← España

PS-00305-2022

1/18  Expediente Nº: EXP202203956 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 25 de noviembre de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202203956 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 28 de febrero de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Mapfre España Compañía de Seguros y Reaseguros, S.A. con NIF A28141935 (en adelante, la parte reclamada o Mapfre). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en el mes de junio del año 2021, solicitó a la compañía Mapfre que le facilitarán los datos que sobre su persona tenían, en sus bases de datos. Posteriormente, transcurridos más de dos meses sin recibir respuesta, contactó con la reclamada vía correo electrónico y le informaron que habían contestado a su solicitud, facilitándole una copia, la cual fue enviada a una dirección que no era la suya. Añade que aparece como titular de nueve pólizas y como responsable de tres siniestros, cuando nunca ha formalizado ningún contrato con Mapfre, ningún seguro, ni ha dado ningún parte de accidente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 Por otra parte, señala que comunicó dichos hechos a la reclamada y solicitó el bloqueo de sus datos. Además, requirió que le facilitaran los documentos que supuestamente habría firmado para contratar dichas pólizas, para dar los partes, y para autorizar el tratamiento de sus datos. Así las cosas, Mapfre le manifiesta que sus datos habían sido bloqueados y posteriormente le envían una carta en la que le comunican que sus datos fueron facilitados por él o generados como consecuencia de la gestión o desarrollo de su relación con Mapfre. Y, aporta entre otra la siguiente documentación: 1. Escrito dirigido a la reclamada de fecha 2 de junio de 2021, solicitando el derecho de acceso. 2. Contestación de la reclamada de fecha 18 de junio de 2021 a un domicilio distinto al suyo, informándole de los datos que constan en sus aplicaciones y son objeto de tratamiento, apareciendo como titular de nueve pólizas y como responsable de tres siniestros. 3. sus Carta de fecha 13 de septiembre de 2021 solicitando a Mapfre el bloqueo de datos personales, y además solicita: copia de los documentos de contratación, de autorización, consentimiento para el uso de sus datos y copia de los partes de accidente que se hayan dado a su nombre y cancelación de sus datos. 4. Correo electrónico de Mapfre de fecha 8 de octubre de 2021, que le informan que se ha procedido a la supresión de sus datos en Mapfre. 5. Contestación de Mapfre de fecha 10 de diciembre de 2021, donde se le informan que los datos comunicados fueron facilitados por el reclamante SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 31 de marzo de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 4 de mayo de 2022 se recibe en esta Agencia escrito de respuesta indicando: <<De las investigaciones realizadas se deduce que el reclamante constaba en nuestros sistemas como tomador de una única póliza de automóviles, y cómo conductor habitual de diversas pólizas de la empresa FURCORENT. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 A efector aclaratorios, conviene precisar que, por la información que hemos podido conocer, el reclamante prestaba sus servicios profesionales como gestor o colaborador de la empresa FURCORENT, S.L., tomadora de dichas pólizas, e intervino en su representación y para las gestiones de las pólizas contratadas con mi representada en múltiples ocasiones. Teniendo en cuenta lo anterior, procede indicar que tal y como mi representada ha tratado de aclarar al reclamante una de las pólizas -en concreto, la nº ***PÓLIZA.1fue suscrita por el reclamante en calidad de tomador, circunstancia que el interesado no puede desconocer dado que, aunque la solicitud de cotización fue promovida por la empresa FURCORENT, S.L., fue el propio reclamante quien remitió directamente copia de su DNI, permiso de conducir y demás documentación necesaria para formalizar la póliza a mi representada. Adjuntamos como documento nº 7 copia del correo electrónico remitido por D. A.A.A. al mediador de la póliza acompañando copia de su DNI y permiso de conducción. Las pólizas restantes fueron suscritas por FURCORENT, S.L., quien incluyó al reclamante como conductor habitual de los vehículos asegurados, hecho que tampoco puede desconocer el reclamante dado que, por lo que se nos declaró en su momento y confirmado posteriormente por el mediador de las pólizas, había intervenido en el proceso de suscripción y desenvolvimiento de dichos contratos como gestor de dicha empresa a la que prestaba sus servicios. En este sentido, del análisis de los antecedentes relacionados con los hechos a los que la reclamación se refiere, se ha comprobado que todos los datos personales relativos al reclamante fueron obtenidos por mi representada directamente del reclamante o a través de la empresa FURCORENT, S.L. a la que venía prestando sus servicios como gestor, y tratados en el marco de las relaciones contractuales en las que figuraba el reclamante, bien como tomador, bien como conductor habitual, respetando en todo momento la normativa sobre el tratamiento de datos personales y sin perjudicar sus derechos y libertades en esta materia. En cualquier caso, una vez recibida por mi representada la solicitud de supresión efectuada por el reclamante, se han adoptado las medidas oportunas dirigidas al borrado y bloqueo de sus datos personales, atendiendo en todo momento sus derechos y sin causar perjuicio alguno al interesado>>. TERCERO: De conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cuando se presentase ante la Agencia Española de Protección de Datos (en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite, debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se presentó en esta Agencia, en fecha 28 de febrero de 2022, se comunica que su reclamación ha sido admitida a trámite el 28 de mayo de 2022 al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. CUARTO: Con fecha 9 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta que: “Primero, MAPFRE ESPAÑA dispone de base de licitud suficiente para el tratamiento de los datos personales del reclamante. Esta base de licitud se sustenta en la relación contractual establecida con el tomador de las pólizas, empresa FURCORENT, y en consecuencia con todas las figuras intervinientes en esta, tal y como se indica en el artículo 99 de la Ley 20/2015, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras (LOSSEAR), donde se manifiesta: “las entidades aseguradoras podrán tratar datos de los tomadores, asegurados, beneficiarios o terceros perjudicados, así como de sus derechohabientes sin necesidad de contar con su consentimiento a los solos efectos de garantizar el pleno desenvolvimiento del contrato de seguro y el cumplimiento de las obligaciones establecidas en esta Ley y en las disposiciones de desarrollo”. La relación contractual se establece con la empresa FURCORENT mediante la emisión de las diferentes pólizas y el perfeccionamiento del contrato a través del pago de la primera prima de estas conforme el artículo. 15 de la Ley 50/1980, de 8 de octubre, de Contrato de Seguro (LCS). MAPFRE ESPAÑA según le requirieren los artículos 10, 11, 12, 93 y 94 de la LCS, previamente a la celebración del contrato con FURCONRENT, debe solicitar determinada información del tomador del seguro que le permita valorar el riesgo (declaración del riesgo). Esta declaración tiene efectos durante toda la vida del contrato (agravaciones, disminución del riesgo, exclusiones, declaraciones inexactas, falsedad, etc.). En este punto el tomador FURCONRENT era consciente de su obligación de declarar datos ciertos conociendo que los factores relacionados con el tomador, propietario, los conductores y el vehículo se tienen en cuenta para la valoración del riesgo y cálculo de la prima. En consecuencia, en el supuesto de reserva o inexactitud en su declaración la prestación de la aseguradora se reducirá proporcionalmente a la diferencia entre la prima convenida y la que se hubiese aplicado de haberse conocido la verdadera entidad del riesgo. que se hayan omitido por mala fe MAPFRE ESPAÑA quedará liberada del pago de la prestación. Documento 1 Esta información incluye, sin limitarse, a la declaración de las siguientes figuras, que la empresa FURCORENT identifica de la siguiente manera: • Tomador de la póliza: la empresa FURCORENT. • Propietario del bien a asegurar: la empresa FURCORENT. • Pagador de la póliza: la empresa FURCORENT. • Conductor habitual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 el reclamante. identificando como empleado. MAPFRE ESPAÑA acredita mediante Documento 2 la fecha en que consta el alta en nuestros sistemas de los datos del reclamante, precisamente un día antes de la emisión de las pólizas solicitadas por la empresa FURCORENT. Por tanto, su alta obedece única y exclusivamente a la comunicación de sus datos por la empresa FURCORENT como conductor habitual. Se adjunta como Documento 3 el correo electrónico de la empresa FURCORENT al mediador solicitando la cotización (determinación de prima), y las conversaciones de WhatsApp en las que solicita diversas emisiones. La relación de pólizas emitidas a petición de la empresa FURCORENT son las siguientes contenidas en el Documento 4 enumeradas en el siguiente orden: - ***PÓLIZA.2. Se adjunta como documento PN1 - ***PÓLIZA.3. Se adjunta como documento PN2 - ***PÓLIZA.4. Se adjunta como documento PN3 - ***PÓLIZA.5. Se adjunta como documento PN4 - ***PÓLIZA.6. Se adjunta como documento PN5 - ***PÓLIZA.7. Se adjunta como documento PN6 ***PÓLIZA.8. Se adjunta como documento PN7 - ***PÓLIZA.9. Se adjunta como documento PN8 Igualmente se acredita el pago de los correspondientes recibos, mediante Documento 5. Segundo: En las cláusulas particulares de cada una de las pólizas emitidas (Documento 4), consta de manera expresa: “En caso que los datos facilitados se refieran a terceras personas físicas distintas del Tomador/Asegurado/Afectado, éste garantiza haber recabado y contar con el consentimiento previo de los mismos para la comunicación de sus datos y haberles informado con carácter previo a su inclusión en el presente documento, de las finalidades del tratamiento, comunicaciones y demás términos previstos en el mismo y en la Información Adicional de Protección de Datos.” Se puede concluir, por tanto, que es en el TOMADOR de la póliza en el que recae la obligación de informar y obtener el consentimiento para ceder sus datos a MAPFRE ESPAÑA de las figuras de la póliza que comunica a la aseguradora. La secuencia por la que se produce la comunicación a MAPFRE ESPAÑA de los datos del conductor habitual es la siguiente: El gerente de FURCORENT utiliza el canal de WhatsApp, a través del número de teléfono ***TELÉFONO.1 incluido en todas las pólizas para dirigirse al mediador de MAPFRE ESPAÑA y facilitar la información necesaria en la elaboración del presupuesto y la emisión de póliza. En estas conversaciones se pone de manifiesto que el gerente de la empresa FURCORENT solicita la emisión de estas e identifica como conductor habitual al empleado de su empresa el reclamante. Se adjunta como Documento 6 conversación en la que el Gerente de la empresa identifica de manera inequívoca al reclamante como conductor. Así mismo, es FURCORENT, a través del correo electrónico ***EMAIL.1, el que remite el DNI y el permiso de conducir del reclamante. El gerente manifiesta que es el propio reclamante el que envía este correo. al tratarse de un empleado o colaborador. Documento 7. Se presume, por tanto, el origen lícito de los datos comunicados, y de los documentos aportados. A modo se observación, se quiere hacer constar, que en el hipotético supuesto de relación laboral o de colaboración, cualquier empresa podría disponer de una copia del DNI (formato documento), pero habitualmente no dispone del carnet de conducir, salvo que lo solicite a su empleado o colaborador, de forma expresa, para una finalidad determinada, y la persona lo entregue libremente para responder a esa necesidad. El Documento 7 evidencia, que en el caso que no fuese el reclamante quién aportase directamente esta documentación a la reclamada, la empresa sí disponía de ambos documentos. A mayor abundamiento, es la empresa FURCORENT la que debe acreditar el origen de los datos y documentos que remite a MAPFRE ESPAÑA y la base de licitud que tiene para comunicarlos. Tercero, en el ejercicio del derecho de acceso que efectúa el reclamante, el día 2 de junio del 2021, y posteriormente el 9 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 agosto, no sólo solicita una información general de los datos que constan en MAPFRE ESPAÑA (con la que manifiesta no haber tenido, ni tener ninguna relación), declara en su primera comunicación tener un especial interés en conocer si “ se ha dado algún parte con sus datos o cualquier información que pudiera perjudicar su reputación como conductor a efectos del seguro”. En su segunda solicitud manifiesta además requerir: - aquellas pólizas en las que consta como conductor - los partes de accidente que se hayan comunicado con sus datos - datos relativos a su índice de siniestralidad y si ha habido algún cambio en su valoración como conductor. Se adjunta como Documentos 8 y 9, las solicitudes mencionadas, de las que se puede deducir que la terminología utilizada por el reclamante respecto a las figuras de la póliza, (no mencionada en la atención de su derecho de acceso), en lo que se refiere a su condición de conductor habitual, que en el supuesto que la empresa FURCORENT haya utilizado los datos del reclamante sin la correspondiente autorización, éste al menos era conocedor de la situación. Cuarto, como excepción a los casos anteriormente mencionados, cuya base de licitud se fundamente en la relación contractual entre la empresa FURCORENT y MAPFRE ESPAÑA, es la póliza 0***PÓLIZA.101 en la que el reclamante no sólo consta como conductor habitual, también como tomador de la póliza y que se adjunta como Documento 10 En este caso el gerente de la empresa FURCONET envía por WhatsApp la ficha técnica del vehículo a asegurar indicando que nuevamente se incluya como conductor habitual al reclamante Documento 11. De las investigaciones realizadas se concluye que el mediador (que, al amparo de la Ley de Mediación, tiene con MAPFRE ESPAÑA un contrato de encargado del tratamiento) en este caso, ha incumplido las instrucciones técnicas de emisión y contratación (Documento 12) establecidas por MAFPRE. Del mismo modo ha incumplido las obligaciones como encargado de tratamiento, con la finalidad, entendemos, de ofrecer un precio diferente al que obtendría si cumpliera las normas de Documento 13 encargo de tratamiento. No encontramos evidencias, de un posible error operacional. Se aporta como información adicional el Documento 14 que pone de manifiesto las comunicaciones entre el mediador y el Gerente de la empresa, para cotizar y emitir diferentes pólizas Medidas adoptadas para evitar que se produzcan situaciones similares - En el supuesto que la emisión de la última póliza responda al incumplimiento por parte del mediador, y no a un error operativo, se adoptarán medidas disciplinarias frente al mediador que ha incumplido sus obligaciones como encargado de tratamiento de MAPFRE ESPAÑA. Se instrumentalizará a través de una auditoria que ponga de manifiesto la realidad de lo sucedido. - Analizar la suficiencia de los controles operacionales existentes. Reforzar la concienciación y formación de los mediadores Por todo lo expuesto, SOLICITA que tenga por presentado este escrito junto con la documentación que se acompaña, se sirva admitirlo, tramitarlo, y por consiguiente y de conformidad con las previsiones de la Ley Orgánica 3/2018, de 3 de diciembre de Protección de Datos Personales y garantía de los derechos digitales, se proceda por esa Agencia Española de Protección de Datos a resolver declarando la ausencia de responsabilidad de MAPFRE en los hechos de los que la misma trae causa”. SEXTO: Con fecha 3 de octubre de 2022, el instructor del procedimiento acordó practicar las siguientes pruebas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por Mapfre España Compañía de Seguros y Reaseguros, S.A., y la documentación que a ellas acompaña. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante manifiesta que aparece como titular de nueve pólizas de seguros y como responsable de tres siniestros, cuando nunca ha formalizado ningún contrato con Mapfre, ningún seguro, ni ha dado ningún parte de accidente. SEGUNDO: La entidad reclamada, manifiesta que en las pólizas ***PÓLIZA.2; ***PÓLIZA.3; 2***PÓLIZA.4; ***PÓLIZA.5; ***PÓLIZA.6; ***PÓLIZA.7; ***PÓLIZA.8; ***PÓLIZA.9 el tomador de las pólizas es la empresa FURCORENT y el conductor habitual de las mismas es el reclamante identificando como empleado, excepto en la póliza 0***PÓLIZA.101 en la que el reclamante no sólo consta como conductor habitual, también como tomador de la póliza. TERCERO: Consta en el expediente el Contrato de Agente de Seguros Exclusivo formalizado con Mapfre por el Agente el 25 de marzo de 2015. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 En relación con las alegaciones formuladas por la parte reclamada, que el mediador tiene con Mapfre un contrato de encargado del tratamiento y que en este caso, ha incumplido las instrucciones técnicas de emisión y contratación establecidas por Mapfre, en relación con la póliza 0***PÓLIZA.101, en la que el reclamante no sólo consta como conductor habitual, sino también como tomador de la póliza, hay que manifestar que el Real Decreto-ley 3/2020, de 4 de febrero, de medidas urgentes por el que se incorporan al ordenamiento jurídico español diversas directivas de la Unión Europea en el ámbito de la contratación pública en determinados sectores; de seguros privados; de planes y fondos de pensiones; del ámbito tributario y de litigios fiscales, establece en su artículo 203 la Condición de responsable o encargado del tratamiento. 1. A los efectos previstos en la Ley Orgánica 3/2018, de 5 de diciembre, así como en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos:

  1. a)Los agentes de seguros y los operadores de banca-seguros tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en el título I.
  2. b)Los corredores de seguros y los corredores de reaseguros tendrán la condición de responsables del tratamiento respecto de los datos de las personas que acudan a ellos.
  3. c)Los colaboradores externos a los que se refiere el artículo 137 tendrán la condición de encargados del tratamiento de los agentes o corredores de seguros con los que hubieran celebrado el correspondiente contrato mercantil. En este caso, solo podrán tratar los datos para los fines previstos en el artículo 137.1. 2. En el supuesto previsto en la letra
  4. a)del apartado 1, en el contrato de agencia deberán hacerse constar los extremos previstos en el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Del mismo modo, en el supuesto previsto en el apartado 1.
  5. c)deberán incluirse en el contrato mercantil celebrado con los colaboradores externos los extremos previstos en el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. 3. Las entidades aseguradoras no podrán conservar los datos que les faciliten los mediadores de seguros, y que no deriven en la celebración de un contrato de seguro, estando obligadas a eliminarlos salvo que exista otra base jurídica que permita un tratamiento legítimo de los datos conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Por lo tanto, el agente de seguro tendrá la condición de encargado del tratamiento ante la entidad aseguradora con la que hubiera celebrado el correspondiente contrato de agencia. En el supuesto examinado, de la normativa expuesta y de las manifestaciones realizadas por la parte reclamada cabe inferir que ésta actúa como responsable del tratamiento. En el artículo 4.8, del RGPD, se define al encargado del tratamiento como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Todo tratamiento de datos personales realizado por un encargado debe regirse por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 miembros celebrado entre el responsable y el encargado, tal como se estipula en el artículo 28, apartado 3, del RGPD. Sobre este particular, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas por el CEPD, el 7 de julio de 2021, detallan lo siguiente: “Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su contenido esencial, el contrato debe servir para que el responsable y el encargado aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGPD, sino que debe incluir una información más específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de seguridad que se precisará para el tratamiento de los datos personales objeto del contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y estipulación de las condiciones del contrato sirven para especificar los detalles del tratamiento.” Añaden que “Por lo general, el contrato de tratamiento establece quién es la parte determinante (el responsable del tratamiento) y quién, la parte que sigue las instrucciones (el encargado del tratamiento)”. Ahora bien “Si una parte decide en la práctica cómo y por qué se tratan los datos personales, dicha parte será el responsable del tratamiento, aunque el contrato estipule que se trata del encargado” Para determinar la responsabilidad de la parte reclamada hay que tener en cuenta que, si un encargado del tratamiento infringe el Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento (artículo 28, apartado 10, del RGPD). Sobre los «Los fines y medios» las citadas directrices recogen las siguientes consideraciones: “(…) Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue o que guía la actuación prevista» y la palabra medio como la «manera en que se obtiene un resultado o se alcanza un objetivo» (…) La determinación de los fines y los medios equivale a decidir, respectivamente, el porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que influye de este modo en el tratamiento de datos personales participa, por tanto, en la determinación de los fines y los medios de dicho tratamiento de conformidad con la definición prevista en el artículo 4, punto 7, del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 El responsable del tratamiento debe decidir tanto sobre el fin como sobre los medios del tratamiento, tal como se describe más adelante. En consecuencia, no puede limitarse a determinar el fin: también debe adoptar decisiones sobre los medios del tratamiento. En cambio, la parte que actúe como encargado nunca puede determinar el fin del tratamiento. En la práctica, si un responsable del tratamiento recurre a un encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de maniobra para tomar algunas decisiones sobre el tratamiento. En este sentido, es necesario aclarar qué grado de influencia en el «porqué» y en el «cómo» conlleva que un ente se considere responsable del tratamiento y en qué medida puede el encargado del tratamiento tomar decisiones propias. (…)” En este caso, teniendo en cuenta lo anteriormente expuesto, cabe concluir que el mero hecho de incumplir el encargado del tratamiento las instrucciones de Mapfre no eximen de responsabilidad a la parte reclamada. Ésta no ha acreditado que el encargado del tratamiento estuviera actuando como responsable, toda vez que el tratamiento se ha realizado siguiendo las instrucciones del responsable. Así pues, la parte reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese licito el tratamiento efectuado. En consecuencia, ha efectuado un tratamiento de los datos personales de la parte reclamante sin que haya acreditado que cuente con la habilitación legal para ello. El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la ejecución de un contrato en el que el interesado es parte”. Resultaba por ello esencial que la parte reclamada acreditara ante esta Agencia que el reclamante había contratado la citada póliza. La parte reclamada ha aportado a esta Agencia las pólizas emitidas: ***PÓLIZA.2; ***PÓLIZA.3; 2***PÓLIZA.4; ***PÓLIZA.5; ***PÓLIZA.6; ***PÓLIZA.7; ***PÓLIZA.8; ***PÓLIZA.9, en las que aparece en todas ellas como tomador de las pólizas la empresa FURCORENT y como conductor habitual de las mismas el reclamante identificando como empleado. Sin embargo, Mapfre acredita que en la póliza 0***PÓLIZA.101 consta la parte reclamante como tomador. En su defensa, la entidad reclamada ha manifestado que el mediador tiene con Mapfre un contrato de encargado de tratamiento y que, en este caso, ha incumplido las instrucciones técnicas de emisión y contratación establecidas por Mapfre, aportando el contrato de encargo de tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 Pues bien, la responsabilidad recae sobre el responsable del tratamiento (Mapfre), no sobre el encargado (el agente) salvo que se diera el supuesto del artículo 28.3 del RGPD en el que el encargado estuviera actuando como responsable Por ello, se considera que la entidad reclamada ha vulnerado el artículo 6 del RGPD, por llevar a cabo un tratamiento de datos personales sin legitimación. III El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. «1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.» Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 interesado con anterioridad a la conclusión de un contrato.» Hay que destacar que en uno de los contratos de seguro, tal como reconoce la parte reclamada, figura como tomador la parte reclamante, y no consintió en la contratación del mismo, por lo tanto, no existe base legitimadora de las recogidas en el artículo 6 del RGPD. El RGPD se aplica a los datos personales, que se definen como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. De aquí, que los datos del reclamante fueron tratados sin base legitimadora. IV De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos incumplen lo establecido en el artículo 6.1. del RGPD, por lo que podría suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: «Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  13. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  14. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].» La LOPDGDD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, <<
  15. b)el tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679>> V A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  16. a)a
  17. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  18. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  19. b)la intencionalidad o negligencia en la infracción;
  20. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  21. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  22. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  23. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  24. g)las categorías de los datos de carácter personal afectados por la infracción;
  25. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  26. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  27. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  28. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  29. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  30. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  31. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18
  32. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  33. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  34. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  35. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  36. f)La afectación a los derechos de los menores.
  37. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  38. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De la documentación aportada se desprende, que sólo es imputable a Mapfre una única póliza en la que aparece el reclamante como tomador del seguro. En las demás, en virtud de la normativa sectorial cabe eximirle de responsabilidad porque aparece el reclamante como conductor habitual de vehículos de la empresa tomadora del seguro y ésta aportó su DNI y carné de conducir, es por lo que procede aminorar la sanción a imponer a la reclamada. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como atenuante:  El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción. Se han adoptado las medidas oportunas dirigidas al borrado y bloqueo de sus datos personales. (artículo 83.2
  39. c)del RGPD) Como agravantes:  Que se trata de una empresa cuya actividad principal está vincula con el tratamiento de datos personales, conforme a lo establecido en el artículo 76.2.
  40. b)de la LOPDGDD. El desarrollo de la actividad empresarial que desempeña la reclamada requiere un tratamiento continuo de los datos personales de los clientes, al dedicarse a la venta y gestión de seguros. VI Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 30.000 € por la infracción del artículo 83.5
  41. a)RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., con NIF A28141935, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 30.000 euros (treinta mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 24.000 euros y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. C.C.C. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 ANEXO Índice del expediente EXP202203956 28/02/2022 Reclamación de A.A.A. 31/03/2022 Traslado reclamación a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. 03/05/2022 Contestación requerimiento de A.A.A. 04/05/2022 Alegaciones de MAFRE ESPAÑA COMPAÑIA DE SEGUROS Y REASEGUROS S.A. 04/05/2022 Alegaciones de MAPFRE ESPAÑA, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. 28/05/2022 Comunicación a A.A.A. 09/09/2022 A. apertura a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. 12/09/2022 Info. Reclamante a A.A.A. 23/09/2022 Escrito de MAPFRE ESPAÑA COMPAÑIA DE SEGUROS Y REASEGUROS S.A. 23/09/2022 Escrito de A.A.A. 03/10/2022 Notif. p. pruebas a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. >> SEGUNDO: En fecha 13 de diciembre de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 24000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202203956, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  42. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-171022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.