← España

PS-00285-2014

1/22 Procedimiento Nº PS/00285/2014 RESOLUCIÓN: R/02383/2014 En el procedimiento sancionador PS/00285/2014, instruido por la Agencia Española de Protección de Datos a la entidad CAIXABANK, S.A. Operador de Banca Seguros Exclusivo, SEGUR CAIXA ADESLAS, VIDA CAIXA S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 30/03/2013 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), denunciando a CAIXABANK, S.A. (en lo sucesivo CAIXABANK), por la comunicación de sus datos personales a las entidades SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS (en lo sucesivo SEGURCAIXA ADESLAS) y VIDACAIXA, S.A. (en lo sucesivo VIDACAIXA), con el objeto de la emisión de seguros en relación con su TARJETA GOLD que ha contratado con MONTE DE PIEDAD Y CAJA DE AHORROS DE HUELVA Y SEVILLA (CAJASOL, en la actualidad CAIXABANK). Indica que solicitó a la entidad copia de los contratos sin que le hayan contestado. Aporta copia de la solicitud, que tiene sello de entrada en “LA CAIXA” con fecha 09/04/2013. Aporta copia de los cargos realizados en su cuenta corriente de CAIXABANK por los productos “SC ACCIDENTES” y “VIDA FAMILIAR” emitidos por SEGURCAIXA ADESLAS y VIDACAIXA, respectivamente. Los cargos vienen a su nombre y a nombre de B.B.B., son de periodicidad mensual y se encuentran comprendidos entre las fechas 17/03/2013 y 05/05/2013. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad CAIXABANK, SEGURCAIXA ADESLAS y VIDACAIXA, teniendo conocimiento de que: Se solicita información y documentación con relación a los hechos denunciados a CAIXABANK, con fecha 22/01/2014, siendo recogida la solicitud por la entidad, según acuse de recibo, el día 28/01/2014. No recibiéndose contestación, se reitera la misma con fecha 25/04/2014, que es recibida por CAIXABANK SA el 02/05/2014. Se recibe contestación el día 14/05/2014 con los siguientes resultados: 1. A la solicitud de la copia de los contratos suscritos por los afectados, correspondientes a los seguros de denominación “SC ACCIDENTES” y “VIDA FAMILIAR”, incluyendo la copia del DNI, pasaporte o cualquier otro documento recabado que acredite la identidad del contratante, los representantes de CAIXABANK aportan copia de cuatro contratos, dos a nombre del denunciante y otros dos a nombre de B.B.B. correspondientes a los productos de seguros de SEGURCAIXA ADESLAS y VIDACAIXA. No obstante, los contratos aportados se encuentran sin firmar. Se verifica que figura como Mediador en todos los contratos CAIXABANK, SA, Operador de banca-seguros exclusivo (en lo sucesivo CAIXABANK SEGUROS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 EXCLUSIVO). 2. Sobre la información ofrecida a los afectados con relación a la comunicación de sus datos personales a las empresas SEGURCAIXA ADESLAS y VIDACAIXA, y la acreditación del consentimiento otorgado por los afectados para ello, los representantes de CAIXABANK, informan que están intentando localizar la documentación, teniendo en cuenta que los denunciantes son clientes procedentes de la fusión con Banca Cívica, SA. 3. Por último, informan que no les consta haber emitido contestación a la reclamación por escrito que ha aportado el denunciante. TERCERO: Con fecha 23/05/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SEGURCAIXA ADESLAS VIDA CAIXA y CAIXABANK, SEGUROS EXCLUSIVO por presunta infracción de los artículos 6.1, 6.1 y 11.1, respectivamente, de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en los artículos 44.3.

  1. b)y 44.3.
  2. k)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, el 04/06/2014 el representante de SEGURCAIXA ADESLAS solicitó tomar vista del expediente y copia de documentos integrantes del mismo, extendiéndose en fecha 10/06/2014 diligencia de dicha comparecencia. El 11 y 12/06/2014 los representes de SEGURCAIXA ADESLAS Y VIDA CAIXA solicitaron ampliación del plazo concedido para alegaciones; mediante escritos del instructor de 13/06/2014 dicho plazo fue ampliado a otros siete días. El 24/06/2014, el denunciante presento escrito solicitando personarse en el procedimiento y, además, confiriendo su representación a abogado; el instructor mediante escrito de fecha 26/06/2014 admitió su personación como interesado en el procedimiento. El 23/06/2014, la representación de CAIXABANK formuló en síntesis las siguientes alegaciones: la condición de encargado del tratamiento CAIXABANK, en relación con SEGURCAIXA Y VIDA CAIXA lo que determina que no haya existido cesión de datos. El 26/06/2014, la representación de SEGURCAIXA ADESLAS formuló en síntesis las siguientes alegaciones: que no había tenido conocimiento de los hechos denunciados hasta que se le notificó el acuerdo de inicio del presente procedimiento; que contactados con el operador de banca seguros como mediador de las pólizas cuya contratación se denuncia, les había informado que contactó telefónicamente con los tomadores para formalizar dichos seguros con ocasión de la contratación de una tarjeta Gold, consintiendo aquellos en la contratación; que posteriormente los tomadores acudieron a la oficina bancaria y para sorpresa del director cambiaron de opinión desistiendo de los contratos, procediéndose a la anulación de los mismos y al extorno de las primas pasadas al cobro; que la entidad no ha participado en modo alguno en los hechos supuestamente constitutivos de infracción; que subsidiariamente se aplique el artículo 45.5 de la LOPD. EL 02/07/2014 la representación de VIDA CAIXA formuló en síntesis las siguientes alegaciones: que no ha tenido conocimiento de los hechos denunciados hasta que le notificó el acuerdo de inicio del presente procedimiento y que las actuaciones previas se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 han seguido exclusivamente con CAIXABANK; que contactados con el operador de banca seguros como mediador de las pólizas cuya contratación se denuncia y en respuesta a su solicitud de información se les ha indicado que habían contactado telefónicamente con los tomadores para formalizar dichos seguros con ocasión de la contratación de una tarjeta Gold, consintiendo en la contratación; que posteriormente los tomadores acudieron a la oficina bancaria y para sorpresa del director cambiaron de opinión desistiendo de los contratos, procediéndose a la anulación de los mismos y al extorno de las primas pasadas al cobro; que la entidad no ha participado en modo alguno en los hechos supuestamente constitutivos de infracción; subsidiariamente se aplique el artículo 45.5 de la LOPD. QUINTO: Con fecha 07/07/2014, se inició un período de práctica de pruebas acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/05038/2013. Dar por reproducidos a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por SEGURCAIXA ADESLAS, VIDA CAIXA y CAIXABANK, SEGUROS EXCLUSIVO y la documentación que a ellas acompañan. Solicitar a CAIXABANK, S.A. en su condición de Operador de Banca Seguros exclusivo acreditación del consentimiento otorgado por los tomadores para la contratación de las pólizas de seguro de accidentes y de vida y la acreditación documental del contrato para la distribución de seguros entre CAIXABANK, S.A. Operador de Banca Seguros Exclusivo y Vida Caixa. Solicitar a SEGURCAIXA ADESLAS y VIDA CAIXA, acreditación del consentimiento inequívoco otorgado por los tomadores para la contratación de las pólizas de seguro de accidentes y vida, o bien, copias de las solicitudes de seguro firmadas por los tomadores. Solicitar al denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó cualquier otra manifestación en relación con los hechos denunciados y la relación existente entre los tomadores. En fechas 24/07/2014 y 30/07/2014 SEGURCAIXA ADESLAS y VIDA CAIXA dieron respuesta a las pruebas practicadas cuyo contenido obra en el expediente. SEXTO: En fecha 09/09/2014, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a CAIXABANK, SEGUROS EXCLUSIVO, por infracción del artículo 11.1 de la LOPD SEGURCAIXA ADESLAS, por infracción del artículo 6.1 de la LOPD y VIDA CAIXA por infracción del artículo 6.1 de la LOPD, tipificadas como grave en los artículos 44.3.
  3. k)y 44.3.
  4. b)de dicha norma, con multas de 20.000 € (veinte mil euros) a cada una de ellas, de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de SEGURCAIXA ADESLAS mediante escrito de fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 01/10/2014 reiteraba las alegaciones realizadas con anterioridad y, además, su disconformidad con la sanción propuesta al estimar que concurren criterios establecidos en el artículo 45.4 que, en todo caso, habilitaría para disminuir la sanción a imponer. La representación de VIDA CAIXA mediante escrito de 07/10/2014 reiteraba las alegaciones ya presentadas con anterioridad y subsidiariamente que la sanción a imponer se fija en el grado mínimo de las infracciones leves al concurrir criterios de aplicaciones que lo harían posible. La representación de CAIXABANK, SEGUROS EXCLUSIVO mediante escrito de 07/10/2014 reiteraba que en su condiciones de encargado de tratamiento, este se realizaba siempre en nombre y por cuenta de las entidades aseguradoras por lo que no había cesión de datos, solicitando el archivo de las actuaciones. HECHOS PROBADOS PRIMERO. En fecha 30/05/2013, tuvo entrada en esta Agencia Española de Protección de Datos escrito del afectado en el que manifestaba que en su día había suscrito un producto denominado Tarjeta Gold, dándose cuenta que le venían realizando cargos en su cuenta por conceptos como “vida familiar” y “SC accidentes”, denunciando la vinculación existente entre el contrato de tarjeta y los cargos citados, constituyendo una vulneración de la LOPD, ya que CAIXABANK como entidad crediticia había cedido sus datos a las entidades que realizan dichos cargos (folios 1 a 4). SEGUNDO. Consta aportado copia del DNI del denunciante nº ***DNI.1 (folio 131). TERCERO. El denunciante ha aportado copia de la carta remitida a CAIXABANK en la que les informa de los hechos denunciados y les solicita los documentos contractuales suscritos con la entidad vinculados a la Tarjeta Gold, como contratos de seguro (folio 10). CAIXABANK en e-mail de 14/05/2014 ha manifestado que “No se tiene conocimiento de otra reclamación diferente a la que se adjunta en su escrito; en relación a la mencionada reclamación, no disponemos de constancia documental de la respuesta facilitada al cliente D. A.A.A..” (folio 38). CUARTO. Constan aportados recibos de marzo, abril y mayo girados por CAIXABANK, figurando como Operador banca-seguros exclusivo de VIDA CAIXA y autorizado de SEGURCAIXA ADESLAS, en concepto de Comunicado de seguros, Recibo de Prima, de fechas 17/03/2013, 31/03/2013, 07/04/2013, 05/05/2013 y el 01/05/2013 (Aviso, primera comunicación), contra la cuenta la cuenta ***CCC.1, productos SC Accidentes y Vida Familiar, nº de pólizas ***PÓLIZA.1 y ***PÓLIZA.2, aseguradores SEGURCAIXA ADESLAS y VIDA CAIXA; como tomador figura el denunciante, siendo la prima de periodicidad mensual. Asimismo, constan aportados recibos de marzo, abril y mayo girados por CAIXABANK, figurando como Operador banca-seguros exclusivo de VIDA CAIXA y autorizado de SEGURCAIXA ADESLAS, figurando como tomadora B.B.B., esposa del denunciante, en concepto de Comunicado de seguros, Recibo de Prima, de fechas 17/03/2013, 31/03/2013, 07/04/2013, y 05/05/2013, contra la cuenta la cuenta ***CCC.1, productos SC Accidentes y Vida Familiar, nº de pólizas ***PÓLIZA.3 y ***PÓLIZA.4, aseguradores SEGURCAIXA ADESLAS y VIDA CAIXA; siendo la prima de periodicidad mensual. (folios 5 a 9). QUINTO. CAIXABANK, en e-mail de fecha 14/05/2014, ha aportado copia de los siguientes seguros: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 - Condiciones Particulares del SegurCaixa Accidentes-Póliza de Seguros de Accidentes, póliza nº ***PÓLIZA.1, emitida el 12/02/2014, con fecha de efectos 26/03/2013 y fecha de vencimiento 28/02/2014, forma de pago mensual; renovable anualmente; como tomador del seguro figura B.B.B., mujer del denunciante, y como domicilio de pago figura la cuenta ***CCC.2 de la que es titular la tomadora. La póliza no se encuentra firmada por la tomadora. - Condiciones Particulares de Vida Familiar-Póliza de Seguro de Vida, póliza nº ***PÓLIZA.4, emitida el 12/02/2014, con fecha de efectos 14/03/2013 y fecha de vencimiento 28/02/2014, forma de pago mensual; renovable anualmente; como tomador del seguro figura B.B.B.; mujer del denunciante, como domicilio de pago figura la cuenta ***CCC.2 de la que es titular la tomadora. La póliza no se encuentra firmada por la tomadora (folios 39 a 45). - Condiciones Particulares del SegurCaixa Accidentes-Póliza de Seguros de Accidentes o de Accidentes, póliza nº ***PÓLIZA.3, emitida el 12/02/2014, con fecha de efectos 26/03/2013 y fecha de vencimiento 28/02/2014, forma de pago mensual; renovable anualmente; como tomador del seguro figura el denunciante, como domicilio de pago figura la cuenta nº ***CCC.1 de la que es titular el denunciante. La póliza no se encuentra firmada por el tomador. - Condiciones Particulares de Vida Familiar-Póliza de Seguro de Vida, póliza nº ***PÓLIZA.2, emitida el 12/02/2014, con fecha de efectos 14/03/2013 y fecha de vencimiento 28/02/2014, forma de pago mensual; renovable anualmente; como tomador del seguro figura el denunciante; como domicilio de pago figura la cuenta nº ***CCC.1 de la que es titular el denunciante. La póliza no se encuentra firmada por el tomador (folios 46 a 52). SEXTO. CAIXABANK ha aportado Contrato de Agencia para la distribución de Seguros Generales suscrito entre CAIXABANK, S.A. Operador de Banca-Seguros y SEGURCAIXA de fecha 14/07/2011; en la estipulación Undécima: Datos Personales, se señala que el citado Operador tendrá la condición de encargado del tratamiento de la Compañía Aseguradora, dando cumplimiento a lo previsto en el artículo 12 de la LOPD (folios 113 a 115). SEPTIMO. CAIXABANK ha aportado Contrato de Agencia de Seguros suscrito con VIDA CAIXA para la mediación con los tomadores y asegurados y aquellas otras operaciones consistentes en la promoción y asesoramiento preparatorio de la formalización de contratos de seguros, de fecha 03/05/1992 (folios 110 a 112). OCTAVO. CAIXABANK SEGUROS EXCLUSIVO, SEGURCAIXA ADESLAS y VIDA CAIXA no han acreditado el consentimiento de los denunciantes para el tratamiento de sus datos, materializado en la contratación de las pólizas de accidentes y de vida familiar, ni que concurra circunstancia que permita el tratamiento de los datos sin consentimiento. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Se imputa a SEGURCAIXA ADESLAS la vulneración del artículo 6.1 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 que señala: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 (Rec 356/2006) en su Fundamento de Derecho Quinto señala que: “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. En el presente caso, SEGURCAIXA ADESLAS trató los datos de los denunciantes, emitiendo las pólizas de seguros de accidentes SegurCaixa Accidentes nº ***PÓLIZA.1 y ***PÓLIZA.3, atribuyéndoles la condición de tomadores y cargando en sus cuentas bancarias los recibos de la primas correspondientes, sin que haya quedado acreditado que hubieran otorgado su consentimiento para el tratamiento de sus datos, vinculados a las citadas contrataciones. Por tanto, SEGURCAIXA ADESLAS no ha acreditado que cuente con el consentimiento de los tomadores para el tratamiento de sus datos. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento de los denunciantes, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a la citada entidad tratar los datos de aquellos sin su consentimiento. III Se imputa a VIDA CAIXA la vulneración del artículo 6.1 de la LOPD, que señala: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 (Rec 356/2006) en su Fundamento de Derecho Quinto señala que: “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. En el presente caso, VIDA CAIXA trató los datos de los denunciantes emitiendo las pólizas de seguros de vida Vida Familiar ***PÓLIZA.4 y ***PÓLIZA.2, atribuyéndoles la condición de tomadores y cargando en sus cuentas bancarias los recibos de la primas correspondientes, sin que haya quedado acreditado que hubieran otorgado su consentimiento para el tratamiento de sus datos, vinculados a las citadas contrataciones. Por tanto, VIDA CAIXA no ha acreditado que cuente con el consentimiento de los tomadores para el tratamiento de sus datos. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento de los denunciantes, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 permitirían a la citada entidad tratar los datos de aquellos sin su consentimiento. III Las representaciones de SEGURCAIXA ADESLAS y VIDA CAIXA han alegado en escritos de fechas 26/06/2014 y 02/07/2014, respectivamente, que el mediador en las citadas contrataciones, CAIXABANK SEGUROS EXCLUSIVO, con ocasión de la contratación por el denunciante y su esposa del producto Tarjeta de crédito “Gold” con CAIXABANK formalizaron sendos seguros de accidentes y vida con las citadas aseguradoras, emitiéndose los oportunos recibos mensuales de la prima y que posteriormente cambiaron de opinión y desistieron de los contratos. No obstante, los citados alegatos no pueden aceptarse. En primer lugar, como consta en los hechos probados el denunciante se dirigió a la entidad que había cargado los recibos mensuales de las primas correspondientes a los seguros de accidentes y vida, CAIXABANK en la que les indicaba que: “Como son conocedores, en su día suscribí dos contratos de tarjetas destinadas a compra fácil, cuyo nombre comercial dado por la entidad desconozco, contratos que fueron formalizados con la ahora extinta entidad…Actualmente el producto se ha denominado por La Caixa como “Tarjeta Gold”, realizándose desde inicios del mes de abril del año en curso, cargos en mi cuenta corriente cuyos conceptos son ”vida familiar” y “SC accidentes “, desconociendo la naturaleza de dichos cargos, y por tanto considerándolos improcedentes. Por lo anteriormente expuesto solicito pongan a mi disposición todos los documentos contractuales suscritos entre La Caixa –o las anteriores entidades que han quedado absorbidas por esta- y quien suscribe, relacionados con los productos de tarjeta, incluidos los vinculados a las mismas, como por ejemplo, contratos de seguros…” (folio 10). Solicitud que no obtuvo respuesta. Posteriormente, los servicios de inspección de este centro directivo se dirigieron en dos ocasiones ( 22/01/2014 y 25/04/2014), a CAIXABANK solicitando que remitieran la información ofrecida a los afectados en relación con la comunicación de sus datos personales a las empresas SEGURCAIXA ADESLAS y VIDA CAIXA y, como ocurrió con el denunciante, tampoco se tuvo respuesta. Nuevamente y esta vez mediante e-mail, el inspector actuante se dirigió a CAIXABANK el 14/05/2014 solicitando dicha información, obteniendo la siguiente contestación: “La oficina de relación del cliente está realizando las oportunas gestiones al efecto de localizar la correspondiente documentación…que les remitiremos tan pronto como nos sea facilitada” (folio 36). No existe constancia del envío de ningún tipo de documento a esta AEPD y, en relación con la solicitud del denunciante, se indicaba que “no disponemos de constancia documental de la respuesta facilitada al cliente…” (folio 38). En segundo lugar, hay que indicar que lo relevante en el presente caso es si el tratamiento de los datos de los denunciantes por SEGURCAIXA ADESLAS y VIDA CAIXA vinculados a la contratación de las pólizas de accidente y vida, contaban con el consentimiento inequívoco de aquellos, cuestión ésta que no ha sido acreditada. Hay que señalar que es a SEGURCAIXA ADESLAS y a VIDA CAIXA a quien le corresponde acreditar el consentimiento del titular de los datos tratados. En este mismo sentido se pronuncia la sentencia de la Audiencia Nacional de 21/12/2001 en la que se señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Por otra parte, el denunciante niega que hubieran otorgado dicho consentimiento. La Audiencia Nacional, en Sentencia de 30/04/2004, señala lo siguiente: “... entendemos también que la persona física o jurídica que pretenda obtener tal consentimiento sí deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado...”. Por tanto, corresponde a SEGURCAIXA ADESLAS y a VIDA CAIXA como responsables del tratamiento estar en condiciones de acreditar que habían obtenido el consentimiento de los denunciantes, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento había sido prestado. IV Las representaciones de SEGURCAIXA ADESLAS y VIDA CAIXA han alegado que no han participado en modo alguno en los hechos presuntamente constitutivos de la infracción cometida y que todo caso ésta responsabilidad recaería en CAIXABANK SEGUROS EXCLUSIVO, quien intervino en la emisión de las citadas pólizas. CAIXABANK SEGUROS EXCLUSIVO ostenta la condición de encargado del tratamiento, como la propia entidad señala en su escrito de 23/06/2014. En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, hay que estar a lo dispuesto en el art. 12 de la LOPD que establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. A los efectos de considerar responsables a las compañías aseguradoras, resultan irrelevantes las alegaciones realizadas por las mismas en el sentido de que no participaron en los hechos presuntamente infractores y que es CAIXABANK SEGUROS EXCLUSIVO la responsable por los hechos acaecidos. El artículo 43 de la LOPD señala: “Responsables.- 1. “ Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley” La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados del tratamiento (art. 43.1), conceptos que deben integrarse con la definición que de los mismos recoge el artículo 3.
  6. d)y g). Conforme al artículo 3.
  7. d)el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”; y conforme al artículo 3.
  8. g)el encargado del tratamiento es “la persona física o jurídica (…) que solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento” También el artículo 5.1
  9. i)del Real Decreto 1720/2007, de 21 de diciembre, señala que “El encargado del tratamiento es la persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que, a tenor de los artículos transcritos, <<se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales, por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específica. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento.>> La Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 Sentencia de 18/01/2006, señala que “El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a estos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
  10. d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992 y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
  11. d)y g), respectivamente, de la Ley Orgánica 15/1999.>> Y en sentencia de 17/05/2013, recurso 25/2010, señala “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento”. Por otra parte, el reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, complementa esta definición en el apartado
  12. q)del artículo 5, en el que señala lo siguiente: “
  13. q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. En el presente caso, tanto CAIXABANK SEGUROS EXCLUSIVO en su condición de encargado del tratamiento, como SEGURCAIXA ADESLAS y VIDA CAIXA, son responsables de la infracción cometida, de conformidad con las definiciones legales recogidas en el artículo 3 y 43 de la LOPD apuntadas. De lo que se deduce que SEGURCAIXA ADESLAS y VIDA CAIXA también está sometido al régimen sancionador de la citada norma de conformidad con el artículo 43. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 V La representación de VIDA CAIXA también ha alegado que no ha sido sancionada ni apercibida en ninguna ocasión por la AEPD por lo que sería de aplicación lo previsto en el artículo 45.6 de la LOPD. La disposición final quincuagésima sexta “cuatro” de la Ley 2/2011 de 4/03, de Economía Sostenible (BOE 5-3- 2011) ha añadido un nuevo apartado 6 al artículo 45 de la LOPD, que señala: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  14. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  15. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. No obstante, también la nueva redacción del artículo 45.4 de la LOPD incluye nuevos circunstancias, entre los que deben destacarse las siguientes: - Volumen de tratamientos - El volumen de negocio o actividad del infractor - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal Del análisis de la concurrencia de los citados criterios se concluye, que en el caso como el presente se trata de una entidad, compañía aseguradora, donde el volumen de tratamiento, el volumen de negocio y el desarrollo de su actividad lleva implícita el tratamiento de datos de carácter personal tanto de clientes como de terceros, circunstancias que le obliga a ser especialmente diligente en la aplicación de medidas que garanticen el derecho fundamental a la protección de datos de carácter personal. Es por ello, que no procede la aplicación de la previsión contenida en el nuevo apartado 6 del artículo 45 LOPD, que permite no acordar la apertura de un procedimiento sancionador, y en su lugar, apercibir al sujeto responsable. VI Se imputa a CAIXABANK en su condición de Operador de Banca Seguros Exclusivo (CAIXABANK SEGUROS EXCLUSIVO) la comisión de una infracción del artículo 11.1 de la LOPD, que determina: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22
  16. a)Cuando la cesión está autorizada en una Ley.
  17. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  18. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique... 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores”. En las Condiciones Particulares de las pólizas denunciadas figura: “Mediador Caixabank, S.A. operador de banca seguros exclusivo”. La Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguro privado, en su Subsección 4, relativo a los Operadores de banca-seguros, que contiene el artículo 25 Ejercicio de la actividad de agente de seguros como operador de banca-seguros, establece, en su punto 1: “1. Tendrán la consideración de operadores de banca-seguros las entidades de crédito y las sociedades mercantiles controladas o participadas por éstas conforme a lo indicado en el artículo 28 de esta Ley que, mediante la celebración de un contrato de agencia de seguros con una o varias entidades aseguradoras y la inscripción en el Registro administrativo especial de mediadores de seguros, corredores de reaseguros y de sus altos cargos, realicen la actividad de mediación de seguros como agente de seguros utilizando las redes de distribución de las entidades de crédito. La entidad de crédito sólo podrá poner su red de distribución a disposición de un único operador de banca-seguros”. Y en el artículo 62 relativo a la condición de responsable o encargado del tratamiento, señala: “1. A los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal: a. Los agentes de seguros exclusivos y los operadores de bancaseguros exclusivos tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en esta Ley”. (…). CAIXABANK SEGUROS EXCLUSIVO no ha acreditado que dispusiera del consentimiento del denunciante para poder comunicar sus datos de carácter personal a las compañías aseguradoras SEGURCAIXA ADESLAS y VIDA CAIXA, para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 contratación de las pólizas de seguros de accidentes ***PÓLIZA.1 y ***PÓLIZA.3 y vida familiar ***PÓLIZA.4 y ***PÓLIZA.2, respectivamente En el presente caso, a la luz de la documentación aportada, no se deprende el consentimiento del denunciante y su esposa para facilitar sus datos a las aseguradoras con la finalidad de la contratación de las citadas pólizas de seguros. A mayor abundamiento, solicitado por el denunciante que pusieran a su disposición los documentos contractuales suscritos con CAIXABANK y relacionados con la Tarjeta Gold, incluidos los vinculados a las mismas como contratos de seguros, la respuesta de la entidad ha sido que no les constaba documentalmente que se hubiera producido dicha respuesta. VII La representación de CAIXABANK SEGUROS EXCLUSIVO ha alegado que su condición de encargado del tratamiento en relación con las entidades aseguradoras determina que no exista comunicación de datos. Como ya se comentaba en los fundamentos anteriores lo relevante en el presente caso consiste en dilucidar si los denunciantes facilitaron sus datos a CAIXABANK, SEGUROS EXCLUSIVO para contratar los seguros de accidente y vida, es decir, si el tratamiento de sus datos que posteriormente serian cedidos a SEGURCAIXA ADESLAS y VIDA CAIXA se produjo por CAIXABANK, SEGUROS EXCLUSIVO con el consentimiento de los denunciantes. La LOPD define en su artículo 3.
  19. i)la cesión o comunicación de datos como “toda revelación de datos realizada a una persona distinta del interesado”. La Directiva 95/46/CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se refiere en su artículo 2.
  20. b)a la cesión dentro de la definición del tratamiento de datos, y la define como “comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso de los datos, cotejo o interconexión.” En el caso examinado, ha quedado acreditado que CAIXABANK, SEGUROS EXCLUSIVO comunicó los datos personales de los denunciantes a SEGURCAIXA ADESLAS y VIDA CAIXA. Esta actuación ha de considerarse una cesión de datos, conforme a la definición del artículo 3.
  21. i)de la LOPD, y como tal ha de contar con el consentimiento del afectado o en su defecto, debe acreditarse que concurre alguno de los supuestos contemplados en el artículo 11.2 y que eximen al responsable del fichero del requisito del consentimiento. No ha quedado acreditado que CAIXABANK, SEGUROS EXCLUSIVO contara con el consentimiento previo de los denunciantes para la cesión de sus datos personales tal y como señala el artículo 11.1 de la LOPD. Tampoco ha quedado acreditado que concurra ninguno de los supuestos contemplados en el 11.2 de la LOPD. No obstante, existe un contrato de agencia entre CAIXABANK, SEGUROS EXCLUSIVO y las compañías aseguradoras, por lo que CAIXABANK, SEGUROS EXCLUSIVO aduce que no infringió la normativa vigente en materia de consentimiento, porque, conforme previene dicho precepto legal, no precisaba recabar como encargado del tratamiento el mismo, no considerándose cesión. - En relación con el consentimiento del interesado, el artículo 3.
  22. h)de la LOPD lo define como “toda manifestación de voluntad, libre, inequívoca, específica e informada, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” - CAIXABANK, SEGUROS EXCLUSIVO y las compañías aseguradoras han aportado contratos de Agencia para la distribución de seguros suscrito el 14/07/2011 y el 03/05/1992, en la que el mediador ostentan la condición de encargado del tratamiento de las compañías aseguradoras. El artículo 12 establece, en su apartado, 1 que “no se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento”. El apartado 2 de dicho precepto regula de forma exhaustiva el contenido de la realización de ese tratamiento por cuenta de terceros en el sentido de que “deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas”. Dicho apartado concluye señalando que “en el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el art. 9 de esta Ley que el encargado del tratamiento está obligado a implementar”. El apartado 4 de ese artículo 12 de la LOPD prevé una consecuencia esencial como es: “En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. La representación de CAIXABANK, SEGUROS EXCLUSIVO pretende avalar la legalidad de su actuación, la comunicación de los datos del denunciante y su esposa a SEGURCAIXA ADESLAS y VIDA CAIXA, amparándose en la existencia de los contratos entre dichas entidades basado en el artículo 12 de la LOPD, de modo que, CAIXABANK, SEGUROS EXCLUSIVO al actuar como encargada de tratamiento, no necesitaba el consentimiento de sus clientes, los denunciantes, para la cesión de sus datos a SEGURCAIXA ADESLAS y VIDA CAIXA, responsables de los ficheros. Pues bien, el hecho de que con base a ese contrato se pudiera entender que CAIXABANK, SEGUROS EXCLUSIVO se convertía en encargada de tratamiento y, que por ello, podía comunicar los datos del denunciante sin necesidad de recabar su consentimiento, tenía un límite, y este se deduce del literal del apartado segundo del artículo 12 LOPD, que en virtud de dicho contrato el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento y, que no los aplicará o utilizará con un fin distinto al que figure en dicho contrato. Por tanto, la comunicación de los datos del denunciante llevada a cabo por CAIXABANK actuando en su condición de mediador de seguros a SEGURCAIXA ADESLAS y VIDA CAIXA no puede ampararse en el contrato de tarjeta de crédito “Tarjeta Gold” contratadas por los denunciantes. Tampoco puede considerarse que actuara como encargado de tratamiento de las citadas compañías aseguradoras pues no ha llegado a acreditar que los denunciantes hubieran contratado las pólizas de seguro que requería, en aplicación de la LOPD, el consentimiento de los afectados; consentimiento que no ha quedado acreditado lo que avalaría la comunicación o cesión de datos, apartándose de las instrucciones de los responsables del tratamiento. En el presente caso, que ha existido una cesión de datos de CAIXABANK, SEGUROS EXCLUSIVO a SEGURCAIXA ADESLAS y VIDA CAIXA, es evidente, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 porque en caso contrario los datos del denunciante no hubieran llegado a manos de las entidades aseguradoras, quienes emitieron sendos seguros de accidentes y vida, cargando en la cuenta de su titularidad los recibos mensuales de la prima. Además, hay que señalar, en cuanto a la responsabilidad del encargado del tratamiento, que la Audiencia Nacional en sentencia de 17/05/2013, recurso 25/2010, ha señalado “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento”. Por tanto, el comportamiento de CAIXABANK, SEGUROS EXCLUSIVO, supone una vulneración del artículo 11.1 de la LOPD, al ceder los datos de los denunciantes a las entidades aseguradoras, sin el consentimiento previo de aquellos y que encuentra tipificación en el artículo 44.4.
  23. k)de la misma Ley. VIII De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 2/2011, el artículo 44.3.
  24. b)tipifica como infracción grave “
  25. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. Por lo tanto, SEGURCAIXA ADESLAS ha incurrido en la infracción descrita, ya que el principio de consentimiento es básico del derecho fundamental a la protección de datos. La entidad mencionada ha tratado los datos de los denunciantes infringiendo tal principio, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
  26. b)de la citada Ley Orgánica. IX De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 2/2011, el artículo 44.3.
  27. b)tipifica como infracción grave “
  28. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. Por lo tanto, VIDA CAIXA ha incurrido en la infracción descrita, ya que el principio de consentimiento es básico del derecho fundamental a la protección de datos. La entidad mencionada ha tratado los datos de los denunciantes infringiendo tal principio, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
  29. b)de la citada Ley Orgánica. X De acuerdo con las previsiones de la LOPD, según modificación introducida por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 la Ley 2/2011, el artículo 44.3.
  30. k)tipifica como infracción grave “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. A tenor del artículo 45.2 de la LOPD las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. La conducta de CAIXABANK SEGUROS EXCLUSIVO ha vulnerado el artículo 11.1 de la LOPD, al ceder los datos del denunciante sin su consentimiento a SEGURCAIXA ADESLAS y VIDA CAIXA con la finalidad de contratar pólizas de accidentes y vida, infracción que tras la reforma introducida por la Ley 2/2011 se encuentra tipificada en el artículo 44.3.
  31. k)de la Ley Orgánica 15/1999. XI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  32. a)El carácter continuado de la infracción.
  33. b)El volumen de los tratamientos efectuados.
  34. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  35. d)El volumen de negocio o actividad del infractor.
  36. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  37. f)El grado de intencionalidad.
  38. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  39. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  40. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  41. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  42. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  43. b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 diligente.
  44. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  45. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  46. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de CAIXABANK SEGUROS EXCLUSIVO ha solicitado el archivo de las actuaciones; sin embargo, tal alegato no puede aceptarse a la luz de la denuncia formulada y de los hechos considerados probados en el procedimiento. Las representaciones de SEGURCAIXA ADESLAS y VIDA CAIXA han solicitado la aplicación del artículo 45.5 de la LOPD, atendiendo a las circunstancias concurrentes al presente caso, aplicando la escala de sanciones correspondiente a las infracciones leves y en grado mínimo, que implican una cualificada disminución de la culpabilidad al existir circunstancias atenuantes como la ausencia de intencionalidad, no existir una actuación continuada, ausencia de beneficio y de perjuicio económico para el denunciante. En el presente caso, por lo que se refiere a las compañías SEGURCAIXA ADESLAS y VIDA CAIXA ha quedado acreditado que vulneraron el artículo 6.1 de la LOPD, al tratar los datos de los denunciantes sin su consentimiento y sin adoptar la diligencia mínima para comprobar que había recaído, materializado en la vinculación de los mismos para la contratación de las pólizas de seguros de accidentes ***PÓLIZA.1 y ***PÓLIZA.3 y vida familiar números ***PÓLIZA.4 y ***PÓLIZA.2 y girar a la cuenta titularidad de los denunciantes los recibos mensuales de las primas correspondientes a los meses de marzo, abril y mayo, por lo que sus actuaciones han de ser objeto de sanción. Debe recordarse que la SAN de 29/04/2010 señala que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación”. En cuanto a CAIXABANK SEGUROS EXCLUSIVO, ha quedado acreditado que cedió los datos de carácter personal, sin consentimiento de los denunciantes y sin adoptar la diligencia debida, a SEGURCAIXA ADESLAS y VIDA CAIXA para la formalización de las pólizas anteriormente citadas, por lo que la citada conducta también ha de ser objeto de sanción. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, apartado
  47. b)“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, ya que tan pronto como se tuvo conocimiento de la queja del denunciante ante la contratación de las pólizas mencionadas, actuaron con razonable diligencia anulando las mismas, dejándolas sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 efecto y cancelando los datos con anterioridad al requerimiento de información por la inspección y a la apertura del presente procedimiento, lo que permite establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Además, SEGURCAIXA ADESLAS y VIDA CAIXA han invocado la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de la aplicación de la atenuante privilegiada prevista en el artículo 45.5.
  48. a)de la LOPD. Sin embargo, las circunstancias apuntadas por la representación de las denunciadas, no concurren en el presente caso. En cuanto a la circunstancia prevista en el apartado
  49. a)resulta evidente que la infracción imputada no tiene carácter continuado, porque la naturaleza de la infracción no lo permite al tratarse de una infracción de mera actividad. Por lo que se refiere a la circunstancia prevista en el apartado
  50. f)del artículo 45.4, relativa al grado de intencionalidad, dicha expresión debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que las entidades hubieran actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la circunstancia prevista en el apartado
  51. h)del artículo 45.4, tampoco puede aceptarse. Hay que señalar que con motivo de los hechos acaecidos a los denunciantes le fueron cargados en cuenta los recibos mensuales de las pólizas de accidentes y vida y, aunque sus importes resultaran poco importantes, resulto evidente su perjuicio. Además, la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En cuanto a la ausencia de beneficios, circunstancia prevista en el apartado
  52. e)del artículo 45.4 hay que indicar que si bien las entidades han manifestado que los importes cargados en la cuenta de los denunciantes fueron extornados, no constando acreditado ni justificado en el expediente dicha circunstancia. Además, la Audiencia Nacional en sentencia de fecha 02/12/2010, ha señalado que “También ha considerado la Sala irrelevante a los efectos de la aplicación de la citada atenuación privilegiada la falta de beneficios para la recurrente o la ausencia de perjuicios para el denunciante”. Por otra parte, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 se advierten otras circunstancias que operan como agravantes de las conductas que ahora se enjuician, en relación con las entidades denunciadas: SEGURCAIXA ADESLAS y VIDA CAIXA y CAIXABANK SEGUROS EXCLUSIVO. Así, concurren las agravantes previstas en el apartado
  53. c)del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues como consecuencia de la actividad que realizan, las citadas entidades se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 ven abocadas a un tratamiento continuo de datos, tanto de sus clientes como de terceros y del apartado
  54. d)del artículo 45.4, “volumen de negocio” del infractor, ya que se trata de grandes entidades, aseguradoras unas y la otra en su actividad de mediación, por cuota de mercado. Por todo ello, es por lo que procede imponer multas cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener las infracciones imputadas la consideración de graves. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, la vinculación de la actividad de la entidades infractoras con la realización de tratamientos de datos de carácter personal y el volumen de negocio de las mismas, se propone la imposición de multas de 20.000 €, a cada una de ellas. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  55. b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad VIDACAIXA, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  56. b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. TERCERO: IMPONER a la entidad CAIXABANK, S.A. Operador de Banca Seguros Exclusivo, por una infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  57. k)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. CUARTO: NOTIFICAR la presente resolución a SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS, VIDA CAIXA S.A., CAIXABANK, S.A. Operador de Banca Seguros Exclusivo, y a A.A.A.. QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.