1/12 Procedimiento Nº PS/00424/2013 RESOLUCIÓN: R/00082/2014 En el procedimiento sancionador PS/00424/2013, instruido por la Agencia Española de Protección de Datos a la entidad SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS, vista la denuncia presentada por denunciante 1 y denunciante 2 y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/09/2012 han tenido entrada en la Agencia Española de Protección de Datos (AEPD), escritos remitidos por denunciante 1 y denunciante 2, en el que denuncian a la compañía Santa Lucía, S.A. Compañía de Seguros y Reaseguros (en adelante SANTA LUCIA) manifestando que solicitaron un histórico de aportaciones y rentabilidad del “maxiplan pensión garantizada”, nº de póliza ***PÓLIZA.1 y nº de póliza ***PÓLIZA.2, y han recibido en su domicilio carta dirigida cada uno de ellos, en cuyo encabezamiento consta su nombre y apellidos y a continuación el de su cónyuge, dirigiéndose a los dos conjuntamente remitiendo certificado de primas e información trimestral de las pólizas de ambos. Añaden que la solicitud la realizó cada uno de ellos personalmente en la oficina pero los empleados le indicaron que no disponían de la información, y que debía solicitarla por escrito, ante lo cual cumplimentaron cada uno de ellos un impreso Hoja de Queja y les han comunicado datos relativos a su persona y de otra persona, aunque sea su cónyuge. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad SANTA LUCIA: 1. En el Registro General de Protección de Datos figura inscrito el fichero denominado “CARTERA”, con el código ***COD.1, siendo responsable la compañía Santa Lucía y cuya finalidad es “gestión de clientes contable, fiscal, (…)”. 2. La compañía Santa Lucía ha informado a la Inspección de Datos, con fecha de 03/04/2013, en relación con la documentación remitida al denunciante 1, lo siguiente: Que fue tomadora y asegurada de la póliza ***PÓLIZA.1 en la que constan como beneficiario su esposo y su hijo, cuya copia se adjunta. La documentación que se le facilitó responde a la petición realizada a través de la Hoja de Queja, que coincide con la aportada por la denunciante, cuya copia adjuntan. Si bien, no indican la causa por la cual constan los datos de su esposo en la respuesta a su solicitud. La póliza ***PÓLIZA.1 fue anulada con motivo de la movilización de la provisión matemática del plan a otra entidad aseguradora. 3. La compañía Santa Lucía ha informado a la Inspección de Datos, con fecha de 03/04/2013, en relación con la documentación remitida al denunciante 2, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Que fue tomadora y asegurada de la póliza ***PÓLIZA.3 en la que constan como beneficiario su esposa y su hijo, cuya copia se adjunta. La documentación que se le facilitó responde a la petición realizada a través de la Hoja de Queja, que coincide con la aportada por el denunciante, cuya copia adjuntan. Si bien, no indican la causa por la cual constan los datos de su esposo en la respuesta a su solicitud. La póliza ***PÓLIZA.3 fue anulada con motivo de la movilización de la provisión matemática del plan a otra entidad aseguradora. TERCERO: Con fecha 06/08/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SANTA LUCIA (PS/00424/2013), por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, SANTA LUCIA, mediante escrito de fecha 29/08/2013, formuló en síntesis las siguientes alegaciones: - Que el denunciante 1 fue tomadora de la póliza ***PÓLIZA.1, en la que figura como beneficiario su cónyuge. Y su cónyuge era a su vez tomador de la póliza ***PÓLIZA.3, en la que figura como beneficiaria el denunciante 1, su mujer. - Que el 29/08/2012 los denunciantes se presentaron en las oficinas de Algeciras y solicitaron el histórico de aportaciones y rentabilidad obtenidas por los planes contratados por cada uno de ellos; que el agente no disponía de dicha información lo que incomodo a los denunciantes presentando las correspondiente quejas, en la que consta el mismo domicilio y dirigidas al Servicio de Atención al Cliente de la compañía, demandando la citada información que les fue facilitada; que no existe infracción del artículo 10 y que en el presente caso no ha existido daño ni beneficio para la compañía aseguradora. QUINTO: Con fecha 29/10/2013, el Director de la AEPD acordó el archivo de las actuaciones previas de investigación, con referencia E/7290/2012, seguidas contra la entidad SANTA LUCIA que traían causa del escrito del denunciante 2, por caducidad de las mismas y, ordenaba a la Subdirección General de Inspección de Datos de esta Agencia se procediera a realizar la correspondiente investigación en el marco del nuevo expediente de actuaciones previas E/6577/2013, al no haber prescrito la presunta infracción cometida. En fase de actuaciones previas, por los Servicios de Inspección de esta Agencia, se realizan las siguientes actuaciones: Diligencia de fecha 06/11/2013, mediante la cual se acuerda incorporar a las presentes actuaciones E/6577/2013, copia de la documentación obrante en el expediente con referencia E/7290/2012. SEXTO: Con fecha 29/10/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SANTA LUCIA (PS/00611/2013), por presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 SEPTIMO: Notificado el acuerdo de inicio, SANTA LUCIA, mediante escrito de fecha 28/11/2013, formuló en síntesis las siguientes alegaciones: - Que el denunciante 2 fue tomador de la póliza ***PÓLIZA.3, en la que figura como beneficiario su cónyuge. Y su cónyuge era a su vez tomadora de la póliza ***PÓLIZA.1, en la que figura como beneficiario su cónyuge, su esposo. - Que el 29/08/2012 los denunciantes se presentaron en las oficinas de la compañía en Algeciras y solicitaron el histórico de las aportaciones y la rentabilidad obtenidas por los planes contratados por cada uno de ellos; que el agente no disponía de dicha información lo que incomodó a los denunciantes presentando las correspondiente quejas, en las que consta el mismo domicilio y dirigidas al Servicio de Atención al Cliente, demandando la citada información que les fue facilitada; que no existe infracción del artículo 10 de la LOPD; que en el presente caso no ha existido daño ni beneficio para la compañía aseguradora. OCTAVO: Con fecha 29/11/2013 se inició el período de práctica de pruebas en relación con el PS/00424/2013, acordándose: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/07288/2012. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00424/2013 presentadas por SANTA LUCIA y la documentación que a ellas acompaña. Solicitar al denunciante 1 copia de la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas ó, cualquier otra manifestación en relación con los hechos denunciados. En fecha 16/10/2013 la denunciante respondió a la prueba practicada cuyo contenido obra en el expediente. Con fecha 03/12/2013 se inició el período de práctica de pruebas en relación con el PS/00611/2013, acordándose: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante 2 y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/06577/2013. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00611/2013 presentadas por SANTA LUCIA y la documentación que a ellas acompaña. Solicitar a denunciante 2 copia de la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas ó, cualquier otra manifestación en relación con los hechos denunciados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 NOVENO: Con fecha 16/12/2013, el Director de la Agencia Española de Protección de Datos dicto resolución acordando la acumulación del procedimiento PS/00611/2013 en el PS/00424/2013 y notificar dicho acuerdo tanto a los denunciantes como a la entidad denunciada. DECIMO: En fecha 26/12/2013, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se archivara a SANTA LUCIA, por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. En fecha 16/01/2014, la representación de la entidad presento escrito de alegaciones formulando en síntesis: que los denunciantes actuaron conjunta y simultáneamente, que dicha actuación llevo a la conclusión de que la información a remitir podía ser igualmente conjunta por lo que en ningún momento puede considerarse que se ha vulnerado la ley; que quizás la sanción más justa seria el apercibimiento y la incorrecta aplicación de la norma al dejar de considerar el criterio
- c)del artículo 45.5 de la LOPD. HECHOS PROBADOS En relación con el denunciante 1: 1. En fecha 28/09/2012, tuvo entrada en esta Agencia escrito del denunciante 1 declarando que habiéndose personado en la oficina de SANTA LUCIA y solicitado el histórico de aportaciones y rentabilidades del plan de pensiones contratado, había recibido en su domicilio carta remitida por la compañía aseguradora, si bien figurando también el nombre y apellidos de su marido y, además, conteniendo no solo información solicitada relativa a su PPA (plan de previsión asegurado), sino también la relativa al PPA contratado por su esposo (folio 1). 2. SANTA LUCIA tiene inscrito en el Registro General de Protección de Datos el fichero cartera, código ***COD.1, cuya finalidad es la información de los contratos de seguro y su utilización, además de las funciones administrativas y las concernientes a las prestaciones de siniestros (folio 12 ). 3. Consta que con fecha 29/08/2012, denunciante 1 presentó escrito ante el Servicio de Atención al cliente de la compañía aseguradora quejándose de que llevaba años intentando que le dieran el histórico de las aportaciones y rentabilidades de su plan de pensiones, por lo que solicitaba se le remitiera la citada información hasta la citada fecha (folio 3). 4. SANTA LUCIA , en carta de 11/09/20132 de dirigía a denunciante 1, si bien figurando a continuación de su nombre y apellidos el nombre y apellidos del denunciante 2, en relación con la queja o reclamación relativa a la póliza ***PÓLIZA.1 (del denunciante 1) y también de la póliza ***PÓLIZA.3 (del denunciante 2), con fecha de entrada 09/09/2012 e indicando: “Nos dirigimos a ustedes como contestación al escrito que nos han enviado relativo a las pólizas de referencia. Tal y como nos solicitan, adjunto les remitimos un certificado de las primas abonadas por ambos contratos, así como la última información trimestral C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 emitida hasta el momento de los mismos” (folio 5). Asimismo, como se hace constar en la carta remitida, se adjuntaba el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado relativa a la póliza ***PÓLIZA.1, contratada por el denunciante 1 y, además, el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado relativa a la póliza ***PÓLIZA.3, contratada por el denunciante 2 (folios 6 a 9). 5. SANTA LUCIA, en escrito de fecha 03/04/2013, ha manifestado que “La información que se facilitó a la denunciante responde a la petición realizada a nuestro Servicio de Atención al Cliente en las oficinas de nuestro Agente en Algeciras”. La entidad adjuntaba copia de la reclamación referenciada en el hecho probado tercero (folios 26 a 29). En relación con el denunciante 2: 6. En fecha 28/09/2012, tuvo entrada en esta Agencia escrito del denunciante 2 denunciando que habiéndose personado en la oficina de SANTA LUCIA y solicitado el histórico de aportaciones y rentabilidades del plan de pensiones contratado, había recibido en su domicilio carta remitida por la compañía aseguradora, si bien figurando también el nombre y apellidos de su esposa y, además, conteniendo no solo la información solicitada relativa a su PPA (plan de previsión asegurado), sino también la relativa al PPA contratado por su mujer (folio 58). 7. SANTA LUCIA tiene inscrito en el Registro General de Protección de Datos el fichero cartera, código ***COD.1, cuya finalidad es la información de los contratos de seguro y su utilización, además de las funciones administrativas y las concernientes a las prestaciones de siniestros (folio 69). 8. Consta que con fecha 29/08/2012, el denunciante 2 presentó escrito ante el Servicio de Atención al cliente de la compañía aseguradora quejándose de que llevaba años intentando que le dieran el histórico de las aportaciones y rentabilidades de su plan de pensiones, por lo que solicitaba se le remitiera la citada información hasta la citada fecha (folio 60). 9. SANTA LUCIA , en carta de 11/09/20132 contestaba al denunciante, si bien figurando el nombre y apellidos de su esposa a continuación del suyo, con relación a la queja o reclamación relativa a seguro vida, póliza ***PÓLIZA.3 (contratada por el denunciante 2) y también de la póliza ***PÓLIZA.1 (contratada por el denunciante 1), con fecha de entrada 09/09/2012, señalando: “Nos dirigimos a ustedes como contestación al escrito que nos han enviado relativo a las pólizas de referencia. Tal y como nos solicitan, adjunto les remitimos un certificado de las primas abonadas por ambos contratos, así como la última información trimestral emitida hasta el momento de los mismos” (folio 61). Asimismo, como se hace constar en la carta remitida, se adjuntaba el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado relativa a la póliza ***PÓLIZA.3, contratada por el denunciante 2 y, además, el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado relativa a la póliza ***PÓLIZA.1, contratada por el denunciante 1 (folios 62 a 66). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 10. SANTA LUCIA, en escrito de fecha 03/04/2013, ha manifestado que “La información que se facilitó a la denunciante responde a la petición realizada a nuestro Servicio de Atención al Cliente en las oficinas de nuestro Agente en Algeciras”. La entidad adjuntaba copia de la reclamación referenciada en el hecho probado tercero (folio 83 a 87). 11. SANTA LUCIA no ha acreditado que hubiese obtenido el consentimiento o autorización de cada uno de los denunciantes para la revelación de sus datos relativos a las pólizas de los PPA números ***PÓLIZA.1 y ***PÓLIZA.3 (contratadas por el denunciante 1 y por el denunciante 2, respectivamente), ni que exista norma legal que justifique dicha revelación FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a SANTA LUCIA en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III El artículo 9 de la LOPD establece en relación con la seguridad de los datos que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 El RD/1720/2007 establece un régimen específico de “seguridad” a implantar por el responsable del fichero para salvaguardar la tutela debida a un derecho fundamental ex artículo 18.4 de la Constitución Española, de conformidad con la doctrina sentada por la STC 292/2000. Así en su artículo 80 señala que “las medidas de seguridad exigibles a os ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto.” Así en los artículos 89 a 94 del citado reglamento se recogen las medidas a implantar para datos a los que son aplicables las medidas de nivel básico y en los artículos 95 a 100 las medidas a implantar para datos a los que son aplicables las medidas de nivel medio, como en el caso presente. Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y en un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y que encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho fundamental a la protección de los datos de carácter personal. IV La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en que condiciones y en que momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” En el presente caso, estamos antes un tratamiento de datos personales y SANTA LUCIA es responsable del fichero y de dicho tratamiento, de conformidad con las definiciones legales recogidas en el artículo 3 de la LOPD apuntadas. De lo que se deduce que SANTA LUCIA está sometida al régimen sancionador de la citada norma de conformidad con el artículo 43. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: “La C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el caso analizado, se ha producido por parte de SANTA LUCIA una vulneración del deber de secreto al enviar a cada uno de los participes del PPA contratado no solo la información relativa a su Plan, sino también la relativa al Plan de su cónyuge. Por tanto, SANTA LUCIA no ha actuado con la diligencia debida al no comprobar correctamente los datos y documentos remitidos a cada uno de los denunciantes, por lo que debe considerarse que SANTA LUCIA ha vulnerado la LOPD. Por tanto, la conducta imputada a SANTA LUCIA por vulneración del artículo 10 de la LOPD encuentra su tipificación en el tipo del citado artículo 44.3.d). VI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de SANTA LUCIA ha solicitado el archivo del expediente al entender que no existe infracción de su representada. En lo referente a la aplicación del artículo 45.5, la sentencia de 21 de enero de 2004 de la Audiencia Nacional dijo que dicho precepto “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión <especialmente cualificada>) y concretos”. En el caso examinado, de las actuaciones practicadas ha quedado acreditado que SANTA LUCIA vulneró el artículo 10 de la LOPD, al enviar a cada uno de los denunciantes carta en la que constaba no solo el nombre y apellidos del cónyuge, sino también el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado contratado por cada uno de ellos, información que había sido solicitada individualizadamente por cada uno de ellos en reclamación de 29/08/2012, sin que hubiese obtenido el consentimiento o autorización de los denunciantes para la revelación de los mismos, conculcando el deber de secreto recogido en el citado artículo 10 de la LOPD, por lo que su actuación ha de ser merecedora de sanción. No obstante, teniendo en cuenta las especificas circunstancias que concurren en el presente caso, permite apreciar la existencia de motivos para la aplicación de la circunstancia contemplada en el apartado
- a)del artículo 45.5 de la LOPD, puesto que concurren varios de los criterios que el artículo 45.4 de la LOPD enumera con el objeto de graduar la cuantía de la sanción. Este hecho, en opinión de la AEPD, de conformidad con lo establecido en el artículo 45.5.
- a)de la LOPD, que alude a “…una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”, justifica que se aprecie a favor de la denunciada la atenuante privilegiada prevista en el citado artículo. De entre las circunstancias o criterios enumerados en el artículo 45.4 de la Ley Orgánica 15/1999, que concurren en el presente caso hay que destacar los apartados
- e)“beneficios obtenidos”, ya que no se ha obtenido beneficio alguno como consecuencia de la comisión de la infracción, sino todo lo contrario puesto que los denunciantes a raíz de los hechos acaecidos solicitaron la movilización del plan a otra entidad ;
- f)“grado de intencionalidad”, no existiendo está en la actuación de la entidad y
- i)“La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 procedimientos no debida a una falta de diligencia exigible al infractor”, lo que permite establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Alega la representación de la denunciada que no se ha tenido en cuenta a la hora de aplicar el artículo 45.5 la circunstancia prevista en el aparado
- c)“Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción”. En primer lugar, hay que señalar que la aplicación del artículo 45.5
- a)de la LOPD posibilita en el presente caso la aplicación a la denunciada de la escala de sanciones prevista para las infracciones leves por la infracción grave de la que ha resultado responsable como consta en el párrafo precedente. Sin embargo, hay que indicar que no se aprecia en la conducta de los denunciantes comportamiento alguno que pudiera inducir a la denunciada a la comisión de la infracción a la luz de los datos identificativos que se hicieron constar en las reclamaciones interpuestas en fecha 29/08/2012 y en la petición expresa y clara señalada en las mismas “que me den un histórico de las aportaciones y rentabilidad de mi Plan de Pensiones”, confirmado, además, por la carta remitida por la entidad al denunciante 1 el 04/09/2012 en la que si se discierne sobre el carácter individual de la reclamación: “Ha tenido entrada en este Servicio de Atención al Cliente su escrito de referencia…” (folio 4). No obstante, estando acreditada la negligencia de la denunciada en la comisión de la infracción aunque solo sea a título de simple inobservancia de la diligencia que le resultaba exigible, concurre en el presente caso una cualificada disminución de la culpabilidad de la compañía aseguradora, pues si bien incluyó en la comunicación dirigida a cada uno de los denunciantes información del Plan del respectivo cónyuge, información que era absolutamente prescindible; sin embargo, los citados denunciantes son cónyuges, la reclamación de los mismos ante la oficina de Algeciras se realiza simultáneamente en la misma fecha, su contenido es prácticamente idéntico, tienen la misma dirección y son beneficiarios de los respectivos Planes. Por otra parte, en lo que atañe a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, es necesario tener en cuenta circunstancias que operan como atenuantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el apartado
- c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” pues es notoria la vinculación de la actividad de la entidad con la realización de tratamientos de datos de carácter personal tanto de clientes como de terceros y el apartado
- d)“El volumen de negocio o actividad del infractor”, pues se trata de una gran compañía aseguradora por cuota de mercado; todo ello, en vez de atenuar su responsabilidad, le impone un mayor deber de diligencia en su actuación. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 6.000 € de la que SANTA LUCIA debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS, por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma, una multa de 6.000 € (seis mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a SANTA LUCIA, S.A. COMPAÑIA DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 SEGUROS Y REASEGUROS y a los denunciantes 1 y 2 exclusivamente el Anexo que les corresponda, en el que se incluye su identificación. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es