1/12 Procedimiento Nº PS/00305/2016 RESOLUCIÓN: R/03198/2016 En el procedimiento sancionador PS/00305/2016, instruido por la Agencia Española de Protección de Datos a la entidad ALLIANZ, COMPAÑIA DE SEGUROS Y REASEGUROS, S.A., y a CENTRO DE SEGUROS Y SERVICIOS, CORREDURIA DE SEGUROS, S.A., vista la denuncia presentada por D. C.C.C. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 08/07/2015 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. C.C.C. (en lo sucesivo, el denunciante), en el que declara que sus datos personales han sido objeto de tratamiento y cesión, sin su consentimiento, por ALLIANZ, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., (en adelante, ALLIANZ o la denunciada) y por CENTRO DE SEGUROS Y SERVICIOS, CORREDURÍA DE SEGUROS, S.A. –entidad que opera bajo el nombre comercial de El Corte Inglés Seguros- (en adelante, la CORREDURÍA o la denunciada), habida cuenta de que el 06/05/2015 ALLIANZ le pasó al cobro en la cuenta bancaria de la que es titular en UNICAJA BANCO la prima de un seguro de vehículo relativa al automóvil con matrícula K.K.K., sin que él hubiera autorizado a persona alguna a domiciliar en su cuenta el pago de ese recibo. Añade que días antes, el 28/04/2015, su hija, D.ª A.A.A., contrató un seguro de automóvil para el citado vehículo –póliza B.B.B. - a través de la CORREDURÍA, pero el mismo día abonó el importe de la prima mediante ingreso en efectivo en una cuenta titularidad de la aseguradora ALLIANZ en el Banco Popular, pues su hija no tiene cuenta bancaria en España. Aporta con la denuncia copia de los siguientes documentos: - Resguardo del ingreso efectuado el 28/04/2015 por “ B.B.B.” a favor de ALLIANZ en la cuenta del Banco Popular finalizada en los dígitos “73” de un importe de 369,42 euros. - Documento emitido por ALLIANZ que acredita a D.ª A.A.A. como Asegurado por la póliza B.B.B. para cobertura de los riesgos contratados en relación con el vehículo matrícula K.K.K.. -- Condiciones Generales y Particulares de la póliza de seguro en la que figura como Tomador, D.ª O.O.O..; como vehículo asegurado el de matrícula “ K.K.K.”; y como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 “Domicilio de cobro” la siguiente leyenda: “A petición del Tomador del Seguro, el recibo de prima correspondiente será presentado al cobro en UNICAJA BANCO, S.A. (UCJAESMXXX) Nº de cuenta IBAN: R.R.R.-****-****-**-****** F.F.F. utilizando como referencia la orden de domiciliación ********…” - Resguardo de movimientos de la cuenta de la que es titular el denunciante en UNICAJA finalizada en los dígitos “ F.F.F.”, en el que consta un cargo de fecha 06/05/2015 a nombre de “ H.H.H.” de 369,80 euros. - Recibo emitido por UNICAJA referente al adeudo por domiciliación en la cuenta de la que es titular el denunciante, finalizada en los dígitos “ F.F.F.” de un importe de 369,42 euros. En el recibo consta como emisora “ Q.Q.Q.” ALLIANZ; como “Titular domiciliación/servicio” “ E.E.E.”, - “Orden de Baja de Domiciliaciones” que el denunciante presentó en UNICAJA que lleva sello de presentación en esa entidad en fecha 19/06/2015. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por la Inspección de la AEPD se solicitó información a la CORREDURÍA y a ALLIANZ, teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: << ACTUACIONES PREVIAS 1. En fecha de 15/3/2016 se solicita información a CENTRO DE SEGUROS Y SERVICIOS, CORREDURIA DE SEGUROS, SA quien remite escrito de respuesta recibido en fecha de 31/3/2016 del que se desprende lo siguiente: 1.1. Manifiesta la entidad que respecto a C.C.C., únicamente les consta la contratación por dicha persona de un seguro de automóvil con la aseguradora PELAYO a través de CENTRO DE SEGUROS Y SERVICIOS. Dicha contratación se efectuó en fecha de 24/4/2009 sobre la póliza N.N.N. figurando como cuenta bancaria para el pago de la misma la cuenta número ********34 de la agencia nº S.S.S. de la CAMP de Madrid. La entidad aporta copia de dicho contrato en el que figuran los datos señalados. 1.2. La entidad también ha aportado el contrato de correduría de seguros suscrito con ALLIANZ, COMPAÑÍA DE SEGUROS Y REASEGUROS, SA. 2. En fecha de 15/3/2016 se solicita información a ALLIANZ, COMPAÑÍA DE SEGUROS Y REASEGUROS, SA quien remite escrito de respuesta recibido en fecha de 4/4/2016 del que se desprende lo siguiente: 2.1. Manifiesta la entidad que les consta que M. A.A.A. es cliente de la entidad ya que tenía una póliza de seguros con número 0 B.B.B. que fue contratada a través del corredor CENTRO DE SEGUROS, SA. 2.2. Añade la entidad que para contratar la citada póliza de seguros era necesario facilitar una número de cuenta bancaria, dato que fue facilitado, según les ha informado el corredor, por la propia tomadora del seguro, resultando al parecer que la cuenta pertenecía a C.C.C., persona de la que afirman no disponer de información adicional.>> TERCERO: Con fecha 01/07/2016, la Directora de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 de Datos acordó iniciar procedimiento sancionador a CENTRO DE SEGUROS Y SERVICIOS, CORREDURÍA DE SEGUROS, S.A., por una presunta infracción del artículo 11.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.k), y a ALLIANZ, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., por una presunta infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
- b)de la Ley Orgánica 15/1999, pudiendo ser sancionada cada una con multa de 40.001 euros a 300.000 euros. CUARTO: Notificado el acuerdo de inicio, las entidades denunciadas formularon alegaciones: A. En fecha 21/07/2016 tuvieron entrada en la AEPD las alegaciones de la CORREDURÍA en las que solicita que se proceda al archivo del expediente sancionador o se resuelva declarar expresamente que la entidad no incurrió en ninguna infracción de la normativa de protección de datos. Formuló las siguientes alegaciones: -El contrato de seguro de automóvil (póliza B.B.B.), en el que figura como cuenta bancaria de domiciliación del pago una de la que es titular el denunciante en la entidad UNICAJA, se celebró conforme a las normas de colaboración preestablecidas por ALLIANZ. Los datos exigidos por la aseguradora para la contratación de la póliza, datos que el cliente facilitó al vendedor de la CORREDURÍA- fueron introducidos directamente en la aplicación e-pac de ALLIANZ, emitiéndose en ese momento el correspondiente certificado provisional de seguro para su entrega al cliente. En menos de 96 horas la propia aseguradora envió la póliza directamente al cliente en la que, además de las condiciones generales, se informó de cuál era la vía para efectuar aclaraciones o correcciones de los errores que se hubieran podido incluir en ella. - Respecto a los datos bancarios de domiciliación de pagos que constan en la póliza de seguro, indica que sólo han podido ser facilitados por la tomadora del seguro. Añade que la CORREDURÍA “desconoce si los datos de la domiciliación que proporciona son suyos o, como hemos sabido ahora a raíz de la denuncia ante la Agencia Española de Protección de Datos, de su padre. La responsabilidad, en todo caso, sólo puede ser imputable, a nuestro juicio, a la persona que facilita estos datos, en este caso, la tomadora y asegurada de la póliza.” - En esa misma línea argumental, la CORREDURÍA indica que ella “no tiene, en modo alguno, obligación de verificar que la cuenta bancaria que registra en la aplicación informática sea de la contratante del seguro que facilita los datos. Cualquier intento de verificar la cuenta por parte de la Correduría tendría que realizarse mediante comunicación con la entidad bancaria único verificador independiente, que, en virtud de la propia LOPD, no podría facilitar información a terceros, por lo que para Centro de Seguros sería imposible verificar la validez del dato aportado por la hija del denunciante” - Niega que exista una infracción del artículo 11.1 de la LOPD, pues la transmisión de los datos de las personas que acuden a la CORREDURÍA para lograr su mediación –como así ha sucedido por parte de la hija del denunciante, D.D.D., al acudir a Centro de Seguros con la finalidad de contratar un seguro de autos- está amparada en el artículo 11.2.
- c)LOPD. Su actividad empresarial, en tanto esa entidad es un mediador en la contratación, consiste en recoger los datos del cliente y “cederlos” a las entidades aseguradoras que son las que contratan con el cliente. B. En fecha 27/07/2016 tuvieron entrada en la AEPD las alegaciones de ALLIANZ en las que solicita que se proceda al archivo del expediente. En apoyo de su pretensión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 formula los siguientes argumentos: - Respecto a los hechos, señala que el 27/04/2015 se suscribió un contrato de seguro de automóviles entre A.A.A. (la tomadora) y ALLIANZ, a través del mediador (la CORREDURÍA), Centro de Seguros, S.A., (póliza 0 B.B.B.). Indica que la tomadora proporcionó al Corredor un número de cuenta corriente, que los datos se proporcionan de forma voluntaria, que son necesarios para la conclusión del contrato y “que se entiende que son los titulares de los mismos o, en cualquier caso, disponen de autorización del titular en cuestión para proporcionarlos”. De lo anterior concluye ALLIANZ : “en este caso concreto no había manera posible de saber por parte de ALLIANZ ni del Corredor que estos datos bancarios pertenecían al denunciante, Sr. C.C.C., progenitor de la tomadora y no a esta última”. Explica que pone a disposición de sus Corredores una herramienta informática, EPAC, a través de la cual se dan de alta los clientes y se introducen sus datos personales, pasando desde ese momento a la propia aseguradora que es así responsable también de los datos. En ese contexto, el Corredor introdujo en la aplicación e-pac los datos que le facilitó la tomadora, entre ellos, por ser imprescindibles (ex artículo 14 de la Ley de Contrato de Seguro) los datos bancarios respecto a los cuales el Corredor desconocía que la tomadora no ostentaba su titularidad. - Como fundamentos jurídicos, ALLIANZ invoca el artículo 6.2 LOPD y advierte que los datos se facilitaron en el presente caso para el nacimiento de una obligación contractual entre las partes, por lo que el consentimiento para el tratamiento quedaría amparado en dicho precepto. - Invoca también el artículo 99 de la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras QUINTO: Con fecha 02/08/2016, la instructora del procedimiento acuerda la apertura de un periodo de prueba y la práctica de las siguientes diligencias: 1. Dar por reproducidos a efectos de prueba la denuncia interpuesta y la documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante ALLIANZ, ante la CORREDURÍA y ante el denunciante, así como el Informe de Actuaciones Previas de Inspección; documentos que integran el expediente E/05909/2015. 2. Dar por reproducidas a efectos de prueba las alegaciones al acuerdo de inicio del PS/00305/2016 presentadas por ALLIANZ y la CORREDURÍA, y la documentación que a ellas acompañan. 3. Solicitar pruebas a ALLIANZ y a la CORREDURÍA. A. La CORREDURÍA evacuó el trámite de prueba el 12/08/2016. Aporta copia de un “Certificado provisional de seguro” correspondiente a la póliza B.B.B., en la que no consta la firma de la tomadora del seguro, y copia de un documento de identidad de la tomadora: la licencia de conducir expedida por un tercer Estado. Sobre el protocolo seguido para acreditar la titularidad de los datos de carácter personal que los tomadores de las pólizas les facilitan para su tratamiento, manifiesta que “la identidad del cliente se realiza con carácter general con la comprobación mediante el documento oficial de identificación (NIF, NIE, Pasaporte…)” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Sobre cuál había sido la documentación recabada de la tomadora del seguro a fin de acreditar la titularidad de los datos bancarios que ella facilitó durante la contratación y, caso de no ser ella la titular, de la autorización otorgada por el titular de los datos para el tratamiento efectuado, manifestó lo siguiente: “Para efectuar la contratación de la póliza de seguro no se solicita documentación alguna que acredite la titularidad de los datos bancarios que éste facilita, o autorización del titular de tales datos en caso de que el tomador no sea el titular, datos desconocidos para nosotros en ese momento, sino únicamente una declaración verbal del tomador, por lo que no podemos remitir documentación alguna al respecto (…) Como ya se expuso en el escrito de alegaciones, Centro de Seguros y Servicios, Correduría de Seguros, S.A. , no tiene en modo alguno, la obligación de verificar que la cuenta bancaria que registra en la aplicación informática sea la del contratante del seguro que facilita los datos”. B. Allianz evacuó el trámite de prueba el 06/09/2016. Declaró que es titular de una aplicación informática (Epac Allianz) para uso de los mediadores, entre ellos también de los corredores, que pone a su disposición al inicio de la relación de mediación facilitándoles al mismo tiempo un usuario y contraseña personales e intransferibles. Preguntada sobre si la CORREDURÍA había recabado del cliente, con ocasión de la contratación de la póliza, algún documento que le identificara como titular de los datos bancarios objeto de tratamiento o, en el caso de que fueran titularidad de un tercero un documento del tercero autorizando el tratamiento para domiciliar el pago de las primas, respondió que “la actuación del corredor para con el cliente (..) es totalmente independiente de la que se establece entre el cliente y la entidad aseguradora”. Explica que la aplicación Epac tiene articulados mecanismos para incorporar documentos escaneados por parte del corredor. Adjunta impresión de pantalla obtenida de la aplicación Epac en la que se observa que esa aplicación tiene habilitado un apartado para la indexación de todo tipo de documentación por el corredor. (Folio 134 y 153) SEXTO: En fecha 17/10/2016 tuvo entrada en la AEPD un escrito del denunciante en el que se persona como interesado y designa un nuevo domicilio a efectos de notificaciones. SÉPTIMO: Con fecha 22/11/2016 se notificó a las denunciadas la propuesta de resolución formulada en los siguientes términos: <<1. Que por la Directora de la Agencia Española de Protección de Datos se sancione a ALLIANZ, COMPAÑIA DE SEGUROS Y REASEGUROS, S.A., con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
- b)de dicha norma. 2. Que por la Directora de la Agencia Española de Protección de Datos se sancione a CENTRO DE SEGUROS Y SERVICIOS, CORREDURIA DE SEGUROS, S.A., con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 11.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
- k)de dicha norma.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 OCTAVO: Con fecha de entrada en la AEPD el 07/12/2016 y el 13/2/2016 ALLIANZ y la CORREDURÍA, respectivamente, realizaron alegaciones frente a la citada propuesta de resolución en las que reiteraron los argumentos expuestos en el curso del expediente. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: HECHOS PROBADOS PRIMERO: La documentación que obra en el expediente acredita que la hija del denunciante, D.ª D.D.D., con “cif” L.L.L., contrató en fecha 27/04/2015 un seguro de automóvil (póliza B.B.B.) a través de la CORREDURÍA, con la compañía ALLIANZ (folios 88 a 115) SEGUNDO: Las Condiciones Particulares y Generales del contrato de seguro “Allianz Auto Terceros” que obran en el expediente (folios 10 a 23 y 90 a 115) dedican el capítulo I a los “Datos identificativos” (folios 10 y 11). En él figura que D.ª A.A.A. (a quien el denunciante ha identificado como su hija) con el “cif” L.L.L., suscribió con la aseguradora “Allianz, Compañía de Seguros y Reaseguros, S.A.”, la póliza número 0 B.B.B., interviniendo como mediador “Centro de Seguros, S.A.”, “Corredor de Seguros. Nº DGSJ0200”. En el Condicionado se indica, también que el vehículo asegurado es el “Turismo” matrícula “ K.K.K.”; que el propietario de dicho vehículo es “El Tomador del Seguro” y como “Domicilio de cobro”, consta esta leyenda: “ (…) A petición del Tomador del Seguro, el recibo de prima correspondiente será presentado al cobro en UNICAJA BANCO, S.A., (UCJAES2MXXX) Nº de cuenta IBAN: R.R.R.-****_****-**_****** P.P.P.” TERCERO: La documentación que obra en el expediente acredita que ALLIANZ cargó en la cuenta bancaria de la que el denunciante es titular en la entidad UNICAJA BANCO, cuyos tres últimos dígitos son F.F.F., el recibo correspondiente a una póliza de seguro de vehículo por importe de 369,80 euros. El denunciante aporta el documento de adeudo por domiciliación que recibió de su entidad financiera (folio 7) en el que figura esta información: - “Asunto”, “Adeudo por domiciliaciones”. - Fecha, “06/05/2015”. - Titular. “ C.C.C.”. - Entidad emisora, “Allianz Seguros y Reaseguros, S.A.” - “Titular domiciliación/Servicio”, “ E.E.E.”. - Seguidamente indica: “POL: ..................” - En el apartado relativo a los datos del adeudo en cuenta figura como cuenta de cargo “ F.F.F. (…) F.F.F.” CUARTO: D. C.C.C., con DNI J.J.J., y titular de la cuenta bancaria de UNICAJA BANCO “ F.F.F.” en la que se domiciliaron los recibos de la póliza de automóvil número B.B.B., ha manifestado que no autorizó en ningún caso el tratamiento de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 datos bancarios para la domiciliación de recibos y que “ni la Tomadora del seguro ni ninguna otra persona ha proporcionado, en ningún momento, a la Correduría de seguros de El Corte Inglés, ni tampoco a la Aseguradora Allianz, los datos de la cuenta del denunciante ni tampoco ha suscrito una orden de domiciliación” (folio 1) QUINTO: El denunciante ha manifestado que su hija, D.ª A.A.A., con “cif” L.L.L., suscribió el 28/04/2015 con ALLIANZ, por mediación de la CORREDURÍA, una póliza de seguro para el vehículo matrícula G.G.G. y que abonó en metálico, en esa misma fecha, el precio de la prima pues no tiene abierta cuenta bancaria en España. (Folio 1). Aporta copia del resguardo justificativo del pago en efectivo de 369,42 euros hecho el 28/04/2015 en el BANCO POPULAR a favor de ALLIANZ COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., que habría sido realizada por “ B.B.B.” (Folio 3) SEXTO: ALLIANZ ha manifestado que para la contratación de una póliza de seguro “es necesario facilitar un número de cuenta bancaria” y añade que el corredor (la CORREDURÍA) le ha informado que la tomadora facilitó los datos de la cuenta bancaria del denunciante (folio 65) SÉPTIMO: La CORREDURÍA no ha aportado ningún documento firmado por la denunciada que acredite que fue ella quien le facilitó los datos bancarios del denunciante, ni tampoco la copia de documento que acredite o bien que la tomadora del seguro era la titular de los datos facilitados o bien que, siendo su titular un tercero, autorizaba que fueran tratados con el fin de domiciliar el pago de los recibos OCTAVO: La CORREDURÍA ha manifestado sobre tal cuestión que basta con la declaración verbal del tomador por lo que no podemos remitir documentación alguna al respecto y añadió que “no tiene en modo alguno, la obligación de verificar que la cuenta bancaria que registra en la aplicación informática sea la del contratante del seguro que facilita los datos”. (Folio 126) NOVENO: ALLIANZ ha manifestado que la herramienta informática EPAC, de la que es titular, se pone a disposición de los corredores y a través de ella se dan de alta los clientes y se introducen los datos de éstos, “pasando a ser desde ese momento la entidad aseguradora, también, responsable de dichos datos” (Folio 86) DÉCIMO: ALLIANZ ha aportado una impresión de pantalla de la aplicación EPAC en la que figuran los datos bancarios del denunciante que fueron volcados por la CORREDURÍA (folio 199) UNDÉCIMO: Allianz ha declarado que la aplicación Epac tiene articulados mecanismos para incorporar documentos escaneados por parte del corredor. Obra en el expediente una impresión de pantalla obtenida de la aplicación Epac en la que se observa que dicha aplicación tiene habilitado un apartado para la indexación de todo tipo de documentación por parte del corredor. (Folio 134 y 153) DUODÉCIMO: La CORREDURÍA ha reconocido que en fecha 24/04/2009 medió en la contratación de un seguro de automóvil número N.N.N., celebrado entre el denunciante – C.C.C.- y la aseguradora Pelayo y que el denunciante facilitó como cuenta bancaria para la domiciliación de los recibos una en Caja de Ahorros y Monte de Piedad de Madrid, agencia número S.S.S. y número de cuenta finalizado en “34”. (Folio 46) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Aporta copia de las Condiciones Particulares del seguro suscrito con Pelayo (folios 47 a 51) en las que constan el nombre y apellidos del denunciante, su NIF, su domicilio, los datos bancarios de la cuenta de su titularidad en la CAMP y la firma del denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. La Audiencia Nacional, en diversas sentencias (entre otras SAN de 24/03/2004 y 7/07/2006) ha señalado que los principios generales fijados en dicho Título definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En esa línea, la SAN de 25/07/2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. La LOPD en su artículo 6 recoge el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. Por otra parte, el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, en su artículo 8, que lleva por rúbrica “Principios relativos a la calidad de los datos”, dispone en su apartado 5: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello. Cuando los datos hubieran sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviera el tratamiento de los datos, deberá proceder a la rectificación y cancelación notificada. Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre. Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el título III de este reglamento” (El subrayado es de la AEPD) III En el presente caso ha quedado acreditado que LA CORREDURÍA trató los datos bancarios del denunciante y los comunicó a ALLIANZ y que ésta última entidad los incorporó a sus ficheros asociados a la tomadora de la póliza como medio para cobrar la prima del seguro. Desde el inicio de las actuaciones LA CORREDURÍA ha alegado que los datos bancarios del denunciante, padre de la contratante, fueron facilitados por ella al tiempo de solicitar el seguro. Lo cierto es, sin embargo, que LA CORREDURÍA no ha podido aportar el documento de solicitud de seguro firmado por su cliente, hija del denunciante, que dejara constancia de que ella era el origen de los datos objeto de tratamiento. De haber aportado tal documento -la solicitud de seguro- o algún otro que evidenciara que el origen de los datos bancarios tratados por las entidades denunciadas era la tomadora del seguro, pues ella los facilitó como suyos, nada cabria objetar desde el punto de vista de la normativa de protección de datos a tratamiento efectuado. De conformidad con lo dispuesto en el artículo 8.5 del RLOPD, una vez acreditada la identidad de la persona que consiente el tratamiento, los datos que se recaben directamente de ella se presumen exactos. Así pues, una vez acreditado que los datos bancarios fueron facilitados por la contratante del seguro, LA CORREDURÍA estaría legitimada para su tratamiento en la medida en que ignoraba que su cliente no era el titular, y por tanto, legitimada también para comunicarlos a ALLIANZ al amparo del artículo 11.2.a, LOPD en el marco de la solicitud de seguro suscrita por la tomadora. Del mismo modo sería legítimo el tratamiento efectuado por ALLIANZ al emitir los recibos de la póliza contra la cuenta bancaria facilitada por la tomadora del seguro. Sentado lo anterior, el núcleo de la controversia que nos ocupa radica en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 determinar si como afirma LA CORREDURÍA el origen de los datos bancarios objeto de tratamiento fue su cliente o si como el denunciante sostiene nadie de su familia le facilitó tal información. Llegados a este punto hay que señalar que en las Condiciones Generales y Particulares de la Póliza que ALLIANZ remitió a la tomadora del seguro ofrecen un claro indicio de que los datos bancarios fueron facilitados por la tomadora del seguro, pues en ellos consta la siguiente leyenda (hecho probado segundo): “ (…) A petición del Tomador del Seguro, el recibo de prima correspondiente será presentado al cobro en UNICAJA BANCO, S.A., (UCJAES2MXXX) Nº de cuenta IBAN: R.R.R.-****_******_****** P.P.P.” Esa circunstancia unida al hecho de que la tomadora del seguro no contactó ni con la CORREDURÍA ni con ALLIANZ para solicitar la rectificación de unos datos que, de ser coherente con la afirmación de que ella no los había facilitado, debían reputarse inexactos, resulta especialmente llamativo. Sin embargo, ninguna de las entidades ha informado de que la tomadora de la póliza hubiera ejercitado el derecho de rectificación frente a los datos bancarios que figuraban en el Condicionado. Por el contrario, sí provocó una reacción, en este caso del denunciante y titular de la cuenta bancaria, el hecho de que el 06/05/2015 le pasaran al cobro en su cuenta el importe de la prima. Por lo que concierne al pago de la prima del seguro realizado por la tomadora el día 28/04/2015 mediante el ingreso en una cuenta bancaria de ALLIANZ –extremo sobre el que el denunciante ha insistido con el fin de demostrar que no fue su hija quien facilitó sus datos bancarios con ocasión de la contratación- llaman la atención varias cuestiones: una que el pago se hiciera un día después de la solicitud de seguro, que data del 27/04/2015; otra que en el recibo del ingreso bancario no se hiciera constar la identidad de la tomadora. A tal fin nos remitimos al resguardo del ingreso aportado por el denunciante en el que consta efectuado por “Dña Póliza B.B.B.”. Los indicios anteriores parecen confirmar la tesis de LA CORREDURÍA de que los datos bancarios objeto de tratamiento fueron facilitados por su cliente y en todo caso impiden negar que la denunciante los hubiera facilitado. Al amparo del principio de presunción de inocencia - ex artículo 24.2 de la C.E.- no es posible imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. Principio que ha de ser respetado en la imposición de cualesquiera sanciones. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con ese planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, en relación con el principio de presunción de inocencia, el artículo 137 de LRJPAC establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” La Ley 40/2015 en su artículo 28.1 señala que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, (…) que resulten responsables de los mismos a título de dolo o culpa”. Así las cosas, habida cuenta de que existen indicios razonables de que fue la tomadora de la póliza quien facilitó los datos bancarios de su padre al solicitar a LA CORREDURÍA la contratación de la póliza de seguro de su automóvil, y a tenor del artículo 8.5 del RLOPD, se estima que procede acordar el archivo de las actuaciones seguidas contra ALLIANZ y LA CORREDURÍA en el marco del expediente sancionador PS/305/2016. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ACORDAR EL ARCHIVO de las actuaciones seguidas ante ALLIANZ, COMPAÑIA DE SEGUROS Y REASEGUROS, S.A., y CENTRO DE SEGUROS Y SERVICIOS, CORREDURIA DE SEGUROS, S.A., por estimar que no existen indicios de que la conducta objeto de la denuncia vulnere la normativa de protección de datos de carácter personal. SEGUNDO: NOTIFICAR la presente resolución a ALLIANZ, COMPAÑIA DE SEGUROS Y REASEGUROS, S.A., a CENTRO DE SEGUROS Y SERVICIOS, CORREDURIA DE SEGUROS, S.A., y a D. C.C.C. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es