros” con el detalle de la petición trasladada al reclamado. La petición incluye la siguiente información: Cambio de tomador en seguro de Salud Integral: […] “La asegurada va a ser tomadora y asegurada y quien va a pagar el seguro. Actualmente, ya era quien pagaba realmente el seguro”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Con fecha 09/06/2021 IBERCAJA MEDIACION es informada por el reclamado, a través de correo electrónico, de que la petición ha sido tramitada. Con fecha 10/06/2021 IBERCAJA MEDIACION traslada a IBERCAJA, a través de la aplicación “Remedy-Ibersis”, que la petición ha sido tramitada por el reclamado. Con fecha 16/06/2021 IBERCAJA MEDIACION, con motivo de la reclamación del reclamante ante el reclamado y a instancias del reclamado, inicia una solicitud de rectificación para restablecer la póliza de seguro Salud Integral del reclamante a su situación anterior. Con fecha 16/06/2021 IBERCAJA MEDIACION es informada por el reclamado, a través de correo electrónico, de que la póliza se ha retrocedido a la situación inicial. IBERCAJA IBERCAJA señala que es la asegurada quien solicita convertirse en tomadora y asegurada de la póliza de seguro Salud Integral cuyo tomador es el reclamante. Con fecha 08/06/2021 IBERCAJA comunica a IBERCAJA MEDIACION, a través de la aplicación “Remedy-Ibersic”, petición de cambio de tomador de la póliza de seguro Salud Integral del reclamante; solicitando que la asegurada pase a ser la tomadora del seguro y facilitando adicionalmente una nueva cuenta domiciliaria para el pago de la prima del seguro; para su traslado al reclamado. Se aporta captura de pantalla de la aplicación “Remedy-Ibersic” con la comunicación a la IBERCAJA MEDIACION, Nueva Relación, donde se identifica el usuario y la oficina de procedencia y se describen los detalles de la petición: - Nueva Relación: hermano de la asegurada (Subdirector Oficina) - Oficina: ***OFICINA.1 - Detalle de la Relación: se facilita la nueva cuenta domiciliaria para el pago de la prima del seguro y se incluye la siguiente información: “La asegurada va a ser tomadora y asegurada y quien va a pagar el seguro. Actualmente, ya era quien pagaba realmente el seguro.” Información que es contraria a lo que el reclamante manifiesta en su reclamación y la IBERCAJA corrobora en su respuesta al reclamante con fecha 27 de julio 2021: “Todas las cuotas del seguro Salud Integral se han cobrado en la cuenta asociada […]” Refiriéndose la cuenta asociada a la del tomador de la póliza de seguro Salud Integral del reclamante (Doc-4 de la Reclamación, entrada – ***ENTRADA.1). Con fecha 10/06/2021 la IBERCAJA es informada por la IBERCAJA MEDIACION, a través de la aplicación “Remedy-Ibersic”, de que su petición ha sido tramitada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 FUNDAMENTOS DE DERECHO I De acuerdo con [Introduzca el texto correspondiente a [Texto fundamento I PS].] y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Los hechos denunciados se materializan en que la reclamada llevo a cabo diversas modificaciones en los datos de la póliza de salud, vinculada al préstamo hipotecario contratado con entidad financiera, sin su consentimiento, en concreto, el tomador y la cuenta de cargo de la prima, figurando en su lugar su expareja tanto como tomadora y como su cuenta personal; más tarde se volvió a modificar incluyendo al reclamante como tomador, si bien la cuenta de cargo siguió siendo la de su expareja y, finalmente, tras las reclamaciones efectuadas por el reclamante, fue modificada la cuenta de cargo, pasando a ser la cuenta del reclamante, lo que podría suponer la vulneración de la normativa en materia de protección de datos de carácter personal. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  3. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” El artículo 6, Licitud del tratamiento, del RGPD en su apartado 1, establece que: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16
  6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  10. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. III El tratamiento de datos requiere la existencia de una base legal que lo legitime, como el consentimiento del interesado para el tratamiento de los datos personales para uno o varios fines específicos. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, se imputa al reclamado la vulneración del artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo, pues como se señalaba en el fundamento anterior posibilito diversas modificaciones en los datos de la póliza de salud, vinculada al préstamo hipotecario contratado con entidad financiera, sin su consentimiento ni autorización sin su consentimiento ni autorización ni ninguna otra causa de legitimación de las previstas en el art. 6.1 del RGPD. . El mismo reclamado ha reconocido haber hecho efectivo el cambio de tomador del seguro y número de cuenta de cargo asociada sin haber seguido el procedimiento establecido para la modificación de una póliza de seguro de salud, esto es, sin haber recabado los “escritos firmados por el tomador cedente y el tomador que acepta”. Hay que señalar que el respeto al principio de licitud de los datos exige que conste acreditado que el titular de los datos consintió en el tratamiento de sus datos de carácter personal y desplegar una razonable diligencia imprescindible para acreditar ese extremo. De no actuar así, o concurrir alguna otra causa de legitimación, el resultado sería vaciar de contenido el principio de licitud. IV La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  11. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 (…)
  12. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” V A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  13. a)a
  14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  15. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  16. b)la intencionalidad o negligencia en la infracción;
  17. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  18. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  19. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  20. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  21. g)las categorías de los datos de carácter personal afectados por la infracción;
  22. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  23. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  24. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  25. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  26. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 “2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  28. a)El carácter continuado de la infracción.
  29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  33. f)La afectación a los derechos de los menores.
  34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
  36. a)del RGPD de la que se responsabiliza al reclamado, en una valoración inicial, se estiman concurrentes los siguientes factores: Se consideran circunstancias agravantes: - La naturaleza, gravedad y duración de la infracción: los hechos afectan gravemente a un principio básico relativo al tratamiento de los datos de carácter personal, como es el legitimidad, cuya vulneración se considera muy grave; los daños y perjuicios causados como consecuencia de la intromisión en la esfera de privacidad del reclamante pues no hay que olvidar que nos encontramos ante la infracción de un derecho fundamental a la protección de los datos personales; el reclamante se vio obligado a dirigirse tanto a la entidad financiera como a la reclamada como consecuencia de las modificaciones producidas en la póliza , así como la presentación d reclamación ante la DGSFP y ante este organismo por los mismos hechos (artículo 83.2,
  37. a)del RGPD). . - La actividad de la reclamada se halla vinculada con el tratamiento de datos tanto de clientes como de terceros. En su actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado volumen de negocio de la misma (una de las importantes entidades aseguradoras del país), la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  38. b)de la LOPDGDD en relación con el artículo 83.2.k). - Aunque no se puede sostener que el reclamado haya actuado intencionadamente, no cabe duda de que se observa una grave falta de diligencia en su actuación. Conectado con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  39. b)del RGPD). Se consideran circunstancias atenuantes: - Solo se ha visto afectada una persona por la conducta infractora. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (CASER) con NIF A28013050, por la presunta infracción del artículo 6.1 del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.
  40. a)del citado RGPD. 2. NOMBRAR Instructor a C.C.C. y Secretaria a D.D.D., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). 3. INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. 4. QUE a los efectos previstos en el art. 64.2
  41. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), y articulo 127 letra
  42. b)del RLOPD, la sanción que pudiera corresponder por la infracción descrita sería de 40.000 € (cuarenta mil euros), sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (CASER) con NIF A28013050, indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 considere procedentes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Asimismo, de conformidad con los artículos 64.2.
  43. f)y 85 de la LPACAP, se le informa de que, si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 8.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 8.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 24.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (32.000 euros o 24.000 euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 17 de agosto de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 24000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202105693, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (CASER). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  44. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.