1/18 Procedimiento Nº PS/00395/2016 RESOLUCIÓN: R/00376/2017 En el procedimiento sancionador PS/00395/2016, instruido por la Agencia Española de Protección de Datos a la entidad BBVA Mediación, Operador de Banca Seguros Vinculado, S.A., BBVASEGUROS, S.A. de Seguros y Reaseguros vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 05/10/2015 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo la denunciante), en el que declara que el Banco Bilbao Vizcaya Argentaria, S.A. (en lo sucesivo BBVA), ha tramitado sin su consentimiento el alta de un seguro que le han cobrado. Este seguro ha sido emitido por BBVASEGUROS S.A. de Seguros y Reaseguros (en lo sucesivo BBVASEGUROS). La reclamante aporta copia de una póliza de seguros de fecha 11/09/2015 sin su firma y contiene una cláusula a favor de BBVA como acreedor hipotecario. También aporta copia de una póliza contratada con MAPFRE que incluye los daños por incendio y que está a favor de BBVA. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a BBVA y BBVA Seguros, teniendo conocimiento de lo siguiente: Los representantes de BBVA Seguros aportan copia del contrato de seguros a nombre de la reclamante con fecha de efecto 05/03/2008 y fecha de vencimiento 05/03/2013, la firma que consta en el documento es similar a la que figura en el pasaporte de la denunciante, aportado también por los representantes de la aseguradora junto con un certificado de su inscripción en el Registro Central de Extranjeros. La documentación aportada por BBVA Seguros corresponde al producto denominado “BBVA CONUMO P.I.D.E.” El contrato que aporta la reclamante y que dice no haber solicitado corresponde a un “SEGURO BBVA INCENDIOS” y tiene como fecha de efecto 11/09/2015 con BBVA Seguros y mediado por BBVA Mediación, Operador de Banca Seguros Vinculado, S.A. (en lo sucesivo BBVA Mediador). TERCERO: Con fecha 3/09/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BBVA Seguros, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma y a BBVA Mediador, por presunta infracción del artículo 11.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- k)de dicha norma, pudiendo ser sancionadas cada una con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de BBVA Mediación mediante escrito de fecha 05/10/2016 solicitó ampliación del plazo para alegaciones; el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 instructor del procedimiento le respondió en fecha 07/10/2016 ampliando el citado plazo. La representación de BBVA Seguros se personó en la Agencia el 10/10/2016 para tomar vista del expediente y mediante e-mail de misma fecha aportó la correspondiente escritura de poder. En fecha 14/10/2016 las representaciones de BBVA Seguros y BBVA Mediación presentaron escrito de alegaciones formulando en síntesis las siguientes: que el tratamiento de los datos de la denunciante tenía por finalidad dar cumplimiento al compromiso de las adquirentes de facultar al Banco para la contratación del seguro descrito en la escritura de préstamo hipotecario; que tanto la compañía aseguradora como el operador de banca seguros solicitaban el archivo del procedimiento. QUINTO: Con fecha 19/10/2016, se inició un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/07907/2015. Dar por reproducidos a efectos probatorios, las alegaciones al acuerdo de inicio PS/00395/2016 presentadas por BBVA Seguros y BBVA Mediación y la documentación que a ellas acompaña. Solicitar a BBVA Mediación copia del contrato de cesión de redes de distribución entre BBVA y BBVA Mediación; acreditar el consentimiento de la denunciante para la cesión de sus datos de carácter personal a BBVA Seguros para la contratación de la póliza de hogar ***PÓLIZA.1. Solicitar a BBVA Seguros Contrato de Agencia de Seguros suscrito con BBVA Medidor y acreditar el consentimiento de la denunciante para la contratación de la póliza de hogar ***PÓLIZA.1. Solicitar a BBVA copia completa de la escritura de préstamo hipotecario suscrita por la denunciante con BBVA, en la que la denunciante apodera a BBVA para contratar el seguro de incendio y de daños. Solicitar a la denunciante copia de toda la documentación que obre en su poder relacionada con el procedimiento sancionador que por cualquier motivo no hubiera sido aportada en el momento de la denuncia ó cualquier otra manifestación en relación con los hechos denunciados; copia de las condiciones particulares del seguro suscrito con Seguros MAPFRE y copia completa de la escritura de préstamo hipotecario suscrita por la denunciante con BBVA. Solicitar a MAPFRE copia de las condiciones particulares del seguro suscrito con la denunciante. Solicitar a DIVINA PASTORA copia de las condiciones particulares del seguro suscrito con la denunciante. Las representaciones de BBVA Seguros, BBVA Mediación, BBVA, Divina Pastora y Mapfre dieron respuesta a las pruebas acordadas cuyo contenido obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 SEXTO: En fecha 12/12/2016, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a BBVA Seguros y BBVA Mediación por infracción de los artículos 6.1 y 11.1 de la LOPD, tipificadas como grave en los artículos 44.3.
- b)y 44.3.
- k)de dicha norma, con multa de 50.000 € (cincuenta mil euros) a cada una de ellas, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. Las representaciones de BBVA Seguros y BBVA Mediación mediante escritos de 04/01/2017 reiteraban las alegaciones realizadas con anterioridad y, además, mostraba su disconformidad con la sanción propuesta, la aplicación errónea de la circunstancia prevista en el artículo 45.4.d); que solo una de las entidades puede ser responsable de los hechos pero no ambas; la existencia de consentimiento por parte del tomador; sobreseimiento y archivo del expediente. HECHOS PROBADOS PRIMERO. En fecha 05/10/2015, tuvo entrada en esta Agencia Española de Protección de Datos escrito de la afectada en el que denuncia a BBVA por la contratación de un seguro de hogar sin su consentimiento, habiéndole pasado al cobro el recibo de la prima correspondiente (folios 1). SEGUNDO. La denunciante aporta copia de su NIE nº ***NIE.1, de su pasaporte y el Certificado de Registro de Ciudadano de la Unión (folios 4 a 6). TERCERO. Consta acreditado copia de las Condiciones Particulares de Seguro BBVA Incendios; en la cabecera figuran BBVA Seguros y BBVA Mediador, póliza nº ***PÓLIZA.1/00000, emitida el 11/09/2015, con fecha de efectos 11/09/2015 y vencimiento 10/09/2016, anual prorrogable, importe de la prima 93,80 y pago trimestral; como tomador figura la denunciante, constando los datos correspondientes a nombre y apellidos, NIE, domicilio; como riesgo asegurado figura (C/...1), Santander; consta clausula a favor de acreedor hipotecario: la entidad crediticia BBVA; la citada póliza no figura firmada por el tomador (folios 9 a 15). CUARTO. En los archivos informatizados de BBVA Seguros constan asociados a los datos del denunciante a la póliza de seguro de hogar nº ***PÓLIZA.1/00000 (folios 87 y ss). QUINTO. Consta comunicación de BBVA Seguros dirigida al denunciante agradeciendo la confianza depositada en la entidad al decidir la contratación del seguro. Asimismo ofrece información del contenido de la póliza, de la legislación aplicable y la entidad que participa en la mediación del mismo, BBVA Mediación (folios 7 y 8). SEXTO. Consta escritura de novación préstamo hipotecario formalizada en Madrid, ante el Notario D. B.B.B., el 21/12/2012 por BBVA y la denunciante, en relación con la vivienda situada en (C/...1), en Santander; en su Cláusula Adicional, punto I) se señala que “Las partes acuerdan modificar, a todos los efectos sin carácter retroactivo, el contenido de los siguientes pactos que se hallen establecidos en la escritura de préstamo objeto de modificación, en las posibles escrituras de novación del mismo y en la presente (en adelante “el contrato” para referirnos a todos las citadas escrituras), en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 aquello que se diferencie de los términos y condiciones que aquí se regulan:…”. Entre las cláusulas de garantía, el apartado B), del epígrafe Conservación de la garantía, señala “A tener asegurado el inmueble del riesgo de incendios y otros daños durante el presente contrato, al menos en las condiciones mínimas exigidas por la legislación vigente reguladora del mercado hipotecario, a nombre del Banco por cuenta y riesgo de la parte prestataria. El deudor faculta al Banco para contratar el seguro de incendio y de daños, por cuenta del adquirente, así como abonar las primas que se deban al asegurador y cargarlas en cuenta de la parte prestataria, en el caso de que requerida ésta a tal efecto por el Banco no procediere a su contratación en el plazo de quince días desde la recepción de dicho requerimiento” (folios 320 y 321). SEPTIMO. BBVA Seguros no ha podido acreditar que cuente con el consentimiento del denunciante para la contratación de la póliza nº ***PÓLIZA.1/00000. OCTAVO. BBVA Mediador no ha podido acreditar que cuenta con el consentimiento del denunciante para la cesión de sus datos de carácter personal a BBVA Seguros con motivo de la contratación de la póliza nº ***PÓLIZA.1/00000. NOVENO. La denunciante ha aportado copia de las Condiciones Particulares de Seguro Multiriesgo del Hogar Básico suscrito con la entidad aseguradora Divina Pastora, nº de póliza ***PÓLIZA.2, emitida el 29/10/2015, con fecha de efectos 01/11/2015 y vencimiento 31/10/2016, anual renovable automáticamente por periodos anuales sucesivos; importe de la prima 54,32 euros y pago anual; como tomador figura C.C.C., con NIE ***NIE.1, constando los datos correspondientes a nombre y apellidos, NIE, domicilio, teléfono, correo electrónico; como riesgo asegurado figura (C/...1), -Santander; consta clausula a favor del acreedor hipotecario, la entidad crediticia BBVA (folios 50 y 51). Divina Pastora en escrito de fecha 19/11/2016 ha indicado: “PRIMERO.- “Que en las bases de datos de esta entidad,…, consta que Dª C.C.C., con NIE…, contrato el día 27 de octubre de 2015 un seguro de Hogar Básico con entrada en vigor o fecha de efecto 1 de noviembre de 2015. SEGUNDO.- Que dicho contrato se ha renovado automáticamente por otro periodo anual en fecha 1 de noviembre de 2016 encontrándose en la actualidad en vigor” (folio 395). También consta copia de las Condiciones Particulares de un seguro combinado del hogar, modalidad hogar esencial, contratada con MAPFRE, póliza nº ***PÓLIZA.3, con fecha de efectos 31/10/2012; anual prorrogable, prima 53,94 euros; como tomador figura D.D.D., constando los datos correspondientes a su DNI, domicilio, teléfono fijo y móvil; como riesgo asegurado figura (C/...1), -Santander, incluyendo los daños por incendio y daños materiales (folios 389 a 393). MAPFRE en escrito de 30/11/2016 ha indicado que la citada póliza “fue objeto de prórrogas en sucesivas anualidades hasta su anulación al vencimiento en fecha de 31 de octubre de 20415” (folio 388). DECIMO. La denunciante solicito mediante escrito dirigido a la oficina 5880 de BBVA, el 11/11/2015, “devolución de recibo cobrado en mi cuenta de 26,21 euros el día 11/09/2015 y la cancelación de la póliza seguro del hogar, Póliza nº C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 ***PÓLIZA.1/00000”, puesto que tengo un seguro con Divina Pastora” (folio 241). UNDECIMO. BBVA y BBVA Mediador suscribieron el 01/08/2008 Contrato de Prestación de Servicios cuyo objeto es la cesión de la red de distribución de cada una de las entidades de crédito al operador de banca-seguros para la mediación de los productos de seguro y constituyéndose en el responsable de la citada actividad de mediación. Consta Estipulación séptima, Datos de Carácter Personal, de conformidad con el artículo 12 de la LOPD (folios 356 y ss). DUODECIMO. BBVA Seguros y BBVA Mediador suscribieron el 18/07/2007 Contrato de Agencia de Seguros Vinculada, cuyo objeto es la actividad de mediación encomendada a BBVA Mediador por BBVA Seguros. La estipulación 7.1 se señala que el citado Operador tendrá la condición de encargado del tratamiento de la entidad aseguradora, de conformidad con lo previsto en el artículo 12 de la LOPD (folios 341 y ss). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II En el presente procedimiento se imputa a BBVA Seguros la comisión de una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por otra parte, en el párrafo 2 del mismo artículo se determina que: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato”. El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que: “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. En el presente caso, BBVA Seguros trató los datos de carácter personal de la denunciante, materializado en la emisión de la póliza nº ***PÓLIZA.1/00000 correspondiente a un seguro de hogar modalidad BBVA Incendios, en la que figura como tomadora, realizando un adeudo correspondiente al recibo de la prima por un importe trimestral de 26,21 euros en cuenta de su titularidad, sin que haya quedado acreditado que la denunciante hubieran otorgado su consentimiento para el citado tratamiento. BBVA Seguros no ha acreditado que cuente con el consentimiento del denunciante para el tratamiento de sus datos. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo se realizó sin el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 citada entidad tratar los datos del denunciante sin su consentimiento. III Se hace necesario indicar que es a BBVA Seguros a quien le corresponde acreditar el consentimiento inequívoco del titular de los datos tratados. Significativa es en este sentido la sentencia de la Audiencia Nacional de 21/12/2001 en la que se señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Por otra parte, el denunciante niega que hubieran otorgado dicho consentimiento; la Audiencia Nacional en sentencia de fecha 05/03/2014, ha señalado: “Al respecto, resulta significativo que no se haya acreditado por la entidad aseguradora la prestación por la denunciante de su consentimiento inequívoco para la contratación de la póliza de seguro de hogar y, por ende, para el tratamiento de sus datos personales por aquella, pese a recaer sobre tal entidad la carga de tal prueba. Evidentemente, no puede exigirse a la denunciante la prueba de un hecho negativo, la ausencia de consentimiento para la citada contratación, pues supondría una probatio diabólica a su cargo, tal y como la jurisprudencia ha resaltado. Sin embargo, la acreditación de la existencia de tal consentimiento no habría de presentar dificultad alguna para la parte demandante de haber actuado con la diligencia que le resultaba exigible, y esta circunstancia hace también que la carga de la prueba de tal hecho recaiga sobre la compañía sancionada, tal y como corrobora el principio de facilidad probatoria que establece el artículo 217.6 LEC”. Por tanto, corresponde a BBVA Seguros como responsable del tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del denunciante, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento ha sido prestado. IV En el presente procedimiento se imputa a BBVA Mediación la comisión de una infracción del artículo 11.1 de la LOPD, que determina: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. Por otra parte, en el mismo artículo se establece que: “2. El consentimiento exigido en el apartado anterior no será preciso:
- a)Cuando la cesión está autorizada en una Ley.
- b)Cuando se trate de datos recogidos de fuentes accesibles al público.
- c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique... 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores”. BBVA Mediación no ha acreditado, ni justificado que dispusiera del consentimiento de la denunciante para poder ceder sus datos personales a la entidad BBVA Seguros, para la contratación de la póliza nº ***PÓLIZA.1/00000 correspondiente a un seguro de hogar modalidad BBVA Incendios. Los hechos expuestos llevan a concluir que la entidad BBVA Mediación facilitó a la entidad BBVA Seguros los datos personales de la denunciante sin el consentimiento del mismo. Además, el presente supuesto no se ajusta a los previstos en el apartado 2 y siguientes del citado artículo 11 de la LOPD, en los cuales no se requiere el consentimiento de la afectada para la comunicación de los datos a un tercero. V En las Condiciones Particulares de la póliza controvertida, figura en su cabecera la referencia de BBVA Seguros como entidad aseguradora, y BBVA Mediación, como intermediaria en la contratación, que figura “inscrita en el Registro Mercantil de Madrid, … así como en el Registro administrativo especial de mediadores de seguros de la Dirección General de Seguros y Fondos de Pensiones…, con la clave OV-0060” (folio). La propia mediadora en escrito de 14/10/2016 ha manifestado que “En definitiva, en la contratación del seguro de incendios objeto de este expediente, BBVA Mediación ha tenido una intervención de encargado del tratamiento, obrando por cuenta y siguiendo las instrucciones dadas por la compañía de seguros BBVA Seguros” (folio). La Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguro privado, en su Subsección 4, relativo a los Operadores de banca-seguros, que contiene el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 25 “Ejercicio de la actividad de agente de seguros como operador de banca-seguros”, establece, en su punto 1: “1. Tendrán la consideración de operadores de bancaseguros las entidades de crédito y las sociedades mercantiles controladas o participadas por éstas conforme a lo indicado en el artículo 28 de esta Ley que, mediante la celebración de un contrato de agencia de seguros con una o varias entidades aseguradoras y la inscripción en el Registro administrativo especial de mediadores de seguros, corredores de reaseguros y de sus altos cargos, realicen la actividad de mediación de seguros como agente de seguros utilizando las redes de distribución de las entidades de crédito. La entidad de crédito sólo podrá poner su red de distribución a disposición de un único operador de banca-seguros”. Y en el artículo 62 relativo a la condición de responsable o encargado del tratamiento, señala: “1. A los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal: a. Los agentes de seguros exclusivos y los operadores de banca-seguros exclusivos tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en esta Ley”. (…). BBVA, en su condición de operador de banca-seguros no ha acreditado que dispusiera del consentimiento de la denunciante para ceder y comunicar sus datos de carácter personal a la aseguradora BBVA Seguros para la contratación de la póliza nº ***PÓLIZA.1/00000 correspondiente a un seguro de hogar modalidad BBVA Incendios, en relación con la vivienda situada en (C/...1), -Santander, propiedad de la denunciante y sobre la que recaía un préstamo hipotecario suscrito con BBVA. En el presente caso y a la luz de la documentación aportada, no se deduce el consentimiento de la denunciante a fin de que la entidad mediadora, en su condición de operador de banca seguro, facilitara sus datos a la aseguradora BBVA Seguros para la contratación de la citada póliza del seguro de hogar. VI La representación de las entidades denunciadas han alegado que la contratación del seguro se produce en el ámbito de la escritura hipotecaria, a instancias de BBVA al haber sido facultado por la parte deudora para ello y que los datos facilitados por la citada parte son los necesarios para la contratación del seguro de incendios y daños. El artículo 8 de la Ley 2/1981, de 25 de marzo, de Regulación del Mercado Hipotecario, señala que: “Los bienes hipotecados habrán de estar asegurados contra daños por el valor de tasación, en las condiciones que reglamentariamente se determinen”. Y el artículo 10 del Real Decreto 716/2009, de 24 de abril, por el que se desarrollan determinados aspectos de la Ley 2/1981, de 25 de marzo, de regulación del mercado hipotecario y otras normas del sistema hipotecario y financiero, determina que: “1. Los bienes sobre los que se constituya la garantía hipotecaria deberán contar con un seguro contra daños adecuado a la naturaleza de los mismos. Los riesgos cubiertos deberán ser, al menos, los incluidos en los ramos de seguro 8 y 9 del artículo 6.1 del Real Decreto Legislativo 6/2004, de 29 de octubre, por el que se aprueba el texto refundido de la Ley de ordenación y supervisión de los seguros privados, con excepción del robo. La suma asegurada deberá coincidir con el valor de tasación del bien C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 asegurado excluido el valor de los bienes no asegurables por naturaleza, en particular el suelo. 2. El tomador del seguro notificará al asegurador la existencia del préstamo o crédito que grave el bien asegurado, y el asegurador dará traslado de aquella notificación al acreedor. 3. En el caso de falta de pago de la prima por el tomador del seguro, el asegurador lo notificará al acreedor antes de que haya expirado el plazo de gracia del pago de la prima. 4. En caso de siniestro, el tomador del seguro lo notificará al asegurador en los términos previstos en la póliza, y éste dará traslado de la notificación al acreedor”. La Ley 50/1980, de 8 de octubre, de Contrato de Seguro, señala: Artículo 40: “El derecho de los acreedores hipotecarios, pignoraticios o privilegiados sobre bienes especialmente afectos se extenderá a las indemnizaciones que correspondan al propietario por razón de los bienes hipotecados, pignorados o afectados de privilegio, si el siniestro acaeciere después de la constitución de la garantía real o del nacimiento del privilegio. A este fin el tomador del seguro o el asegurado deberán comunicar al asegurador la constitución de la hipoteca, de la prenda o el privilegio cuando tuviera conocimiento de su existencia. El asegurador a quien se haya notificado la existencia de estos derechos no podrá pagar la indemnización debida sin el consentimiento del titular del derecho real o del privilegio. En caso de contienda entre los interesados, o si la indemnización hubiera de hacerse efectiva antes del vencimiento de la obligación garantizada, se depositará su importe en la forma que convenga a los interesados, y en defecto de convenio en la establecida en los artículos 1176 y siguientes del Código Civil. Si el asegurador pagare la indemnización, transcurrido el plazo de tres meses desde la notificación del siniestro a los acreedores sin que éstos se hubiesen presentado, quedará liberado de su obligación”. Artículo 41: “La extinción del contrato de seguro no será oponible al acreedor hipotecario, pignoraticio o privilegiado hasta que transcurra un mes desde que se le comunico el hecho que motivo la extinción. Los acreedores a que se refiere este artículo podrán pagar la prima impagada por el tomador del seguro o por el asegurado, aun cuando éstos se opusieren. A este efecto, el asegurador deberá notificar a dichos acreedores el impago en que ha incurrido el asegurado”. Artículo 42: “En el caso de que la indemnización haya de emplearse en la reconstrucción de las cosas siniestradas, el asegurador no pagará la indemnización si el asegurado y los acreedores a que se refieren los artículos anteriores no se ponen de acuerdo sobre las garantías con las que aquéllas han de quedar afectadas a la reconstrucción. En caso de que no se llegue a un acuerdo se depositará la indemnización conforme a lo dispuesto en el artículo 40” (los subrayados corresponden a la AEPD) En el hecho probado sexto consta que fue formalizada en Madrid, el 21/12/2012, ante el notario D. B.B.B., escritura de novación préstamo hipotecario por la denunciante y su hermana, en relación con la vivienda situada en (C/...1), en Santander; en su Cláusula Adicional, punto I) se señala que “Las partes acuerdan modificar, a todos los efectos sin carácter retroactivo, el contenido de los siguientes pactos que se hallen establecidos en la escritura de préstamo objeto de modificación, en las posibles C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 escrituras de novación del mismo y en la presente (en adelante “el contrato” para referirnos a todos las citadas escrituras), en aquello que se diferencie de los términos y condiciones que aquí se regulan:…”. Entre las cláusulas de garantía, el apartado B), del epígrafe Conservación de la garantía, señala entre las obligaciones de la parte prestataria “A tener asegurado el inmueble del riesgo de incendios y otros daños durante el presente contrato, al menos en las condiciones mínimas exigidas por la legislación vigente reguladora del mercado hipotecario, a nombre del Banco por cuenta y riesgo de la parte prestataria. El deudor faculta al Banco para contratar el seguro de incendio y de daños, por cuenta del adquirente, así como abonar las primas que se deban al asegurador y cargarlas en cuenta de la parte prestataria, en el caso de que requerida ésta a tal efecto por el Banco no procediere a su contratación en el plazo de quince días desde la recepción de dicho requerimiento”. La citada clausula establece una serie de obligaciones al prestatario, en este caso la denunciante, por cuanto se obliga durante la vigencia del citado contrato de préstamo a tener asegurado el inmueble hipotecado del riesgo de incendio y otros daños (ramos 8 y 9, Anexo de la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras), y de conformidad con el artículo 40 y ss de la Ley de Contrato del Seguro notificar a su asegurador la constitución de la hipoteca a nombre del banco. También, la denunciante facultaba al Banco para contratar el seguro por cuenta del adquirente, así como abonar las primas debidas a la aseguradora y cargarlas en su cuenta, cuando requerida ésta por la entidad prestataria no hubiera procedido a su contratación en el plazo de quince días desde la recepción de dicho requerimiento. Sin embargo, consta que la denunciante tenia contratado de Seguro Multiriesgo del Hogar Básico suscrito con la entidad aseguradora Divina Pastora, nº de póliza ***PÓLIZA.2, con fecha de efectos 01/11/2015 y vencimiento 31/10/2016, anual renovable automáticamente por periodos anuales sucesivos; con una prima de 54,32 euros de pago anual; como riesgo asegurado figura (C/...1), -Santander; constando clausula hipotecaria a favor de la entidad crediticia BBVA. También ha acreditado que sobre el citado inmueble recaía un seguro combinado del hogar, modalidad hogar esencial, con MAPFRE, póliza nº ***PÓLIZA.3, con fecha de efectos 31/10/2012 habiendo estado en vigor hasta su vencimiento el 31/10/2015; como riesgo asegurado figura (C/...1), -Santander, que incluía los daños materiales y por incendio. Por tanto, al tiempo de la contratación del seguro por BBVA Seguros de la póliza nº ***PÓLIZA.1/00000, emitida el 11/09/2015 y fecha de efectos 11/09/2015, anual prorrogable por un importe de la prima de 93,80 euros, la denunciante tenía contratado el correspondiente el seguro de hogar, que incluía daños e incendio. A mayor abundamiento, no consta que la denunciante hubiera sido requerida por el Banco para que se hiciera exhibición de la contratación del correspondiente seguro de incendios en el plazo de quince días desde la recepción del escrito de requerimiento, como figura en el apartado B), del epígrafe Conservación de la garantía de la escritura hipotecaria. Tampoco se deduce de las normas citadas anteriormente ni de las cláusulas insertas en la escritura hipotecaria, autorización para que el acreedor hipotecario pudiera suscribir un seguro de daños en defecto del prestatario o deudor y, tampoco, que el incumplimiento de los compromisos contractuales adquiridos por parte del tomador del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 seguro, en virtud de lo indicado en las citadas clausulas o en los preceptos señalados, implicaba que el acreedor pudiera contratar un seguro de daños y el correspondiente adeudo de la prima correspondiente sin la existencia del consentimiento de la parte prestataria. VII Las representaciones, tanto de BBVA Mediación como de BBVA Seguros, han alegado que los hechos denunciados solo han podido ser cometidos por una de las entidades y no por las dos y, que si en la contratación ha intervenido un mediador es obvio que no lo ha hecho la entidad aseguradora. BBVA Mediación ostenta la condición de encargado del tratamiento, como así se establece en el contrato de agencia suscrito con BBVA Seguros, responsable del fichero. En su Estipulación 2, Actuación del Operador de Banca-Seguros, se establece como prohibición en el punto 2.3.2 la imposición de contratos, señalando que “El Operador de Banca-Seguros Vinculado no podrá imponer directa o indirectamente la celebración de un contrato de seguro o celebrarlo en nombre de un cliente sin el consentimiento de éste”. En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, hay que estar a lo dispuesto en el art. 12 de la LOPD que establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. A los efectos de considerar responsable a la compañía aseguradora, resultan irrelevantes las alegaciones realizadas en el sentido de que no participaron en los hechos presuntamente infractores y que es operador de banca-seguros, en su actividad de mediación el único responsable de los hechos acaecidos: la celebración del contrato de seguro sin consentimiento. El artículo 43 de la LOPD señala: “Responsables.- 1. “ Los responsables de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley” La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados del tratamiento (art. 43.1), conceptos que deben integrarse con la definición que de los mismos recoge el artículo 3.
- d)y g). Conforme al artículo 3.
- d)el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”; y conforme al artículo 3.
- g)el encargado del tratamiento es “la persona física o jurídica (…) que solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento” También el artículo 5.1
- i)del Real Decreto 1720/2007, de 21 de diciembre, señala que “El encargado del tratamiento es la persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que, a tenor de los artículos transcritos, <<se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales, por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específica. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento.>> La Audiencia Nacional en su Sentencia de 03/03/2004, citada entre otras en su Sentencia de 18/01/2006, señala que “El ámbito subjetivo del ilícito administrativo descrito son los “responsables de los ficheros y los encargados de los tratamientos”, pues sólo a estos les es aplicable el régimen sancionador que diseña la Ley Orgánica 15/1999, ex artículo 43.1 de la misma Ley. Esta delimitación subjetiva, ha sido ampliada en las Ley Orgánica 15/1999, a la sazón aplicable, respecto de la prevista en la Ley Orgánica 5/1992, en cuyo artículo 42.1 sólo sometía a su régimen sancionador a los responsables de los ficheros. Ahora bien, debe tenerse en cuenta que el responsable del fichero tiene una configuración más amplia en la Ley de 1999 que en la de 1992, pues sólo así puede explicarse que cuando el artículo 43.1 alude al “responsable del fichero”, esta expresión comprende ahora al responsable del tratamiento, ex artículo 3.
- d)de la Ley Orgánica 15/1999, bajo la expresión “responsable del fichero o tratamiento”, desconocida en la Ley de 1992 y si bien es cierto que las definiciones son coincidentes antes y ahora, sin embargo se ha incluido en la vigente Ley a aquellos otros que decidiendo sobre la finalidad, contenido y uso del tratamiento, no sean propiamente responsables del fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 Entendemos, por tanto, por responsable del fichero o del tratamiento la persona física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento; y por encargado del tratamiento quien trate datos personales por cuenta del responsable del tratamiento, según define el artículo 3, apartados
- d)y g), respectivamente, de la Ley Orgánica 15/1999.>> Y en sentencia de 17/05/2013, recurso 25/2010, señala “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento” (los subrayados corresponden a la AGPD). Por otra parte, el reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, complementa esta definición en el apartado
- q)del artículo 5, en el que señala lo siguiente: “
- q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. En el presente caso, tanto BBVA Mediación en su condición de encargado del tratamiento, como BBVA Seguros, como responsable del fichero, son responsables de la infracción cometida de conformidad con las definiciones legales recogidas en el artículo 3 y 43 de la LOPD apuntadas. De lo que se deduce que también BBVA Seguros está sometido al régimen sancionador de la citada norma de conformidad con el artículo 43. VIII La LOPD, de conformidad con la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, publicada en el BOE el 5 de marzo de 2011 y que entró en vigor al día siguiente a su publicación, tipifica en el artículo 44.3.
- b)como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” y el artículo 44.3.
- k)como infracción grave “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. A tenor del artículo 45.2 de la LOPD las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el supuesto que nos ocupa, la conducta de BBVA Seguros ha vulnerado el principio de consentimiento contenido en el artículo 6.1, infracción que, tras la reforma introducida por la Ley 2/2011, se encuentra tipificada en el artículo 44.3.
- b)de la Ley Orgánica 15/1999. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 Por otra parte, la conducta de BBVA Mediación ha vulnerado el artículo 11.1 de la LOPD, al ceder los datos del denunciante sin su consentimiento a BBVA Seguros con la finalidad de contratar un seguro de incendios, modalidad BBVA Incendios, infracción que tras la reforma introducida por la Ley 2/2011, se encuentra tipificada en el artículo 44.3.
- k)de la Ley Orgánica 15/1999. IX El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Tanto BBVA Seguros como BBVA Mediación han alegado que no son responsables de la contratación del seguro por lo que solicitan el sobreseimiento del procedimiento y su archivo. Hay que señalar que el artículo 45.5 de la LOPD deriva del principio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados c),
- d)y
- e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). La representación de las denunciadas han invocado la concurrencia de la agravante privilegiada en el artículo 45.5
- c)“Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción”; sin embargo, tal concurrencia no puede aceptarse a la vista de los hechos probados en el procedimiento, sino todo lo contrario ya que en ningún momento consta que se le hubiera requerido a la denunciante para que se hiciera exhibición de la contratación del correspondiente seguro de incendios en el plazo de quince días desde la recepción del escrito de requerimiento, para estar en ese caso habilitada para la suscripción del correspondiente seguro. Por otra parte, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 se advierten circunstancias que operan como agravantes de las conductas que ahora se enjuician, en relación con las entidades denunciadas: BBVA Seguros y BBVA Mediación. Así, concurren las agravantes previstas en el apartado
- c)del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues como consecuencia de la actividad que realizan, las citadas compañías se ven abocadas a un tratamiento continuo de datos, tanto de sus clientes como de terceros y del apartado
- d)del artículo 45.4, “volumen de negocio” del infractor, ya que se trata de dos grandes entidades, la una aseguradora y la otra en su actividad de mediación, por cuota de mercado y pertenecientes a uno de los mayores grupos empresariales del país. Por todo ello, es por lo que procede imponer dos multas cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener las infracciones imputadas la consideración de graves. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, la vinculación de la actividad de la entidades infractoras con la realización de tratamientos de datos de carácter personal y el volumen de negocio de las mismas, se impone multa de 50.000 €, a cada una de ellas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 PRIMERO: IMPONER a la entidad BBVASEGUROS, S.A. de Seguros y Reaseguros por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: IMPONER a la entidad BBVA Operador de Banca Seguros Vinculado, S.A., por una infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
- k)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a BBVASEGUROS, S.A. de Seguros y Reaseguro, BBVA Operador de Banca Seguros Vinculado, S.A. y A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es