PS-00403-2018

1/13 Procedimiento Nº: PS/00403/2018 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 16/08/2018 tiene entrada en la Agencia Española de Protección de Datos (AEPD) una reclamación de D. ª A.A.A. (en lo sucesivo, la reclamante) La reclamación se funda en el tratamiento de sus datos personales efectuado por un agente de ASNORTE, S.A., (en lo sucesivo ASNORTE o la reclamada) con una finalidad distinta a aquella para la cual la reclamante los facilitó a la entidad reclamada. El tratamiento en el que se concretó la conducta que da origen a esta reclamación consistió en una invitación o “solicitud de amistad” que D. B.B.B., empleado de la reclamada, le envió a través de la red social Facebook. La reclamante ha explicado que el 09/07/2018 recibió una llamada telefónica dirigida a su madre, en su condición de titular de un seguro de decesos suscrito con SANTA LUCÍA, S.A., con el fin de ofertarle un seguro de hogar. Añade que comunicó a su interlocutor que ella se encargaría de recibir la información sobre las condiciones de la póliza ofertada y posteriormente se la facilitaría a su madre. Con esta finalidad, después de recibir una nueva llamada telefónica en la que le comunicaban que el presupuesto de la póliza estaba concluido, se le cita en lo que la reclamante denomina “dependencias de Santa Lucía, sitas en ***DIRECCION.1”, indicándole que al llegar debía de preguntar por “B.B.B.”. El 11/07/2018 le informan en esas dependencias de las coberturas del seguro. Manifiesta que el 16/07/2018 conoce que tiene una invitación de un tal B.B.B. a través de Facebook, comprobando al ver las fotos que esa persona es el “comercial de SANTA LUCÍA” que le atendió. La reclamante adjunta a su reclamación la copia del DNI y una captura de pantalla, sin fecha, en la que aparecen cinco fotografías cuyo contenido, que únicamente puede visualizarse en dos de ellas, es el rostro de perfil y de frente de un hombre. En la captura de pantalla aparece en mayúsculas “B.B.B.” y más abajo la leyenda “Te ha enviado una solicitud de amistad” seguida de dos casillas con las indicaciones “Confirmar” y “Eliminar”. También aporta la captura de pantalla de lo que parece ser un email (no figuran las direcciones electrónicas del emisor ni del receptor) dirigido a la reclamante y firmado por el Departamento de Seguridad Informática de Santa Lucía en el que le comunican que proceden a solicitar información a su agente de seguros en la zona y le piden disculpas por los inconvenientes que pudieran haberle causado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 SEGUNDO: A la vista de los hechos expuestos en la reclamación, la AEPD, en el marco del expediente E6926/2018, y de conformidad con lo prevenido en el artículo 9.4 del Real Decreto–Ley 5/2018, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, a través de escrito firmado el 04/10/2018, dio traslado de la reclamación a la entidad SANTA LUCIA, S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS, para que en el plazo de un mes facilitara a esta Agencia una explicación sobre los hechos expuestos en la reclamación, detallara las medidas adoptadas para evitar que en el futuro se sigan produciendo situaciones similares y procediera también a comunicar su decisión a la reclamante. SANTA LUCIA, S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS, respondió a la solicitud informativa de la AEPD el 06/11/2018 y manifestó que había realizado las pertinentes averiguaciones ante ASNORTE, S.A., AGENCIA DE SEGUROS, verificando que esta entidad no había incurrido en ninguna irregularidad en el tratamiento de los datos personales de la reclamante. Explicó que la persona que realizó la petición de amistad a través de la red social era un colaborador mercantil del Agente quien hizo la petición de amistad en el marco de actividades propiamente personales. SANTA LUCIA, S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS añadió que había procedido a remitir una carta a la reclamante -cuya copia aporta- en la que le informa de que el Agente de Seguros ASNORTE, S.A., le había comunicado que quien realizó la petición de amistad a través de Facebook era un colaborador externo suyo y que, al haber realizado esa solicitud de amistad en el marco de actividades estrictamente personales, no había existido ninguna irregularidad imputable a ASNORTE. La carta, que lleva fecha de 05/11/2018, tiene el anagrama de Santa Lucía Seguros. De conformidad con el artículo 9.5 del Real Decreto- Ley 5/2018, en fecha 19/11/2018 se firma el acuerdo de admisión a trámite de la reclamación que examinamos. TERCERO: Con fecha 01/04/2019, la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador a ASNORTE, S.A., por la presunta infracción del artículo 5.1.

1. b)del RGPD, tipificada en el Artículo 83.5.
2. a)del Reglamento (UE) 679/2016. CUARTO: ASNORTE formula alegaciones al acuerdo de inicio del procedimiento sancionador el 24/04/2019. Solicita que se proceda al archivo del expediente y en apoyo de su pretensión invoca los argumentos siguientes: -Que en la actualidad “no existe relación o vinculación alguna, contractual ni mercantil, entre el Sr. B.B.B. y ASNORTE”. Aporta, a tal fin, copia de la carta de solicitud de resolución contractual firmada por el Sr. B.B.B. el 30/01/2019 en la que le comunica a la reclamada su deseo de rescindir con fecha 31/01/2019 su relación mercantil. -Que en virtud del contrato de colaboración mercantil que el Sr. B.B.B. suscribió con ASNORTE -contrato que estaba en vigor cuando acontecieron los hechos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 han dado origen al presente expediente sancionador- el citado colaborador, asumió expresamente el compromiso de ocuparse con diligencia de la actividad mercantil encomendada y de desarrollarla conforme a la normativa que resulta de aplicación entre la que el Contrato de Colaboración Mercantil nombra expresamente la normativa de protección de datos. De lo anterior concluye la reclamada que no le son imputables los incumplimientos en los que “de una forma completamente unilateral y voluntaria (y ajena a la relación mercantil que le unía con ASNORTE …) haya incurrido el Sr. B.B.B.” - Aporta copia del contrato de colaboración mercantil suscrito entre ASNORTE y el Sr. B.B.B. en ***LOCALIDAD.1 el 01/05/2018. El condicionado general, además de precisar en la estipulación primera que nombra al citado señor “colaborador externo” “para que realice la actividad mercantil de distribución de productos de seguros actuando por cuenta de la Agencia de Seguros”, añade en los dos últimos párrafos de la estipulación segunda: “El Colaborador Externo, conforme a lo dispuesto en el art. 9 de la Ley 12/1992 de Contrato de Agencia, se compromete a ocuparse con diligencia de la actividad mercantil encomendada, no debiendo desarrollar su actividad al margen de la normativa que resulte de la aplicación de la actividad de mediación en el sector de seguros y reaseguros privados, lo que no afectará en modo alguno su independencia y libertad de organización. Entre la normativa a la que ha de circunscribirse la actividad del colaborador está la relacionada (…) con la normativa de protección de datos de carácter personal, …” -La reclamada afirma que “comparte” con esta Agencia que existió un tratamiento de datos personales de la hoy reclamante efectuado por el Sr. B.B.B. “con una finalidad distinta a aquella para la cual los datos fueron proporcionados por la reclamante y recogidos por ASNORTE”. No obstante, manifiesta que no puede compartir con la AEPD que se atribuya a ASNORTE la responsabilidad del tratamiento que “de modo unilateral y voluntario realizó el Sr. B.B.B., …” -Que la solicitud de amistad remitida por el Sr. B.B.B. a la hoy reclamante “a través de su perfil personal o privado” supone “un tratamiento ulterior de los datos de la reclamante realizado por el Sr. B.B.B. en un ámbito privado, personal o doméstico y de forma ajena a la relación mercantil” que le unía con ASNORTE. En esa línea argumental explica que ASNORTE no tiene una cuenta con un perfil abierto en la red Facebook. Aporta documentación del resultado de la búsqueda efectuada en esa red social con la palabra “ASNORTE” acreditando que únicamente localiza un perfil no oficial de esta entidad que la propia Facebook afirma que no tiene ningún tipo de afiliación o respaldo de nadie asociado a esa mercantil. Añade que, para el desempeño de las funciones propias de su actividad profesional, pone a disposición de sus colaboradores mercantiles herramientas informáticas y sistemas de información entre los que no se encuentra la red social Facebook. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 -Que ASNORTE ha sido especialmente diligente en la “formación, concienciación y sensibilización de sus trabajadores y colaboradores mercantiles en materia de protección de datos”. Manifiesta que el Sr. B.B.B., como el resto de los colaboradores mercantiles de ASNORTE, recibió, en primer lugar, el paquete de formación inicial que establece la normativa de mediación de seguros para colaboradores mercantiles en el que consta expresamente un módulo de formación dedicado a protección de datos personales. Aporta en prueba copia del Certificado de Formación Inicial que se otorga al Sr. B.B.B. por haber finalizado satisfactoriamente la formación a distancia para el programa que se detalla, con una duración de 50 horas lectivas teóricas y prácticas, impartido por Santa Lucía, Compañía de Seguros y Reaseguros, S.A., En el certificado se especifica el contenido del programa de formación cuyo bloque 1 versa sobre “El contrato de seguro. Protección de datos de carácter personal”, reseñando entre las materias a tratar las “Disposiciones generales de la protección de datos, derechos de las personas”. Que, con el objetivo de reforzar y ampliar la formación, concienciación y sensibilización de su personal y colaboradores mercantiles en materia de protección de datos, con motivo de la entrada en vigor del RGPD, se impartió un curso o píldora específico de formación relativa al RGPD que el Sr. B.B.B. completó el 25/05/2018. En prueba de lo manifestado aporta un documento con el anagrama de Santa Lucía Seguros que lleva por rúbrica “Píldora on line RGPD”, Protección de datos de carácter personal, en el que se describe a través de cuatro puntos cuál es su contenido: 1, nuevo marco legal; 2 principios de protección del RGPD; 3, obligaciones del RGPD; 4, la empresa y el RGPD. El apartado 5 del documento lleva la rúbrica de “Evaluación Final” y en un recuadro consta el nombre del colaborador Sr. B.B.B. en relación con el cual se informa de que completó el curso online “Píldora-RGPD” de una duración de 45 minutos y el denominado “Infografías -RGPD”, de una duración de 25 minutos. - Que ASNORTE viene emprendiendo esfuerzos en formación y concienciación de su personal y colaboradores en materia de protección de datos con la finalidad de que en el tratamiento de los datos personales que llevan a cabo en el desempeño de sus funciones apliquen las debidas garantías. - Que si bien estima que los hechos ocurridos son exclusivamente imputables a la conducta del Sr. B.B.B., “ha decidido reforzar la formación inicial que imparte a sus colaboradores mercantiles en cumplimiento de la normativa de mediación de seguros …con la finalidad de incluir, en el apartado dedicado a la protección de datos, directrices reforzadas en lo relativo a la confidencialidad debida en relación con los datos personales a los que los colaboradores mercantiles acceden…, así como en relación con el principio de limitación de la finalidad de tratamiento”. Declara que procederá a incluir en el bloque 1 de la formación inicial, “Disposiciones Generales de la protección de datos” este párrafo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 “Confidencialidad y limitación de la finalidad de tratamiento. La normativa de protección de datos exige que los datos personales sean tratados siempre garantizando la confidencialidad de los mismos y únicamente de acuerdo con los fines (motivos) para los que las personas los han proporcionado (principio de limitación de la finalidad). Esto implica que, los datos personales a los que el colaborador acceda como consecuencia de las labores que desempeña para el Agente exclusivo, sólo pueden ser tratados por el colaborador para las finalidades propias de la relación mercantil de colaboración existente y que el colaborador no podrá usar posteriormente tales datos con otros fines o motivos, ni en su ámbito profesional ni en su esfera personal o privada”. QUINTO: El artículo 89 de la LPACAP dispone que finalizará el procedimiento, con archivo de las actuaciones, sin que sea preciso formular propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre, entre otras, la circunstancia recogida en el apartado
3. d)del precepto: cuando la persona responsable aparezca exenta de responsabilidad. En el presente procedimiento sancionador han quedado acreditados los siguientes, HECHOS 1.- La reclamante, A.A.A., con NIF ***NIF.1, declara que en fecha 16/07/2018 recibe una invitación a través de la red social Facebook efectuada por el comercial “de Santa Lucía” que le había atendido, con ocasión de convocarla a una reunión para informarle sobre una oferta de un seguro de hogar para su madre que es cliente de la compañía. 2.- Obra en el expediente, aportada por la reclamante, una captura de pantalla, sin fecha, en la que aparecen cinco fotografías cuyo contenido, que únicamente puede visualizarse en dos de ellas, es el rostro de perfil y de frente de un hombre. En la captura de pantalla aparece en mayúsculas “B.B.B.” y más abajo la leyenda “Te ha enviado una solicitud de amistad” seguida de dos casillas con las indicaciones “Confirmar” y “Eliminar”. 3.- La reclamada, ASNORTE, S.A., Agencia de Seguros, con NIF A79259362, es Agente Exclusivo de Seguros de la entidad aseguradora SANTA LUCÍA, S.A., Compañía de Seguros y Reaseguros, con NIF A28039790. La solicitud informativa a través de la cual la AEPD dio traslado de la reclamación recibida se remitió no a la reclamada, ASNORTE, sino a la entidad aseguradora SANTA LUCÍA. 4.-ASNORTE ha confirmado que el señor B.B.B. prestó servicios en esa entidad en concepto de colaborador externo y mantuvo con él una relación mercantil en virtud del contrato suscrito el 01/05/2018 con sujeción a lo prevenido en el artículo 8 de la Ley 26/2006 de Mediación de Seguros y Reaseguros Privados. 5.- El citado contrato de nombramiento de colaborador externo, firmado por ambas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 partes, del que aporta copia, indica en la cláusula primera que se nombra al señor B.B.B. “colaborador externo” “para que realice la actividad mercantil de distribución de productos de seguros actuando por cuenta de la Agencia de Seguros”. La cláusula segunda, últimos dos párrafos, dice: “El Colaborador Externo, conforme a lo dispuesto en el art. 9 de la Ley 12/1992 de Contrato de Agencia, se compromete a ocuparse con diligencia de la actividad mercantil encomendada, no debiendo desarrollar su actividad al margen de la normativa que resulte de la aplicación de la actividad de mediación en el sector de seguros y reaseguros privados, lo que no afectará en modo alguno su independencia y libertad de organización. Entre la normativa a la que ha de circunscribirse la actividad del colaborador está la relacionada (…) con la normativa de protección de datos de carácter personal, …” (El subrayado es de la AEPD) 6.- Obra en el expediente, aportada por la reclamada, la copia del Certificado de Formación Inicial que se otorgó al Sr. B.B.B. por haber finalizado satisfactoriamente la formación a distancia para el programa que se detalla, con una duración de 50 horas lectivas teóricas y prácticas, impartido por Santa Lucía, Compañía de Seguros y Reaseguros, S.A., En el certificado se especifica el contenido del programa de formación cuyo bloque 1 versa sobre “El contrato de seguro. Protección de datos de carácter personal”, reseñando entre las materias a tratar las “Disposiciones generales de la protección de datos, derechos de las personas”. 7.- ASNORTE ha declarado que, con ocasión de la aplicación efectiva del RGPD, se impartió un curso o píldora específico de formación relativa al Reglamento UE 2016/679, que el Sr. B.B.B. completó el 25/05/2018. Aporta un documento con el anagrama de Santa Lucía Seguros que lleva por rúbrica “Píldora on line RGPD”, Protección de datos de carácter personal, en el que se describe a través de cuatro puntos cuál fue su contenido: 1, nuevo marco legal; 2 principios de protección del RGPD; 3, obligaciones del RGPD; 4, la empresa y el RGPD. El apartado 5 del documento lleva la rúbrica de “Evaluación Final” y en un recuadro consta el nombre del colaborador de la reclamada, Sr. B.B.B. en relación con el cual se informa de que completó el curso online “Píldora-RGPD” de una duración de 45 minutos y el denominado “Infografías -RGPD”, de una duración de 25 minutos. 8.- Obra en el expediente, aportada por la reclamada, la copia de una carta de fecha 30/01/2019, firmada por el Sr. B.B.B. y dirigida a ASNORTE en la que le comunica su deseo de rescindir con fecha 31/01/2019 su relación mercantil. En la actualidad “no existe relación o vinculación alguna, contractual ni mercantil, entre el Sr. B.B.B.” y ASNORTE. 9.-ASNORTE ha declarado que, para el desempeño de las funciones propias de su actividad profesional, pone a disposición de sus colaboradores mercantiles C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 herramientas informáticas y sistemas de información entre los que no se encuentra la red social Facebook. La reclamada afirma que no tiene cuenta con su perfil en la red Facebook. Aporta documentación del resultado de la búsqueda efectuada en esa red social con la palabra “ASNORTE” acreditando que únicamente localiza un perfil no oficial de esta entidad que la propia Facebook afirma que no tiene ningún tipo de afiliación o respaldo de nadie asociado a esa mercantil. 10.- ASNORTE ha declarado en su escrito de alegaciones al acuerdo de inicio que, si bien estima que los hechos ocurridos son exclusivamente imputables a la conducta del Sr. B.B.B., ha decidido reforzar la formación inicial que imparte a sus colaboradores mercantiles en cumplimiento de la normativa de mediación de seguros. Declara procederá a incluir en el bloque 1 de la formación inicial, “Disposiciones Generales de la protección de datos” este párrafo: “Confidencialidad y limitación de la finalidad de tratamiento. La normativa de protección de datos exige que los datos personales sean tratados siempre garantizando la confidencialidad de los mismos y únicamente de acuerdo con los fines (motivos) para los que las personas los han proporcionado (principio de limitación de la finalidad). FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento 2016/679, General de Protección de Datos (RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018 de Protección de Datos y Garantías de los derechos digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El RGPD dedica el artículo 5 a los principios que han de regir el tratamiento de los datos personales y entre ellos menciona, apartado 1, letra b), el de “limitación de la finalidad”, precepto que señala: “1. Los datos personales serán: (…)
4. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales”. (El subrayado es de la AEPD) Paralelamente, el artículo 4 del RGPD, “Definiciones”, ofrece un concepto legal de tratamiento y entiende por tal “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjunto de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión o destrucción” (El subrayado es de la AEPD) El Considerando