1/11 Procedimiento PS/00318/2016 RESOLUCIÓN: R/00073/2017 En el procedimiento sancionador PS/00318/2016, instruido por la Agencia Española de Protección de Datos a las entidades Mapfre España Compañía de Seguros y Reaseguros SA y XXXX Hernaiz SLU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 17 de agosto de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia Mapfre le ha suscrito un seguro que el denunciante no ha solicitado ni consentido. Pese a haber interpuesto una reclamación ante la aseguradora, ésta ha sido desestimada. Aporta copia de la Notificación de adeudo en cuenta de un cargo con fecha de operación 08/10/2014 por un recibo emitido por Mapfre con motivo de la póliza número ***PÓLIZA.1 a nombre de la denunciante, y de la Respuesta fechada 18 de mayo de 2015 de Mapfre a la reclamación interpuesta por la denunciante, en la que, en suma, viene a decir que el mero cargo en cuenta sin que hubiese posterior devolución de recibo supone la aceptación de la contratación del seguro sin que se requiera la firma de las partes. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad Mapfre. Recibida la respuesta se emite por el Inspector actuante el correspondiente informe de actuaciones: <<< De la información y documentación aportada por Mapfre se desprende: --- Aporta la entidad copia impresa de los datos que figuran en sus ficheros relativos a la afectada, consistente en la copia de la póliza ***PÓLIZA.1 en la que la denunciante aparece como tomadora y asegurada, con fecha de efecto inicial el 7 de octubre de 2014. La póliza aparece anulada. --- Aporta la entidad duplicado de las Condiciones Particulares de la póliza ***PÓLIZA.1. Señala la entidad: <<…y en virtud de la cual ésta presta su consentimiento a mi representada para el tratamiento de sus datos personales en los términos en los que se detalla e informa en las páginas 3 y 4 de dichas condiciones contractuales.>> El contrato de la póliza que aparece fechado el 11 de junio de 2015, si bien en la fecha de efectos consta el 7 de octubre de 2014. El contrato no aparece firmado por el tomador en ninguna de sus páginas. En el documento aportado aparece como mediador: sociedad de agencia exclusiva XXXX Hernaiz SLU. --- Desea la entidad significar que, a su criterio: <<… la suscripción de la póliza se hizo en todo momento a instancia de la propia afectada y a partir la manifestación de su voluntad y consentimiento para ello, a cuyo efecto facilitó al agente mediador toda la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 información por éste requerida y necesaria para la emisión de la póliza, incluida la relativa al número de cuenta para la domiciliación de los recibos de prima y por tanto con el necesario mandato de su titular para ello.>> --- Aporta Mapfre la información contenida en el expediente de reclamación tramitado a instancias de la denunciante, en el que se constatan los extremos y circunstancias relacionados con el proceso de contratación de la póliza y en particular la declaración del agente mediador, D. B.B.B. en la que, a juicio de Mapfre, no deja lugar a duda alguna respecto de la concurrencia del necesario consentimiento de la tomadora en el momento de emitir la póliza. Entre la documentación aportada aparece: + Reclamación presentada por la denunciante en fecha 22 de abril de 2015 por la contratación de la póliza de seguro, en que niega la contratación. Acompaña dos cargos del producto Segurcaixa Hogar fechados el 7 de agosto de 2012 y el 7 de febrero de 2015 con el mismo número de póliza, siendo los pagos mensuales. Alega la denunciante en su reclamación: <<Tenemos contratado ya con “La Caixa” donde les adjunto los recibos. No tiene sentido tener contratado dos seguros a la vez, la cuestión es que en Mapfre se pidió un presupuesto donde se iba a hacer el cambio de seguro. Al final se indicó a la oficina que no se realizase la póliza y no llegamos a firmarla>> + Correo electrónico de fecha 13 de mayo de 2015 en que el Delegado de Mapfre manifiesta: <<Recuerdo que también pasaron por oficina, la madre y el hijo, no supieron responder porque dejan pasar tantos meses, habiendo recibido la póliza en casa incluso. Nosotros no damos de alta pólizas sin consentimiento del diente, los datos bancarios nos lo facilitan ellos. Les dije que la solución pasaba por anular la póliza a su vencimiento, es decir en octubre. En mi opinión no se debería efectuar devolución.>> + Documento de fecha 18 de mayo de 2015 en que la Oficina de Tramitación de Reclamaciones en que llega a las siguientes conclusiones: <<Revisado el expediente y la documentación obrante en el mismo, se debe señalar que nos encontramos ante un contrato de seguro, siendo el mismo de carácter consensual, esto es, aquel que se perfecciona por la mera voluntad explícita en la manifestación del consentimiento de las partes contratantes. En este sentido se debe advertir que, conforme con lo razonado por la Comisión de Defensa del Asegurado de Mapfre, la existencia del contrato y de la voluntad de las partes no requiere siempre del documento firmado si existieran otras formas de probar su existencia y contenido. En efecto, los contratos se perfeccionan por el simple consentimiento, sin que requieran una firma de las partes cuando el consentimiento de ambas queda fijado por otra serie de hechos. En el presente asunto, el consentimiento se extrae de un acto inequívoco que demuestra de manera segura la conformidad del tomador en la contratación, constituyendo un hecho de positivo valor demostrativo la efectiva satisfacción de la prima sin reserva alguna (el 8 de octubre de 2014 de acuerdo con lo manifestado por la reclamante), prima girada a una cuenta bancaria facilitada por la asegurada. >> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 + Documento fechado el 1 de junio de 2015 en que la denunciante muestra su disconformidad con la resolución de la Oficina de Tramitación de Reclamaciones de M Mapfre Familiar, solicitando que su queja pase a la Comisión de Defensa del Asegurado de Mapfre. + Ficha de reclamación fechada el 11 de junio de 2015 en la que figura: <<Para poder emitir la póliza, la Sra. A.A.A. facilita al “delegado” ciertos datos personales como su n° de DNI, cuenta bancarla, teléfono, etc. El 30 de abril de 2015, es decir siete meses después, la asegurada presenta reclamación donde alude a que ella no autorizó la formalización de la póliza, que únicamente pidió un presupuesto y que le dijo al “delegado” que no le interesaba el seguro, motivo por el que solicita la devolución del recibo anual cobrado en octubre del año pasado…. 1. La Sra. A.A.A. facilitó datos personales, como es la cuenta corriente, que no sirven para efectuar un presupuesto sino un contrato. 2. La asegurada consistió en pagar el recibo anual cargado en la cuenta corriente que ella misma facilitó. 3. El artículo 8 de la LCS permite al asegurado poner de manifiesto cualquier divergencia. No tiene mucho sentido que se tarde siete meses en mostrarla. 4. La consecuencia de no cumplir una cuestión formal del contrato, como es no devolverlo firmarlo, no produce la nulidad del mismo, tal y como establece el código civil. La única consecuencia puede ser a efectos de prueba, que no es el caso. Recordemos que el artículo 1279 del CC nos indica que si la ley exige una especial forma, como pueda ser la escritura pública, la única consecuencia es que las partes pueden compelerse a cumplimentarlo, pero el contrato es válido. 5. El artículo 1256 del CC establece que la validez y el cumplimiento de un contrato no puede dejarse al arbitrio de una las partes, tal y como la Sra. A.A.A. pretende. Durante estos meses el riesgo ha sido soportado por la Cíe, y en contraprestación se debe abonar la prima anual. >> + Documento de fecha 1 de julio de 2015 en que se notifica a la denunciante la resolución de la Comisión de Defensa del Asegurado en que ratifica la decisión de la Oficina de Tramitación de Reclamaciones. >>> TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Mapfre realizó tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco. Han de ser tenidos en cuenta los siguientes hechos: Mapfre realiza un cargo en la cuenta bancaria de la denunciante por un seguro que no ha contratado. Mapfre aporta contrato sin firmar. No aporta DNI ni otra documentación acreditativa de la identidad. La denunciante reclamó y Mapfre contestó que la información fue facilitada por ella y que el contrato estaba correcto. La póliza se realizó con la mediación de sociedad de agencia exclusiva XXXX Hernaiz SLU que informó que la denunciante consintió. CUARTO: Con fecha 28/07/16, la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Protección de Datos acordó Iniciar procedimiento sancionador a Mapfre España Compañía de Seguros y Reaseguros SA y XXXX Hernaiz SLU con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. El acuerdo de inicio fue notificado a denunciante y denunciadas. Han sido presentadas alegaciones por parte de Mapfre, que solicita el sobreseimiento y el archivo del expediente. Alega que los datos personales y el uso de los mismos para la suscripción de una póliza de seguro a nombre de la denunciante y el posterior cargo de su correspondiente recibo de prima fueron facilitados y autorizados por la propia interesada. Que el contrato de póliza es consensual –no precisa la concurrencia de la firma escrita- y se perfecciona con el mero acuerdo de voluntades, y la forma escrita únicamente atiende a facilitar la prueba sobre su existencia y contenido. Que la prueba del contrato es el cargo en cuenta bancaria del recibo –conteniendo todos los datos proporcionados- y que ha sido aportado pagado por la denunciante, sin objeción alguna durante siete meses, en que formula su reclamación. No se formularon alegaciones por XXXX Hernaiz SLU. QUINTO: Con fecha 07/09/16 se inició el período de práctica de pruebas y se acuerda dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio presentadas por Mapfre, y la documentación que a ellas acompaña. SEXTO: Con fecha 13/09/16 el Instructor del procedimiento emitió propuesta de resolución sancionadora consistente en Que por la Directora de la Agencia Española de Protección de Datos se sancione a: 1.- Mapfre España Compañía de Seguros y Reaseguros SA con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b), y en base al art. 45.2 y 4 de dicha norma. 2.- XXXX Hernaiz SLU con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b), y en base al art. 45.2 y 4 de dicha norma. De ninguna de las dos empresas se han recibido alegaciones hasta la fecha. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1 --- La persona denunciante Doña A.A.A., con su denuncia aporta copia de su DNI número ***DNI.1 -válido hasta 01/01/9999-, en el que consta su fecha de nacimiento (DD/MM/AA) y su domicilio ((C/...1) Madrid). (Folio 2) 2 --- 07/10/14, con esta fecha de efectos figura en la base de datos de clientes la póliza ***PÓLIZA.1 modalidad familiar vivienda propia habitual, a nombre de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 denunciante como tomadora y asegurada, con su vivienda domicilio (situación de riesgo), con pago anual de la prima (195,27 €) en cuenta bancaria (***CCC.1). Todo ello según documento nº 1 –fechado 06/10/15- aportado por Mapfre. (Folios 9, 11-12) 3 --- 07/10/14, fecha de efectos de las "condiciones particulares seguro combinado del hogar modalidad hogar familiar" del contrato de la póliza ***PÓLIZA.1 a nombre de la denunciante. En su apartado domiciliación de recibos (hoja 1 de 4) se hace constar "Mediante la firma de esta orden de domiciliación el tomador autoriza expresamente a Mapfre a que desde la fecha de la presente, y con carácter indefinido en tanto que continuasen las relaciones entre ambas partes, gire en las cuentas indicadas todos los recibos que se originen como consecuencia de la póliza, de conformidad con lo dispuesto en la Ley 16/2009 de servicios de pago. Mediante la presente orden también se autoriza a su proveedor de servicios de pago para adeudar en la citada cuenta los importes correspondientes a dichos recibos". Todo ello según documento nº 2 –fechado 11/06/15- aportado por Mapfre. No consta firma de la denunciante. (Folios 9, 13) 4 --- 07/10/14, fecha de efectos de las "condiciones particulares seguro combinado del hogar modalidad hogar familiar" del contrato de la póliza ***PÓLIZA.1 a nombre de la denunciante. En su apartado mediador (hoja 2 de 4) se hace constar la clave de la entidad mediadora (**************) y su razón social (sociedad de agencia exclusiva XXXX Hernaiz SLU) que efectúa la descripción de la vivienda, los bienes y valores, las garantías, garantías y sumas aseguradas, y las observaciones y clausulas aplicables. Todo ello según documento nº 2 –fechado 11/06/15- aportado por Mapfre. No consta firma de la denunciante. (Folios 9, 14) 5 --- 07/10/14, fecha de efectos de las "condiciones particulares seguro combinado del hogar modalidad hogar familiar" del contrato de la póliza ***PÓLIZA.1 a nombre de la denunciante. En su apartado observaciones finales (hoja 3 y 4 de 4) se hace constar que mediante la firma del presente contrato el tomador del seguro (la persona denunciante) –entre otras- "autoriza el tratamiento de los datos personales suministrados voluntariamente a través del presente documento y durante la vigencia del contrato, la actualización de los mismos y los que se obtengan mediante grabación de conversaciones telefónicas o como consecuencia de su navegación por las páginas web de internet, con motivo del desarrollo del contrato o de la consulta, solicitud o contratación de cualquier servicio o producto, para: el cumplimiento del propio contrato de seguro, … ". Todo ello según documento nº 2 –fechado 11/06/15- aportado por Mapfre. No consta firma de la denunciante. (Folios 9, 15-16) 6 --- 09/10/14, Mapfre carga para su cobro en la cuenta bancaria (IBAN ***CCC.2) a nombre de la denunciante (A.A.A.) recibo por importe de 195,27 € por el concepto "Recibo: ***RECIBO.1. Póliza: ***PÓLIZA.1 del 07 10 2014 al 07 10 2015 NIF: ***DNI.1 (C/...1) Ma Tef: ***TEL.1". (Folios 5) 7 --- 22/04/15, fecha del escrito de reclamación de la denunciante dirigido a Mapfre denunciando que ella no autorizó ni firmó el contrato de la póliza de seguro; que solo había pedido presupuesto; que le dijo al agente mediador (delegado en la agencia XXXX Hernaiz SLU) que no le interesaba el seguro; que solicita la devolución del importe del recibo cobrado en su banco. La Comisión de Defensa del Asegurado de Mapfre por resolución de 01/07/15 desestima la reclamación siguiendo el informe elaborado por la compañía y las manifestaciones del agente mediador. (Folios 1, 3-5, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 17-37) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. " Este precepto debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
- c)y 3,
- h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. III El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y entre esas excepciones contempla a quienes son parte de una relación contractual siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. Son pues elementos característicos de este derecho fundamental, los derechos del afectado a consentir la recogida y el uso de sus datos personales y a saber de los mismos. El tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento. La obligación que incumbe a la entidad responsable del fichero al que incorpora el dato de la afectada de recabar y obtener, con carácter previo, su “consentimiento inequívoco” lleva implícita una actitud diligente que se traduce en la necesidad de contrastar, a través de la documentación pertinente, la identidad de quien facilita los datos, mediante la exhibición del original del documento identificativo primero y anexando una copia del citado documento a la declaración de voluntad que quiere hacer valer, después. Llegados a este punto debemos subrayar, una vez más, que es a la denunciada a quien incumbe la carga de probar que recabó y obtuvo el consentimiento del afectado para el tratamiento de sus datos. La LOPD exige que sea el titular de los datos quien preste su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
- h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. IV Las conductas de Mapfre y XXXX Hernaiz SLU contrarias al artículo 6.1 de la LOPD, pueden subsumirse en el tipo sancionador contemplado en el artículo 44.3.
- b)y la infracción es imputable a la aseguradora y a la agencia exclusiva mencionadas. Ambas entidades realizaron la acción típica – infracción del principio del consentimiento –, y debe verificarse si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. El elemento subjetivo de la culpabilidad se concreta en la falta de diligencia demostrada tanto por XXXX Hernaiz SLU como por Mapfre al tiempo de incorporar a sus bases de datos y documentos contractuales de seguro los datos personales de la denunciante, proporcionados a la primea para confeccionar un presupuesto informativo previo a la decisión de contratar y que proporcionó a la segunda como contratación perfeccionada. No han aportado prueba alguna que acredite que disponían del consentimiento inequívoco de la persona denunciante, titular de los datos personales, ni copia del DNI, acreditativo de su identidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 XXXX Hernaiz SLU como agente mediador es responsable de un tratamiento inconsentido a partir del momento en que les introduce en la base de datos como integrantes de un contrato de seguro suscrito a disposición de Mapfre la aseguradora que ha de gestionar dicho contrato como propio. La persona titular de los datos admite que se los había proporcionado para que le hiciera un presupuesto y luego decidir, y decidió no contratar; a partir de ese momento los datos no pueden ser tratados. Mapfre, como aseguradora que debe gestionar el contrato que le proporciona el agente mediador, antes de iniciar el tratamiento debe comprobar que real y formalmente tiene el consentimiento del titular de los datos. Mapfre no ha acreditado que lo hiciera, a pesar de que el contrato no ha sido firmado y tampoco la orden de domiciliación del pago de cuotas. No ha comprobado, ya que el agente mediador no lo ha documentado, la identidad de la persona titular del contrato y tomadora/asegurada del seguro; tampoco ha comprobado, ante la carencia de firmas de la verdadera voluntad de contratar del titular de los datos. En consecuencia, Mapfre España Compañía de Seguros y Reaseguros SA y XXXX Hernaiz SLU, son responsables cada una de la infracción del artículo 6.1 de la LOPD. V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente." Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. A --- El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En los hechos probados ha quedado reflejado que el tratamiento inconsentido de los datos personales de la persona denunciante no describen circunstancias atenuantes de las descritas en los apartados del 45.5. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 B --- Los criterios de graduación de las sanciones establecidas en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a la valoración como agravante de la culpabilidad las siguientes: -La vinculación de la actividad de las entidades infractoras con la realización de tratamientos de datos de carácter personal, puesto que ambas tienen como actividad la prestación de servicios de seguros la primera y la mediación en su contratación la segunda. Ambas tienen un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de los datos personales de sus clientes. (45.4.
- c)-En lo que se refiere al volumen de negocio de hay que hacer constar que si bien es un hecho notorio que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa aseguradora y su grupo. Se deduce el importante volumen de negocio, circunstancia a tener en cuenta para la graduación de la sanción. (45.4.
- d)-El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien tramitara la contratación, no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse al agente mediador. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.
- f)-Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.
- i)Valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD cuya presencia ha quedado acreditada, procede sancionar a cada una de las denunciadas con multa de 50.000 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER las siguientes sanciones: 1.- A Mapfre España Compañía de Seguros y Reaseguros SA multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b), y en base al art. 45.2 y 4 de dicha norma. 2.- A XXXX Hernaiz SLU multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b), y en base al art. 45.2 y 4 de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 SEGUNDO: NOTIFICAR la presente resolución a Mapfre España Compañía de Seguros y Reaseguros SA, XXXX Hernaiz SLU y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es