PS-00479-2023

1/44  Expediente N.º: EXP202212014 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SANITAS, S.A. DE SEGUROS (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202212014 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y con base en los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) en fecha 27/09/2022 interpone reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SANITAS, S.A. DE SEGUROS, con NIF A28037042 (en adelante, la parte reclamada o SANITAS). El motivo en el que basa la reclamación es la contratación a su nombre y sin su consentimiento de un seguro de salud en el que son entidades coaseguradoras SANITAS y BBVA SEGUROS, S.A. de Seguros y Reaseguros (BBVA Seguros). El alta del contrato a nombre de la reclamante originó que para el cobro de la prima del seguro se efectuaran adeudos en la cuenta bancaria de la que es titular en Banco Bilbao Vizcaya Argentaria, S.A. (BBVA) desde marzo a mayo de 2022, ambos inclusive. Aporta con su reclamación una copia del escrito de queja que presentó ante BBVA del que no recibió respuesta. El documento está firmado por la reclamante el 19/07/2022 y lleva un sello con la leyenda “Banco Bilbao Vizcaya Argentaria, BBVA” “XXXX” “***LOCALIDAD”. En él expone que es cliente de BBVA; que en el mes de febrero de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/44 2022 solicitó en esa entidad bancaria información sobre el seguro de salud que comercializa sin que llegara a celebrar ningún contrato y que en marzo de 2022 le pasaron al cobro en su cuenta un recibo por el concepto “seguro de salud”. Indica también que, tras lo ocurrido, devolvió el recibo recuperando el importe detraído de su cuenta y comunicó a su gestor personal en BBVA que anulara la póliza pues ella no había prestado el consentimiento a esa contratación. Manifiesta que, pese a ello, la situación se vino repitiendo en los meses sucesivos y que al no haberle devuelto la prima adeudada en el mes de mayo solicitó a su gestor de BBVA que le facilitara una copia de la póliza relativa al seguro de salud, haciendo la entidad caso omiso de su petición. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a BBVA para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se notificó electrónicamente de acuerdo con las normas de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), es aceptado en fecha 15/11/2022, según consta en el acuse de recibo que obra en el expediente. BBVA no responde a la solicitud informativa. TERCERO: En fecha 27/12/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. La admisión a trámite se notifica a la parte reclamante mediante correo postal que consta recibido el 17/01/2023, como lo acredita la documentación que obra en el expediente. CUARTO: La Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión en virtud de las funciones que asigna a las autoridades de control el artículo 57.1 y de los poderes otorgados por el artículo 58.1, ambos del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Se reproducen los siguientes párrafos del Informe de Actuaciones de Investigación Previa firmado por la inspectora actuante el 25/10/2023: <<ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 [BBVA] BBVA MEDIACIÓN OPERADOR DE BANCA-SEGUROS VINCULADO, S.A. con NIF A78581998 [OBS] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/44 SANITAS, S.A. DE SEGUROS con NIF A28037042 [SANITAS] RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con las evidencias aportadas, […] se puede establecer el siguiente orden cronológico de los hechos: - 03/02/2022: Fecha de información previa y solicitud de información, es decir, fecha en la que la parte reclamante se personó en la oficina de BBVA. - 01/03/2022: Fecha de Alta de la Póliza - 19/07/2022: Fecha de presentación del escrito de reclamación ante BBVA solicitando la devolución del importe cobrado indebidamente y la anulación de la póliza. - 27/09/2022: Fecha de presentación de la reclamación ante AEPD. - 01/10/2022: Suspensión de la Póliza por falta de pago. - 14/11/2022: Fecha de Traslado de la reclamación a la parte reclamada. - 21/11/2022: Correo electrónico de BBVA Seguros a SANITAS solicitando información y evidencias firmadas de la póliza reclamada. - 23/11/2022: Correo respuesta de SANITAS a BBVA Seguros informando de la baja automática por falta de pago con fecha 01/10/2022, la inexistencia de documentos vinculados a dicha contratación y solicitando autorización para modificar la fecha de efecto de baja de la póliza a fecha de alta. - 23/11/2022: Cancelación de la póliza con efectos retroactivos a fecha de alta, tras informar del error en el alta. - 28/11/2022: Comunicación enviada por BBVA a la dirección postal de la parte reclamante informándole de la cancelación de la póliza y devolución del importe solicitado. […] -1-. BBVA [Banco Bilbao Vizcaya Argentaria, S.A.] -1.1-. Con fecha 11 de mayo de 2023, se realiza un requerimiento de información a […] BBVA solicitándole […] la copia de la póliza de seguro de salud y documentación acreditativa del consentimiento de la parte reclamante para la contratación de dicho seguro de salud, el procedimiento utilizado por BBVA para la contratación de seguros de salud con SANITAS y el motivo por el cual BBVA no contestó a esta Agencia, en el plazo establecido para ello, respecto a la información solicitada en el traslado efectuado con fecha 14 de noviembre de 2022. La parte reclamada responde […] con fecha 30 de mayo de 2023 proporcionando la siguiente documentación: - #BBVA_Resp_1: Escrito de respuesta. - #BBVA_Resp_1#Doc_1: Contrato de prestación de servicios entre el OBS [Operador Banca Seguros] y BBVA. - #BBVA_Resp_1#Doc_2: Captura de pantalla del texto relativo al tratamiento de datos personales que aparece de forma automática cuando el usuario solicita la simulación del Seguro Salud ofertado en la web bbva.es. - #BBVA_Resp_1#Doc_3: Comunicación enviada a la dirección postal de la parte reclamante. Fecha 28 de noviembre de 2022 […] BBVA manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/44 1.- RELACIONES JURÍDICAS ENTRE BBVA, OBS Y SANITAS […]que “BBVA tiene cedidas tanto su red de oficinas como su web, a efectos de la comercialización de seguros, a OBS conforme a lo previsto en el párrafo segundo del art. 25 de la Ley de Mediación de Seguros y Reaseguros Privados de 2006. Por su parte, el OBS mantiene contrato de agencia de seguros (art. 25.1 de la Ley de Mediación) con SANITAS y ello le constituye en encargado del tratamiento para dicha entidad (art. 62.1.a. de la citada Ley de Mediación de Seguros). Esto significa que, para formalizar contratos de seguros a través de sus canales de distribución, en este caso de forma presencial en la oficina, cuando alguien desea contratar un seguro de salud, a efectos prácticos, es como si se estuviese visitando una agencia o una oficina comercial de dicha aseguradora y, por ello, posee acceso a los datos de los sistemas informáticos de la misma, para poder realizar su labor de agente de seguros. Es por ello que no hay relación jurídica entre SANITAS y BBVA. […] BBVA no es responsable de la mediación de los productos de seguros ofertados por la primera. BBVA SEGUROS Sociedad Anónima de Seguros y Reaseguros distribuye los productos de seguros (los de SANITAS incluidos) a través del OBS, que actúa como agente de seguros. El OBS y BBVA tienen suscrito un contrato de prestación de servicios consistente en la cesión de su red de oficinas y la web “www.bbva.es” para la mediación de los productos de seguro, tal y como tiene comunicado a la Dirección General de Seguros y Fondo de pensiones.” […] “BBVA exclusivamente pone a disposición del OBS su red de distribución para la mediación de los productos de seguro.” [….] Acompaña al escrito [...]: #BBVA_Resp_1#Doc_1: Contrato de prestación de servicios entre el OBS y BBVA, que consiste en la cesión de su red de oficinas y la web “www.bbva.es” para la mediación de los productos de seguro […]. #BBVA_Resp_1#Doc_2: Captura de pantalla del texto relativo al tratamiento de datos personales que aparece de forma automática cuando el usuario solicita la simulación del Seguro Salud ofertado en la web bbva.es, en el que se muestran BBVA SEGUROS y SANITAS como responsables y OBS (mediador del seguro de salud de BBVA Seguros y Sanitas) como encargado del tratamiento que tratará los datos personales en nombre y por cuenta de las citadas entidades. […] 2.- Respecto a […] los datos de la parte reclamante, BBVA indica que “la gestión de esta consulta fue tramitada por el OBS como mediador de seguros por lo que BBVA no dispone de información sobre dicho trámite. Sin embargo, tras el traslado de la reclamación por […] esta Agencia, el 14 de noviembre de 2022, ha tenido conocimiento, a través de la respuesta facilitada a la [PARTE RECLAMANTE] por el SAC, que se ha procedido a cancelar el seguro “BBVA MÁS SALUD” con efectos retroactivos desde la fecha del alta, esto es, el 1/3/2022. Así mismo, SANITAS ha procedido a abonar a la [parte reclamante] la cantidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/44 ***CANTIDAD.1 euros correspondientes al recibo de la prima de mayo de 2022 abonado por la reclamante.” 3.- Con respecto al motivo por el cual no contestó […] [al] traslado efectuado con fecha 14 de noviembre de 2022, BBVA informa que “se debió a un error aislado en el seguimiento de la reclamación. […] Si bien es cierto que no se facilitó la información requerida, si se tramitó el traslado de reclamación de la [ PARTE RECLAMANTE], a quien el 28/11/2022 se le envió una comunicación con la decisión adoptada.” […] adjunta el documento #BBVA_Resp_1#Doc_3, de fecha 28 de noviembre de 2022, en el que se informa a la parte reclamante sobre la baja de la póliza a fecha de efecto 01 de marzo de 2022 y la devolución del recibo cobrado en mayo por la cuantía de ***CANTIDAD.1 euros. -1.2-. BBVA. Solicitud de la documentación contractual. Con fecha 3 de julio de 2023, se realiza un segundo requerimiento de información a […] BBVA solicitándole copia de las evidencias de la gestión de la solicitud de información efectuada por la parte reclamante y sellada por la entidad bancaria, oficina XXXX, con fecha 19 de julio de 2022, copia de las comunicaciones entre BBVA y OBS respecto de dicha solicitud y motivo por el cual no se contestó a la parte reclamante. [BBVA] responde […] con fecha 18 de julio de 2023 […]: - Que “Una vez revisado el registro de entrada del Servicio de Atención al Cliente de BBVA (en adelante “SAC”) no hay constancia que dicha Unidad recibiera la solicitud de información presentada por [PARTE RECLAMANTE] en la oficina del OBS número XXXX el 19 de julio de 2022. En consecuencia, no se dispone de número de seguimiento o identificación de la tramitación de dicha solicitud de información.” - Que, conforme a la normativa sobre los servicios de atención al cliente que indica que las entidades que forman parte del mismo grupo económico pueden disponer de un departamento o servicio de atención al cliente único para todo el grupo, “el SAC atiende y resuelve las reclamaciones que presenten los clientes de las pólizas de seguro “BBVA MÁS SALUD” mediadas por el OBS, siempre que las mismas versen sobre la actividad de comercialización/mediación de la Póliza. En este sentido, el OBS tenía que haber remitido la reclamación de 19 de julio de 2022 presentada por la [PARTE RECLAMANTE] al SAC o a BBVA SEGUROS para su tramitación. Sin embargo, la primera reclamación de la [PARTE RECLAMANTE] tiene entrada en el SAC el 15 de noviembre de 2022 con motivo del requerimiento efectuado por la AEPD a BBVA. El 28 de noviembre de 2022 el SAC contestó a la [PARTE RECLAMANTE] informando de la cancelación del seguro “BBVA MÁS SALUD” con efectos retroactivos desde la fecha del alta.” (Documento #BBVA_Resp_1#Doc_3) - Que, respecto a la ausencia de respuesta, “al no recibirse la reclamación no se pudo tramitar ni enviar respuesta alguna al reclamante.” - 2 – SANITAS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/44 - 2.1 - Con fecha 11 de mayo de 2023, se realiza un requerimiento de información a SANITAS solicitándole, entre otros puntos, la copia de la póliza de seguro de salud y documentación acreditativa del consentimiento de la parte reclamante para la contratación de dicho seguro de salud, el procedimiento utilizado por SANITAS para la validación de la solicitud de contratación de seguros de salud y documentación que se exige recabar a BBVA previa al inicio de la relación contractual. La parte reclamada responde […]con fecha 29 de mayo de 2023 proporcionando un único documento #SANITAS_Resp_1 que contiene los siguientes anexos: ANEXO 1 – INFORMACIÓN PRECONTRACTUAL (Págs. 11-16) ANEXO 2 – CCGG Y CCPP (Condiciones Generales y Condiciones Particulares) (Págs. 17-104) ANEXO 3 – COMUNICACION BBVA / SANITAS (Págs. 105-108) ANEXO 4 – INFORME PRIVACIDAD & SEGURIDAD DE LA INFORMACIÓN (Págs. 109-127) ANEXO 5 – AUDITORÍA INTERNA (Págs. 128-140) ANEXO 6 – HACKING ETICO (Págs. 141-166) ANEXO 7 – TESTING BIANUAL (Págs. 167-169) ANEXO 8 – FIRMA DIGITAL (Págs. 170-171) ANEXO 9 – MEJORA INFORMACIÓN (Págs. 172-174) ANEXO 10 – PROCESO CONTRATACIÓN OBS (Págs. 175-191) […], SANITAS aporta la siguiente información y manifestaciones: - Que SANITAS y BBVA Seguros tienen suscrito un contrato de coaseguro de salud y, vinculado al Contrato de Coaseguro, SANITAS y OBS tienen suscrito un contrato de agencia para la mediación en el coaseguro de salud. Dicho contrato incorpora, entre sus anexos, el correspondiente acuerdo de encargo de tratamiento. En virtud de este contrato, el OBS gestiona y graba las altas de los clientes del Contrato de Coaseguro. - Que, para dar traslado de la información necesaria a las coaseguradoras, existe una plataforma digital securizada a la que acceden los agentes del OBS. - Que, “fruto de un error humano y puntal por parte del agente del OBS al completar el formulario existente en la mencionada plataforma, se dio de alta a la Reclamante en el seguro de salud coasegurado. El error involuntario del agente motivó que dicha simulación se completara como una contratación, pasando la Reclamante al estado de Alta.” - Que, una vez detectado el error, ha sido subsanado cancelando la póliza con efectos retroactivos a la fecha del alta y procediendo a la devolución de cualquier cantidad indebidamente cobrada. - Que, las entidades coaseguradoras implementan mejoras continuas para evitar que este tipo de errores se vuelvan a producir en el ámbito del coaseguro. “Entre las mejoras más relevantes, destaca la implementación, a principios del año 2022, de la firma digital de la solicitud del seguro por parte del cliente, que impide de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/44 manera absoluta que se pueda replicar el error acontecido con la Reclamante. Si bien, actualmente ambas posibilidades (firma manuscrita y digital) todavía coexisten, […]” Se aporta como evidencia de esta implementación el documento #SANITAS_Resp_1#Anexo_8 - SANITAS proporciona una copia de los datos de la parte reclamante de los que disponen actualmente en sus ficheros, refiriendo que se encuentran ofuscados: Nombre y apellidos, NIF, Sexo, Fecha de Nacimiento, Domicilio, Código de Cliente, País, Idioma, Teléfono, Correo electrónico, Banco, IBAN y Código BIC. - SANITAS aporta información sobre la póliza contratada, en la que se indica que no consta en archivo físico la solicitud del seguro firmada, ni condiciones generales ni condiciones particulares firmadas, ni gastos desde la fecha de alta. - Requerida la documentación acreditativa del consentimiento de la parte reclamante para la contratación de dicho seguro, SANITAS indica que “fruto de un error puntual y no intencionado por parte del agente del OBS, se dio de alta a la Reclamante en el coaseguro de salud en lugar de limitarse a generar una simulación del coaseguro.” Dicha solicitud fue informada por error como aceptada mediante firma manuscrita, motivo por el cual se dio de alta a la asegurada. SANITAS explica la existencia de comunicaciones automáticas remitidas a la parte reclamante (un correo electrónico y dos SMS) informando del presupuesto del seguro (documento #SANITAS_Resp_1#Anexo_1), del alta en el seguro y de las condiciones de este. Las comunicaciones constan como entregadas a la parte reclamante pero nunca fueron contestadas o firmadas. - Respecto a las comunicaciones mantenidas con la parte reclamante, SANITAS indica que no consta registrada directamente en SANITAS ninguna reclamación interpuesta por la parte reclamante y remite el intercambio de información desde BBVA Seguros, #SANITAS_Resp_1#Anexo_3 en el que se comprueba la gestión entre ambas entidades para tramitar la baja de la póliza contratada erróneamente. - Con relación a los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos (en adelante, DPD), SANITAS remite los anexos 4 a 9 del documento #SANITAS_Resp_1# en los que se pone de manifiesto la implicación de su DPD y la realización de auditorías internas y de seguridad, así como la realización de tests bianuales sobre pólizas seleccionadas aleatoriamente. SANITAS proporciona evidencias de la implementación de las mejoras explicadas anteriormente: #SANITAS_Resp_1#Anexo_8: Implementación de la firma digital en el portal de contratación #SANITAS_Resp_1#Anexo_9: Implementación de la mejora de los mensajes e información facilitada a los usuarios de la plataforma digital – agentes del OBS: Mientras no se haya facilitado a solicitante la información legalmente requerida y mientras la solicitud de seguro no se haya firmado, el potencial cliente quedará en estado de suspenso, no procediéndose al alta, hasta que se hayan cumplido los requisitos predefinidos al efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/44 - Respecto al procedimiento utilizado por SANITAS para la validación de la solicitud de contratación de seguros de salud y la documentación que se exige recabar a BBVA previa al inicio de la relación contractual, SANITAS informa que es el OBS quien le traslada la información pertinente para poder dar de alta a una determinada persona en el coaseguro. Proporciona como evidencia el documento #SANITAS_Resp_1#Anexo_10, Proceso de Contratación de una Póliza en BBVA, en el que se explica el proceso de contratación para los tres canales existentes: (

1. i)Oficina, donde la solicitud se puede firmar de manera manuscrita o digitalmente; (
2. ii)Canal telefónico, donde la solicitud de firma mediante grabación de voz; y (
3. ii)Web y App, donde la solicitud se firma digitalmente. Se observa que el procedimiento aportado está actualizado con las mejoras informadas anteriormente, por lo que se le requerirá de nuevo el procedimiento que se encontraba vigente a fecha de los hechos. - 2.2 -Con fecha 3 de julio de 2023, se realiza un segundo requerimiento de información a SANITAS solicitándole, entre otros puntos, copias de los contratos referenciados en su respuesta al primer requerimiento, así como evidencias del envío de las comunicaciones automáticas a la parte reclamante y motivos por los que se dio de alta el contrato a pesar de la ausencia de firma de la parte reclamante. La parte reclamada responde […] con fecha 13 de julio de 2023 proporcionando un único documento #SANITAS_Resp_2 que contiene los siguientes anexos: ANEXO 1 – CONTRATO COASEGURO SANITAS - BBVA SEGUROS (Págs. 11-63) ANEXO 2 – CONTRATO AGENCIA SANITAS - OBS (Págs. 64-106) ANEXO 3 – PROCESO CONTRATACION BBVA – VIGENTE FEBRERO 2022 (Págs. 107-116) ANEXO 4 – PROCESO CONTRATACIÓN BBVA ACTUAL (Págs. 117-133) ANEXO 5 – FICHA DE PRODUCTO SANITAS – BBVA (28/04/2021) (Págs. 134-160) ANEXO 6 – FICHA DE PRODUCTO SANITAS – BBVA (24/02/2023) (Págs. 161-187) ANEXO 7 – EVIDENCIA DE ENVÍO DE CORREO ELECTRÓNICO 10/02/2022 (Págs. 188-189) ANEXO 8 – EVIDENCIA DE ENVÍO SMS ALTA (Págs. 190-191) ANEXO 9 – EVIDENCIA DE ENVÍO SMS CONDICIONES (Págs. 192-193) - Del contrato de coaseguro de salud suscrito entre SANITAS y BBVA Seguros #SANITAS_Resp_2#Anexo1 [en] La sección 18 (Pág. 53) [se] especifica que ambas entidades subscriben un acuerdo de corresponsabilidad del tratamiento de datos personales en el marco del coaseguro, tal como se recoge en el Anexo 18.1 (Pág. 58). En este anexo se recogen las obligaciones de ambas partes, la notificación inmediata a la otra parte ante brechas de seguridad y la manera de actuar ante procedimientos de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/44 - El documento #SANITAS_Resp_2#ANEXO 2 incluye en la página 97 el acuerdo de encargo del tratamiento entre SANITAS y OBS. […] en él se regulan, entre otros, los siguientes aspectos: - Objeto, duración, naturaleza y finalidad de los tratamientos - Tipología de datos de carácter personal - Obligaciones del encargado, y, entre ellas: *. tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable, *. darle apoyo y asistencia, *. notificar inmediatamente en caso de tratamiento ilícito, *. no subcontratar la comercialización, *. no realizar transferencia internacional de datos. - Medidas de seguridad a implementar por el encargado en el marco del contrato. - Con relación al proceso de contratación, SANITAS remite tanto el documento operativo a fecha de febrero de 2022 (#SANITAS_Resp_2#Anexo3) como el proceso de contratación actual (#SANITAS_Resp_2#Anexo4). En el documento operativo a fecha de febrero de 2022 se evidencia que, para continuar con la tramitación, el mediador debe marcar el check donde reconoce haber facilitado el documento de información [PARTE RECLAMANTE] de seguro al tomador de la póliza. También debe marcar el check relativo a haber leído al cliente la Política de privacidad y tratamiento de datos personales. Para finalizar el proceso, el documento indica que, si el cliente va a firmar, el gestor debe: 1. Marcar que SÍ en el check de “solicitud firmada” e indicar la fecha. 2. Imprimir la solicitud para que la firme el cliente. 3. Una vez firmada, indexarla en el programa y enviar el documento físico por valija. Si el cliente no va a firmar la póliza quedaría pendiente. SANITAS destaca que aplica un sistema de mejora continua en el proceso de contratación de una póliza coasegurada y por este motivo se han implementado las siguientes mejoras en el procedimiento de contratación: - Implementación en mayo de 2022 de la firma digital en el proceso de contratación. - Se ha robustecido la prueba de envío del correo electrónico al interesado, siendo obligatorio para el usuario de la plataforma (agente del OBS) marcar de forma proactiva que efectivamente se ha enviado esa información. - Se ha reforzado el mensaje que se traslada a los agentes del OBS a través de la plataforma, cuando realizan un proceso de firma manuscrita. En el documento #SANITAS_Resp_2#Anexo4 se evidencia la implementación de dichas mejoras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/44 - Requerida confirmación de si el alta del contrato se realiza de forma automática una vez que el mediador ha incluido los datos en la plataforma o si se lleva a cabo alguna comprobación previa antes de efectuar el alta, SANITAS manifiesta que “En el caso de optar por firma manuscrita, el gestor del OBS lo debe de hacer constar en el proceso de el alta en la plataforma. Es el propio gestor quien debe de imprimir la solicitud y mostrársela al interesado para que verifique que su contenido es la información y voluntad manifestada previamente por este último. A continuación, el interesado, si está conforme, firma la solicitud. Una vez firmada, el agente del OBS debe de escanearla y subirla a la plataforma y, por otro lado, enviar por valija el original de la solicitud de seguro firmada por el cliente para su archivo por parte de SANITAS. El resto de información del cliente se traslada directamente a través de la mencionada plataforma. En caso de no constar firma de la solicitud de coaseguro por parte del interesado, esta solicitud se quedaría en estado “pendiente”, según se establece en el proceso de contratación. En este estado permanece el proceso hasta la subsanación de este aspecto, pasando a ser baja definitiva en el caso de no firmarse la solicitud. Este procedimiento e instrucciones facilitados al OBS, además de estar claramente definidas y visibles en la plataforma de contratación, se encuentran también a disposición del agente del OBS en la documentación de información de producto BBVA-SANITAS, que está disponible de forma permanente en el portal de contratación.” SANITAS adjunta como evidencias las fichas de producto del seguro médico BBVA MAS SALUD vigentes desde abril de 2021 y febrero de 2023 (#SANITAS_Resp_2#Anexo5 y #SANITAS_Resp_2#Anexo6) en las que se especifican claramente las instrucciones anteriores relativas al proceso de contratación (Págs. 148 y 176). Firma Manuscrita - La solicitud del Seguro deberá anexarse en el aplicativo debidamente firmada por el cliente - En ningún caso la oficina custodiará ningún tipo de documento con alto valor confidencial como puede ser la Solicitud del Seguro - La solicitud de seguro física firmada por el cliente, tras haberse anexado en el aplicativo, así como cualquier otra documentación que la oficina reciba de Sanitas, deberá enviarse por valija al código 80215 - SANITAS indica que “independientemente del canal de contratación, el cliente recibe por parte de las Coaseguradoras diversas comunicaciones informando del alta [..] que hace altamente improbable que exista fraude o dolo en este proceso.” Remite como evidencias de dichas comunicaciones los anexos #SANITAS_Resp_2#Anexo7, #SANITAS_Resp_2#Anexo8 y #SANITAS_Resp_2# Anexo9 que muestran los logs de envío y respuesta del servicio SMS para dichas comunicaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/44 - Respecto a los motivos por los que se dio de alta el contrato a pesar de la ausencia de firma de la parte reclamante en la solicitud del seguro y en las condiciones particulares, SANITAS indica que: “En este caso concreto, el agente del OBS completó el proceso de contratación de forma errónea, informando que la solicitud de seguro había sido firmada, cuando realmente no lo había sido. Este error humano motivó el alta de la Reclamante. No obstante, detectada esta vulnerabilidad del potencial error humano, como se ha detallado a lo largo del presente escrito, se han adoptado medidas para evitar que se vuelva a producir un error similar en un futuro y se trabaja de forma constante en la mejora del proceso de contratación. […] En lo que respecta a la firma de las condiciones (generales y/o particulares) del contrato de seguro, es preciso poner de relieve que no son un elemento esencial para la plena validez y vigencia del mismo y, por lo tanto, para el alta del asegurado.” - 3 -. OBS Con fecha 3 de julio de 2023, se realiza un requerimiento de información a OBS solicitándole, entre otros puntos, copia del contrato de agencia entre SANITAS y OBS, procedimiento utilizado por OBS para la contratación de seguros de salud con SANITAS junto con la documentación que se recaba previa al inicio de la relación contractual e instrucciones de que disponen los mediadores en su labor de encargados del tratamiento, copia de las comunicaciones entre BBVA y OBS respecto de la solicitud de información efectuada por la parte reclamante y motivo por el cual no se le contestó en el plazo habilitado para ello. OBS responde a este requerimiento de información con fecha 18 de julio de 2023 proporcionando la siguiente documentación: - #OBS_Resp_1: Escrito de respuesta. - #OBS_Resp_1#Doc_1: Contrato de agencia para la mediación de seguros de salud. Sanitas - OBS. - #OBS_Resp_1#Doc_2: Proceso contratación BBVA vigente febrero 2022. - #OBS_Resp_1#Doc_3: Argumentario de venta actual. - #OBS_Resp_1#Doc_4: Argumentario de venta vigente febrero 2022. - #OBS_Resp_1#Doc_5: Carta del SAC. En su escrito de respuesta OBS aclara que “BBVA y OBS tienen suscrito un contrato de prestación de servicios recíprocos consistentes en la cesión de la red de distribución de BBVA al OBS para la distribución de productos de seguro. Esta cesión de red se extiende a toda la estructura organizativa de BBVA, incluyendo medios personales y materiales, oficinas operativas, agentes, gestores BBVA Contigo y CSE, así como la web de bbva.es y bbva.pt, la App BBVA y cualquier canal remoto, que por la evolución de los medios, se adapte en un futuro. La consecuencia práctica de dicho contrato es que la distribución de seguros se materializa a través de la red de BBVA siendo el OBS el único autorizado administrativamente para llevar a cabo la distribución de los seguros.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/44 OBS prosigue explicando que realiza el proceso de contratación a través de la plataforma digital en entorno SANITAS, a la que se conecta y en la que se da traslado de la información a las coaseguradoras. En el caso de la parte reclamante, por un error humano “lo que tenía que haber sido una simple simulación solicitada por la reclamante y entrega de información precontractual se materializó en una contratación.” Las manifestaciones de OBS siguen la misma línea que lo expuesto a lo largo de este informe, reiterando la información facilitada tanto por BBVA como por SANITAS explicada anteriormente. Los anexos aportados también coinciden con la documentación proporcionada por SANITAS y BBVA analizada previamente. Respecto a la solicitud de información presentada en julio de 2022 en BBVA por la parte reclamante, OBS indica que “No consta, en el registro de entrada del Servicio de Atención al Cliente (en adelante “SAC”), que se recibiera por parte del OBS solicitud de información alguna presentada por la [PARTE RECLAMANTE ] y sellada, el 19 de julio de 2022, por la oficina de BBVA número XXXX. En consecuencia, no se dispone de número de seguimiento o identificación de la tramitación de dicha solicitud de información.” - 4 -. Parte reclamante Con fecha 3 de julio de 2023 se realiza una solicitud de información […] a la parte reclamante solicitándole, […] confirmación de la recepción de las comunicaciones indicadas por parte de SANITAS e información sobre si se le proporcionó algún identificador de seguimiento en el momento de presentar la reclamación sellada por la entidad bancaria, oficina XXXX, con fecha 19 de julio de 2022. La notificación consta como aceptada por la parte reclamante con fecha 4 de julio de 2023, según indica el servicio de Dirección Electrónica Habilitada Única (DEHÚ), pero no se ha cursado respuesta al requerimiento dentro del plazo legalmente establecido.>> QUINTO: Según la información ofrecida por la herramienta AXESOR, la mercantil SANITAS - filial del Grupo económico Bupa Investments Overseas Limited, Sucursal en España-, se constituyó en el año 1966 y tiene un capital social de 17.309.012€. La aseguradora reclamada tiene la consideración de (...): Su cifra de negocio ascendió durante el ejercicio 2021 a ***CANTIDAD.2€ y durante el ejercicio 2022 a ***CANTIDAD.3€. En ambos ejercicios superó los (…) empleados. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/44 De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Normas jurídicas aplicables El RGPD regula en su artículo 5 los principios que presiden el tratamiento de los datos de carácter personal y dispone en el apartado 1: “1. Los datos personales serán:
4. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>. […]” El artículo 5.2 establece: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD, bajo la rúbrica “Licitud del tratamiento”, concreta en su apartado 1 los supuestos en los que el tratamiento de datos personales es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
11. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/44 El artículo 9 del RGPD, “Tratamiento de categorías especiales de datos personales”, dispone: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2.El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
12. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
13. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión, de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
14. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
15. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
16. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
17. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
18. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
19. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
20. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/44 de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
21. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3.[…] 4.Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.” (El subrayado es nuestro) III Cuestiones previas El artículo 4 del RGPD, apartado 1, define los “datos personales” como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El apartado 2 del artículo 4 del RGPD entiende por “tratamiento” “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción o consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación, de acceso, cotejo o interconexión, limitación, supresión o destrucción”. La figura del “responsable del tratamiento” o “responsable” se define en el artículo 4.7 del RGPD como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. (El subrayado es nuestro) El artículo 26 del RGPD dispone que cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento. El precepto obliga a los corresponsables a fijar de mutuo acuerdo sus “respectivas responsabilidades en el cumplimiento de las obligaciones que el RGPD impone” y a determinar las “funciones” de los corresponsables y sus relaciones con los interesados. Por otra parte, el RGPD define la figura del “encargado del tratamiento” o “encargado” como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento” (artículo 4.8) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/44 Respecto al encargado de tratamiento la normativa vigente en materia de distribución de seguros -el R.D.-ley 3/2020, en particular su Libro II, “Medidas para la adaptación del derecho español a la normativa de la Unión Europea en materia de seguros privados y planes y fondos de pensiones”- establece que los “agentes de seguros” y los “operadores de banca seguros” (OBS) tendrán la consideración de encargados de tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de Agencia. El artículo 203 del precitado R.D.-ley 3/2020 dispone: “1. A los efectos previstos en la Ley Orgánica 3/2018, de 5 de diciembre, así como en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos:
22. a)Los agentes de seguros y los operadores de banca-seguros tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en el título I. […] 2. En el supuesto previsto en la letra
23. a)del apartado 1, en el contrato de agencia deberán hacerse constar los extremos previstos en el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. […]” (El subrayado es nuestro) El artículo 140 del R.D.-ley 3/2020 define los agentes de seguros como las personas físicas o jurídicas, distintas de la entidad aseguradora o de sus empleados que, mediante la celebración de un contrato de Agencia con una o varias entidades aseguradoras, se comprometen frente a éstas a realizar la actividad de distribución de seguros definida en el artículo 129.1, en los términos acordados en dicho contrato. Los operadores de banca-seguros se conciben en la normativa sectorial como un agente de seguros. El artículo 150.1, inciso primero, del RD-ley 3/2020 dice sobre ellos: “Tendrán la consideración de operadores de banca-seguros las entidades de crédito, los establecimientos financieros de crédito y las sociedades mercantiles controladas o participadas por cualquiera de ellos conforme a lo indicado en el artículo 160 que, mediante la celebración de un contrato de agencia de seguros con una o varias entidades aseguradoras, se comprometan frente a estas a realizar la actividad de distribución de seguros como agentes de seguros utilizando sus redes de distribución.” (El subrayado es nuestro) En el supuesto de hecho que plantea la reclamación, como se indica más adelante, SANITAS y BBVA Seguros suscribieron un contrato de coaseguro en el que exponen que ambas definen conjuntamente los fines y los medios del tratamiento. Por otra parte, la mercantil BBVA Mediación Operador de Banca Seguros Vinculados, S.A., (en adelante OBS BBVA) suscribió sendos contratos de Agencia con SANITAS y BBVA Seguros en virtud de los cuales actúa, en relación con cada una de esas entidades aseguradoras, como su encargada de tratamiento. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/44 Referencia a los sujetos implicados: Corresponsables del tratamiento y encargado de tratamiento 1. SANITAS y BBVA Seguros firmaron el 31/10/2019 un contrato de coaseguro “para el desarrollo y comercialización conjunta de productos de seguros de salud”. El contrato tiene por objeto “el desarrollo conjunto por Sanitas y BBVA Seguros, de pólizas de Seguro de Salud, destinadas […] a los clientes de BBVA y […] a su colectivo de empleados, con la finalidad de ofrecer a los mismos una amplia gama de coberturas y servicios aseguradores adecuados a sus necesidades” (cláusula primera). En el contrato de coaseguro se afirma que las coaseguradoras han fijado conjuntamente los fines y los medios del tratamiento y que, en cumplimiento de la previsión del artículo 26.1 del RGPD, suscriben un “Acuerdo de corresponsabilidad” (en adelante el Acuerdo). La cláusula 18 del contrato de coaseguro reitera que ambas entidades “han determinado conjuntamente los objetivos y los medios del tratamiento de los datos de carácter personal de los futuros asegurados con la finalidad de gestionar la relación contractual de coaseguro” y, añade que “subscriben el acuerdo de corresponsabilidad del tratamiento de datos personales […] de conformidad con el artículo 26 del RGPD.” A tenor de la información disponible, en esta fase de acuerdo de inicio de expediente sancionador podemos afirmar que SANITAS y BBVA Seguros -tal y como estas entidades han manifestado en los contratos en los que son parte- son corresponsables del tratamiento de datos que se efectúa para gestionar la relación contractual de los asegurados en el marco del contrato de coaseguro, contrato cuyo objeto son las pólizas de seguro de salud destinadas a los clientes de BBVA y a su colectivo de empleados. El artículo 26 del RGPD, “Corresponsables del tratamiento”, dispone: “1. Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento. Los corresponsables determinarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento, en particular en cuanto al ejercicio de los derechos del interesado y a sus respectivas obligaciones de suministro de información a que se refieren los artículos 13 y 14, salvo, y en la medida en que, sus responsabilidades respectivas se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. Dicho acuerdo podrá designar un punto de contacto para los interesados. 2.El acuerdo indicado en el apartado 1 reflejará debidamente las funciones y relaciones respectivas de los corresponsables en relación con los interesados. Se pondrán a disposición del interesado los aspectos esenciales del acuerdo. 3.Independientemente de los términos del acuerdo a que se refiere el apartado 1, los interesados podrán ejercer los derechos que les reconoce el presente Reglamento frente a, y en contra de, cada uno de los responsables.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/44 La afirmación precedente, que SANITAS y BBVA Seguros son corresponsables del tratamiento, es respetuosa con el artículo 26.1 del RGPD y con los criterios que sobre la corresponsabilidad ha fijado el Comité Europeo de Protección de Datos (CEPD) y el Tribunal de Justicia de la Unión (TJUE). No existen elementos de juicio para negar que las dos aseguradoras hayan fijado conjuntamente los fines y los medios del tratamiento que se efectúa en los contratos de seguros que se celebran en el marco del contrato de coaseguro, ni para concluir que la declaración de corresponsabilidad que ambas entidades han hecho en los contratos en los que son parte no sea un reflejo de la influencia real que las dos han tenido en la determinación de los fines y los medios del tratamiento de datos que se efectúa. Las Directrices del CEPD 07/2020, “sobre los conceptos de responsable del tratamiento y encargado del tratamiento en el RGPD”, dicen que para evaluar la existencia de corresponsabilidad del tratamiento es necesario examinar “si la determinación de los fines y los medios que caracteriza la responsabilidad del tratamiento puede atribuirse a más de una parte.” Indican también (epígrafe 52) que la evaluación de la corresponsabilidad debe basarse en un análisis fáctico, y no en un análisis formal, de la influencia real sobre los fines y los medios del tratamiento y (epígrafe 56) que no excluye la condición de corresponsable del tratamiento el hecho de que uno de los corresponsables no tenga acceso a los datos objeto de tratamiento. La STJUE de 29/07/2019, asunto Fashion ID, C-40/17, ECLI:EU:C:2019:629, declara (epígrafe 74) que, para poder ser considerada corresponsable del tratamiento, una persona física o jurídica debe responder de manera independiente a la definición de «responsable del tratamiento» que figura en el artículo 4, punto 7, del RGPD. El “Acuerdo de corresponsabilidad para el tratamiento de datos personales en el marco del coaseguro”, anexo al contrato de coaseguro (Anexo 18.1), regula las obligaciones y la responsabilidad en materia de protección de datos que cada parte asume “para el tratamiento de gestión del coaseguro”, que se regirá por el artículo 26 del RGPD y, en particular, por sus estipulaciones (un total de seis). Si nos centramos en el Acuerdo de corresponsabilidad anexo al contrato de coaseguro, un análisis de su contenido pone de manifiesto que la única obligación en materia de protección de datos que se atribuye a SANITAS con carácter exclusivo es la de proporcionar al OBS BBVA la información que él deberá de facilitar a quienes soliciten contratar un seguro de salud en cuya comercialización media. Sin embargo, la información “será definida conjuntamente por ambas coaseguradoras” (cláusula tercera, punto 3.1.
24. a)del Acuerdo. Respecto a los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad el Acuerdo dispone que corresponde a SANITAS la gestión, resolución y respuesta a las peticiones de ejercicio de esos derechos “únicamente” cuando así lo hayan acordado ambas coaseguradoras al definir la política de privacidad de la que se informe a los interesados (cláusula tercera, punto 3.1.b). Las restantes cláusulas del Acuerdo se refieren a obligaciones que incumben a cada una de las entidades coaseguradoras. El contenido del Acuerdo es, en síntesis, el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/44 -Cláusula tercera: Sobre (
25. i)La obligación de comunicar a la otra cualquier alteración o modificación de los datos de los asegurados de la que tuviera noticia a efectos de cumplir con el principio de exactitud (artículo 5.1.d, RGPD). (
26. ii)Establecer un único punto de contacto, que trabajará juntamente con el punto de contacto de la otra parte. (iii) El plazo durante el cual las coaseguradoras conservarán los datos. (
27. iv)La obligación de garantizar que su personal, encargados y sub-encargados del tratamiento, le permita cumplir con sus obligaciones al amparo del acuerdo de coaseguro y de la normativa de protección de datos. -Cláusula cuarta: Sobre la seguridad de los datos. Cada una de las coaseguradoras se obliga a garantizar a la otra que cuenta con medidas adecuadas para impedir tratamientos de los datos corresponsabilidad de ambas partes, ilegales o no autorizados, la destrucción accidental o ilegal, daños, pérdida accidental, alteración, revelación o acceso no autorizado de dichos datos. -Cláusula quinta: obligación recíproca de informar sin dilación y de cooperar para su resolución si la AEPD u otra autoridad competente inicia una investigación sobre un tratamiento de datos personales del que ambas son corresponsables. -Cláusula sexta: Sobre el “resto de obligaciones” que se deriven del tratamiento de datos efectuado en relación con los contratos de seguro de salud que ambas entidades comercializan. Cada una de las coaseguradoras debe de cumplir, “de manera individual e independiente”, con el resto de las obligaciones que se pudieran derivar del tratamiento de los datos personales corresponsabilidad de ambas para la finalidad indicada, “como, por ejemplo, pero sin limitación, la obligación de recoger el tratamiento en el correspondiente registro de actividades de tratamiento o, en su caso, de gestionar y notificar las brechas de seguridad […]”. 2. En el supuesto de hecho planteado en este acuerdo de inicio el operador bancaseguros OBS BBVA interviene como encargado de tratamiento de las aseguradoras SANITAS y BBVA Seguros. Aunque no obra en el expediente el documento con el contrato de Agencia entre BBVA Seguros y el OBS BBVA, la existencia de dicho contrato es innegable: El Punto Único de Información (PUI) de la Dirección General de Seguros y Fondos de Pensiones (DGSFP) relativo a los Distribuidores de seguros y reaseguros, accesible a través de la página web de ese órgano directivo, informa de que el OBS BBVA tiene suscritos contratos de Agencia de seguros con diversas compañías aseguradoras, entre ellas con BBVA Seguros y con SANITAS. En varios documentos que sí figuran en el expediente se alude al OBS BBVA como encargado de tratamiento de “ambas” coaseguradoras. Y BBVA, en su respuesta al requerimiento informativo de la Inspección de Datos de fecha 30/05/2023, dice que el OBS BBVA es encargado de tratamiento de BBVA Seguros. Así, al aludir a las “Relaciones jurídicas entre BBVA, OBS y SANITAS”, afirma: “BBVA SEGUROS Sociedad Anónima de Seguros y Reaseguros distribuye los productos de seguros (los de SANITAS incluidos) a través del OBS, que actúa como agente de seguros.” Sí consta en el expediente el “Contrato de Prestación de Servicios” celebrado entre el OBS BBVA y el banco BBVA. Este contrato debe suscribirse preceptivamente para regular sus relaciones cuando, como aquí acontece, el OBS es una entidad mercantil C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/44 controlada por una entidad financiera (en este caso por el banco BBVA), artículo 150.1., inciso segundo, del R.D.-ley 3/2020. En relación con SANITAS, obra en el expediente el contrato de Agencia que esta aseguradora celebró con OBS BBVA, así como el acuerdo de encargo de tratamiento anexo a él, suscrito en cumplimiento del artículo 28.3 del RGPD. El contenido de estos dos acuerdos se examina con detalle en el Fundamento siguiente. V Participación de SANITAS en el tratamiento de los datos personales de la reclamante 1.Individualización de la responsabilidad de los corresponsables por razón de su participación en el tratamiento. Sin perjuicio de las consideraciones sobre la corresponsabilidad recogidas en el Fundamento anterior es preciso subrayar que la participación de los sujetos corresponsables del tratamiento no tiene que ser necesariamente idéntica ni en el mismo grado. En ese sentido se han pronunciado con reiteración las Directrices 7/2020 del CEPD y el TJUE. Las Directrices 7/2020 (epígrafe 58) dicen sobre la cuestión: “La existencia de corresponsabilidad no implica necesariamente una responsabilidad idéntica de los distintos participantes involucrados en el tratamiento de los datos personales. Más bien al contrario: el TJUE ha aclarado que las partes pueden participar en distintas fases del tratamiento y en distinto grado. Por tanto, el nivel de responsabilidad de cada una debe evaluarse en función de todas las circunstancias pertinentes del caso concreto.” (El subrayado es nuestro) La reciente STJUE de 05/12/2023, Asunto C-683/2021 afirma: “