← España

PS-00337-2024

1/53  Expediente N.º: EXP202309453 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ÍNDICE ANTECEDENTES..........................................................................................................2 PRIMERO: Reclamación recibida...............................................................................2 SEGUNDO: Traslado de la reclamación.....................................................................3 TERCERO: Admisión a trámite de la reclamación......................................................4 CUARTO: Actuaciones previas de investigación........................................................5 QUINTO: Acuerdo de inicio de procedimiento sancionador......................................13 SEXTO: Alegaciones al acuerdo de inicio................................................................13 SÉPTIMO. Cambio de instructor del procedimiento.................................................13 OCTAVO: Propuesta de resolución..........................................................................13 NOVENO: Volumen de negocio y número de clientes..............................................13 HECHOS PROBADOS................................................................................................14 FUNDAMENTOS DE DERECHO.................................................................................16 I. Competencia......................................................................................................... 16 II. Cuestiones previas...............................................................................................16 III. Alegaciones al acuerdo de inicio y contestación a las mismas............................17 PRIMERA. Posible caducidad de las actuaciones previas de investigación.........17 SEXTA. Posible concurso de infracciones............................................................19 SEGUNDA. Sobre el supuesto de hecho..............................................................21 TERCERA. Infracción del artículo 5.1.

  1. f)del RGPD...............................................21 CUARTA. Infracción del artículo 32 del RGPD......................................................24 QUINTA. Rol del responsable del tratamiento.......................................................26 SÉPTIMA. Proporcionalidad de la sanción...........................................................27 IV. Alegaciones a la propuesta de resolución y contestación a las mismas..............33 PRIMERA. – DE LA CADUCIDAD DE LAS ACTUACIONES PREVIAS DE INVESTIGACIÓN..................................................................................................33 SEGUNDA. – SOBRE EL SUPUESTO DE HECHO.............................................36 TERCERA. – DE LA SUPUESTA INFRACCIÓN DEL ARTÍCULO 5.1 F)..............38 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/53 CUARTA. - SOBRE EL ROL DEL RESPONSABLE DEL TRATAMIENTO Y LA RESPONSABILIDAD ASOCIADA.........................................................................42 QUINTA. – SOBRE LA DENUNCIA INTERPUESTA CONTRA ***EMPRESA.1....43 SEXTA. – SOBRE EL CRITERIO DE LA AEPD EN PREVIAS RESOLUCIONES ASIMILABLES......................................................................................................43 SÉPTIMA. – PROPORCIONALIDAD DE LA SANCIÓN.......................................43 V. Obligación incumplida. Artículo 5.1.
  2. f)RGPD Integridad y confidencialidad..........44 VI. Tipificación de la infracción del artículo 5.1.
  3. f)del RGPD y calificación a efectos de prescripción.............................................................................................................. 48 VII. Sanción por la infracción del artículo 5.1.
  4. f)RGPD.............................................49 VIII. Medidas correctivas..........................................................................................51 RESUELVE:................................................................................................................. 52 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Reclamación recibida Con fecha 28 de mayo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a AXA SEGUROS GENERALES, S.A. DE SEGUROS Y REASEGUROS con NIF A60917978 (en adelante, AXA o la parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante manifiesta que, en fecha 22 de mayo de 2023, recibió una llamada de su antiguo gestor de la aseguradora reclamada, en la que ya no trabaja, puesto que se encuentra trabajando en otra agencia, solicitando que vuelva a confiarle sus seguros y que le ofertaría el mismo precio. Ese mismo día recibe dos SMS de la parte reclamada facilitando una clave temporal para acceder a su área de cliente. Minutos más tarde recibe un mensaje de correo electrónico del departamento de seguridad de la parte reclamada, indicando que han cambiado sus datos de acceso y que ya puede acceder a su espacio personal "MYAXA". Puesto que la parte reclamante no había realizado ningún acceso, contacta telefónicamente con la parte reclamada y la empleada que le atendió, de malos modos, solicitó que le facilitase todos los SMS y mensajes de correo electrónico para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/53 poder bloquear su cuenta, debido a los accesos irregulares en estas, negándose la parte reclamante a ello. Con posterioridad, contacta nuevamente con la parte reclamada y recibe un escrito de respuesta en el que la parte reclamada reconoce la suplantación de su identidad para acceder a su área personal por parte de antiguos agentes/empleados de dicha entidad, indicando que se encontraban inmersos en un procedimiento judicial con los antiguos gestores, solicitando nuevamente la aportación de los mensajes recibidos para poder bloquear su cuenta. Junto a la reclamación, se aporta pantallazo de los SMS relativos a la nueva contraseña de acceso no solicitada, así como copia del mensaje de correo electrónico de respuesta de la parte reclamada, de fecha 24 de mayo de 2023, en el que se indica lo siguiente: "Después de la conversación de esta mañana por asunto de referencia, permítame por favor en primer lugar trasladarle de nuevo mis disculpas por el trato recibido en nuestras oficinas, producto sin duda de una situación tensionada por acciones que claramente son, como mínimo, una ilegal manipulación de sus datos por anteriores gestiones de sus contratos AXA. Agradezco comprenda lo desagradable que es también para nosotros el tener que administrar estas situaciones, que son recurrentes desde que AXA ha cesado a los anteriores gestores. La manipulación de sus datos me temo que no es nueva y, entendemos, que tienen por finalidad el conocer todas las comunicaciones de AXA con usted al objeto de ofertarle en las otras compañías donde ahora trabajan aquellos gestores... Reitero lo que le indicaba en cuanto a que es una situación sumamente grave, teniendo por nuestra parte el mayor interés en bloquear tales ilegales accesos a su cuenta “MYAXA”, para lo cual necesitamos de su autorización...". SEGUNDO: Traslado de la reclamación De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a AXA para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Puesto que el plazo otorgado para la presentación de la información requerida le resultaba insuficiente, se solicita por parte de la reclamada una ampliación del mismo. Con fecha 27 de julio de 2023 se acuerda la ampliación del plazo concedido hasta un máximo de 10 días hábiles y, dentro del plazo concedido, AXA presentó alegaciones en el siguiente sentido: “Que, AXA, tras haber tenido conocimiento de la reclamación interpuesta, abrió un proceso de investigación interna de forma inmediata, con la finalidad de esclarecer los hechos acaecidos con la reclamante y su exagente, constatando los siguientes hechos: o C/ Jorge Juan, 6 28001 – Madrid Que AXA y ***EMPRESA.1 mantuvieron una relación contractual durante treinta y ocho

(38)años, en la cual ***EMPRESA.1 prestaba sus servicios como agente a la parte reclamada. www.aepd.es sedeaepd.gob.es 4/53 o o o o o Que el 1 de diciembre de 2021, AXA comunicó a ***EMPRESA.1 la resolución del contrato a través de un requerimiento notarial por el grave incumplimiento de sus obligaciones contractuales y legales. Como consecuencia de la resolución del contrato de mediación entre ***EMPRESA.1 y AXA Seguros Generales S.A., la ex agencia exclusiva automáticamente deja de distribuir seguros de AXA Aurora Vida S.A. de Seguros y Reaseguros. Que, desde el día 1 de diciembre de 2021 queda extinguida en su totalidad la relación mercantil entre ambas partes. Que, desde esa fecha, ***EMPRESA.2 (en adelante, ***EMPRESA.2) asume la gestión de las pólizas de seguro de la reclamante en sustitución de ***EMPRESA.
  1. Que, el día 22 de mayo de 2023, ***EMPRESA.1 se pone en contacto con la reclamante para solicitarle, como antiguo Agente de sus pólizas de seguros, nuevamente la gestión de sus seguros, ofertándole el mismo precio que estaba pagando en esa fecha. Además, en esa conversación telefónica el antiguo Agente le comenta a la reclamante que puede averiguar la prima que paga la reclamante por sus pólizas en la actualidad. Tal y como expone la reclamante en su escrito ante la AEPD, ese mismo día recibe dos SMS de AXA facilitándole una clave temporal en un primer momento y más tarde un email donde se confirma que sus datos de acceso a su área cliente “MYAXA” han sido modificados con éxito. Dado que la reclamante no había realizado tal cambio en sus datos de acceso a MYAXA, se pone en contacto con su actual agente, ***EMPRESA.2, para comunicarle la situación. AXA pudo comprobar que el 22 de mayo de 2023 se produjo el cambio de contraseña en el área cliente de la reclamante. Habida cuenta de que la reclamante no cambió su contraseña y no accedió a su área cliente con esa nueva contraseña, cabe afirmar el probable acceso indebido por ***EMPRESA.1, con la finalidad de recabar la información de las pólizas en curso de la reclamada y de los precios asociados, con el fin de poder ofertarle pólizas de seguros al mismo precio, tal y como avanzó en la llamada telefónica que efectuó a la reclamante el 22 de mayo de
  2. Que AXA, ha revisado de manera exhaustiva el proceso de cambio de contraseña en la aplicación "MYAXA" Que, en base a lo anterior, puede afirmarse que ***EMPRESA.1 pudo realizar un acceso indebido suplantando la identidad de la reclamante, haciendo uso del conocimiento previo que tenía de la información relativa a la póliza, con la finalidad de conocer más información sobre las pólizas contratadas y poder así ofrecerle las pólizas de seguros a un precio competitivo, tal y como se desprende de la descripción de los hechos objeto de esta reclamación y solicitud de información.” TERCERO: Admisión a trámite de la reclamación Con fecha 28 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/53 CUARTO: Actuaciones previas de investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: PUNTO 1 En el marco del procedimiento de admisión a trámite AT/03557/2023 la entidad AXA ha informado de lo siguiente: El hecho que motiva la reclamación es que en fecha 22 de mayo de 2023, la reclamante recibió una llamada de un exagente de seguros de AXA, ***EMPRESA.1, solicitándole que volviese a confiarle sus seguros y que le ofertaría el mismo precio que AXA le estaba ofreciendo en ese momento. AXA, tras haber tenido conocimiento de la reclamación interpuesta, abrió un proceso de investigación interna con la finalidad de esclarecer los hechos acaecidos con la reclamante y su exagente. Durante esta investigación, AXA manifiesta que ha podido constatar los siguientes hechos: - Que AXA y ***EMPRESA.1 mantuvieron una relación contractual durante treinta y ocho
(38)años, en la cual ***EMPRESA.1 prestaba sus servicios como agente a la parte reclamada. - Que el 1 de diciembre de 2021, AXA comunicó a ***EMPRESA.1 la resolución del contrato a través de un requerimiento notarial por el grave incumplimiento de sus obligaciones contractuales y legales, en concreto por colaborar en la distribución de seguros con una Correduría, lo que contraviene el régimen de incompatibilidades establecido en el artículo 145 del Real Decreto-ley 3/2020, de 4 de febrero, de medidas urgentes por el que se incorporan al ordenamiento jurídico español diversas directivas de la Unión Europea en el ámbito de la contratación pública en determinados sectores; de seguros privados; de planes y fondos de pensiones (RD- L 3/2020, de 4 de febrero), que establece que “Los agentes de seguros no podrán ejercer como corredor de seguros o colaborador externo de estos [,,,]”. Esta actuación supone un grave incumplimiento de las obligaciones legales de ***EMPRESA.1, así como de su deber de lealtad y buena fe, habiendo infringido tanto las normas e instrucciones dadas por la entidad aseguradora, como la legislación reguladora de la distribución de seguros privados. Aportan evidencia del requerimiento notarial en el que consta la comunicación de resolución el contrato por AXA a ***EMPRESA.1 en fecha 1 de diciembre de
  1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/53 - Como consecuencia de la resolución del contrato de mediación entre ***EMPRESA.1 y AXA, la ex agencia exclusiva automáticamente deja de distribuir seguros de AXA Aurora Vida S.A. de Seguros y Reaseguros, con la cual AXA tiene suscrito un Acuerdo de Cesión de Redes para comercializar sus productos a través de la red comercial de AXA Seguros Generales conforme al artículo 148 del RD-L 3/2020 de 4 de febrero. - Que, desde el día 1 de diciembre de 2021 queda extinguida en su totalidad la relación mercantil entre ambas partes. Indican que existe en curso un procedimiento judicial seguido en el Juzgado de Primera Instancia N-1 de La Coruña donde se está dirimiendo la procedencia de la resolución contractual en base a los hechos indicados con anterioridad. - Que, desde esa fecha, ***EMPRESA.2 (en adelante, ***EMPRESA.2) asume la gestión de las pólizas de seguro de la reclamante en sustitución de ***EMPRESA.1, con quien AXA mantiene actualmente una relación contractual como agente de seguros exclusivo, tal y como se establece en el Real Decretoley 3/2020, de 4 de febrero, de medidas urgentes por el que se incorporan al ordenamiento jurídico español diversas directivas de la Unión Europea en el ámbito de la contratación pública en determinados sectores; de seguros privados; de planes y fondos de pensiones; del ámbito tributario y de litigios fiscales. - Que, actualmente la reclamante tiene contratada una póliza de vida y otra de auto con entidades del Grupo AXA, ambas contratadas con el mediador ***EMPRESA.1 (póliza de auto de fecha 21/06/2019 y de vida de fecha 12/08/2021). En la actualidad el mediador de estas pólizas es el Agente ***EMPRESA.
  2. - Manifiestan que el día 22 de mayo de 2023 ***EMPRESA.1 se pone en contacto con la reclamante para solicitarle, como antiguo Agente de sus pólizas de seguros, nuevamente la gestión de sus seguros, ofertándole el mismo precio que estaba pagando en esa fecha. Además, en esa conversación telefónica el antiguo Agente le comenta a la reclamante que puede averiguar la prima que paga la reclamante por sus pólizas en la actualidad. - Manifiestan que tal y como expone la reclamante en su escrito ante la AEPD, ese mismo día recibe dos SMS de AXA facilitándole una clave temporal en un primer momento y más tarde un email donde se confirma que sus datos de acceso a su área cliente “MYAXA” han sido modificados con éxito, y que dado que la reclamante no había realizado tal cambio en sus datos de acceso a "MYAXA", se pone en contacto con su actual agente, ***EMPRESA.2, para comunicarle la situación. - Una vez que AXA recibe el requerimiento de información por parte de la AEPD, pudo comprobar que el 22 de mayo de 2023 se produjo el cambio de contraseña en el área cliente de la reclamante. Indican que habida cuenta de que la reclamante no cambió su contraseña y no accedió a su área cliente con esa nueva contraseña, cabe afirmar el probable acceso indebido por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/53 ***EMPRESA.1, con la finalidad de recabar la información de las pólizas en curso de la reclamada y de los precios asociados, con el fin de poder ofertarle pólizas de seguros al mismo precio, tal y como avanzó en la llamada telefónica que efectuó a la reclamante el 22 de mayo de
  3. - Que, teniendo en cuenta los hechos expuestos, AXA, ha revisado de manera exhaustiva el proceso de cambio de contraseña en la aplicación MYAXA, el cual es descrito a continuación al objeto de determinar en qué momento ***EMPRESA.1 pudo lograr el acceso al perfil de la reclamada: o o o o o En la primera pantalla de acceso a MYAXA puede observarse la necesidad de introducir NIF y contraseña del usuario. En caso de no recordarla, se da la opción de clicar en “Olvidé mi contraseña”. Después de pulsar en “Olvidé mi contraseña” se solicita nuevamente el NIF y a continuación se indica que se ha enviado una contraseña temporal al medio facilitado por el cliente. Teniendo en cuenta que ***EMPRESA.1 no tiene acceso a la bandeja de entrada del correo electrónico de la reclamante, tuvo que pinchar la opción de “No he recibido mi código de verificación”. En ese momento se vuelve a enviar una contraseña temporal al medio alternativo facilitado en su día por la reclamante (SMS a su teléfono móvil). Dado que ***EMPRESA.1 tampoco tiene acceso al móvil de la reclamante, debió pulsar nuevamente la opción “No he recibido mi código de verificación”. La siguiente pantalla que aparece al darle a esa opción son unas preguntas de seguridad, cuya información en este caso es del todo probable que sea conocida por ***EMPRESA.1 (Número de póliza y los últimos 4 dígitos de su forma de pago). Es en ese momento cuando una vez introducidos esos datos, se da la opción de cambiar la contraseña. Aportan impresiones de pantalla del proceso de cambio de contraseña de MYAXA. - Que, en base a lo anterior, AXA indica que puede afirmarse que ***EMPRESA.1 pudo realizar un acceso indebido suplantando la identidad de la reclamante, haciendo uso del conocimiento previo que tenía de la información relativa a la póliza, con la finalidad de conocer más información sobre las pólizas contratadas y poder así ofrecerle las pólizas de seguros a un precio competitivo, tal y como se desprende de la descripción de los hechos objeto de esta reclamación. - Que, ***EMPRESA.1 y AXA tenían suscrito un contrato de encargo de tratamiento con fecha 15 de abril de 2005, el cual fue actualizado en julio de 2018 con motivo de la entrada en vigor del nuevo Reglamento General de Protección de Datos (RGPD), tal y como se hace constar en el email remitido a ***EMPRESA.1 en fecha 17/07/
  4. Aportan email informativo en el que se traslada al agente la aplicación de las nuevas condiciones de tratamiento de datos y el nuevo Anexo de contrato de Encargo del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/53 - Indican que, por lo tanto, ***EMPRESA.1 habría incumplido el contrato de encargo de tratamiento formalizado con AXA cuando todavía estaba en vigor, en el cual se exigía que, una vez resuelta la relación entre ambas partes, el Encargado (el agente) se venía obligado a devolver los datos personales que hubiese tratado en nombre de la aseguradora, así como a no poder utilizarlos con ninguna finalidad no autorizada por AXA ni conservar copia alguna de los mismos, tal y como establece la cláusula tercera subapartado C del mismo que a continuación se transcribe: “Tras la finalización o vencimiento del servicio contratado, la Agencia / Agente Exclusivo o Encargado del Tratamiento se obliga a devolver, o si la Compañía así se lo indica, a destruir, todo soporte, informático o no, en el que consten los datos personales que provienen de los ficheros titularidad de la Compañía como aquellos que haya generado en el desarrollo del servicio contratado, de conformidad con el método que comunique la Compañía, llevándolo a cabo de forma segura y confidencial, dentro de los 10 días naturales a partir de la fecha de terminación del servicio, sin conservar copia alguna de los mismos, de manera que no puedan recuperarse o reconstruirse, y sin que ninguna persona externa, física o jurídica, entre en conocimiento de los datos, a no ser que se tenga autorización expresa de la Compañía”. - Indican que asimismo, en la cláusula novena del mismo contrato de Encargo de tratamiento relativa a responsabilidad se regula lo siguiente: “En el supuesto de incumplimiento por parte de la Agencia / Agente Exclusivo o Encargado del Tratamiento de las obligaciones contempladas en el presente documento y demás derivadas de la legislación aplicable en materia de protección de datos, será considerado Responsable del tratamiento y, de forma específica, asumirá la total responsabilidad que pudiera irrogarse a la Compañía como consecuencia de cualquier tipo de sanción administrativa impuesta por las autoridades correspondientes, así como de los daños y perjuicios por procedimientos judiciales o extrajudiciales contra la Compañía, incluidos honorarios de Abogado, Procurador y cualesquiera otros profesionales aun cuando su intervención no fuere preceptiva, considerándose así mismo causa de vencimiento anticipado del contrato.” Se verifica que el contrato aportado contiene las citadas cláusulas. Manifiestan que en base a lo anterior, ***EMPRESA.1 debería asumir la total responsabilidad de las posibles sanciones administrativas que en todo caso pudieran ser impuestas por la AEPD como consecuencia de los hechos reclamados por la reclamante. - En el requerimiento notarial de resolución del contrato de Agencia, entregado por un notario en nombre de AXA a ***EMPRESA.1 el 01/12/2021 y cuya copia aportan figura: “En función de la relación mantenida, donde adoptaba la condición de Encargado de Tratamiento actuando por cuenta del responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/53 Fichero (la Compañía), se comprometió a tratar los datos conforme a las instrucciones de la Compañía y para la estricta prestación de los servicios encargados sin poder utilizarlos con fin distinto al convenido. Por lo tanto, una vez resuelta la relación mercantil que le unía a esta Aseguradora, viene obligado a devolver los datos de carácter personal que haya tratado en nombre de esta entidad, entre los que se encuentran los de los asegurados o potenciales clientes, así como a no poder utilizarlos con ninguna finalidad no autorizada por el Titular del Fichero, AXA. Por ello, en este momento, le requerimos a que proceda a la devolución, en soporte informático de todos los datos personales que provengan de los ficheros titularidad de la Compañía, en un plazo de tres días desde la recepción de la presente comunicación, sin conservar copia alguna de los mismos y sin que ninguna persona externa, física o jurídica, entre en conocimiento de los datos. En este sentido, le informamos que los datos personales a los que ha accedido como agencia exclusiva, no podrán ser utilizados con fin distinto al convenido, ni podrán ser comunicarlos o cedidos, ni siquiera para su conservación, a otras personas físicas o jurídicas. […]” Se comprueba que figura, en el acta notarial aportada, que el notario se persona en las dependencias de ***EMPRESA.1 y hace entrega del documento de resolución de la relación, que incluye el requerimiento de devolución de datos, según el texto citado en los párrafos anteriores. Se ha requerido a AXA información sobre si existe un certificado de la destrucción o devolución de los datos a la finalización de la relación con la entidad ***EMPRESA.1, solicitando aportar copia del certificado en su caso, ante lo que los representantes de AXA se remiten al contrato y al acta notarial ya citadas, cuyas copias constan en las presentes actuaciones de inspección. - Manifiestan que, teniendo en cuenta los hechos acaecidos, puede afirmarse que ***EMPRESA.1 contactó con la reclamante, lo que acredita que el agente conservó y trató los datos personales de antiguos clientes a los que tuvo acceso cuando todavía era Agente de AXA, y que los ha utilizado con una finalidad no autorizada por la parte reclamada, lo cual constituye un uso indebido de los datos personales de la reclamante, efectuando ***EMPRESA.1 un incumplimiento de las obligaciones acordadas y comunicadas por AXA en relación a los datos personales a los que hubiera podido acceder como Encargado del tratamiento, una vez resuelto el contrato de Agencia de Seguros. - Que, con el fin de evitar que acontezcan situaciones similares a la del objeto de este requerimiento, AXA ha implementado como medida dentro del proceso de cambio de contraseñas en "MYAXA", la sustitución del apartado de preguntas de seguridad por una nueva pantalla en la cual se indica un error del sistema, derivando al usuario a un teléfono de atención al cliente. Aportan un pantallazo de lo que se muestra en lugar del apartado de preguntas de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/53 Indican que de este modo, si la persona que está intentando entrar en la cuenta del área cliente no recuerda su contraseña y no ha recibido correctamente los códigos de verificación en los medios facilitados, deberá ponerse en contacto con el teléfono de atención al cliente, evitando de esta manera la posible suplantación de identidad de un tercero que pudiera tener información sobre las pólizas en vigor del cliente. - Asimismo, y en aras de evitar posibles accesos no autorizados al área cliente de la reclamante, indican que han decidido adoptar como medida complementaria la eliminación del usuario de la reclamante en la aplicación MYAXA, por lo que, si la reclamante quisiera acceder a su área cliente, deberá volver a iniciar el proceso de registro en la aplicación con unas nuevas credenciales. AXA concluye en su escrito lo siguiente: o o Afirma no haber vulnerado en ningún caso la normativa vigente en protección de datos personales, ya que las infracciones que han sido objeto de la reclamación interpuesta por la reclamante se atribuyen a un ex agente de AXA (***EMPRESA.1), con el cual ya no existe ninguna relación contractual en vigor, y cuyas actuaciones quedan fuera del ámbito de control de AXA, y las mismas han contravenido las obligaciones pactadas por las partes en relación con los datos personales a los que hubiera podido acceder como Encargado del tratamiento, una vez resuelto el contrato de Agencia de Seguros. Que, a pesar de no tener vínculo alguno con ***EMPRESA.1, la parte reclamada ha adoptado todas las medidas que le han sido posibles al objeto de evitar incidencias similares, y está valorando en la actualidad el inicio de acciones judiciales contra ***EMPRESA.1 y contra aquellas personas físicas o jurídicas que pudieran estar colaborando por acción u omisión en la realización de las prácticas objeto de la presente reclamación. PUNTO
  5. Se ha solicitado a AXA copia de los accesos registrados al área del cliente de la reclamante desde el día 22 de mayo de 2023 al 28 de mayo de
  6. Se pidió copia de los datos registrados que muestren la fecha, hora, de los datos accedidos, así como dirección IP origen del acceso. AXA ha contestado que, tras realizar las investigaciones oportunas, solo ha logrado del listado de accesos conocer que el 22 de mayo de 2023 se confirma el cambio de la clave, y que el 27 de junio de 2023 a las 8:35 horas se produce la última entrada en “MYAXA”. Sin embargo, no ha resultado posible conocer desde que IP se realizó el cambio de contraseña ni los accesos ya que se procede al borrado de los logs de MYAXA a los 30 días. Se ha solicitado a AXA copia del procedimiento de registro/auditoria de accesos (logs) para la aplicación MyAXA, así como la motivación existente para la adopción del plazo de conservación de 30 días. Aportan un documento “Procedimiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/53 registro/auditoría de accesos para la aplicación del área de clientes de AXA: MyAXA” en el que se cita al respecto: “❖ Registros de auditoria: Los registros de auditoría contienen información sobre los recursos del directorio de usuarios, los tokens emitidos y el acceso de los administradores, fecha y hora de evento. Los eventos de registro de auditoría se conservan durante siete
(7)días. ❖ Registros de inicio de sesión en MyAXA: Queda registrado por cada usuario todas las veces que inicia sesión, tanto de forma correcta como incorrecta por haber introducido erróneamente los datos de inicio de sesión en MyAXA. En este sentido, se registra, entre otros, la siguiente información relativa a los inicios de sesión: • el usuario que inicia sesión • la fecha y la hora • la IP de acceso • la ubicación. Estos eventos de registro de auditoría se conservan durante treinta
(30)días, y su objetivo es disponer de información de conexión al aplicativo por parte de sus usuarios.” (…) PUNTO 3 Se ha requerido a ***EMPRESA.1 para que acredite el origen de los datos utilizados para contactar con la reclamante, así como para cambiar la clave. Se pide adicionalmente impresión de los datos que mantengan de la reclamante. Ante ello, la entidad ha manifestado lo siguiente: “1.- Esta sociedad fue agente de seguros exclusivo de la Compañía AXA hasta el día 1 de diciembre de 2021 momento en el que le fue rescindido el contrato de Agencia por dicho grupo de Aseguradoras con nombre comercial AXA. 2.- En el momento en que AXA rescinde el contrato de Agencia esta sociedad pierde la capacidad para acceder a cualquier dato de los clientes o seguros contratados en dicha Compañía a través de esta sociedad, En dicho momento AXA se apropia de toda la documentación física y digital que había en mi oficina y corta el acceso a su base de datos a través de la página de la Aseguradora. ***EMPRESA.1 era encargada del tratamiento de los datos de los clientes de AXA, siendo la propia Compañía la Responsable del mismo y su acceso era, exclusivamente, a través la WEB de la Aseguradora. 3.- ***EMPRESA.1 no guardaba, mientras fue agente de AXA y menos aún después de serlo al tener imposibilitado el acceso a los datos, ningún tipo de dato personal. No podemos facilitar impresión de datos de esa persona ni de ninguna otra al no tenerlos. 4.- En cuanto al acceso que mencionan a través de “MYAXA”, dicho acceso era personal y exclusivo de los clientes, y ni durante ni posteriormente a la relación mercantil con AXA esta sociedad dispuso de las claves de acceso de ninguno de los clientes. Hasta el momento en que ***EMPRESA.1 fue agente de AXA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/53 no era posible acceder a dicha base de datos privada de la forma que se manifiesta en su escrito (número de póliza y 4 dígitos de la forma de pago), la única manera era con la clave que AXA remitía al cliente directamente. Si bien esta parte desconoce si, en la actualidad, se puede acceder de esa manera. 5.- En el momento en que AXA rescinde con esta empresa el contrato de Agencia, “regala” los clientes y las pólizas de los mismos a otra agencia de AXA que es la que tiene acceso a los datos. 6.- […La reclamante…] era cliente de AXA, a través de esta sociedad, en el momento de la rotura de las relaciones mercantiles entre AXA y ***EMPRESA.1. Todos los datos personales estaban guardados por la Responsable del Tratamiento que era la Aseguradora; esta sociedad no guarda datos algunos de tal persona (ni de ninguna otra) y, como ya se dijo, perdió la posibilidad de acceso el 1 de diciembre de 2021. 7.- ***EMPRESA.1 no tiene (ni tenía en mayo de 2023) empleados, las gestiones las realiza quien suscribe (Administrador de la empresa) y es incierto que haya contactado telefónicamente con […la reclamante…] en dicha fecha. A mayor abundamiento se manifiesta que no ha contactado con dicha persona con posterioridad al cese como agente de AXA (a excepción de comunicarle dicho cese en su momento). 8.- Desconoce esta parte si la actual Agencia de AXA (salvo error ***EMPRESA.2.) se ha puesto en contacto con dicha persona, también desconoce esta parte si […la reclamante…] es cliente de AXA en la actualidad, porque como se dijo no ha vuelto a tener contacto con ella. 9.- Por dichos motivos no podemos acreditar el origen de los datos personales ni imprimir los mismos porque no obran datos algunos en poder de ***EMPRESA.1.” QUINTO: Acuerdo de inicio de procedimiento sancionador Con fecha 25 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 32 del RGPD y Artículo 5.1.
  1. f)del RGPD, tipificada en el Artículo 83.4 del RGPD y Artículo 83.5 del RGPD. SEXTO: Alegaciones al acuerdo de inicio Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones, que son reproducidas y contestadas en el fundamento jurídico tercero de esta resolución. SÉPTIMO. Cambio de instructor del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/53 Con fecha de 06/08/2025, el presidente de la Agencia Española de Protección de Datos acordó el cambio de instructor del presente procedimiento sancionador. Dicho cambio fue notificado a la parte reclamada, constando en el expediente administrativo el correspondiente acuse de recibo con fecha de 12/08/2025. OCTAVO: Propuesta de resolución Con fecha 30 de octubre de 2025 se formuló propuesta de resolución, proponiendo el archivo de actuaciones en relación con la posible infracción del artículo 32 del RGPD y la imposición de multa por una infracción del artículo 5.1.
  2. f)del RGPD, tipificada en el artículo 83.5 del RGPD. Asimismo, se proponía la imposición, en virtud del artículo 58.2.
  3. d)del RGPD, de la medida de acreditar la aplicación efectiva de las medidas técnicas y organizativas de seguridad adecuadas, no solo para cumplir con la normativa, sino para demostrar su cumplimiento antes las autoridades de control e interesados. NOVENO: Volumen de negocio y número de clientes De acuerdo con el informe recogido de la herramienta AXESOR, la entidad AXA SEGUROS GENERALES, S.A. DE SEGUROS Y REASEGUROS es una empresa con un volumen de negocios de 553 millones de euros en el año 2023. Asimismo, la instrucción del procedimiento ha obtenido una diligencia del contenido de la página de Internet de AXA, en el que consta que, a fecha de abril de 2024, dicha aseguradora contaba con más de 3,5 millones de clientes. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante tiene contratada una póliza de vida y otra de automóvil con entidades del Grupo AXA, (póliza de automóvil de fecha 21/06/2019 y de vida de fecha 12/08/2021). En el momento de contratación de dichas pólizas, ***EMPRESA.1 actuaba como agente de AXA. SEGUNDO: Con fecha de 22 de mayo de 2023, a las 15:34 horas, la parte reclamante recibió dos mensajes SMS, ambos con idéntico texto, provenientes de “AXA SEGUROS” en los que se le informaba de la generación de una clave temporal para acceder a su área de cliente en la web. El texto de los citados mensajes es el siguiente: “Hola A.A.A., esta es tu clave para entrar en tu área cliente: ***TELÉFONO.1. Gracias.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/53 TERCERO. Con fecha de 24 de mayo de 2023, la parte reclamante recibe una contestación, a través de un mensaje de correo electrónico, de AXA SEGUROS, en la que, en relación con la situación de posible acceso a sus datos personales, le indican lo siguiente: “La manipulación de sus datos me temo que no es nueva y, entendemos, que tienen por finalidad el conocer toda las comunicaciones de AXA con usted al objeto de ofertarle en las otras compañías donde ahora trabajan aquellos gestores; es inaceptable lo que están realizando y cuando usted nos autorice, tomaremos también las oportunas acciones legales.” CUARTO. En cuanto a la relación contractual entre las empresas AXA SEGUROS y ***EMPRESA.1 consta lo siguiente:
  4. a)AXA y ***EMPRESA.1 mantuvieron una relación contractual, en la cual ***EMPRESA.1 prestaba sus servicios como agente a la parte reclamada. En virtud de dicha relación, ambas entidades tenían suscrito un contrato de encargo de tratamiento de datos personales.
  5. a)El día 1 de diciembre de 2021, AXA comunicó a ***EMPRESA.1 la resolución del contrato a través de un requerimiento notarial por el grave incumplimiento de sus obligaciones contractuales y legales.
  6. b)Como consecuencia de la resolución del contrato de mediación entre ***EMPRESA.1 y AXA Seguros Generales S.A., la ex agencia exclusiva automáticamente deja de distribuir seguros de AXA Aurora Vida S.A. de Seguros y Reaseguros.
  7. c)Desde el día 1 de diciembre de 2021 quedó extinguida en su totalidad la relación mercantil entre ambas partes.
  8. d)Existe en curso un procedimiento judicial entre ambas empresas, seguido en Juzgado de Primera Instancia, donde se está dirimiendo la procedencia de la resolución contractual en base a los hechos indicados con anterioridad.
  9. e)Desde 01/12/2021, ***EMPRESA.2 (en adelante, ***EMPRESA.2) asume la gestión de las pólizas de seguro de la reclamante en sustitución de ***EMPRESA.1, con quien AXA mantiene actualmente una relación contractual como agente de seguros exclusivo. QUINTO. En el momento en que sucedieron los hechos objeto de este expediente sancionador, AXA tenía establecido el siguiente procedimiento para la recuperación de la contraseña de acceso al área de cliente (“MYAXA”) de la página web de AXA: o En la primera pantalla de acceso a MYAXA debe introducirse NIF y contraseña del usuario. En caso de no recordarla, se da la opción de pinchar en “Olvidé mi contraseña”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/53 o A continuación, se solicita nuevamente el NIF y seguidamente se indica que se ha enviado una contraseña temporal al medio facilitado por el cliente. En el caso que nos ocupa, un SMS a su teléfono móvil. o Una vez enviado el mensaje anterior, existe la posibilidad de pinchar la opción de “No he recibido mi código de verificación”. o En ese momento se vuelve a enviar una contraseña temporal al medio alternativo facilitado en su día por la reclamante. Nuevamente existe la opción “No he recibido mi código de verificación”. o La siguiente pantalla que aparece al darle a esa opción son unas preguntas de seguridad, consistente en facilitar los siguientes datos del contratante:   Número de póliza Últimos 4 dígitos de su forma de pago). o Una vez introducidos esos datos, se da la opción de cambiar la contraseña. SEXTO. AXA ha confirmado que el 22 de mayo de 2023 se produjo el cambio de la contraseña, y que se produjeron accesos al área de la web de la parte reclamante desde esa fecha hasta el 27 de junio de 2023 a las 8:35 horas, en que se produce la última entrada en “MYAXA”. También ha confirmado que se procede al borrado de los logs de MYAXA a los 30 días. SÉPTIMO. AXA manifiesta haber implementado, con posterioridad a los hechos, como medida dentro del proceso de cambio de contraseñas en "MYAXA", la sustitución del apartado de preguntas de seguridad a que se refiere el hecho probado anterior por una nueva pantalla en la cual se indica un error del sistema, derivando al usuario a un teléfono de atención al cliente. Según afirma AXA, la finalidad de esta modificación es evitar “de esta manera la posible suplantación de identidad de un tercero que pudiera tener información sobre las pólizas en vigor del cliente.” FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/53 resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II. Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que AXA realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas y jurídicas con las que gestiona seguros, así como su protección financiera, ahorros e inversiones inmobiliarias. Por ejemplo: nombre y apellidos, fecha de nacimiento, teléfono, correo electrónico, datos financieros y bancarios. AXA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/53 producido una pérdida de confidencialidad de los datos personales de la parte reclamante, exponiéndose sus datos a un tercero. III. Alegaciones al acuerdo de inicio y contestación a las mismas La parte reclamada ha presentado, en esencia, las siguientes alegaciones al acuerdo de inicio de procedimiento sancionador. Se sigue el orden expositivo del escrito de alegaciones. PRIMERA. Posible investigación caducidad de las actuaciones previas de Considera que se habría producido la caducidad de dichas actuaciones por haber transcurrido más de 18 meses (plazo previsto en el artículo 67 de la LOPDGDD) desde el “primer requerimiento” de la AEPD. Aporta una Sentencia de la Audiencia Nacional, de 29 de marzo de 2019 (rec. 232/2017), que aclara cuáles son los efectos de la caducidad del trámite de actuaciones previas de investigación. En relación con esta alegación conviene tratar dos aspectos distintos. En primer lugar, el plazo de caducidad en sí. La argumentación de AXA es la siguiente: “La primera notificación realizada por la AEPD con motivo de este expediente fue recibida por AXA el 17 de julio de 2023, fecha en la que se inició el cómputo del plazo de dieciocho meses, marcado por el artículo 67 de la LOPDGDD. Por tanto, dicho plazo venció el 17 de enero de 2025, antes de adopción del Acuerdo de Inicio del presente procedimiento.” Es decir, considera que el inicio del cómputo del plazo de 18 meses que prevé el artículo 67 de la LOPDGDD para la realización de las actuaciones previas se produce en el momento de lo que denomina la “primera notificación”. Comprobado dicho trámite, se observa que se corresponde con el traslado de la reclamación, previsto en el artículo 65 de la LOPDGDD y en consecuencia anterior a las actuaciones previas. El artículo 67.2 de la LOPDGDD establece lo siguiente: “Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa.” En este expediente la admisión a trámite se produjo, por el transcurso del plazo de tres meses, desde la presentación de la reclamación, establecido en el artículo 65.5 LOPDGDD. Así consta en el expediente administrativo y se notificó a la parte reclamante. La admisión a trámite tuvo lugar el 28/08/2023. Esa fecha marca el “dies ad quem” para el cómputo de la caducidad de las actuaciones previas. Dado que plazo para la realización de dichas actuaciones previas es de 18 meses, la finalización del plazo se produciría el 28/02/2025, que sería el “dies a quo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/53 El período de actuaciones previas de investigación concluye con la notificación de la decisión que adopte la AEPD una vez realizadas las mismas. Esta podrá consistir bien en una resolución de archivo de actuaciones, bien en un acuerdo de inicio de expediente sancionador. Esta última fue la opción adoptada por la Agencia, en virtud de los claros indicios de infracción obrantes en el expediente. El acuerdo de inicio de este procedimiento sancionador fue firmado el 25/02/2025 y resultó notificado por vía electrónica en ese mismo día, conforme al acuse de recibo que consta en el expediente. Por lo tanto, la notificación se produjo dentro del plazo otorgado por la ley y no se habría incurrido en caducidad de las actuaciones previas de investigación. El segundo aspecto a tratar sería la sentencia aportada por AXA, sobre la caducidad de las actuaciones previas. Una vez analizada, se observa que no se pronuncia sobre el cómputo del plazo, sino sobre los efectos de la caducidad en caso de haberse producido: “…. La imposición de la correspondiente sanción a la parte actora se ha basado en las pruebas y actividad investigadora llevadas a cabo en dicha fase de actuaciones previas, la declaración de caducidad de las mismas conlleva que no haya existido en el procedimiento prueba de cargo suficiente para imputar la sanción finalmente impuesta a la parte recurrente, por lo que tal sanción ha de ser anulada, con estimación del recurso” Algo en lo que esta Agencia está completamente de acuerdo pero que no resulta de aplicación a este caso, ya que, como se ha acreditado, no se produjo en ningún momento la caducidad de las actuaciones previas. A continuación, se contestan las alegaciones relacionadas con las infracciones cometidas y su cuantía. Se altera el orden de las alegaciones para analizar, en primer lugar, la alegación relacionada con el posible concurso de infracciones (alegación SEXTA), dada la trascendencia que puede tener en la calificación de las mismas y, con ello, en la contestación del resto de alegaciones SEXTA. Posible concurso de infracciones AXA alega que en ambas infracciones imputadas en el acuerdo de inicio (artículos 5.1.
  10. f)por vulneración de la confidencialidad de los datos y 32 del RGPD por falta de medidas de seguridad) se estaría sancionando el mismo presunto ilícito: la adecuación o no de las medidas implementadas con relación al acceso a la cuenta MY AXA. Así, afirma que “el Artículo 32 del RGPD viene a concretar cómo cumplir con el principio de integridad y confidencialidad recogido en el Artículo 5.1.
  11. f)del RGPD” Aporta precedente de un procedimiento sancionador de la AEPD: el de referencia PS/00259/2021, en que la propia Agencia habría reconocido la existencia de un concurso medial de infracciones entre los artículos 5.1.
  12. f)y 32 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/53 Finalmente alega que la “Guía de multas” (Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD del EDPB. Adoptadas el 24 de mayo de 2023), también contemplaría la existencia del concurso medial, si bien AXA no invoca ningún apartado concreto de dicha Guía, sino que solo realiza la afirmación genérica. En relación con estos argumentos cabe significar lo siguiente: En primer lugar, debe rechazarse la afirmación de que “el Artículo 32 del RGPD viene a concretar cómo cumplir con el principio de integridad y confidencialidad recogido en el Artículo 5.1.
  13. f)del RGPD”. Es cierto que uno de los mecanismos para garantizar el principio de confidencialidad puede ser el establecimiento de medidas de seguridad. Pero no es el único: recordemos que el mencionado art 5.1.
  14. f)hace referencia a la adopción de “medidas técnicas u organizativas apropiadas”. Estas medidas, particularmente las organizativas, no tienen por qué ser medidas de seguridad. En todo caso, el artículo 5.1.
  15. f)señala “que se garantice una seguridad adecuada de los datos personales”, esto es, un resultado como es esa garantía. Por ello, la infracción del artículo 5.1.
  16. f)se configura como una “obligación de resultado” y, en sentido inverso, su vulneración también exige la producción de un resultado, cual sería la pérdida de confidencialidad o integridad. Por el contrario, el artículo 32 exige la adopción de medidas de seguridad adecuadas al riesgo (apartado 2 de dicho artículo), sin que se exija la producción de un resultado para que pueda considerarse vulnerado. En este sentido, esta obligación es configura como “obligación de medios” (la adopción de las medidas de seguridad) y no de resultado (no es preciso que haya habido un acceso indebido o una pérdida de integridad o disponibilidad). En relación con la alegación de que con ambas infracciones se estaría sancionando el mismo presunto ilícito, alega AXA lo siguiente: “En el presente supuesto, el elemento determinante de ambas infracciones es la adecuación o no de las medidas implementadas con relación al acceso a la cuenta MY AXA. De lo argumentado por la AEPD en el Acuerdo de Inicio se extrae que, en relación con los hechos analizados, existe una conexión directa entre las vulneraciones de ambos artículos apreciadas. De esta forma, la infracción del Artículo 32 del RGPD, esto es, la consideración de las medidas de AXA como insuficientes o inadecuadas, es necesario e inevitable para que tuviera lugar una vulneración del principio de integridad y confidencialidad, es decir, para que se identifique la infracción del Artículo 5,1 apartado
  17. f)del RGPD.” Para analizar esta cuestión debe partirse del análisis de si la falta de medidas de seguridad detectada, y conforme a las cuales se realizó la imputación del artículo 32 del RGPD, están todas directamente relacionadas con la pérdida de confidencialidad, que es lo sancionado conforme al artículo 5.1.f). En caso de que se concluyera que fuera así, esto es, que no hay ninguna medida de seguridad independiente de la producción del resultado de pérdida de confidencialidad, podría considerarse que se está produciendo una coincidencia de infracciones. Imputación del artículo 5.1.
  18. f)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/53 Conforme se detallaba en el acuerdo de inicio de procedimiento sancionador, se habría producido un acceso por un tercero no autorizado (el anterior agente de seguros de AXA) a los datos de la parte reclamante. De acuerdo con el relato de los hechos, dicho tercero habría accedido al área privada de la web de dicha parte, aprovechando para ello un procedimiento no suficientemente robusto de cambio de contraseña para el acceso a dicha área. El resultado producido sería dicho acceso no consentido y con ello la pérdida de confidencialidad de los datos de la parte reclamante, cuyo responsable es AXA. En este sentido, resultan relevantes los hechos acreditados durante la instrucción del presente procedimiento y, especialmente, los mensajes recibidos por la reclamante alertando de un cambio en la contraseña de acceso a su área privada AXA, la confirmación de que el 22 de mayo de 2023 se produjo el cambio de la contraseña, así como de que se produjeron accesos al área de la web de la parte reclamante desde esa fecha hasta el 27 de junio de 2023 a las 8:35 horas. Estos accesos implicaron, en consecuencia, una pérdida de confidencialidad de los datos de la reclamante que estaban siendo objeto de tratamiento por la reclamada. Una pérdida de confidencialidad que, por otro lado, ha sido posible por la ausencia de medidas adoptadas por el responsable del tratamiento tendentes a garantizar la seguridad del mismo. A estos efectos, resulta determinante que AXA reconociera que todo el proceso para el cambio de contraseña pueda ser realizado por un tercero no autorizado- como ocurrió en este caso-, circunstancia que evidencia una falta de medidas adecuadas para garantizar la seguridad del tratamiento. Imputación del artículo 32. En dicha imputación se refleja la falta de medidas de seguridad que da lugar a la comisión de la infracción. En concreto, se afirma que AXA tenía unas carencias importantes y no contaba con las garantías de seguridad necesarias en el tratamiento de los datos personales; ya que, conociendo únicamente el Número de póliza y los últimos 4 dígitos de su forma de pago (datos fácilmente accesibles a los trabajadores y encargados del tratamiento) se posibilitaba el cambio de contraseña para el acceso al área de cliente de la web. Se considera, por lo tanto, que dicho proceso adolecía de una carencia de medidas de seguridad adecuadas al riesgo En conclusión, se aprecia que la falta de medidas de seguridad se encuentra totalmente vinculada con el resultado de pérdida de confidencialidad. Dicho resultado se produjo como consecuencia de la falta de medidas de seguridad apreciadas. A continuación, se contesta a las obligaciones sobre la tipificación y cuantía de las infracciones, con las adaptaciones necesarias al cambio de imputación realizado. SEGUNDA. Sobre el supuesto de hecho. En este apartado, AXA realiza únicamente una exposición cronológica de los hechos. - El reclamante habría recibido una llamada del antiguo agente de AXA (***EMPRESA.1). A continuación, recibe 2 mensajes SMS y uno de correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/53 - electrónico (este último informa de que los datos de acceso a MYAXA han sido modificados con éxito El reclamante reclama ante AXA y le indican que no sería preciso bloquear la cuenta Previamente, AXA había rescindido el contrato de agente por incumplimiento de ***EMPRESA.1. Afirma que el incumplimiento ha sido ya declarado por Sentencia. Se deduce por todo ello que ***EMPRESA.1 habría incurrido en un tratamiento irregular de los datos que de los que inicialmente fue encargado del tratamiento como agente de AXA. Y luego habría accedido al área privada virtual MYAXA del reclamante No realiza ninguna alegación en este sentido, solo relaciona los hechos tal como entiende la parte reclamada que habrían sucedido TERCERA. Infracción del artículo 5.1.
  19. f)del RGPD En relación con esta imputación, alega que no estaría constatado el acceso a los datos por personas no autorizadas. Esta posibilidad solo se contiene en el relato de la parte reclamante En todo caso, afirma AXA, no podría sancionarse por la vulneración del art 5.1.
  20. f)únicamente por la mera producción de un resultado. Dicho artículo ordena la aplicación de medidas técnicas u organizativas apropiadas para garantizar la integridad y la confidencialidad, pero en ningún caso impone la exigencia de una “eficacia absoluta” de estas. En relación con esto, opina que “El artículo 5.1, apartado
  21. f)del RGPD, en consonancia con el espíritu de la propia norma, establece una obligación de medios, y no una obligación absoluta o de resultado.” De este modo, alega, se está sancionando en este procedimiento solo por la producción de un resultado. Ello implica que se estaría incurriendo en la imputación de una responsabilidad objetiva, prohibida en nuestro ordenamiento. Aporta la sentencia del Tribunal de Justicia de la Unión Europea (relativa al asunto C-683/212 Nacionalinis visuomenės sveikatos centras), indicando que las autoridades de control no pueden imponer requisitos no previstos en el RGPD, y este solo prevé responsabilidad por la comisión de infracciones en que medie intencionalidad o negligencia. De este modo, al no acreditarse una conducta culpable no podría sancionarse en este supuesto. Asimismo, invoca la STS nº 543/2022, de 15 de febrero, que declara que: ““La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento”. De este modo, para el cumplimiento de una obligación de medios bastaría con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/53 En relación con esta alegación cabe contestar lo siguiente. Primero, en relación con la constatación de la pérdida de confidencialidad. A este respecto, es preciso remitirse a la narración de los hechos que aporta la propia parte reclamada en su contestación al requerimiento de información realizado por los órganos de inspección de la Agencia: “Una vez que AXA recibe el requerimiento de información por parte de la AEPD, pudo comprobar que el 22 de mayo de 2023 se produjo el cambio de contraseña en el área cliente de la reclamante. Indican que habida cuenta de que la reclamante no cambió su contraseña y no accedió a su área cliente con esa nueva contraseña, cabe afirmar el probable acceso indebido por ***EMPRESA.1, con la finalidad de recabar la información de las pólizas en curso de la reclamada y de los precios asociados, con el fin de poder ofertarle pólizas de seguros al mismo precio, tal y como avanzó en la llamada telefónica que efectuó a la reclamante el 22 de mayo de 2023.” “Que, en base a lo anterior, AXA indica que puede afirmarse que ***EMPRESA.1 pudo realizar un acceso indebido suplantando la identidad de la reclamante, haciendo uso del conocimiento previo que tenía de la información relativa a la póliza, con la finalidad de conocer más información sobre las pólizas contratadas y poder así ofrecerle las pólizas de seguros a un precio competitivo, tal y como se desprende de la descripción de los hechos objeto de esta reclamación.” “AXA ha contestado que tras realizar las investigaciones oportunas, solo ha logrado del listado de accesos conocer que el 22 de mayo de 2023 se confirma el cambio de la clave, y que el 27 de junio de 2023 a las 8:35 horas se produce la última entrada en “MYAXA”. Sin embargo, no ha resultado posible conocer desde que IP se realizó el cambio de contraseña ni los accesos ya que se procede al borrado de los logs de MYAXA a los 30 días.” La propia parte reclamada comprobó que se había producido un acceso indebido, por parte de quien en su momento fue agente de AXA pero que ya había dejado de serlo. Y los accesos se habrían podido prolongar durante al menos un mes. Asimismo, la propia reclamada confirma la falta de medidas que permitan conocer la trazabilidad de los accesos: la reclamante se puso en contacto con AXA tras los mensajes alertando sobre el cambio de su contraseña y ésta le respondió el 24 de mayo de 2023. A pesar de ello, no adoptó medidas para la salvaguarda del área privada afectada y, especialmente, para la conservación de los logs de accesos que se fueron produciendo y que deberían haber estado disponible al no haber transcurrido aun el plazo de 30 días de conservación que se menciona por la reclamada. Alega asimismo la parte reclamada que, en caso de que se considerase afectada la confidencialidad de los datos, se estaría sancionando únicamente por la producción de un resultado, prescindiendo del elemento culpabilístico e incurriendo con ello en un supuesto de responsabilidad objetiva. Debe descartarse que se esté produciendo tal atribución. En efecto, para que se considere cometida la infracción (la única que persiste tras descartar la pervivencia de las dos inicialmente imputadas, es decir, la del artículo 5.1.f), es preciso que concurran dos elementos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/53 En primer lugar, como ya se ha dicho, la producción de un resultado. Y es que los datos de la parte reclamante fueron objeto de acceso por quien no tenía legitimación para ello. Y, en segundo, que dicha vulneración de la confidencialidad fuera propiciada por la falta de medidas técnicas y organizativas que prevé el artículo 5.1.
  22. f)para procurar su garantía. Y es que, como hemos indicado y se detalla en el fundamento jurídico relativo a la imputación del mencionado artículo 5.1.f), el procedimiento de recuperación de contraseña establecido por AXA adolecía de importantes debilidades. En caso de que un atacante vaya pulsando sucesivamente las opciones de no haber recibido el SMS para la recuperación, ni posteriormente el correo electrónico para la comprobación de la identidad, le bastaba con contestar a preguntas de comprobación respecto a las cuales no puede descartarse que haya terceros que conozcan sus respuestas. Y máxime en este caso cuando, según el relato de los hechos que aporta la parte reclamada, la rescisión contractual con el anterior agente de seguros no fue un procedimiento amistoso. Confluyen, por lo tanto, la negligencia en el establecimiento de las medidas técnicas y organizativas (debilidad del procedimiento de recuperación o cambio de contraseña) y la producción del resultado de pérdida de confidencialidad de los datos, lo que hace que concurra plenamente la infracción del artículo 5.1.
  23. f)del RGPD. Cabe traer a colación la Sentencia de la Audiencia Nacional de 9 de febrero de 2023, que se pronuncia sobre un supuesto sustancialmente idéntico. En la pérdida de confidencialidad producida, la parte reclamada alegó que se estaba sancionando únicamente por la producción de un resultado, indicando que se estaba produciendo un caso de responsabilidad objetiva. La Audiencia Nacional declara que: “Ahora bien, a mayor abundamiento, resulta claro que el riesgo de suplantación de identidad está presente de manera permanente en la actividad empresarial de Xfera. Es un riego real con la finalidad última de hacerse pasar por otra persona y que procura, en supuestos como el examinado, la contratación de productos o la obtención de un duplicado de la tarjeta SIM por quien no es el auténtico titular de la misma, riesgo que la recurrente no puede alegar que le resultaba desconocido. Sobre la supuesta responsabilidad objetiva, la resolución recurrida no considera responsable a Xfera por el resultado, sino por una pérdida de confidencialidad vinculada a la insuficiencia de las medidas de seguridad implantadas y, en definitiva, debido a una falta de diligencia de dicha entidad. Así, se argumenta por la AEPD -página 858 del expediente- “ha quedado acreditado que las medidas implantadas por Xfera son insuficientes (…) De una manera no exhaustiva nos fijaremos en la deficiente configuración de las preguntas formuladas en la política de seguridad para poder obtener el duplicado de la tarjeta SIM”. Resta únicamente decir que la sentencia aportada por el interesado para defender sus tesis (STS nº 543/2022, de 15 de febrero) no resulta aplicable a este supuesto, toda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/53 vez que se refieren a la obligación de establecer medidas de seguridad como una “obligación de medios”. Y no resulta de aplicación a este supuesto por dos razones: la primera porque en este procedimiento sancionador se está imputando la comisión de una infracción del artículo 5.1.
  24. f)que, como hemos visto, sí exige la producción de un resultado. Y la segunda, porque AXA ha esgrimido el contenido de esta sentencia con ocasión de sus alegaciones en relación con el artículo 5.1.f), esto es, antes de conocer que, conforme a la alegación anterior, únicamente subsistiría esta última. CUARTA. Infracción del artículo 32 del RGPD En este apartado afirma AXA que contaba, en el proceso de recuperación de contraseña para el área privada de cliente en MYAXA, con medidas de seguridad adecuadas y eficaces. Así, considera que el procedimiento de cambio de contraseña sería sólido: si ésta no se recuerda se envía por SMS una de carácter temporal, y si este no se recibe, se hacen preguntas sobre datos concretos relativos a la póliza y el medio de pago utilizados por el cliente. Ningún tercero estaría en posesión de la información solicitada en las preguntas de seguridad que se realizaban para poder recuperar la contraseña. Continúa AXA afirmando que el hecho de que los agentes de AXA tuviesen acceso a los datos vinculados a las pólizas de los agentes no permite calificar de inadecuadas las medidas. Considera asimismo que no se proporciona una argumentación técnica por la AEPD que ampare el razonamiento de falta de medidas de seguridad adoptadas. De este modo, el área de cliente dispondría de factor de doble autenticación (2FA) Asimismo, afirma AXA, tras la rescisión del contrato se garantizó la devolución o destrucción de los datos personales y se estableció la supresión del acceso por el agente anterior). Asimismo, en el contrato de encargo se incluía que si se vulneraban las instrucciones se le consideraría responsable del tratamiento. Se imponía también la obligación de devolver los datos y de no conservar copia alguna. Esta obligación le habría sido recordada al agente en el documento de comunicación de la rescisión Concluye afirmando que no existe una imposición de medidas de seguridad concretas por la normativa. En todo caso AXA asegura estar cumpliendo con lo establecido al respecto en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, sin que, afirma, exista nada adicional exigible al respecto. En relación con estas afirmaciones debe significarse lo siguiente: En primer lugar, dejar claro que la debilidad del procedimiento establecido por AXA para la recuperación o generación de una nueva contraseña constituye, como se ha afirmado en los apartados anteriores, una infracción del artículo 5.1.
  25. f)del RGPD. La infracción estuvo propiciada por un procedimiento con debilidades, como se verá, y además tuvo como resultado la pérdida de confidencialidad de los datos de la parte reclamante, a la que se accedió de manera no legitimada por el anterior agente de seguros de AXA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/53 En relación con la afirmación de que dicho procedimiento sería seguro, afirmando que “Ningún tercero estaría en posesión de la información solicitada en las preguntas de seguridad que se realizaban para poder recuperar la contraseña”, es preciso recordar cuáles son los datos solicitados a quien afirma no haber recibido ni el SMS ni el correo electrónico previos para garantizar la identidad del solicitante. Y los datos solicitados son: número de póliza y los últimos 4 dígitos de su forma de pago. Si bien se trata de datos respecto de los cuales no puede afirmarse que pudieran estar disponibles de manera generalizada, no puede descartarse que determinados sujetos, en función de su intervención en el tráfico de este sector, puedan disponer de ellos. A estos efectos, como ya se ha anunciado en la contestación al apartado anterior, es completamente relevante la situación existente entre AXA y ***EMPRESA.1 tras la extinción de su relación mercantil. Como la propia AXA narra entre sus antecedentes, dicha extinción no fue ni mucho menos amistosa y la cuestión ha acabado ante los tribunales. Con ello, es claramente un riesgo que debió ser analizado por AXA el posible acceso no autorizado a datos personales de sus clientes, a los que ***EMPRESA.1 tendría acceso en su condición de anterior agente de la primera. Ninguna precaución se estableció al respecto, de modo que, ya no solo para el caso de la parte reclamante, sino para cualquier cliente de AXA en cuya contratación hubiese intervenido ***EMPRESA.1, existía un riesgo cierto de que, a través de un procedimiento con debilidades, se pudiese tener acceso a los datos personales de dichos clientes. Así sucedió, al menos, en el caso denunciado por la parte reclamante. El procedimiento claramente adolecía de debilidades en este sentido; y, consciente de ello, AXA en sus alegaciones argumenta que tenía establecido un sistema doble autenticación para este tipo de gestiones. A esos efectos entre sus alegaciones aporta una captura de pantalla de la página web. Y analizando esta imagen se observa que dicha posibilidad está establecida como facultativa para el cliente, es decir, solo si este lo elige. Con ello, el factor de doble autenticación no existe para todos aquellos clientes que sencillamente no hagan nada, es decir, no lo activen. Por otra parte, en sus alegaciones, AXA se esfuerza por acreditar que ***EMPRESA.1 habría devuelto o destruido los datos respecto a los cuales este último era encargado del tratamiento. En relación con esta cuestión, deben significarse dos aspectos. En primer lugar, que no aporta documento alguno (certificado de devolución o destrucción o similar) que acredite que dicha circunstancia tuvo lugar. Y en segundo lugar, es preciso afirmar que ese aspecto no es el que ha llevado a la imputación del artículo 5.1.
  26. f)en el presente procedimiento, sino sencillamente la comprobación de que el procedimiento de recuperación o generación de nueva contraseña adolecía de debilidades. Si hubiese sido robusto (como la inclusión de preguntas de cuya contestación no pudiese disponer un encargado o la implantación obligatoria de factor de doble autenticación) la devolución de datos, por más que es una obligación que debe exigirse al encargado del tratamiento, habría sido irrelevante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/53 En relación con la alegación de que no existe una imposición de medidas de seguridad concretas por la normativa, no se puede sino estar de acuerdo con dicha afirmación. Esta Agencia en ningún momento está indicando o sugiriendo cuáles son las medidas técnicas u organizativas que AXA debió establecer para garantizar la solidez del procedimiento de contraseñas. Tan solo afirma que queda claro que el procedimiento que estaba vigente no cumplía con los mínimos de seguridad y robustez para garantizar la confidencialidad de los datos. Y ello máxime cuando existía un riesgo claramente previsible para el responsable del tratamiento de que el anterior encargado dispusiera de información que le permitiera vulnerar esa confidencialidad. Procede, en consecuencia, desestimar esta alegación QUINTA. Rol del responsable del tratamiento AXA como responsable del tratamiento, afirma que habría establecido a su encargado las obligaciones de tratamiento de datos personales, conforme a sus instrucciones y además, la de devolver o destruir dichos datos tras la finalización del contrato. En este sentido, los hechos imputados implicarían que ***EMPRESA.1 ha tratado los datos para sus propios fines y ello implicaría su propia responsabilidad, tal y como expresamente prevé el artículo 28.10 del RGPD. Con ello, los hechos imputados no determinarían una falta de medidas del responsable del tratamiento; sino que es ***EMPRESA.1, como encargado del tratamiento, quien habría incumplido las instrucciones del responsable; y con ello sería quien incurre en un incumplimiento normativo de las obligaciones que recoge el RGPD para los encargados del tratamiento, en sus artículos 28, 33 y 82. Para contestar a esta alegación basta con indicar que el objeto de este procedimiento sancionador no es la posible responsabilidad en que pudiera incurrir ***EMPRESA.1 por un tratamiento no legitimado de datos personales. Por el contrario, se sanciona por la falta de adopción por parte de AXA de medidas adecuadas de todo tipo que garanticen la seguridad de los datos personales. Ello se materializa en el establecimiento por AXA de un procedimiento de recuperación o generación de una nueva contraseña que no reunía suficientes medidas técnicas y organizativas para garantizar la confidencialidad de los datos personales, conformes de detalla a lo largo de esta resolución. En consecuencia, debe desestimarse la alegación SÉPTIMA. Proporcionalidad de la sanción En este apartado AXA incluye alegaciones en relación con las circunstancias tenidas en cuenta para la determinación de la cuantía de la sanción. En primer lugar, debe señalarse que alega que discrepa sobre las circunstancias agravantes tenidas en consideración en este procedimiento para la determinación de la cuantía de las sanciones. En relación con esta alegación, cabe apreciar dos aspectos fundamentales. En primer lugar, la parte reclamada califica la totalidad de circunstancias apreciadas en el acuerdo de inicio como “agravantes”. Y debe aclarase que ello no es así. De acuerdo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/53 con la Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, de 24 de mayo de 2023, del Consejo Europeo de Protección de Datos Directrices (en lo sucesivo, la Guía de multas), de cara a determinar la cuantía de la sanción se siguen fases sucesivas. Una primera fase es la determinación de la cuantía inicial de la sanción. Viene contemplada en el Capítulo 4 “Punto de partida para el cálculo” de la Guía (apartados 46 y siguientes). Para el cálculo de la cuantía inicial se tienen en cuenta determinados aspectos señalados expresamente en la guía. Y entre ellos se encuentra (aparte, de, como es obvio del volumen de negocio) la “naturaleza, gravedad y duración de la infracción” (apartados 53 y siguientes); el “carácter intencional o negligente de la infracción” (aptdos 55 y sigs), y las “Categorías de datos personales afectados” (aptdos 57 y sigs). La aplicación de estas circunstancias determina la que sería la cuantía básica de la multa, sobre la que, ya sí, se aplicarían las circunstancias agravantes o atenuantes. En el presente procedimiento, para cada infracción se ha tenido en cuenta, de cara al cálculo de la cuantía inicial, las circunstancias determinadas en el mencionado capítulo 4 de la guía. En concreto, el volumen de negocio, la gravedad de la infracción y el grado de intencionalidad o negligencia que se produce y, en su caso, el tipo de datos personales afectados. Y posteriormente se ha apreciado la concurrencia de circunstancias agravantes. Entre ellas, la vinculación de la parte reclamada con el tratamiento de datos personales. Así lo expresó el acuerdo de inicio del procedimiento, distinguiendo entre circunstancias para la determinación de la cuantía, y, posteriormente, agravantes o atenuantes. Circunstancias del artículo 5.1.
  27. f)RGPD En primer lugar, considera que al motivar la “Intencionalidad o negligencia” (circunstancia artículo 83.2.
  28. b)RGPD) el acuerdo de inicio únicamente se referiría a la producción de un resultado, sin acreditar la concurrencia al menos de negligencia. Ello no es así. De hecho, en la motivación de la concurrencia de esta circunstancia, en el acuerdo de inicio se indicaba que “no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]” En todo caso, como ya se ha indicado, en la propuesta de resolución se procedió al mantenimiento únicamente de la imputación de la infracción del artículo 5.1.
  29. f)RGPD. Y se motiva, en el apartado de cuantificación de la sanción, al que nos remitimos, que concurre claramente una negligencia en la infracción, al mantener AXA un procedimiento de generación o recuperación de contraseñas claramente débil al no tener en cuenta que la información requerida telefónicamente puede estar en posesión de sujetos distinto del titular y, además, el precedente inmediato de ruptura inamistosa con el anterior agente de seguros, lo que podía incrementar los riesgos de accesos no autorizados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/53 En relación con la agravante de vinculación el tratamiento habitual de datos personales. (artículo 76.2.
  30. b)LOPDGDD), considera que esta circunstancia debe estar relacionada directamente con el supuesto concreto. Y en este caso, afirma AXA, la infracción habría sido cometida por la actividad de un tercero. Como es fácilmente entendible, esta agravante prevista en el artículo 76 LOPDGDD se refiere a la cualidad del sujeto responsable del tratamiento. Y en este caso lo es AXA como gran empresa de seguros cuyo tráfico jurídico se relaciona clara y directamente con el tratamiento habitual de datos personales. Ello con objeto de gestionar la contratación, modificaciones, extinciones y, por ejemplo, reclamaciones relativas a los contratos que gestiona. Y no cabe duda de que los hechos están también directamente relacionados con dicho tratamiento habitual, toda vez que se ha producido un acceso no autorizado a datos personales de un cliente de AXA a través del área de clientes de la página web. Así se motiva en el acuerdo de inicio del procedimiento sancionador: “AXA, en ejercicio de su actividad, gestiona tanto sus seguros como su protección financiera, ahorros e inversiones inmobiliarias dando servicio a las necesidades financieras de clientes, particulares y empresas. En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales“ A este respecto cabe traer a colación la Sentencia de la sala de lo contencioso administrativo de la Audiencia Nacional de 04/07/2024, que, en relación con esta circunstancia agravante, declara: “Como igualmente, [es correcta] la apreciación de la vinculación de la actividad del infractor con la realización de tratamientos de datos personales (art. 72.2.
  31. b)la Ley Orgánica 3/2018, de 5 de diciembre), debido a que la actividad de la parte recurrente está vinculada con el tratamiento de datos tanto de clientes como de terceros; es conocida la citada vinculación ya que la entidad por su actividad está en permanente contacto con clientes y terceros tratando un gran volumen de datos, lo que le impone un mayor deber de diligencia.” En consecuencia, debe desestimarse esta alegación Circunstancias del artículo 32 RGPD En relación con la circunstancia de la intencionalidad o negligencia en la infracción (artículo 83.2.
  32. b)RGPD). al igual que para el artículo 5.1.f), considera que la motivación tiene un enfoque de responsabilidad objetiva. No puede considerarse que esto sea así, toda vez que el acuerdo de inicio motiva adecuadamente la consideración de esta circunstancia: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/53 “Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]” Con independencia de lo anterior, como ya se ha indicado, desde la propuesta de resolución se mantiene únicamente la imputación del artículo 5.1.f). En relación con la circunstancia relativa a las categorías de datos afectadas (artículo 83.2.
  33. g)RGPD), AXA alega que el acuerdo de inicio menciona la afectación de datos personales de “medios de pago”. Sin embargo, su normativa (Real Decreto Ley 19/2018, de 23 de noviembre, de Servicios de pago, indica en su artículo 3.12 que “Por lo que respecta a las actividades de los proveedores de servicios de iniciación de pagos y los proveedores de servicios de información sobre cuentas, el nombre del titular de la cuenta y el número de la misma no constituyen datos de pago sensibles.” Como contestación es preciso señalar que la tipología de datos afectados, como ya se ha explicado, no constituye una circunstancia agravante, sino una que se tiene en cuenta, es decir, los datos que han resultado afectados, para la determinación inicial de la cuantía de la sanción, antes de la aplicación, de haberlas, de circunstancias agravantes o atenuantes. En este sentido, el acuerdo de inicio explicita que se han visto afectados “datos especialmente relevantes para los afectados, incluidos datos de naturaleza financiera, como métodos de pago.”. No hace ninguna referencia a datos de carácter “sensible” como alega AXA. Recordemos también en este punto que las ya mencionadas Directrices sobre el cálculo de multas disponen en su apartado 57 lo siguiente: En cuanto al requisito de tener en cuenta las categorías de los datos personales afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicaciones privadas, números de identificación nacionales o datos financieros, como resúmenes de operaciones o números de tarjetas de crédito).En general, cuantas más de estas categorías de datos estén implicadas o más sensibles sean los datos, más peso podrá atribuir la autoridad de control a este factor. En relación con la agravante relativa a la vinculación tratamiento habitual de datos personales (artículo 76.2.
  34. b)LOPDGDD) considera AXA que el mero hecho de la determinación de cuál es la actividad económica del responsable no puede ser una agravante aplicable de manera automática. Ello provocaría indefensión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/53 Basta con remitirnos a la contestación a la circunstancia idéntica de la infracción anterior, cuya doctrina se encuentra refrendada por la también mencionada Sentencia de la Audiencia Nacional que allí se reproduce. Atenuante que concurrirían. En este apartado, AXA alega que existen circunstancias que deberían ser tomadas como atenuantes de la responsabilidad. Se trataría de las siguientes: - Procedió la parte reclamada a corregir y adoptar medidas para mitigar las consecuencias derivadas de la brecha, así como prevenir posibles supuestos similares (Art. 83.2 c). En relación con esta posible atenuante, los apartados 75 – 76 de la ya referida Guía de multas, que establecen lo siguiente: “ La adopción de medidas adecuadas para paliar los daños y perjuicios sufridos por los interesados puede considerarse un factor atenuante que reduce la cuantía de la multa.” (punto 75) Es más probable que las medidas aplicadas espontáneamente antes de que el responsable o encargado del tratamiento tenga constancia del inicio de la investigación de la autoridad de control sean consideradas como un factor atenuante.” (punto 76) En relación con esta alegación, es preciso analizar la redacción de la posible atenuante, tanto en el RGPD como en la Guía de multas. Se hace referencia a la adopción de medidas para “paliar los daños y perjuicios sufridos por los interesados”. Debe señalarse que AXA invoca esta circunstancia de manera genérica, sin motivar qué medidas habría adoptado. En caso de referirse, como parece plausible, al fortalecimiento del procedimiento de contraseñas, por muy loable que esta actuación sea, resulta claro que no evita ni palia los daños sufridos por el afectado, toda vez que la confidencialidad de sus datos ya se había visto vulnerada. La evitación de futuros incidentes en nada atenúa ni palia los daños que suponen la pérdida del poder de disposición de sus datos personales. No resulta posible, en consecuencia, aplicar esta circunstancia atenuante. - En ningún momento se habrían tratado categorías especiales de datos (Art.83.2 g). Como ya se ha indicado, se trata esta circunstancia una de las previstas en la guía de multas para la determinación de la cuantía básica. En esta resolución se explicitan cuáles habrían sido los datos personales afectados, a efectos de ser tenidos en cuenta en la determinación de la cuantía - El grado de cooperación de AXA con la AEPD con el fin de poner remedio a una supuesta infracción y mitigar sus posibles efectos adversos: alega, que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/53 ha contestado en tiempo y forma a todos los requerimientos de información solicitados por esta Agencia, en línea con la práctica habitual de esta mercantil de total colaboración con la autoridad de protección de datos (Art. 83.2
  35. f)RGPD). A este respecto, los apartados 96 y 97 de la Guía de multas imponen un doble requisito para que esta circunstancia pueda aplicarse como atenuante. En primer lugar, como la propia parte reclamada indica en sus alegaciones, que la cooperación vaya más allá del deber ordinario de colaboración con la autoridad de control. En efecto, la Guía señala que debe considerarse que el deber ordinario de cooperación es obligatorio y, por lo tanto, debe considerarse neutral (y no un factor atenuante). En este caso, todas las actuaciones que podrían ser calificadas como “cooperación” con la autoridad de control se enmarcan dentro del deber de colaboración. En este sentido, la información y documentación aportada lo han sido en contestaciones a requerimientos de esta Agencia. El segundo requisito consiste en que la colaboración haya tenido como efecto “limitar o evitar las consecuencias negativas para los derechos de los particulares que de otro modo podrían haberse producido”. Lo que como hemos visto no sucede en este caso, toda vez que las actuaciones han tenido como objetivo restaurar el servicio y evitar futuros incidentes, pero no evitar o paliar los daños sufridos por los afectados, cuyo poder de disposición sobre sus datos personales se había ya visto afectado. Así lo declara la Sentencia de la Audiencia Nacional de 10/02/2023, que afirma: “Las atenuantes alegadas no son de aplicación al caso; así la pretendida colaboración con la AEPD se produce casi dos meses después de la infracción en respuesta a una solicitud de información por la propia Agencia y resultaba inocua para poner remedio a la infracción o mitigar sus posibles efectos adversos, como exige el art. 83.2
  36. f)RGPD; en cuanto a la ausencia de conducta culposa o negligente, ha quedado acreditada la conducta negligente en el tratamiento de datos, que constituye el elemento culposo de la infracción, de modo que tampoco puede atenuar sus efectos de la infracción.” Tampoco resulta posible, en consecuencia, aplicar esta circunstancia atenuante. - La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42 (Art. 83.2 j). Adicionalmente a la información que ya consta en el presente con relación a las medidas adoptadas por AXA, aportando Certificación ISO/IEC 27001:2013 En relación con esta circunstancia, debe aclararse que esta certificación está relacionada con el cumplimiento de normas sobre seguridad de la información. Es decir, se elaboran y aplican desde el punto de vista de los riesgos para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/53 organización, no de los derechos y libertados de los afectados en sus datos personales. De hecho, el apartado 105 de la Guía de multas, en relación con esta circunstancia, se refiere a los códigos de conducta previstos en el artículo 40 y siguientes del RGPD. Estos se elaboran bajo la óptica de la protección del derecho fundamental a la protección de datos y (artículo 38.3 LOPDGDD) serán aprobados por la autoridad de control. Lo que no sucede en el presente caso. No puede aplicarse, en consecuencia, esta atenuante sugerida - El inexistente beneficio obtenido por parte de AXA en el supuesto de hecho que ocupa este procedimiento. En todo caso, AXA se habría visto perjudicada, como ya se ha señalado, siendo parte perjudicada de la actuación irregular de ***EMPRESA.1 (Art. 83.2 k). Debe afirmarse ya de inicio que este precepto sólo puede considerarse como agravante, en caso de concurrir la obtención. Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.
  37. k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios. Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, admitir la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
  38. k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. Es pertinente citar la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, que indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
  39. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/53 ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
  40. c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante. IV. Alegaciones a la propuesta de resolución y contestación a las mismas A continuación se analizan y contestan las alegaciones que AXA ha presentado sobre la propuesta de resolución. Se sigue el orden expositivo del escrito de alegaciones. PRIMERA. – DE LA CADUCIDAD DE LAS ACTUACIONES PREVIAS DE INVESTIGACIÓN Reitera en este apartado AXA una de las alegaciones que ya formuló en relación con el acuerdo de inicio del procedimiento. Insiste en que el plazo para la realización de actuaciones previas de investigación por parte de esta Agencia habría caducado antes del inicio del procedimiento sancionador. Y ello porque considera que el inicio del plazo (“dies a quo”) se produce en el momento en que recibió el “primer requerimiento” por parte de esta Agencia. Desde ese momento hasta la notificación del acuerdo de inicio del procedimiento habría transcurrido un período superior a los 18 meses que prescribe el artículo 67 LOPDGDD. En la contestación a dicha alegación, en la propuesta de resolución se indicó que lo que AXA considera como inicio de las actuaciones previas no es sino el escrito de traslado de la reclamación, un trámite previsto en el artículo 65.4 de la LOPDGDD y previo al inicio de las actuaciones previas de investigación. Estas se inician en el momento de la admisión a trámite (art. 67.2 LOPDGDD). A este argumento, como decimos ya incluido en la propuesta de resolución, AXA ahora opone el argumento de que, pese al “criterio formal” de la AEPD de considerar que el plazo para las API comienza con la admisión a trámite, lo que la AEPD denomina “traslado” tendrían realmente naturaleza de actuaciones previas de investigación “de facto”, ya que se requería a su entidad para que contestase un importante número de cuestiones, lo que implicaría una cierta actividad investigadora. En relación con esta alegación debe contestarse lo siguiente. Los artículos 64 y siguientes de la LOPDGDD determinan cuál es el procedimiento que la AEPD debe seguir para la tramitación de las reclamaciones que reciba por presunta vulneración de la normativa sobre protección de datos personales. Y para ello establece varias fases claramente diferenciadas: - En primer lugar, hay un juicio sobre admisibilidad a trámite de la reclamación. Los apartados 2 y 3 del artículo 65 establecen las causas de inadmisibilidad a trámite. Y de cara a la adopción de la decisión sobre dicha admisión, el apartado 4 del mencionado artículo establece un trámite facultativo, cual es el traslado de la reclamación al responsable del tratamiento, de modo que, en su contestación, este pueda transmitir información y documentación que contribuya a la adopción de dicha decisión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/53 - En segundo lugar, tras la admisión a trámite, en caso de que la AEPD considere que son necesarias gestiones adicionales para adoptar una decisión, ya sobre el inicio de posible procedimiento sancionador o, por el contrario, el archivo de actuaciones, la Agencia puede abrir un período de actuaciones previas de investigación. Este período comienza tras la admisión a trámite y concluye con la mencionada decisión. Y para ello, el artículo 67 de la LOPDGDD establece un plazo máximo de 18 meses - Finalmente, el propio procedimiento sancionador, que, en caso de realizarse actuaciones previas, comenzará tras estas mediante el acuerdo de inicio y tiene un plazo máximo de 12 meses (artículo 64.2 LOPDGDD). Pues bien, todas esas fases procedimentales han sido seguidas en el presente procedimiento. En primer lugar, una vez recibida la reclamación, con fecha de 17/07/2023 fue trasladada a AXA, con objeto de que aportara información y documentación de cara a la decisión sobre admisión a trámite. La reclamación fue admitida a trámite por el transcurso de los tres meses desde su interposición (artículo 65.5 LOPDGDD). Y dicha admisión fue oportunamente notificada a la parte reclamante, como dispone ese mismo apartado. Tras la admisión a trámite se determinó la necesidad de realizar actuaciones previas de investigación. Y ello dio lugar a dos requerimientos sucesivos de la AEPD a AXA (fechas 18/01/24 y 21/06/24). Tras ello, se emitió el informe final sobre las actuaciones previas de investigación (18/07/24) y finalmente se determinó la apertura de procedimiento sancionador mediante acuerdo de inicio de 25/02/25. Se han seguido escrupulosamente todas las fases procedimentales. Y como se motivó en la contestación a las alegaciones al acuerdo de inicio, no se habría producido la caducidad de las actuaciones previas de investigación, ya que la admisión a trámite tiene la fecha de 28/08/24 y la notificación del acuerdo de inicio se produjo el 25/02/25. A esto opone ahora AXA que, si bien formalmente ese sería el procedimiento establecido y seguido por esta Agencia, se estaría utilizando un criterio “formalista”, ya que considera que, de hecho, la solicitud de información que la AEPD hizo en el trámite del traslado verdaderamente podría ser considerada como parte de unas actuaciones previas de investigación. Pues bien, ello no es así. El artículo 65.4, respecto al trámite del traslado de la reclamación indica que: “4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento, al organismo de supervisión establecido para la aplicación de los códigos de conducta o al organismo que asuma las funciones de resolución extrajudicial de conflictos a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica.(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/53 Si como consecuencia de dichas actuaciones de remisión, el responsable o encargado del tratamiento demuestra haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá inadmitir a trámite la reclamación.” Así lo hizo esta Agencia, remitiendo a AXA los datos de la reclamación para que pudiera argumentar en su defensa. Lo más importante es que en la solicitud dirigida a AXA se indica: “De conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a dar respuesta en el plazo de un mes, se envía extractada la información relevante contenida en la reclamación formulada que a continuación se indica.” El escrito deja claro que esta actuación se inserta dentro del trámite de decisión sobre la admisión a trámite. Y tras este trámite se decretó tal admisión a trámite. En relación con el contenido de la solicitud de información, no puede afirmarse que su grado de exhaustividad y concreción sean tales que “de facto” impliquen la realización de una investigación, toda vez que se formula en términos muy genéricos: - - Aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. La decisión adoptada a propósito de esta reclamación. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. Cualquier otra que considere relevante.” Con posterioridad, también es preciso reseñar que los dos requerimientos realizados por la AEPD en el seno de las actuaciones previas de investigación también reflejan de manera clara y precisa el trámite en el que nos encontramos. En ambos documentos se indica que: “En el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos con objeto de aclarar ciertos hechos de los cuales ha tenido conocimiento esta Agencia Española de Protección de Datos, y en uso de las facultades conferidas por el artículo 58.1 del Reglamento (UE) 2016/679 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/53 Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante RGPD), y el art. 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD) se solicita que en el plazo de diez días hábiles presente la siguiente información” Se menciona expresamente el artículo 67 de la LOPDGDD, que regula la fase de actuaciones previas de investigación. También es importante señalar que los escritos de requerimiento finalizan con la advertencia siguiente: “El incumplimiento de esa obligación podría comportar la comisión de la infracción tipificada en el art. 72.1.ñ) de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD.” El artículo 72.1.ñ) califica a efectos de prescripción la infracción consistente en “ ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.” Obsérvese que esta advertencia no figura en el escrito de traslado de la reclamación porque no se encontraba dentro de la fase de investigación, sino la de traslado previo de cara a la decisión sobre admisión a trámite. Por todo ello, debe concluirse que el traslado de la reclamación, ni por motivos de forma ni de fondo constituyen un trámite de “actuaciones previas de investigación”, sino que, además de un trámite potestativo como señala el art. 65.4 de la LOPDGDD, su finalidad es aclarar las circunstancias señaladas en la reclamación al objeto de proceder o no a su admisión a trámite. Y con ello, tal y como preceptúa el artículo 67.2 de dicha ley, el plazo para la realización de dichas actuaciones previas comienza a contar en el momento de la admisión a trámite. SEGUNDA. – SOBRE EL SUPUESTO DE HECHO En relación con el supuesto de hecho que da lugar a la comisión de la infracción, AXA realiza las siguientes consideraciones: En cuanto a la duración de la infracción, AXA solo reconoce dos accesos puntuales y concretos: día 22/05/23 en que se produjo el cambio de contraseña, y día 27/06/23 en que consta un “último acceso”. Se trataría únicamente de dos accesos concretos, sin que estos se hayan producido de manera continuada en el tiempo. Con ello, afirma AXA, no podría considerarse constatada una “duración de la infracción” de un mes. Posible recurrencia de hechos como los analizados. En este apartado, AXA se refiere al correo electrónico mediante el cual un agente de dicha empresa contestó a la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/53 reclamante. En el mismo se afirmaba que hechos como los que han dado lugar al presente procedimiento eran recurrentes. Dicha afirmación, indica AXA, no sería cierta. El agente la habría incluido con el ánimo de “transmitir cierta tranquilidad” al cliente y en todo caso, dicho agente no estaría en posesión de esa información. Se refiere asimismo AXA al pleito civil que ha mantenido con ***EMPRESA.1. De acuerdo con la Sentencia de 16/07/24 (que no ha sido aportada al procedimiento) el tribunal declara probada “la concurrencia de causa justa que motivó la resolución contractual” Todos estos aspectos, alega AXA, deben ser tenidos en consideración, ya que tienen impacto considerable en su posible responsabilidad. Finaliza indicando que la AEPD no puede tener en cuenta ningún hecho que no se encuentre acreditado documentalmente En relación con esta alegación debe contestarse lo siguiente: en primer lugar, se desconoce a qué efectos se realiza la alegación de la duración de la infracción. En la misma, AXA insiste en que no se habrían producido unos accesos continuados a los datos personales durante el período transcurrido entre el cambio de la contraseña (22/05/23) y el último acceso registrado (27/06/23). Por el contrario, indica AXA, solo estarían constatados esos dos accesos concretos. En esta alegación, AXA no niega que los accesos se produjeran (de hecho, más tarde reconoce que se produjo la pérdida de confidencialidad de los datos, si bien de manera puntual). Por otro lado, en la propuesta de resolución no se tomaba en consideración la duración de la infracción para la determinación de la cuantía. Ni se hace tampoco en esta resolución. En todo caso, aun en el caso de que los accesos se produjeran de manera puntual y concreta, queda claro que concurrieron los dos requisitos para que se produzca una vulneración del artículo 5.1.
  41. f)del RGPD: por una parte se produjo el resultado de pérdida de confidencialidad y por otro la ausencia de medidas eficaces para salvaguardarla se prolongó durante todo el tiempo, ya que de lo contrario no habría sido posible el último acceso de 27/06/23. Tampoco tiene virtualidad alguna en este expediente la alegación relativa al correo electrónico que el agente de AXA remitió a la parte reclamante. En el mismo, dicho agente da a entender que hechos como los que han originado este procedimiento son recurrentes. En todo caso, como decimos, este factor no tiene trascendencia en el procedimiento, toda vez que se están tomando en consideración solo la pérdida de confidencialidad asociada a los datos de la parte reclamante y la falta de medidas técnicas u organizativas que dicha pérdida ha puesto de manifiesto. Y no la posible recurrencia de los hechos. Finalmente, el hecho de haber obtenido un pronunciamiento judicial favorable en relación con la rescisión del contrato con su exagente ***EMPRESA.1 no incide tampoco en la responsabilidad de AXA. Y ello porque el objeto de los dos procedimientos (el judicial del orden civil y este sancionador por la vulneración de la normativa de protección de datos) tienen objetos diferentes. En el presente procedimiento sancionador se reprocha a AXA la inexistencia de un procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/53 eficaz y seguro para el cambio de contraseña para el acceso al área de clientes “MYAXA”. Por su parte, el objeto del pleito civil era la procedencia, o no, de la rescisión del contrato de agencia entre AXA y ***EMPRESA.1. Debe rechazarse, por lo tanto, esta alegación TERCERA. – DE LA SUPUESTA INFRACCIÓN DEL ARTÍCULO 5.1 F) En general, a lo largo de este extenso apartado, AXA realiza un despliegue argumental para acreditar que no le puede ser imputada una falta de medidas técnicas u organizativas para garantizar la integridad y confidencialidad de los datos personales respecto de los cuales ostenta la condición de responsable del tratamiento. Comienza indicando que, en relación con la presunta falta de medidas, sus sistemas de información están diseñados de modo que los agentes de AXA solo tienen acceso a los datos de pólizas concretas que gestionan. Con ello, los únicos que pueden conocer los datos necesarios para cumplimentar el procedimiento de cambio de contraseña son el titular de la póliza y el agente que intervino, mientras esta se encuentra vigente En la propuesta de resolución, se afirma que AXA debió tener en cuenta el riesgo de acceso no autorizado que podía producirse por el contexto de la ruptura inamistosa del contrato. Sin embargo, opina AXA, este hecho nunca puede legitimar un uso ilícito ni una suplantación dolosa. En relación con dicho riesgo, no cabe presumir que se vaya a producir una actuación de mala fe del exagente por el mero hecho de que se produzca la resolución del contrato. De este modo, no se puede afirmar que exista un riesgo apreciable en que los agentes de AXA pretendan suplantar la identidad de sus clientes para acceder a su área privada MY AXA Hace referencia AXA a la Sentencia de la Sección 1º de la Sala de lo Contencioso de la Audiencia Nacional 1066/2023, de 9 de febrero de 2023, que considera que, en ese supuesto, concurría culpabilidad de un operador de telecomunicaciones, ya que para verificar la identidad del cliente solo exigía el dato del nombre y número de teléfono. La sentencia considera que son datos muy básicos y que debieron exigirse datos adicionales, si bien no enumera cuáles. Esta sentencia es interpretada por AXA como como una validación del procedimiento seguido por ella, de exigir el número de póliza y los 4 últimos dígitos de la cuenta corriente. Añade AXA que la propia AEPD, en diversas resoluciones y publicaciones, califica los datos de medios de pago y el nombre de una persona como datos sensibles o con especial relevancia. Y sin embargo, ahora no los consideraría suficientes para evitar una suplantación. Por otra parte, se alega que la AEPD insiste en la propuesta de resolución en que sería necesario que AXA hubiera aportado un documento que acreditara que por parte del encargado del tratamiento se procedió a la destrucción y /o devolución de los datos tratados. A este respecto, afirma que consta en el expediente la declaración de ***EMPRESA.1 de no disponer de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/53 Continúa alegando que, tras la resolución del contrato, AXA habría dado de baja las credenciales del exagente. Y en todo caso, la AEPD no aclara qué otras medidas habría debido adoptar al respecto. En el contrato de encargo se obligaba al encargado a la devolución o destrucción de los datos. De este modo, habría sido ***EMPRESA.1 quien incumplió las instrucciones al continuar con el tratamiento tras la rescisión AXA reconoce la pérdida de confidencialidad de los datos personales del reclamante, pero afirma las medidas eran adecuadas y suficientes. Cuando se tuvo conocimiento de dicha pérdida se eliminó el usuario del reclamante de MYAXA Adicionalmente afirma que la web dispone de un sistema de doble autenticación. Reconoce (como ya se afirmaba en la propuesta de resolución) que es un sistema voluntario para el cliente, pero si el usuario decide no activarlo, esto no podría derivar en una responsabilidad sancionadora para AXA por incumplir la normativa Finalmente indica que se produce una inexistencia de nexo causal entre la suplantación de identidad de la parte reclamante y el posible despliegue de medidas que pueda efectuar AXA. Sería teóricamente posible, afirma, que el exagente hubiese obtenido la información relativa a las credenciales de la reclamante por otros medios, como a través de ella misma, cuando la contactó telefónicamente. Concluye que no se habría desplegado ninguna actividad probatoria en este sentido. En relación con estas alegaciones hay que significar lo siguiente que esta AEPD valora positivamente la medida relativa a que cada agente concreto solo pueda tener acceso a las pólizas en las que él mismo haya intervenido. Lo mismo cabe indicar en relación con la retirada de credenciales tras la resolución del contrato y con la eliminación del propio usuario de la parte reclamante. Son medidas que, si bien fueron adoptadas con posterioridad a los hechos objeto de este expediente, son acogidas de forma favorable y tenidas en cuenta a la hora de imponer la correspondiente sanción en la presente resolución. Considera AXA que una ruptura previa inamistosa con su exagente no constituía un riesgo previsible de mal uso de los datos personales conservados. En efecto, dicho uso es un riesgo más que previsible a la vista de los antecedentes de rescisión unilateral del contrato con ***EMPRESA.1 pero ninguna medida se arbitró al respecto. No obstante, se tiene en cuenta el argumento aportado por AXA según el cual los datos personales tratados por ***EMPRESA.1 han sido destruidos o devueltos tras la rescisión del contrato. Hace referencia AXA a la sentencia de la Audiencia Nacional de 09/02/2023, que consideró insuficiente la medida de exigir únicamente nombre y número de teléfono. Dado que en el procedimiento que nos ocupa se exigían datos adicionales (número de póliza y 4 últimos dígitos de la cuenta corriente), AXA considera que el mismo “incorpora los requisitos identificados por la Audiencia Nacional como acreditativos de un despliegue de diligencia suficiente del responsable del tratamiento.” Realmente la sentencia aludida se limita a establecer que la exigencia de datos tan básicos para la identificación no cumple con las exigencias de seguridad para la misma, ya que razonablemente pueden estar en posesión de terceros. Pero no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/53 determina qué datos adicionales deberían exigirse. Y lo que es claro es que los datos exigidos en este supuesto podían estar en poder de un tercero, máxime a la vista de la ruptura inamistosa previa del contrato y los temores expresados por AXA en sus alegaciones de desvío de clientes a otras aseguradoras. El procedimiento debió reforzarse y esto AXA no lo hizo. Argumenta AXA que esta Agencia considera que datos personales como los relativos a los medios de pago serían especialmente sensibles, mientras que ahora, siendo utilizados por ella como medio de autenticación, no los considera suficientes a estos efectos. En relación con este argumento, debe aclararse que, efectivamente, los medios de pago pueden propiciar suplantaciones de identidad con efectos de pérdidas patrimoniales para sus titulares, pero ello en modo alguno significa que un dato como el número de cuenta corriente sea, per se, suficiente para identificar a un usuario (o en conjunción con el número de póliza). Es precisa la utilización de datos que garanticen que estén únicamente en posesión de quien pretende identificarse. Y en este caso, como hemos visto, existía un riesgo real de que los datos precisos para ello estuvieran en poder de quien hasta hacía escasas fechas había sido encargado del tratamiento, seguido de una ruptura inamistosa. En cuanto al establecimiento de un sistema de doble autenticación como el establecido por AXA para la identificación en el área web, si bien en el supuesto analizado no estaba activado, ha de valorarse de forma positiva. En relación con la actuación dolosa del exagente a la hora de acceder de manera ilegítima a los datos de la parte reclamante, no constituye este un factor que pueda tenerse en cuenta para eximir o atenuar la responsabilidad. Se enjuicia cuáles eran las medidas establecidas para garantizar que el procedimiento de cambio de contraseña era seguro. Y ello precisamente para evitar que los intentos de accesos ilegítimos a los datos personales fructifiquen. Alega AXA que no se habría desplegado una actividad probatoria suficiente para demostrar que el acceso a los datos de parte reclamante se debiera a la posible falta de medidas. Esto no es así, sino que constan en el expediente indicios más que suficientes para acreditar este nexo causal: - La parte reclamante recibió una llamada telefónica del exagente de AXA - El mismo día dicha parte reclamante recibió dos SMS de la parte reclamada facilitando una clave temporal para acceder a su área de cliente. Minutos más tarde recibe un mensaje de correo electrónico del departamento de seguridad de la parte reclamada, indicando que han cambiado sus datos de acceso y que ya puede acceder a su espacio personal - Estos hechos son incompatibles con la premisa aporta por AXA de que “sería teóricamente posible que el exagente hubiese obtenido la información relativa a las credenciales de la reclamante por otros medios, como a través de ella misma, cuando la contactó telefónicamente” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/53 - AXA ha reconocido expresamente que tras realizar las investigaciones oportunas, el 22 de mayo de 2023 se confirma el cambio de la clave, y que el 27 de junio de 2023 a las 8:35 horas se produce la última entrada en “MYAXA”. - Asimismo, en el correo electrónico que AXA remite a la parte reclamante se reconoce literalmente que “Después de la conversación de esta mañana por asunto de referencia, permítame por favor en primer lugar trasladarle de nuevo mis disculpas por el trato recibido en nuestras oficinas, producto sin duda de una situación tensionada por acciones que claramente son, como mínimo, una ilegal manipulación de sus datos por anteriores gestiones de sus contratos AXA.” - Todo ello acompañado de los hechos relativos a la ruptura inamistosa del contrato de AXA con ***EMPRESA.1 y la inexistencia de un certificado acreditativo de que por parte de esta última se hubiera procedido a la destrucción o devolución de los datos personales objeto de tratamiento como encargado. Por todos los argumentos aportados, debe rechazarse esta alegación. CUARTA. - SOBRE EL ROL DEL RESPONSABLE DEL TRATAMIENTO Y LA RESPONSABILIDAD ASOCIADA Si bien AXA reconoce que con carácter general las obligaciones del RGPD recaen sobre el responsable del tratamiento, afirma que también el encargado puede ser objeto de responsabilidad de acuerdo con el artículo 28.10 del Reglamento, que establece dicha responsabilidad cuando trate los datos para sus propios fines, apartándose de las instrucciones del responsable. En relación con este aspecto, señala que ***EMPRESA.1 habría incumplido el contrato y conservado los datos. De este modo, reitera AXA, la quiebra de la confidencialidad no estaría relacionada con una posible falta de medidas, sino por actuación ilícita del responsable Concluye AXA afirmando que, e

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.