← España

PS-00322-2021

1/16  Expediente Nº: PS/00322/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 26 de agosto de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS con NIF A28011864 (en adelante, la parte reclamada). El motivo en que se basa la reclamación es que el reclamante ha solicitado la supresión de sus datos personales vía correo electrónico al reclamado, con copia a "dpd@segurcaixaadeslas.es" y a atención al cliente "adeslas@segurcaixaadeslas.es" en las siguientes fechas 19/05/2016, 21/05/2019,15/07/2019, 04/02/2020 y 25/08/2020 y pese a ello no ha recibido contestación y sigue recibiendo publicidad. El reclamante señala además que los hechos reclamados acontecen desde el 19 de mayo de 2016, hasta el 25 de agosto de 2020, y que la dirección electrónica en la que recibe la publicidad (***EMAIL.1) está dada de alta en la Lista Robinson. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 23 de octubre de 2020 se recibe en esta Agencia escrito de SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS donde manifiesta que el reclamante sólo presentó dos reclamaciones a la dirección de correo electrónico correcta, concretamente las de las fechas 04/02/2020 y 25/08/2020, siendo ambas tramitadas y contestadas al reclamante en tiempo y forma. Las otras dos reclamaciones fueron dirigidas a las direcciones segursaludplena@gmail.com y ***B.B.B.@agente.segurcaixaadeslas.es que no se corresponden con la Oficina de Privacidad y/o Delegado de Protección de Datos de esta Compañía, es decir, no son direcciones que se correspondan con las de SEGURCAIXA ADESLAS. SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS manifiesta además que en los sistemas de información de SEGURCAIXA ADESLAS no consta registro alguno con la dirección de correo electrónico ***EMAIL.1 a la que se han dirigido las comunicaciones que motivan la reclamación interpuesta por el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Es por ello por lo que, conforme se le indicó al reclamante en nuestras respuestas antes referidas, no se puede suprimir lo que no consta o se aloja en nuestros sistemas. En respuesta al requerimiento de esta Agencia, SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS, señala además que las comunicaciones que motivan la queja han sido efectuadas por agentes de seguros (mediadores) de nuestra Compañía, lo cuales mantienen con SEGURCAIXA ADESLAS una relación mercantil al amparo de lo previsto en la Ley 12/1992 de contrato de agencia y el Título I del Libro segundo del real decreto-ley 3/2020, de 4 de febrero, que transpone la Directiva (UE) 2016/97 del Parlamento Europeo y del Consejo, de 20 de enero de 2016, sobre la distribución de seguros. SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS, en su argumentación alega que, conforme establecen los artículos 128 y 129 del Real Decreto Ley 3/2020, la actuación de los citados mediadores tiene como fin la captación de clientes que tengan interés en la contratación de pólizas de seguro de las que emite nuestra Compañía. Dicha actividad de promoción o captación de clientes se lleva a cabo por el agente de seguros, conforme establece el artículo 2 de la Ley 12/1992 de contrato de agencia, con carácter independiente y autónomo, sin que medie dependencia o subordinación a la aseguradora (en este caso SEGURCAIXA ADESLAS) que lo contrata. SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS señala también que esta actividad de captación se realiza por el agente de forma autónoma, independiente y al margen de SEGURCAIXA ADESLAS, utilizando para ello los contactos personales de los que el agente dispone y que tiene como finalidad la captación de potenciales clientes para nuestra Compañía. Respecto de dichos contactos personales (previos a la contratación del seguro y, por tanto, ajenos a la aseguradora) el mediador actúa como auténtico responsable de ellos a los efectos de los establecido en la legislación sobre protección de datos. Cuando el agente mediador tiene éxito en su labor comercial y consigue que su contacto formalice y contrate una póliza de seguro de nuestra Entidad, es cuando los datos personales de dicha persona, ahora sí cliente de nuestra compañía, pasan a incluirse en las bases de datos de SEGURCAIXA ADESLAS Por ello, SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS considera que en consecuencia, será el agente mediador quien, en esa fase previa, deba observar las prevenciones legales, en este caso tratándose de comunicaciones electrónicas publicitarias, de conformidad con lo previsto en los artículos 21 y 22.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico por aplicación de lo establecido en el artículo 204 del Real Decreto Ley 3/2020. Por ello, en base a tal argumentación se le indicó al reclamante que el ejercicio del derecho de supresión debería solicitarlo ante el agente que le remitió la comunicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 TERCERO: Con fecha 29 de octubre de 2020 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Los términos de los correos electrónicos se constatan en la documentación aportada por el reclamante. Si bien se solicita permiso para enviarle información adicional, los correos en sí mismos son de carácter publicitario de SEGURCAIXA ADESLAS apareciendo el logo de “ADESLAS” y como título del mensaje “Agente exclusivo ADESLAS” con el color corporativo de esta compañía aseguradora. En ellos consta también respuesta remitida por el reclamante ejerciendo el derecho de oposición. Solicitada información a ADIGITAL para comprobar si la dirección de correo en la que se reciben las comunicaciones está dada de alta en la Lista Robinsón como indica el reclamante, con fecha de 19 de febrero de 2021 se recibe en esta Agencia, escrito de contestación confirmando que la dirección de correo electrónico está dada de alta desde el 29 de marzo de 2020. Por lo tanto, todos los mensajes excepto el último, habrían sido enviados con anterioridad a este registro. QUINTO: Con fecha 14 de octubre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6 del RGPD, artículo 28 del RGPD y artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio, el reclamado solicita ampliación del plazo de alegaciones y posteriormente presentó escrito de alegaciones el 9 de noviembre de 2021 aportando el contrato de mediación mercantil que ha firmado la entidad reclamada con sus agentes de seguros y manifestando que los agentes de seguros deben ser considerados responsables y no meros encargados del tratamiento de datos de carácter personal, en base a lo indicado por la Federación Europea de Intermediarios de Seguros, indicando concretamente lo siguiente: “La Federación Europea de Intermediarios de Seguros (BIPAR) se ha pronunciado respecto a la importancia de resaltar que las definiciones legales aportadas por otras normas respecto de los roles relativos al tratamiento de datos personales (como puede ser el caso del RD-Ley 3/2020 y la atribución del rol de Encargado que establece sobre los Agentes de Seguros) no influyen automáticamente en las definiciones o calificaciones proporcionadas por el RGPD, lo que esta parte entiende como que, aunque la regulación específica sobre un determinado sector señale Responsable o Encargado a un determinado actor (en este caso, a los Agentes de Seguro), no se puede obviar la realidad de estos roles, realidad plasmada en el RGPD y que establece claramente que los Responsables cuentan con una autonomía en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 toma de decisiones relativas al tratamiento de datos personales, en línea con lo dispuesto en los artículos 4.7 y 28.10 del RGPD, citados previamente.” SEPTIMO: Con fecha 25 de noviembre de 2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, así como los documentos aportados por el reclamado en su escrito de alegaciones. OCTAVO: Con fecha 22 de diciembre de 2021, la entidad reclamada presenta alegaciones a la propuesta de resolución, destacando en primer lugar que no considera que ***EMAIL.1 sea un dato de carácter personal, ya que se trata de una simple dirección de correo electrónico genérica que impide, notoriamente, identificar a cualquier persona que actúe a través de la misma. En segundo lugar, señala que no hay pruebas de que el reclamante solicitase la supresión de sus datos. En tercer lugar, reconoce que el denunciante inscribió a ***EMAIL.1 en la Lista Robinson, en fecha 29 de marzo de 2020 y pese a ello recibió correos electrónicos, pero únicamente solicitando autorización para remitirle publicidad. No obstante, manifiesta que se trata de tres sanciones de carácter leve y que se encuentran prescritas de conformidad con el artículo 38 de la LSSI. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante solicita la supresión de sus datos personales el 19/05/2016, el 21/05/2019, el 15/07/2019, el 04/02/2020 y el 25/08/2020 y pese a ello no ha recibido contestación y sigue recibiendo publicidad. Se constata además que el reclamante inscribió la dirección de correo electrónico ***EMAIL.1 en la Lista Robinson, en fecha 29 de marzo de 2020. SEGUNDO: La entidad reclamada, manifiesta que las comunicaciones que motivan la queja han sido efectuadas por agentes de seguros (mediadores) de nuestra Compañía, lo cuales mantienen con SEGURCAIXA ADESLAS una relación mercantil al amparo de lo previsto en la Ley 12/1992 de contrato de agencia. Dicha actividad de promoción o captación de clientes se lleva a cabo por el agente de seguros, conforme establece el artículo 2 de la Ley 12/1992 de contrato de agencia, con carácter independiente y autónomo, sin que medie dependencia o subordinación a la aseguradora (en este caso SEGURCAIXA ADESLAS) que lo contrata, motivo por el cual considera que los agentes de seguros deben ser considerados responsables y no meros encargados del tratamiento de datos de carácter personal. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en su artículo 4.11 define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En este sentido, el artículo 6.1 del RGPD, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

  1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En relación con la legitimación para el tratamiento de datos personales, hemos de señalar también el artículo 19 de la LOPDGDD establece una presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de tratamientos cuando no se cumplen estrictamente las condiciones previstas en el texto, si bien en este caso el responsable deberá llevar a cabo la ponderación legalmente exigible, al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 no presumirse la prevalencia de su interés legítimo, en concreto dicho precepto establece lo siguiente: “1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el artículo 6.1.
  8. f)del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto y en su caso los relativos a la función o puesto desempeñado de las personas físicas que presten servicios en una persona jurídica siempre que se cumplan los siguientes requisitos:
  9. a)Que el tratamiento se refiera únicamente a los datos necesarios para su localización profesional.
  10. b)Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus servicios. 2. La misma presunción operará para el tratamiento de los datos relativos a los empresarios individuales y a los profesionales liberales, cuando se refieran a ellos únicamente en dicha condición y no se traten para entablar una relación con los mismos como personas físicas. 3. Los responsables o encargados del tratamiento a los que se refiere el artículo 77.1 de esta ley orgánica podrán también tratar los datos mencionados en los dos apartados anteriores cuando ello se derive de una obligación legal o sea necesario para el ejercicio de sus competencias.” Así las cosas, hemos de señalar que, al encontrarse el reclamante registrado en la lista Robinson, no concurre la presunción «iuris tantum» de prevalencia del interés legítimo del responsable. III En el análisis jurídico que nos ocupa, debemos tener en cuenta además el Real Decreto Ley 3/2020 de 4 de febrero, de medidas urgentes por el que se incorporan al ordenamiento jurídico español diversas directivas de la Unión Europea en el ámbito de la contratación pública en determinados sectores; de seguros privados; de planes y fondos de pensiones; del ámbito tributario y de litigios fiscales en su artículo 135 y siguientes, regula la figura de los mediadores de seguros. Así, en el artículo 135 de dicho texto legal se señala lo siguiente en relación con las clases de mediadores de seguros. 1. Los mediadores de seguros se clasifican en:
  11. a)Agentes de seguros.
  12. b)Corredores de seguros. Los agentes de seguros y los corredores de seguros podrán ser personas físicas o jurídicas. 2. La condición de agente de seguros y de corredor de seguros son incompatibles entre sí, en cuanto a su ejercicio simultáneo por las mismas personas físicas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 jurídicas. Sin perjuicio de lo anterior, cualquier mediador de seguros podrá solicitar la modificación de su inscripción en el registro administrativo de distribuidores de seguros y reaseguros previsto en el artículo 133, con la finalidad de ejercer la actividad de distribución de seguros mediante otra forma de mediación, previa acreditación del cumplimiento de los requisitos que sean exigidos para ella. 3. Las denominaciones «agente de seguros», y «corredor de seguros» quedan reservadas a los mediadores de seguros definidos en el título I. 4. Las entidades de crédito, los establecimientos financieros de crédito y, en su caso, las sociedades mercantiles controladas o participadas por las entidades de crédito o establecimientos financieros de crédito, cuando ejerzan la actividad de agente de seguros a través de las redes de distribución de cualquiera de ambas, adoptarán la denominación de «operador de banca-seguros», que quedará reservada a ellas, y se ajustarán al régimen específico regulado en los artículos 150 a 154. 5. Los mediadores de seguros mencionados en el apartado 1 podrán servirse de sitios web u otras técnicas de comunicación a distancia, mediante los que se proporcione al cliente información comparando precios o coberturas de un número determinado de productos de seguros de distintas compañías”. Por otro lado, ha de destacarse el artículo 144 del citado Real Decreto Ley 3/2020, donde se regula la publicidad y documentación mercantil de distribución de seguros privados de los agentes de seguros, indicándose lo siguiente: “1. En la publicidad y en la documentación mercantil de distribución de seguros de los agentes de seguros, deberá figurar de forma destacada la expresión «agente de seguros exclusivo», «agente de seguros vinculado», «agencia de seguros exclusiva» o «agencia de seguros vinculada», seguida de la denominación social de la entidad aseguradora para la que esté realizando la operación de distribución de que se trate, en virtud del contrato de agencia con ella celebrado, o del contrato suscrito entre entidades aseguradoras de prestación de servicios para la distribución por medio de la cesión de sus redes, así como el número de inscripción en el registro administrativo previsto en el artículo 133 y, en su caso, tener concertado un seguro de responsabilidad civil u otra garantía financiera. 2. Asimismo, en la publicidad que realicen con carácter general o a través de medios telemáticos, deberán hacer mención a las entidades aseguradoras con las que hayan celebrado un contrato de agencia de seguros”. En relación con la condición de responsable o encargado del tratamiento, el artículo 203 de dicho texto legal, establece lo siguiente: 1. A los efectos previstos en la Ley Orgánica 3/2018, de 5 de diciembre, así como en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16
  13. a)Los agentes de seguros y los operadores de banca-seguros tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en el título I.
  14. b)Los corredores de seguros y los corredores de reaseguros tendrán la condición de responsables del tratamiento respecto de los datos de las personas que acudan a ellos.
  15. c)Los colaboradores externos a los que se refiere el artículo 137 tendrán la condición de encargados del tratamiento de los agentes o corredores de seguros con los que hubieran celebrado el correspondiente contrato mercantil. En este caso, solo podrán tratar los datos para los fines previstos en el artículo 137.1. 2. En el supuesto previsto en la letra
  16. a)del apartado 1, en el contrato de agencia deberán hacerse constar los extremos previstos en el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Del mismo modo, en el supuesto previsto en el apartado 1.
  17. c)deberán incluirse en el contrato mercantil celebrado con los colaboradores externos los extremos previstos en el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. 3. Las entidades aseguradoras no podrán conservar los datos que les faciliten los mediadores de seguros, y que no deriven en la celebración de un contrato de seguro, estando obligadas a eliminarlos salvo que exista otra base jurídica que permita un tratamiento legítimo de los datos conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Además de los preceptos indicados en la normativa específica de contratación de seguros, hemos de tener en cuenta que en materia de protección de datos, se regula la figura del encargado del tratamiento, en el artículo 28 del RGPD, señalando lo siguiente: 1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  18. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  19. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  20. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  21. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  22. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  23. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  24. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  25. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  26. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento. IV En el presente supuesto, el reclamante manifiesta que recibe publicidad, pese a que se encuentra dado de alta en lista Robinson, y pese a haber ejercido su derecho de supresión. En su defensa, la entidad reclamada ha manifestado que ha de ser el agente mediador quien debe observar las prevenciones legales, en este caso tratándose de comunicaciones electrónicas publicitarias, de conformidad con lo previsto en los artículos 21 y 22.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico por aplicación de lo establecido en el artículo 204 del Real Decreto Ley 3/2020. Como alegaciones al presente procedimiento sancionador la entidad reclamada aportó el 9 de noviembre de 2021, contrato de mediación mercantil firmado con varios agentes de seguros, alegando que los agentes de seguros deben ser considerados responsables y no meros encargados del tratamiento de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 El 22 de diciembre de 2021, aporta alegaciones a la propuesta de resolución afirmando que no considera que ***EMAIL.1 sea un dato de carácter personal, ya que se trata de una simple dirección de correo electrónico genérica que impide, notoriamente, identificar a cualquier persona que actúe a través de la misma. En este sentido ha de indicarse que las direcciones de correo electrónico son consideradas datos de carácter personal, al igual que un número de teléfono, o que pese a no estar constituido por el nombre y apellidos de su titular, tienen un vínculo directo con él de conformidad con el artículo 4 del RGPD, que establece que se entenderá por dato personal “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona” En segundo lugar, la entidad reclamada ha alegado que no hay pruebas de que el reclamante solicitase la supresión de sus datos, en este sentido, se ha constatado mediante copia de los correos electrónicos remitidos por el reclamante, que este ha solicitado reiteradamente la eliminación de todos sus datos en sus sistemas el 19/05/2016, 21/05/2019, 15/07/2019, 04/02/2020 y 25/08/2020, y su solicitud no ha obtenido respuesta. En tercer lugar, la entidad reclamada reconoce que el reclamante inscribió la dirección de correo electrónico ***EMAIL.1 en la Lista Robinson, en fecha 29 de marzo de 2020 y que pese a ello le envió correos electrónicos, aunque lo justifica alegando que estos no eran de carácter publicitario sino solicitando autorización para remitirle publicidad, pese a que el objetivo de inscribirse en la Lista Robinson es no recibir publicidad. Concluyen las alegaciones de la entidad reclamada, señalando que las infracciones que se le imputan se encuentran prescritas. En este sentido ha de señalarse que estamos hablando de una infracción del artículo 6 del RGPD, una segunda infracción del artículo 28 del RGPD y una tercera infracción del artículo 17 del RGPD, tipificadas en los artículos 83.5 a), 83.5 b), y 83.4
  27. a)del RGPD. Por lo tanto, las dos primeras sanciones son consideradas, a efectos de prescripción, de carácter muy grave, por lo que de conformidad con el artículo 72 de la LOPDGDD prescriben a los 3 años, y la tercera sanción es considerada a efectos de prescripción como de carácter leve lo cual implica que de conformidad con el artículo 74 de la LOPDGDD, tiene un plazo de prescripción de un año. No obstante, en este último caso nos encontramos en un supuesto de infracción permanente porque el reclamante ha acreditado la recepción de correos electrónicos de fechas 15/07/2019, 04/02/2020 y 25/08/2020. En este sentido, el TS dice que “constituyen infracciones permanentes aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un solo acto, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 determinando el mantenimiento de la situación antijurídica a voluntad del autor, caso del desarrollo en el tiempo de actividades sin las preceptivas autorizaciones y otros supuestos semejantes”, STS de 7 de marzo de 2006. En este supuesto no es que se sancione la emisión de un solo correo, sino la emisión sucesiva de correos electrónicos sin contar con el consentimiento del reclamante, y se ha constatado que el día antes de la denuncia, es decir, el 25/08/2020, dicha acción continuaba, sin perjuicio de que haya podido continuar tras la presentación de dicha denuncia, ya que pese a la solicitud reiterada del reclamante de no recibir más correos electrónicos, la entidad reclamada no respondió al reclamante y por tanto no hay indicios de que se tomaran medidas para subsanar tales hechos. Por lo que la sanción no habría prescrito de conformidad con el artículo 30.2 de la ley 39/2015 donde se indica lo siguiente: “El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, de un procedimiento administrativo de naturaleza sancionadora, reiniciándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más de un mes por causa no imputable al presunto responsable.” Así las cosas, esta Agencia, tras un estudio exhaustivo de los hechos, procede a valorar que la remisión de publicidad por parte de la entidad reclamada al reclamante encontrándose este dado de alta en lista Robinson, supone una infracción del artículo 6 del RGPD, (precepto indicado en el fundamento de derecho II) al carecer de legitimación para su tratamiento. En segundo lugar, ha quedado acreditado que el reclamante ejercitó reiteradamente su derecho de cancelación ante el reclamado el 19/05/2016, 21/05/2019, 15/07/2019, 04/02/2020 y 25/08/2020, y su solicitud no obtuvo respuesta, pese al derecho reconocido en el artículo 16 de la LOPD, vigente hasta el 25 de mayo de 2018, derecho reconocido en la actualidad en el artículo 17 del RGPD, denominado derecho de supresión («el derecho al olvido») en cuyo precepto se rige el derecho de supresión del reclamante, afirmándose que tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan. En tercer lugar, se constata que la entidad reclamada, pese a los contratos aportados no tiene formalizado con los agentes de seguros un contrato que cumpla con todos los requisitos exigidos por la normativa de protección de datos en el artículo 28.3 del RGPD infringiendo por ello dicho precepto, indicado en el fundamento de derecho III, como por ejemplo la supresión de datos de carácter personal, de conformidad con lo establecido en el artículo 28.3 en sus apartados
  28. f)y
  29. g)del RGPD, respecto de ayudar al responsable a garantizar el cumplimiento de sus obligaciones en la protección de datos de carácter personal que sean tratados, y respecto a la supresión de los datos personales una vez finalice la prestación de los servicios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 Por ello, se considera que la entidad reclamada además de vulnerar el artículo 6 del RGPD, por llevar a cabo un tratamiento de datos personales sin legitimación, contraviene el artículo 17 del RGPD por no responder al derecho de supresión ejercido por el reclamante e infringe el artículo 28.3 del RGPD ya que no se ha acreditado ante esta Agencia, la existencia de contrato entre la entidad reclamada y sus agentes, que sea acorde a la normativa de protección de datos. V En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. El artículo 58.2 del RGPD dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  30. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
  31. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  32. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” VI Las infracciones de los artículos 6 y 17 del RGPD, pueden ser sancionadas con multas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD en los apartados
  33. a)y
  34. b)respectivamente:
  35. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  36. b)los derechos de los interesados a tenor de los artículos 12 a 22; La infracción del artículo 28.3 del RGPD puede ser sancionada con multa administrativa de 10.000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.4 del RGPD en su apartado
  37. a)donde se indica lo siguiente:
  38. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; Asimismo, se considera que procede graduar las sanciones a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD. En concreto, nos encontramos ante varias actuaciones manifiestamente negligentes, de conformidad con el artículo 83.2
  39. b)del RGPD, ya que podríamos entender que la negligencia viene del hecho de las reiteradas y continuas emisiones de correos de la parte reclamada pese a solicitar reiteradamente el reclamante su deseo de no recibir publicidad y pese a inscribir su correo electrónico en la Lista Robinson desde el 29 de marzo de 2020, las remisiones de publicidad no han cesado, ni se han aplicado medidas correctoras. En este sentido hay que señalar que en la Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), se establece, respecto de entidades cuya actividad lleva aparejado el continuo tratamiento de datos de clientes, lo siguiente: “(…) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” Además, podríamos también considerar como agravante la previsión del 76.2.
  40. b)de la LOPDGDD pues la actividad de la parte reclamada se encuentra vinculada al tratamiento de datos personales, al dedicarse a la venta y gestión de seguros de salud. VII En relación con la prescripción de los hechos, ha de tenerse en cuenta lo siguiente: El artículo 72.1
  41. b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  42. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”. El artículo 74.
  43. c)de la LOPDGDD señala que “se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16
  44. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.
  45. e)El incumplimiento de la obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento exigida por el artículo 19 del Reglamento (UE) 2016/679. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS, con NIF A28011864, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5
  46. a)del RGPD, una multa de 100.000 € (cien mil euros). SEGUNDO: IMPONER a SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS, con NIF A28011864, por una infracción del artículo 28 del RGPD tipificada en el artículo 83.5
  47. b)del RGPD, una multa de 100.000 € (cien mil euros). TERCERO: IMPONER a SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS, con NIF A28011864, por una infracción del artículo 17 del RGPD tipificada en el artículo 83.4
  48. a)del RGPD, una multa de 100.000 € (cien mil euros) CUARTO: NOTIFICAR la presente resolución a SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS. QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  49. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  50. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.