← España

PS-00558-2014

1/20 Procedimiento Nº PS/00558/2014 RESOLUCIÓN: R/00692/2015 En el procedimiento sancionador PS/00558/2014, instruido por la Agencia Española de Protección de Datos a las entidades CAIXABANK, S.A. y SEGURCAIXA ADESLAS S.A. DE SEGUROS Y REASEGUROS, vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14 de octubre de 2013 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) comunicando: <<…Soy cliente de SEGURCAIXA ADESLAS S.A. DE SEGUROS Y REASEGUROS, compañía la cual me presta servicios de salud. Al parecer la entidad La Caixa ha comprado la compañía Adeslas. He recibido información postal (documento 1) de la entidad bancaria La Caixa ofreciéndome productos bancarios. En dicho folleto publicitario, el cual yo no he solicitado, se tratan mis datos personales. Además en el pie del folleto dice que mis datos de carácter personal se integran en un fichero cuyo responsable es CAIXABANK, S.A. ("La Caixa") y que han sido obtenidos de SEGURCAIXA ADESLAS S.A. DE SEGUROS Y REASEGUROS. La cuestión es que he llamado a atención al cliente de Adeslas y me han dicho que como son el mismo grupo sí que pueden tratar mis datos. He puesto una reclamación telefónica para que no me envíen publicidad. Solicito a la AEPD que tome las medidas oportunas por haber cedido mis datos personales a La Caixa, dado que yo nunca di la aprobación, ni de ceder mis datos, ni de tratarlos, ni de que La Caixa abra un fichero con mis datos. Los únicos datos que ha de tratar Adeslas son los necesarios para poder proporcionarme el servicio del cual soy cliente, es decir servicios de salud...>> Aporta el denunciante un escrito dirigido por La Caixa a su nombre y dirección en el que se le ofrecen los servicios de la entidad. Al pie de dicho documento consta: <<En cumplimiento de lo dispuesto en los artículos 5 y 27 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, le informamos que sus datos de carácter personal se integran en un fichero cuyo responsable es Caixabank, S.A. ("la Caixa"), con domicilio en la (C/.............1), Barcelona, con la finalidad de realizar acciones comerciales y de marketing, y han sido obtenidos de Segurcaixa Adeslas, S.A., de Seguros y Reaseguros. Asimismo, le informamos que puede ejercer su derecho de acceso, rectificación y cancelación dirigiéndose por escrito a "la Caixa" en la dirección antes indicada, especificando la referencia BAJA ADESLAS…>> SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 SEGURCAIXA ADESLAS S.A. DE SEGUROS Y REASEGUROS (en lo sucesivo SEGURCAIXA) y CAIXABANK, S.A. (en lo sucesivo CAIXABANK), teniendo conocimiento de que: 1. De la información y documentación aportada por SEGURCAIXA se desprende:

  1. a)Con ocasión de la modificación producida en el accionariado de la sociedad (ahora participada por Mutua Madrileña y el grupo asegurador de La Caixa), se llevó a cabo a finales del mes de noviembre de 2011, una comunicación institucional generalizada a la cartera de clientes, informándoles de ello, así como de su nueva imagen de marca y de su condición de aseguradora multirramo (antes sólo operaba en el ramo de asistencia sanitaria). En dicha comunicación institucional, de la que aporta copia, se incluía un texto mediante el cual se informaba al destinatario de la comunicación que, salvo oposición por su parte, sus datos personales de contacto serían objeto de utilización por SCA para fines comerciales, así como se comunicarían a CAIXABANK, para que ésta pudiere dirigirles comunicaciones comerciales ofreciendo sus productos financieros. Dicha mercantil es propietaria, a través de su grupo asegurador, del 49% del capital social de SEGURCAIXA.
  2. b)Aporta la entidad SEGURCAIXA copia de una comunicación como la que, personalizada oportunamente con los correspondientes datos del cliente, fue dirigida al denunciante a la dirección de la calle C.C.C. de B.B.B.). El contenido del cuerpo de dicho escrito muestra información acerca de la adquisición de su adquisición por parte de MUTUA MADRILEÑA y VIDACAIXA GRUPO, el grupo asegurador de “la Caixa”. Al pie de dicho escrito, como información accesoria, figura: <<…Le informamos de que, salvo oposición por su parte, sus datos personales de contacto (nombre completo, fecha de nacimiento, domicilio, teléfonos y dirección de correo electrónico), podrán tratarse por SegurCaixa Adeslas, S.A. de Seguros y Reaseguros, incluso aplicando técnicas estadísticas para la elaboración de perfiles y segmentación de datos, para la realización, mediante cualquier medio de comunicación (postal, telefónico, electrónico, etc.), de encuestas de satisfacción, programas de fidelización, de promoción publicitaria y para ofrecerle otros productos y servicios comercializados por nuestra Compañía o por empresas colaboradoras, y ello aun después de extinguida la póliza que tiene usted contratada. Asimismo, le informamos de que los citados datos personales serán comunicados a la entidad financiera Caixabank, S.A., con NIF. ********* y domicilio en Barcelona (***CP.1), (C/.............1) y a las empresas, entidades o fundaciones del Grupo de Caja de Ahorros y Pensiones de Barcelona, cuyas actividades formen parte del sector asegurador, bancario, de servicios de inversión, tenencia de acciones, capital riesgo, inmobiliario, viarias, de venta y distribución de bienes y servicios, ocio, servicios de consultoría y benéfico-sociales, todo ello con la finalidad de que puedan dirigirle, mediante cualquier medio de comunicación (postal, telefónico, electrónico, etc.), información comercial de sus productos y servicios. Si usted no estuviera conforme con este tratamiento y/o comunicación de sus datos, podrá manifestarlo así llamando al teléfono gratuito 900******. Si no manifiesta oposición en los 30 días siguientes a la recepción de esta carta, entenderemos, conforme a la vigente legislación sobre protección de datos, que consiente ese tratamiento y comunicación de sus datos. En todo caso, usted podrá ejercer posteriormente y en cualquier momento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 en los términos previstos en la legislación aplicable, los derechos de oposición, acceso, rectificación y cancelación frente a nuestra compañía o frente a cualquiera de las entidades cesionarias antes indicadas, mediante solicitud escrita y firmada, acreditando su identidad, dirigida a la dirección del domicilio social de cualquiera de estas entidades…>>
  3. c)Entre los días 29 de noviembre y 1 de diciembre de 2011, esta comunicación institucional fue remitida a sus destinatarios, entre los que se encontraba el denunciante, según informa la entidad, siendo remitida por correo postal ordinario con la intervención de la mercantil MAILTECK, S.A. Esta empresa, especializada en este tipo de envíos, llevó a cabo las labores de personalización, ensobrado y depósito en la Sociedad Estatal Correos y Telégrafos, S.A. (en adelante Correos) de todas las cartas a remitir garantizando que los envíos se realizaban a las personas señaladas por ADESLAS y contenían la carta antes mencionada. Asimismo dicha empresa llevó a cabo el control de todas las devoluciones que de las citadas cartas se producían y de las que oportunamente le informaba Correos. Aporta la entidad certificación expedida por MAILTECK, S.A. acreditativa de la carta dirigida al denunciante, la fecha de su depósito en Correos, así como que la misma no fue objeto de devolución.
  4. d)Que el destinatario de la citada carta de SEGURCAIXA, no manifestó a la entidad, ni por escrito ni a través del número telefónico gratuito habilitado al efecto y del que se informaba oportunamente en la carta, su oposición al citado tratamiento y/o comunicación de datos. Que ha sido posteriormente, exactamente el día 2 de octubre de 2013, cuando el denunciante se dirigió a nuestra compañía manifestando su oposición a que sus datos personales fueran objeto de cesión a terceras empresas. Atendiendo esta decisión, SEGURCAIXA procedió a señalar en sus bases de datos esta restricción de uso de los datos, comunicándolo igualmente a CAIXABANK. De estas actuaciones se dio puntual conocimiento al afectado. Aporta la entidad certificado expedido por el responsable de la función de tramitación de los Derechos ARCO de SEGURCAIXA.
  5. e)La entidad, en fecha 23 de enero de 2013, suscribió con CAIXABANK un contrato por el que se acordaba la comunicación a esta mercantil de los datos personales de aquellos clientes de SEGURCAIXA a los que, habiéndoseles enviado la comunicación institucional a la que nos venimos refiriendo, ésta no hubiere resultado devuelta o hubiesen manifestado su oposición al tratamiento de sus datos del que en ella se informaba. Aporta la entidad copia del referido contrato. Manifiesta la entidad que los datos personales objeto de comunicación fueron los de aquellos afectados que habían otorgado su consentimiento tácito para ello.
  6. f)En fecha 24 de abril de 2013, una vez implementados los procedimientos técnicos necesarios, tuvo lugar la efectiva comunicación de los datos de estos clientes a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 CAIXABANK. Entre los clientes cuyos datos personales fueron objeto de comunicación se encontraban los del denunciante. Los datos objeto de comunicación fueron: nombre, apellidos, NIF, dirección postal y teléfono.
  7. g)Que para la obtención del consentimiento de los afectados a los efectos de la utilización de sus datos personales para fines comerciales y para la comunicación de los mismos a CAIXABANK, se ha seguido el procedimiento previsto en el artículo 14 del RLOPD. Según la entidad, se ha procedido dando cumplimiento, en todos sus extremos, a las exigencias que establece dicho precepto para la obtención del consentimiento, así: - Se informó al afectado de qué datos iban a ser objeto de utilización y de la finalidad de ésta. - Se realizó un envío controlado de las cartas remitidas, del contenido de las mismas y de las devoluciones producidas. Se habilitó, además de los canales ordinarios, un medio gratuito (teléfono 900) para que los afectados pudieran manifestar su oposición a dicho uso. A fin de dar cumplimiento a lo dispuesto en los artículos 8.5., 17.4 y 32 del RLOPD y 16 de la LOPD, se ha venido informando periódicamente a CAIXABANK, como entidad cesionaria, del ejercicio por los afectados cuyos datos fueron objeto de comunicación de los derechos de oposición, rectificación y cancelación. A tal fin se ha seguido el procedimiento establecido en el contrato de cesión suscrito entre ambas partes. Aporta certificación que, con fecha 23 de octubre de 2013, SEGURCAIXA comunicó a CAIXABANK la oposición al tratamiento y cesión manifestada por el denunciante. Por todo ello, entiende SEGURCAIXA que, en la fecha en que tuvo lugar la comunicación de los datos del denunciante a CAIXABANK, la entidad disponía, en los términos previstos en el artículo 14 del RDLOPD, de su consentimiento para ello. 2. De la información y documentación aportada por CAIXABANK se desprende: a. La respuesta coincide, básicamente, con la aportada por SEGURCAIXA. b. Añade la entidad que, finalizado el plazo de vigencia del contrato suscrito con SEGURCAIXA, los datos han sido borrados de sus ficheros, por lo que no constan datos del denunciante en los mismos. TERCERO: Con fecha 7 de octubre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SEGURCAIXA con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se desarrolla la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) por la presunta infracción del artículo 11.1 de la LOPD en relación con el artículo 14 del citado RD 1720/2007, tipificada como grave en el artículo 44.3.
  8. k)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la misma Ley Orgánica. CUARTO: Así mismo, con fecha 7 de octubre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CAIXABANK con arreglo a lo dispuesto en el artículo 127 del citado RD 1720/2007, por la presunta infracción del artículo 6.1 de la LOPD en relación con el artículo 14 del RD 1720/2007, tipificada como grave en el artículo 44.3.
  9. b)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la misma Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, el denunciante remite escrito personándose en el procedimiento y comunicando: <<…Que en ningún momento recibí comunicación institucional alguna informándome de que mis datos personales iban a ser cedidos a CAIXABANK con el objetivo de que dicha entidad pudiera dirigirme comunicaciones comerciales. En este sentido he de alegar que no dudo que CAIXABANK me remitiese dicha comunicación, pero yo nunca la recibí. Es por ello que tal y como dispone el art. 6 de la LOPD, el tratamiento de los datos de carácter personal requiere el consentimiento inequívoco del afectado, y una comunicación remitida en forma de circular masiva es imposible determinar si efectivamente no sólo si ha sido conocida, sino tan siquiera recibida por el interesado. Es decir, las notificaciones se han de practicar por cualquier medio que permita tener constancia de la recepción por el interesado, así como de la fecha, la identidad y el contenido del acto notificado. Está claro que el procedimiento de control utilizado por la mercantil MAILTECK, S.A es defectuoso, dado que no asegura la efectiva recepción de la notificación por el interesado, puesto que al no contar con ningún acuse de recibo firmado por mi persona de la recepción de la misma, no puede efectuar control alguno...>> SEXTO: Notificado el acuerdo de inicio CAIXABANK mediante escrito de fecha 28/10/2014 formuló alegaciones, significando que: <<“…Y, en relación a la obtención del consentimiento tácito, cúmplenos remitirnos a otro informe jurídico de esta Agencia: el Informe Jurídico 0301/2008, en el que se indica expresamente la validez de la obtención del consentimiento “tácito” de los afectados, que podrá ser seguido siempre que no se recaben datos especialmente protegidos, respecto de los cuales el artículo 7 de la Ley Orgánica exige la obtención del consentimiento expreso”, siempre y cuando se observen todos y cada uno de los requisitos previstos en el artículo 14 del RD 1720/2007, requisitos todos ellos debida y documentalmente acreditados en la respuesta a la Solicitud de Información 260/2014:
  10. i)C/ Jorge Juan, 6 28001 – Madrid Procedencia de la solicitud tácita para el tratamiento de los datos www.agpd.es sedeagpd.gob.es 6/20
  11. ii)Acción informativa expresa (no se envía en comunicación periódica o recurrente) iii) Texto visible en la comunicación con la información referente al tratamiento de datos de carácter personal: se indica cesionario, finalidad del tratamiento, y medio y plazo para oponerse al tratamiento, informando de las consecuencias de la eventual omisión
  12. iv)Gestión integral del procedimiento de envío y control de devoluciones por tercera empresa especializada
  13. v)Certificado de la empresa que acredita la remisión de la comunicación al denunciante, así como la no devolución de la misma
  14. vi)El reclamante no manifestó su oposición a SegurCaixa Adeslas S.A., de Seguros y Reaseguros “SegurCaixa”) su oposición al tratamiento, ni por medio del teléfono expresamente habilitado a tal efecto, ni mediante escrito vii) Contrato de cesión de datos entre SegurCaixa y “la Caixa” viii) Información de la cesión al titular de los datos en la primera comunicación que le fue enviada por “la Caixa”…>> Es decir, que no existe vulneración alguna de la normativa de protección de datos por parte de mí representada en el supuesto que nos ocupa, por lo que procede el archivo de las actuaciones iniciadas por no existir infracción de los preceptos señalados (artículo 6.1 LOPD en relación con el artículo 127 del RD 172012007) en el acuerdo de inicio (el subrayado es de la AEPD). SÉPTIMO: Notificado el acuerdo de inicio, SEGURCAIXA mediante escrito de fecha 5/11/2014 formuló alegaciones, significando que: <<…II. De la comunicación dirigida al afectado. SEGURCAIXA ADESLAS, dando cumplimiento a lo exigido en el apartado 2 del citado artículo 14, remitió al ahora denunciante una comunicación en la que se le informaba que sus datos personales serían objeto de utilización, tanto para el envío de comunicaciones comerciales de nuestra propia Compañía, como para su cesión a Caixabank, S.A., entidad accionista de SEGURCAIXA ADESLAS. En dicha comunicación también se le indicaba que, de no manifestar su oposición, se entendería que aceptaba dicha utilización de sus datos personales. El envío de la citada comunicación se llevó a cabo (…) a través de un proveedor especializado en este tipo de envíos. Dicho proveedor garantizaba que la comunicación en cuestión había sido incluida en un sobre remitido a la dirección postal del Sr. A.A.A., y depositada en Correos para su remisión postal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 A efectos probatorios nos remitimos a la certificación expedida por el citado proveedor (Mailteck, S.A.), aportada como documento 3 junto con el escrito de fecha 15.07.14, que consta en el presente expediente sancionador (Actuaciones Previas). El apartado 2 del artículo 14 del RLOPD, por otra parte, indica que la comunicación en la que conste la petición de consentimiento resulte claramente visible sin que, lamentablemente, exista una definición legal o reglamentaria sobre los requisitos que debe tener para merecer la calificación de “claramente visible”. Respecto del citado requisito hemos de señalar que, en el caso que ahora nos ocupa, el texto enviado por SEGURCAIXA ADESLAS figuraba en el anverso de la misma hoja utilizada para la comunicación a nuestro cliente. No se utilizó, ni el reverso de la comunicación, ni tampoco otras hojas adicionales, que quizás hubiesen podido favorecer que el mensaje pasara desapercibido para el interesado. Asimismo, el tamaño de la letra utilizada no es inferior al milímetro y medio que, recientemente la Ley 3/2014, de 27 de marzo, por la que se modifica el Texto Refundido de la Ley de Consumidores y Usuarios, al modificar el apartado 1 del artículo 80 de la citada norma, ha establecido como adecuada para las comunicaciones dirigidas a los consumidores y usuarios. No podemos tampoco dejar de señalar que en la comunicación remitida por Caixabank, S.A. al Sr. A.A.A., figuraba un texto donde se le informaba al destinatario sobre el origen de sus datos y la posibilidad de ejercicio de sus derechos ARCO. Pues bien, dicho texto, tanto en su ubicación (anverso de la propia hoja de comunicación) como en el tamaño de su letra, era idéntico al utilizado por SEGURCAIXA ADESLAS. Esta ubicación y tamaño de la letra utilizado por Caixabank, S.A., es evidente que ha resultado claramente visible para el Sr. A.A.A., pues le ha permitido, tanto ejercitar su derecho de oposición al tratamiento, como formular su denuncia contra SEGURCAIXA ADESLAS dado que, como bien reconoce en su escrito de denuncia, en dicho texto se le informaba de que el origen de sus datos provenía de nuestra Entidad. Nos resultaría absolutamente sorprendente que, en ese contexto, se considerase por la Sra. Instructora que la comunicación cursada por nuestra Entidad solicitando el consentimiento al Sr. A.A.A. no resultaba claramente visible. A estos efectos, para una mejor verificación por parte de la Sra. Instructora, y por ser necesario para la práctica de la prueba de declaración que al final de estas alegaciones solicitamos, acompañamos al presente escrito:
  15. a)Como documento número 1, la comunicación remitida por SEGURCAIXA ADESLAS pidiendo consentimiento al afectado.
  16. b)Como documento número 2, la comunicación comercial remitida por CAIXABANK, S.A. al Sr. A.A.A. y que ha dado lugar a la denuncia presentada. III. La comunicación remitida no resultó devuelta por Correos. Determina el apartado 3, del tan citado artículo 14, que el responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 (en este caso SEGURCAIXA ADESLAS) al utilizar este procedimiento, debe estar en condiciones de saber si la carta remitida es objeto de devolución, en cuyo caso no podrá proceder al tratamiento de los datos personales del destinatario. Pues bien, como ya acreditamos en sede de actuaciones previas, mediante el certificado emitido por la empresa Mailteck encargada de gestionar el envío y que aportamos como documento número 3 en nuestro escrito de fecha 15 de julio de 2014, la carta remitida al Sr. A.A.A. no fue objeto de devolución, por lo que ha de suponerse que llegó a su destinatario. Dejamos señalado dicho documento a efectos de prueba. A este respecto, destacar que el artículo 14 del RLOPD no exige la prueba de la fehaciencia de la recepción, sino la prueba de la no devolución de la comunicación, circunstancia que hemos acreditado plenamente. IV. Habilitación de teléfono gratuito para oponerse al tratamiento. Otro de los requerimientos exigidos por el artículo 14 es el que se recoge en su apartado 4, consistente en la necesidad de que el responsable del tratamiento habilite al afectado un procedimiento sencillo y gratuito para que pueda manifestar su negativa al tratamiento. Esta exigencia también fue cumplida por SEGURCAIXA ADESLAS que, además de los servicios de atención telefónica habituales, puso asimismo a disposición del interesado un teléfono gratuito, exactamente el 900******, para que pudiese oponerse al tratamiento de sus datos para las finalidades indicadas. Esto es, estableció uno de los sistemas para manifestar la oposición que expresamente recoge este artículo 14…>> (el subrayado es de la AEPD). OCTAVO: Con fecha 12/12/2014 se inició el período de práctica de pruebas, en el que se acuerda, entre otras: <<…Aceptar la proposición de pruebas de Adeslas y por lo tanto solicitar al denunciante, para que dentro del periodo de práctica de pruebas, en el plazo de diez días hábiles a la recepción del escrito de solitud, y teniendo a la vista los documentos 1 y 2 aportados por dicha entidad, responda al cuestionario de preguntas que adjunta como documento 3…>> El contenido del citado documento 3, era: <<…CUESTIONARIO DE PREGUNTAS QUE FORMULA SEGURCAIXA ADESLAS, S.A. DE SEGUROS Y REASEGUROS PARA QUE SEAN RESPONDIDAS POR DON A.A.A.. Para las preguntas, primera y segunda se le adjuntará el documento 1 de nuestro escrito de alegaciones consistente en la carta remitida por SEGURCAIXA ADESLAS) Primera. ¿Recuerda usted haber recibido en su domicilio durante el mes de diciembre de 2011 una carta idéntica a ésta? Segunda. (Si la respuesta a la primera pregunta es negativa) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 ¿Si hubiera recibido esta carta habría hecho uso de la facultad de oponerse al ratamiento de sus datos que aparece en la misma? ******* Para las preguntas, tercera, cuarta y quinta se le adjuntará el documento 2 de nuestro escrito de alegaciones consistente en la carta remitida por CAIXABANK, S.A. al Sr. A.A.A.. Tercera. ¿Esta fotocopia se corresponde con la carta que recibió en su domicilio en junio de 2013 remitida por CAIXABANK, S.A.? Cuarta. ¿Que en esta carta usted leyó que los datos utilizados por CAIXABANK, S.A. habían sido proporcionados por SEGURCAIXA ADESLAS? Quinta. ¿Que por dicha razón usted contactó en octubre de 2013 con SEGURCAIXA ADESLAS para manifestar que no deseaba que sus datos se cediesen a Caixabank, S.A.?...>> Remitida copia de los documentos citados 1, 2 y 3 por correo certificado con acuse de recibo de 23/12/2014, el denunciante contestó a la citada prueba mediante escrito que presentó en la Delegación de Gobierno de Valencia el 31/12/2014. NOVENO: Con fecha 12/02/2015 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos exonere de responsabilidad a CAIXABANK y a SEGURCAIXA, por los hechos imputados en el presente procedimiento sancionador. Dicha propuesta fue notificada a las citadas entidades y al denunciante. DECIMO: Con fecha 2/03/2015 de entrada en la Agencia, SEGURCAIXA realizó alegaciones frente a la citada propuesta de resolución en la que comunica: <<…Afirma el denunciante en sus alegaciones que SEGURCAIXA ADESLAS no puede acreditar o tener constancia de la recepción por éste de la citada carta. Efectivamente es así, pero tal constancia no es una exigencia establecida en el artículo 14 antes señalado. De exigirse la misma se imposibilitaría de facto la utilización del procedimiento previsto en dicho precepto pues el coste de este tipo de envíos resultaría inasumible ya que, siendo puristas, ni siquiera sería válido el correo certificado con acuse de recibo (por cuanto que el mismo no deja constancia del contenido de lo recibido) lo que obligaría a sistemas inviables (burofax o notario) para la remisión de comunicaciones en masa. Lo que la norma exige es que se acredite que la comunicación remitida no resulta devuelta. Tal exigencia fue rotundamente cumplida por nuestra Entidad y acreditada por un tercero independiente…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 UNDÉCIMO: Con fecha 27/02/2015 el denunciante remite escrito por correo electrónico comunicando que en fecha 31/12/2014 en la Delegación de Gobierno de Valencia presentó escrito de alegaciones, que vuelve a remitir por correo electrónico el 11/03/2015. Así mismo comunica que: <<…La pregunta es la siguiente: ¿Un control efectivo de las devoluciones por cualquier causa no conlleva, la utilización de acuses de recibo para saber que efectivamente la comunicación ha llegado al interesado?...>> DUODÉCIMO: Con fecha 18/03/2015 se registra de entrada en esta Agencia y se incorpora copia del citado escrito que fue presentado en la Delegación del Gobierno de Valencia y que esta remitió el 31/12/2014 a través de Gestión Integrada de Servicio de Registro, acusando esta Agencia el 7/01/2015 la recepción del mismo. HECHOS PROBADOS PRIMERO: Con fecha de 14 de octubre de 2013 tiene entrada en esta Agencia un escrito del denunciante comunicando: <<…Soy cliente de SEGURCAIXA ADESLAS S.A. DE SEGUROS Y REASEGUROS, compañía la cual me presta servicios de salud. Al parecer la entidad La Caixa ha comprado la compañía Adeslas. He recibido información postal (documento 1) de la entidad bancaria La Caixa ofreciéndome productos bancarios. En dicho folleto publicitario, el cual yo no he solicitado, se tratan mis datos personales. Además en el pie del folleto dice que mis datos de carácter personal se integran en un fichero cuyo responsable es CAIXABANK, S.A. ("La Caixa") y que han sido obtenidos de SEGURCAIXA ADESLAS S.A. DE SEGUROS Y REASEGUROS...>> Aporta el denunciante un escrito de junio de 2013 dirigido por CAIXABANK a su nombre y dirección en el que se le ofrecen los servicios de la entidad. Al pie de dicho documento consta: <<En cumplimiento de lo dispuesto en los artículos 5 y 27 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, le informamos que sus datos de carácter personal se integran en un fichero cuyo responsable es Caixabank, S.A. ("la Caixa"), con domicilio en la (C/.............1), Barcelona, con la finalidad de realizar acciones comerciales y de marketing, y han sido obtenidos de Segurcaixa Adeslas, S.A., de Seguros y Reaseguros. Asimismo, le informamos que puede ejercer su derecho de acceso, rectificación y cancelación dirigiéndose por escrito a "la Caixa" en la dirección antes indicada, especificando la referencia BAJA ADESLAS…>> (folios 1 a 5). SEGUNDO: De la información y documentación aportada por SEGURCAIXA se desprende:
  17. a)Con ocasión de la modificación producida en el accionariado de la sociedad (ahora participada por Mutua Madrileña y el grupo asegurador de La Caixa), se llevó a cabo a finales del mes de noviembre de 2011, una comunicación institucional generalizada a la cartera de clientes, informándoles de ello, así como de su nueva imagen de marca y de su condición de aseguradora multirramo (antes sólo operaba en el ramo de asistencia sanitaria). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 En dicha comunicación institucional, de la que aporta copia, se incluía un texto mediante el cual se informaba al destinatario de la comunicación que, salvo oposición por su parte, sus datos personales de contacto serían objeto de utilización por SCA para fines comerciales, así como se comunicarían a CAIXABANK, para que ésta pudiere dirigirles comunicaciones comerciales ofreciendo sus productos financieros. Dicha mercantil es propietaria, a través de su grupo asegurador, del 49% del capital social de SEGURCAIXA (folio 40).
  18. b)Aporta la entidad SEGURCAIXA copia de una comunicación como la que, personalizada oportunamente con los correspondientes datos del cliente, fue dirigida al denunciante a la dirección de la calle C.C.C. de B.B.B.). El contenido del cuerpo de dicho escrito muestra información acerca de la adquisición de su adquisición por parte de MUTUA MADRILEÑA y VIDACAIXA GRUPO, el grupo asegurador de “la Caixa”. Al pie de dicho escrito, como información accesoria, figura: <<…Le informamos de que, salvo oposición por su parte, sus datos personales de contacto (nombre completo, fecha de nacimiento, domicilio, teléfonos y dirección de correo electrónico), podrán tratarse por SegurCaixa Adeslas, S.A. de Seguros y Reaseguros, incluso aplicando técnicas estadísticas para la elaboración de perfiles y segmentación de datos, para la realización, mediante cualquier medio de comunicación (postal, telefónico, electrónico, etc.), de encuestas de satisfacción, programas de fidelización, de promoción publicitaria y para ofrecerle otros productos y servicios comercializados por nuestra Compañía o por empresas colaboradoras, y ello aun después de extinguida la póliza que tiene usted contratada. Asimismo, le informamos de que los citados datos personales serán comunicados a la entidad financiera Caixabank, S.A., con NIF. ********* y domicilio en Barcelona (***CP.1), (C/.............1) y a las empresas, entidades o fundaciones del Grupo de Caja de Ahorros y Pensiones de Barcelona, cuyas actividades formen parte del sector asegurador, bancario, de servicios de inversión, tenencia de acciones, capital riesgo, inmobiliario, viarias, de venta y distribución de bienes y servicios, ocio, servicios de consultoría y benéfico-sociales, todo ello con la finalidad de que puedan dirigirle, mediante cualquier medio de comunicación (postal, telefónico, electrónico, etc.), información comercial de sus productos y servicios. Si usted no estuviera conforme con este tratamiento y/o comunicación de sus datos, podrá manifestarlo así llamando al teléfono gratuito 900******. Si no manifiesta oposición en los 30 días siguientes a la recepción de esta carta, entenderemos, conforme a la vigente legislación sobre protección de datos, que consiente ese tratamiento y comunicación de sus datos. En todo caso, usted podrá ejercer posteriormente y en cualquier momento, en los términos previstos en la legislación aplicable, los derechos de oposición, acceso, rectificación y cancelación frente a nuestra compañía o frente a cualquiera de las entidades cesionarias antes indicadas, mediante solicitud escrita y firmada, acreditando su identidad, dirigida a la dirección del domicilio social de cualquiera de estas entidades…>> (folio 40).
  19. c)Entre los días 29 de noviembre y 1 de diciembre de 2011, esta comunicación institucional fue remitida a sus destinatarios, entre los que se encontraba el denunciante, según informa la entidad, siendo remitida por correo postal ordinario con la intervención de la mercantil MAILTECK, S.A. Esta empresa, especializada en este tipo de envíos, llevó a cabo las labores de personalización, ensobrado y depósito en la Sociedad Estatal Correos y Telégrafos, S.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 (en adelante Correos) de todas las cartas a remitir garantizando que los envíos se realizaban a las personas señaladas por ADESLAS y contenían la carta antes mencionada. Asimismo dicha empresa llevó a cabo el control de todas las devoluciones que de las citadas cartas se producían y de las que oportunamente le informaba Correos. Aporta la entidad certificación expedida por MAILTECK, S.A. acreditativa de la carta dirigida al denunciante, la fecha de su depósito en Correos, así como que la misma no fue objeto de devolución (folio 42).
  20. d)Que el destinatario de la citada carta de SEGURCAIXA, no manifestó a la entidad, ni por escrito ni a través del número telefónico gratuito habilitado al efecto y del que se informaba oportunamente en la carta, su oposición al citado tratamiento y/o comunicación de datos. Que ha sido posteriormente, exactamente el día 2 de octubre de 2013, cuando el denunciante se dirigió a nuestra compañía manifestando su oposición a que sus datos personales fueran objeto de cesión a terceras empresas. Atendiendo esta decisión, SEGURCAIXA procedió a señalar en sus bases de datos esta restricción de uso de los datos, comunicándolo igualmente a CAIXABANK. De estas actuaciones se dio puntual conocimiento al afectado. Aporta la entidad certificado expedido por el responsable de la función de tramitación de los Derechos ARCO de SEGURCAIXA (folio 45).
  21. e)La entidad, en fecha 23 de enero de 2013, suscribió con CAIXABANK un contrato por el que se acordaba la comunicación a esta mercantil de los datos personales de aquellos clientes de SEGURCAIXA a los que, habiéndoseles enviado la comunicación institucional a la que nos venimos refiriendo, ésta no hubiere resultado devuelta o hubiesen manifestado su oposición al tratamiento de sus datos del que en ella se informaba. Aporta la entidad copia del referido contrato. Manifiesta la entidad que los datos personales objeto de comunicación fueron los de aquellos afectados que habían otorgado su consentimiento tácito para ello (folios 43 a 55).
  22. f)En fecha 24 de abril de 2013, una vez implementados los procedimientos técnicos necesarios, tuvo lugar la efectiva comunicación de los datos de estos clientes a CAIXABANK. Entre los clientes cuyos datos personales fueron objeto de comunicación se encontraban los del denunciante. Los datos objeto de comunicación fueron: nombre, apellidos, NIF, dirección postal y teléfono (folios 71 a 73).
  23. g)SEGURCAIXA alega que para la obtención del consentimiento de los afectados a los efectos de la utilización de sus datos personales para fines comerciales y para la comunicación de los mismos a CAIXABANK, se ha seguido el procedimiento previsto en el artículo 14 del RLOPD. Según la entidad, se ha procedido dando cumplimiento, en todos sus extremos, a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 las exigencias que establece dicho precepto para la obtención del consentimiento, así: - Se informó al afectado de qué datos iban a ser objeto de utilización y de la finalidad de ésta. - Se realizó por parte de una tercera entidad un envío controlado de las cartas remitidas, del contenido de las mismas y de las devoluciones producidas. Se habilitó, además de los canales ordinarios, un medio gratuito (teléfono 900) para que los afectados pudieran manifestar su oposición a dicho uso. A fin de dar cumplimiento a lo dispuesto en los artículos 8.5, 17.4 y 32 del RLOPD y 16 de la LOPD, se ha venido informando periódicamente a CAIXABANK, como entidad cesionaria, del ejercicio por los afectados cuyos datos fueron objeto de comunicación de los derechos de oposición, rectificación y cancelación. A tal fin se ha seguido el procedimiento establecido en el contrato de cesión suscrito entre ambas partes (folios 23 a 27). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  24. g)en relación con el artículo 36 de la LOPD. II El artículo 11 de la LOPD, que señala que: <<…1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  25. a)Cuando la cesión está autorizada en una ley.
  26. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  27. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 que la justifique.
  28. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
  29. e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
  30. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquel a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores…>> Por otro lado, el artículo 19 del RD 1720/2007, regula: “Supuestos especiales. En los supuestos en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre” (el subrayado es de la AEPD). III El artículo 6.1 de la LOPD, al regular el Consentimiento del afectado, establece que: <<…1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado…>> IV El artículo 5 de la LOPD, al regular el derecho de información en la recogida de datos, establece: 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  31. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  32. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  33. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  34. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  35. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 3. No será necesaria la información a que se refieren las letras b),
  36. c)y
  37. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
  38. d)y
  39. e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten. V Por otro lado, el art. 14 del citado Real Decreto 1720/2007, regula “Forma de recabar el consentimiento: 1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. 2. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal. En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible. 3. En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. 4. Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 negativa al tratamiento de los datos. En particular, se considerará ajustado al presente reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. 5. Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud.” La normativa legal y reglamentaria vigente (y no habiendo tratado las entidades denunciadas en el escrito de noviembre de 2011, datos especialmente protegidos regulados en el art. 7 para los que se exige el consentimiento expreso y por escrito del afectado) no exige que la comunicación dirigida al denunciante en noviembre de 2011, tuviera que cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción, por lo que la acreditación de la comunicación podrá hacerse por cualquier medio de prueba y también a través de indicios. VI En el presente caso, teniendo en cuenta la regulación del citado art. 14 del RD 1720/2007 en relación con el art. 5 de la LOPD, y en especial la necesidad del consentimiento no expreso, sino tácito para recabar el consentimiento por parte de SEGURCAIXA. A la vista de la documentación obrante en el expediente, donde ha quedado acreditado de SEGURCAIXA remitió una comunicación generalizada a la cartera de clientes informándoles de su nueva marca, que al pie de dicho escrito en el anverso se contenía la cláusula informativa, donde se informaba expresamente de la futura cesión a CAIXABANK, sino se manifestaba oposición a la misma. Que se habilitó un teléfono gratuito para la citada manifestación de oposición, que se contrató con una tercera entidad la personalización, ensobrado, depósito y control de las devoluciones etc. Ahora bien en este caso la cuestión a dilucidar se circunscribe en determinar si la información facilitada al denunciante era legible, dado el tamaño minúsculo de la letra contenida en el ejemplar que fue recabado en actuaciones previas pues de no ser legible la información contenida en el escrito no puede afirmarse que se facilitare al afectado la información que requiere el art. 14 del RD 1720/2007 y el art. 5 de LOPD como afirma la SAN de 12/09/2011, recurso 580/2010 que señala: <<…Como esta Sala ha reiterado en múltiples ocasiones (SAN de 9-7-2008, Rec. 298/2006, por todas), la LOPD ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. Por ello, si esa información no es legible (por ejemplo cuando se incluyen leyendas informativas con una letra de tamaño minúsculo) se frustra la finalidad del derecho a la información en la recogida de los datos al no poder llegar a un verdadero conocimiento de sus destinatarios, con lo que se conculca tal deber de información previa. No obstante, si se resumen de forma adecuada los extremos a que hace referencia el precepto y se incluyen leyendas legibles en dichos impresos o formularios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 estandarizados, no tienen porqué plantearse problema alguno, sino que, por el contrario, puede facilitarse en la práctica que esta información llegue a los afectados…>> (el subrayado es de la AEPD). Pues bien, si bien la normativa de protección de datos no se pronuncia sobre el tamaño que ha de tener la letra de la leyenda informativa que permita a los afectados conocer la información que se pretenda suministrar, resulta admisible tomar como base el criterio recogido en el art. 80.1 del Texto Refundido de la ley General para la defensa de Consumidores y Usuarios, y la Norma séptima de la Circular 5/2012 del Banco de España, que disponen: <<…Artículo 80. Requisitos de las cláusulas no negociadas individualmente. 1. En los contratos con consumidores y usuarios que utilicen cláusulas no negociadas individualmente, incluidos los que promuevan las Administraciones públicas y las entidades y empresas de ellas dependientes, aquéllas deberán cumplir los siguientes requisitos:
  40. a)Concreción, claridad y sencillez en la redacción, con posibilidad de comprensión directa, sin reenvíos a textos o documentos que no se faciliten previa o simultáneamente a la conclusión del contrato, y a los que, en todo caso, deberá hacerse referencia expresa en el documento contractual.
  41. b)Accesibilidad y legibilidad, de forma que permita al consumidor y usuario el conocimiento previo a la celebración del contrato sobre su existencia y contenido. En ningún caso se entenderá cumplido este requisito si el tamaño de la letra del contrato fuese inferior al milímetro y medio o el insuficiente contraste con el fondo hiciese dificultosa la lectura. Sin perjuicio de lo establecido en el artículo 63.1, en los casos de contratación telefónica o electrónica con condiciones generales será necesario que conste, en los términos que reglamentariamente se establezcan, la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor y usuario justificación de la contratación efectuada por escrito o, salvo oposición expresa del consumidor y usuario, en cualquier soporte de naturaleza duradera adecuado a la técnica de comunicación a distancia utilizada, donde constarán todos los términos de la misma. La carga de la prueba del cumplimiento de esta obligación corresponde al predisponente. El cómputo del plazo para el ejercicio del derecho de desistimiento del consumidor y usuario en la contratación telefónica o electrónica con condiciones generales, en los supuestos en que reglamentariamente esté previsto, se regirá por lo dispuesto en el artículo 71.
  42. c)Buena fe y justo equilibrio entre los derechos y obligaciones de las partes, lo que en todo caso excluye la utilización de cláusulas abusivas. 2. Cuando se ejerciten acciones individuales, en caso de duda sobre el sentido de una cláusula prevalecerá la interpretación más favorable al consumidor…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 <<…Norma séptima. Informaciones que se deben resaltar. 1. En la información sobre los productos y servicios bancarios a que se refiere la precedente norma sexta, se deberán resaltar todos los conceptos y datos que se detallan en el anejo 3, sin que puedan resaltarse otros conceptos o datos distintos de ellos. 2. Las entidades decidirán, según las características físicas o virtuales de cada información, la mejor forma de resaltar los datos señalados anteriormente para asegurar que llamen la atención del cliente respecto al resto de los incluidos en cada documento; en todo caso, se ajustarán a los siguientes criterios: – Toda la información que deba destacarse en una determinada información precontractual, de conformidad con lo indicado en esta norma séptima, se hará del mismo modo. – El medio que se utilice para destacar esta información, como, por ejemplo, negritas o mayúsculas, no podrá utilizarse para ninguna otra información, incluidos los títulos, del documento. – En todo caso, en la cabecera de los documentos de información precontractual deberá incluirse un mensaje que advierta al cliente de que las informaciones resaltadas son especialmente relevantes. – Sin perjuicio de lo anterior, la letra a utilizar en los documentos de información que se regulan en esta Circular tendrá un tamaño apropiado para facilitar su lectura; en todo caso, la letra minúscula que se emplee no podrá tener una altura inferior a un milímetro y medio…>> SEGURCAIXA ha aportado al procedimiento sancionador copia de la comunicación dirigida al denunciante. Del análisis de la misma se desprende que nos hallamos ante una información clara y legible al no ser el tamaño de la letra inferior al milímetro y medio, que los citados textos legales, señala como apropiado para que los consumidores conozcan el contenido de la información. Por todo ello procede el archivo de las presentes actuaciones, por cuanto SEGURCAIXA, en noviembre de 2011 informó de la futura cesión a CAIXABANK, no recibiendo escrito o llamada de oposición alguna, con anterioridad a la producción de la cesión en abril de 2013. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: EXONERAR de responsabilidad a CAIXABANK, S.A. y a SEGURCAIXA ADESLAS S.A. DE SEGUROS Y REASEGUROS, por los hechos imputados en el presente procedimiento sancionador. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A., SEGURCAIXA ADESLAS S.A. DE SEGUROS Y REASEGUROS y a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.