1/6 Expediente Nº: PS/00319/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 26 de agosto de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). El motivo en que se basa la reclamación es que el reclamante ha solicitado la supresión de sus datos personales vía correo electrónico al reclamado, con copia a "***EMAIL.1" y a atención al cliente "***EMAIL.2" en las siguientes fechas 19/05/2016, 21/05/2019,15/07/2019, 04/02/2020 y 25/08/2020 y pese a ello no ha recibido contestación y sigue recibiendo publicidad. El reclamante señala además que los hechos reclamados acontecen desde el 19 de mayo de 2016, hasta el 25 de agosto de 2020, y que la dirección electrónica en la que recibe la publicidad (***EMAIL.3) está dada de alta en la Lista Robinson. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada el 25 de septiembre de 2020, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 23 de octubre de 2020 se recibe en esta Agencia escrito de SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS donde manifiesta que el reclamante sólo presentó dos reclamaciones a la dirección de correo electrónico correcta, concretamente las de las fechas 04/02/2020 y 25/08/2020, siendo ambas tramitadas y contestadas al reclamante en tiempo y forma. Las otras dos reclamaciones fueron dirigidas a las direcciones ***EMAIL.4 y ***EMAIL.5 que no se corresponden con la Oficina de Privacidad y/o Delegado de Protección de Datos de esta Compañía, es decir, no son direcciones que se correspondan con las de SEGURCAIXA ADESLAS. SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS manifiesta además que en los sistemas de información de SEGURCAIXA ADESLAS no consta registro alguno con la dirección de correo electrónico ***EMAIL.3 a la que se han dirigido las comunicaciones que motivan la reclamación interpuesta por D. A.A.A. Es por ello por lo que, conforme se le indicó al reclamante en nuestras respuestas antes referidas, no se puede suprimir lo que no consta o se aloja en nuestros sistemas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 En respuesta al requerimiento de esta Agencia, SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS, señala además que las comunicaciones que motivan la queja han sido efectuadas por agentes de seguros (mediadores) de nuestra Compañía, lo cuales mantienen con SEGURCAIXA ADESLAS una relación mercantil al amparo de lo previsto en la Ley 12/1992 de contrato de agencia y el Título I del Libro segundo del real decreto-ley 3/2020, de 4 de febrero, que transpone la Directiva (UE) 2016/97 del Parlamento Europeo y del Consejo, de 20 de enero de 2016, sobre la distribución de seguros. SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS, en su argumentación alega que, conforme establecen los artículos 128 y 129 del Real Decreto Ley 3/2020, la actuación de los citados mediadores tiene como fin la captación de clientes que tengan interés en la contratación de pólizas de seguro de las que emite nuestra Compañía. Dicha actividad de promoción o captación de clientes se lleva a cabo por el agente de seguros, conforme establece el artículo 2 de la Ley 12/1992 de contrato de agencia, con carácter independiente y autónomo, sin que medie dependencia o subordinación a la aseguradora (en este caso SEGURCAIXA ADESLAS) que lo contrata. SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS señala también que esta actividad de captación se realiza por el agente de forma autónoma, independiente y al margen de SEGURCAIXA ADESLAS, utilizando para ello los contactos personales de los que el agente dispone y que tiene como finalidad la captación de potenciales clientes para nuestra Compañía. Respecto de dichos contactos personales (previos a la contratación del seguro y, por tanto, ajenos a la aseguradora) el mediador actúa como auténtico responsable de ellos a los efectos de los establecido en la legislación sobre protección de datos. Cuando el agente mediador tiene éxito en su labor comercial y consigue que su contacto formalice y contrate una póliza de seguro de nuestra Entidad, es cuando los datos personales de dicha persona, ahora sí cliente de nuestra compañía, pasan a incluirse en las bases de datos de SEGURCAIXA ADESLAS Por ello, SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS considera que en consecuencia, será el agente mediador quien, en esa fase previa, deba observar las prevenciones legales, en este caso tratándose de comunicaciones electrónicas publicitarias, de conformidad con lo previsto en los artículos 21 y 22.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico por aplicación de lo establecido en el artículo 204 del Real Decreto Ley 3/
- Por ello, en base a tal argumentación se le indicó al reclamante que el ejercicio del derecho de supresión debería solicitarlo ante el agente que le remitió la comunicación. TERCERO: Con fecha 29 de octubre de 2020 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Los términos de los correos electrónicos se constatan en la documentación aportada por el reclamante. Si bien se solicita permiso para enviarle información adicional, los correos en sí mismos son de carácter publicitario de SEGURCAIXA ADESLAS apareciendo como título del mensaje “Agente exclusivo ADESLAS” con el color corporativo de esta compañía aseguradora. En ellos consta también respuesta remitida por el reclamante ejerciendo el derecho de oposición. Solicitada información a ADIGITAL para comprobar si la dirección de correo en la que se reciben las comunicaciones está dada de alta en la Lista Robinsón como indica el reclamante, con fecha de 19 de febrero de 2021 se recibe en esta Agencia, escrito de contestación confirmando que la dirección de correo electrónico está dada de alta desde el 29 de marzo de
- Por lo tanto, todos los mensajes excepto el último, habrían sido enviados con anterioridad a este registro. Solicitada información a SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS para que identificase los agentes con las direcciones de correo remitentes de los mensajes, con fecha de 5 de marzo de 2021 se recibe en esta Agencia, contestación al requerimiento indicando que el correo remitido con fecha de 21 de mayo de 2019 fue el dirigido al reclamado por el reclamante. Solicitada información sobre estos hechos, con fecha de 30 de marzo de 2021 se recibe en esta Agencia, escrito de alegaciones manifestando que el correo electrónico del reclamado ( entendiendo por tal a B.B.B. con NIF ***NIF.1) procede de un directorio público de datos de contactos de profesionales publicado en Internet, concretamente en la URL: ***URL.
- El reclamado manifiesta que por desconocimiento y porque en la comunicación inicial efectuada por su parte se le da la opción al destinatario, entre otras, a contestar a la comunicación indicando la intención de no continuar recibiendo comunicaciones, no procedió a enviar más información al reclamante una vez ejercido el derecho de supresión de sus datos, sino que tras leer la respuesta del destinatario, procedió a eliminar el mencionado correo electrónico de sus contactos y de todos sus registros electrónicos. El reclamado manifiesta que no existió envío de correo electrónico publicitario alguno, sino que solo y únicamente, se le envió una “solicitud de autorización” para el envío de un correo electrónico con información de las promociones. QUINTO: Con fecha 1 de septiembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba que la única dirección de correo electrónico reconocida es la de ***EMAIL.4, ya que el resto de las direcciones de correo electrónico al que el reclamante se dirigió no se corresponde con direcciones de correos electrónicas titulares de la entidad reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 La entidad reclamada hace notar que el 21 de mayo de 2019 es la fecha en la que fue enviado el único mensaje al reclamante, fecha en la que la dirección de correo electrónico del reclamante no se encontraba inscrito en la Lista Robinson, ya que esto no se produce hasta el 29 de marzo de 2020, fecha por tanto posterior a la fecha de envío. La entidad reclamada manifiesta que nunca ha constado en sus ficheros el nombre del reclamante por lo que al no conocer quién era el titular del correo electrónico y dominio ***EMAIL.3, se desconoce quién solicita el derecho de supresión. Por ello, la entidad reclamada al recibir el correo electrónico solicitando que “se eliminen mis datos” desde la cuenta genérica ***EMAIL.3, al no constar una persona física vinculada a dicha dirección de correo, no es posible acreditar documentalmente la titularidad de quien ejerce el derecho de supresión. No obstante, se procedió a eliminar de los ficheros dicha dirección de correo electrónico sin que ésta estuviese asociada a ningún nombre. SÉPTIMO: Con fecha 6 de octubre de 2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/08859/2020, así como los documentos aportados por el reclamado en fecha 22 de septiembre de
- OCTAVO: Con fecha 7 de octubre de 2021 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se imponga a B.B.B., con NIF ***NIF.1, por una infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante ha solicitado la supresión de sus datos personales vía correo electrónico al reclamado y pese a ello no ha recibido contestación y sigue recibiendo publicidad. SEGUNDO: El reclamado manifiesta que las reclamaciones fueron tramitadas y contestadas en tiempo y forma al reclamante. El reclamado hace notar que nunca ha constado en sus ficheros el nombre del reclamante por lo que al no conocer quién era el titular del correo electrónico y dominio ***EMAIL.3, se desconoce quién solicita el derecho de supresión, pero que pese a ello se procedió a eliminar de los ficheros dicha dirección de correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD y en los art. 47 y 48.1 de LOPDGDD. II En el supuesto aquí analizado, ha quedado acreditado que la reclamante ejercitó su derecho de cancelación ante el reclamado el 19/05/2016, 21/05/2019,15/07/2019, 04/02/2020 y 25/08/2020, y su solicitud no obtuvo respuesta, pese al derecho reconocido en el artículo 16 de la LOPD, vigente hasta el 25 de mayo de 2018, derecho reconocido en la actualidad en el artículo 17 del RGPD, denominado derecho de supresión («el derecho al olvido») en cuyo precepto se rige el derecho de supresión del reclamante, afirmándose que tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan. Por estos motivos se acordó la apertura del presente procedimiento sancionador, ante la presunta vulneración del artículo 17 del RGPD por parte del reclamado. No obstante, de las recientes actuaciones de investigación realizadas por esta Agencia, se desprende que el responsable del tratamiento no es el reclamado, sino SEGURCAIXA ADESLAS, como consecuencia de la relación contractual existente entre dicha entidad y el reclamado, este último como agente de seguros de SEGURCAIXA ADESLAS. Esto es así, porque SEGURCAIXA ADESLAS, de conformidad con el artículo 28 del RGPD, debe adoptar las medidas necesarias para garantizar que cada uno de los encargados del tratamiento, es decir, cada uno de sus agentes de seguros entre los que se encuentra el reclamado, cumpla con sus obligaciones en la protección de datos de carácter personal y proceda a la supresión de los datos personales una vez finalice la prestación de servicios. Por todo ello, se considera que procede al archivo del presente procedimiento, al considerar que el responsable de la presunta infracción es SEGURCAIXA ADESLAS y no el reclamado. III Por lo tanto, tras tener conocimiento de estos hechos, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es