← España

PS-00571-2022

1/27  - Expediente Nº: EXP202204485 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de diciembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a INTER PARTNER ASSISTANCE SERVICIOS ESPAÑA, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: EXP202204485 (PS/0571/2022) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 18/03/22, D. A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos, contra INTER PARTNER ASSISTANCE SERVICIOS ESPAÑA, S.A., CIF.: A59825307, (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). La reclamación se expresa en los siguientes términos: ”Que Línea Directa tiene un servicio de atención telefónica para sus asegurados contratado con Interpartner Assistance. En las pólizas de Línea Directa, en el apartado "tratamiento de los datos personales" se especifica el siguiente literal "No existen transferencias de datos a terceros países..." y en la web de Línea Directa, en el apartado "Política de privacidad" se especifica: "No hacemos transferencias internacionales de tus datos": (https://www.lineadirecta.com/). Que Interpartner Assistance Servicios España, quien forma parte del grupo empresarial internacional AXA Partners, transfiere los datos de los asegurados de Línea Directa, facilitados por Línea Directa para la gestión del servicio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/27 atención telefónica, a otra de las empresas del grupo domiciliada en Colombia, concretamente a AXA Partners Colombia. Que Colombia no se encuentra dentro de la lista de países declarados de nivel de protección adecuado por la Comisión Europea (…)”. Al escrito de reclamación, se acompaña la siguiente documentación: - Copia del correo electrónico enviado el 14/12/21 desde la dirección del reclamante a la dirección, entre otras, de ***USUARIO.1@axa-assistance.es con el asunto: Colombia, LATAM y LOPD y en el que indica, entre otras, lo siguiente: o “Buenos días, desde la sección sindical de CGT Interpartner, (…) solicitamos se abandone y cancele el proyecto de amortización de empleos en España y su deslocalización hacia Colombia, así como el retorno de todos los servicios que se prestan para el mercado nacional desde sucursales AXA Partners ubicadas en LATAM. Los países LATAM no son países autorizados por la UE para la transferencia de datos personales, salvo algunas excepciones como Uruguay. Las compañías cliente a las que prestamos servicio informan a sus clientes en sus cláusulas de tratamiento de datos personales que no transfieren datos a terceros países, y sus clientes han aceptado y son conocedores de que sus datos solo van a ser tratados en el ámbito nacional (…)”. - Copia del correo electrónico enviado el 21/12/21 desde la dirección: B.B.B. ***USUARIO.2@axa-assistance.es, a la dirección, entre otras, del reclamante, en el que indica, entre otras, lo siguiente: o - “(…)Te informamos que si bien Colombia no está declarado como un país que cuente con un nivel de protección equiparable al de la Unión Europea, existen otras garantías reconocidas por la normativa aplicable en materia de protección de datos para poder realizar la transferencia con las garantías adecuadas, como por ejemplo las Normas Corporativas Vinculantes del Grupo AXA, a las que estamos adheridos. Para el caso que nos ocupa, se incluyó en el contrato con AXA Colombia las Cláusulas Contractuales Tipo de protección de datos adoptadas por la Comisión Europea, otro mecanismo regulado por el Reglamento General de Protección de Datos para garantizar las transferencias internacionales de acuerdo a normativa”. Copia de las cláusulas de “Política de Privacidad” de la entidad INTER PARTNER ASSISTANCE, S.A. SUCURSAL EN ESPAÑA, NIF W0171985E, entidad perteneciente al Grupo AXA Partners, www.axa-assistancesegurodeviaje.es, donde se puede leer, en la cláusula 7, lo siguiente: “(…)

  1. Transferencias internacionales de Datos Personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/27 Te informamos de que Axa Partners tiene aprobadas unas Normas Corporativas Vinculantes, se trata de un estándar reconocido internacionalmente que proporciona una adecuada protección en la gestión de los datos de carácter personal en el ámbito de una compañía multinacional. Estas normas han sido aprobadas por 16 autoridades de protección de datos europeas, entre ellas la Agencia Española de Protección de Datos. De una forma más concreta, en dichas normas se establecen unas medidas similares para la protección de datos personales obtenidos en el curso del negocio cuando dichos datos deban transferirse dentro de las compañías del Grupo. Tus datos podrán ser comunicados a una entidad del Grupo situada fuera de España o del EEE, dichas transferencias se realizarán en base a las Normas Corporativas Vinculantes del Grupo AXA a las que estamos adheridos, dichas Evidencias recogidas por la AEPD normas garantizan un nivel adecuado de protección equivalente al de la UE. En cualquier caso, tus datos serán tratados atendiendo al cumplimiento de la legislación europea y española en materia de protección de datos. Destinatario: Entidades del Grupo AXA, como por ejemplo AXA Business Services Pvt. Ltd. País: India Garantía: NCV. Destinatario: Proveedores tecnológicos y de marketing. País: EEUU Garantía: Cláusulas Contractuales Tipo, adoptadas por la Comisión Europea el 4 de junio de
  2. Puedes consultarlas <<aquí>>”. - Copia de las cláusulas de “Política de Privacidad” del Grupo AXA, donde se puede leer, en la cláusula 5 del documento, lo siguiente: o
  3. Transferencias internacionales de datos personales Le informamos que AXA tiene aprobadas unas Normas Corporativas Vinculantes, se trata de un estándar reconocido internacionalmente que proporciona una adecuada protección en la gestión de los datos de carácter personal en el ámbito de una compañía multinacional. Estas normas han sido aprobadas por 16 autoridades de protección de datos europeas, entre ellas la Agencia Española de Protección de Datos. De una forma más concreta, en dichas normas se establecen unas medidas similares para la protección de datos personales obtenidos en el curso del negocio cuando dichos datos deban transferirse dentro de las compañías del Grupo. Asimismo, en AXA se han adoptado unos compromisos en materia de protección de datos. Sus datos personales podrán ser comunicados a destinatarios ubicados en países fuera del EEE, incluyendo países que no proporcionan un nivel de protección de datos equivalente al de la Unión. Sin embargo, en estos casos, los mismos serán tratados con escrupuloso cumplimiento de la legislación europea y española y, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/27 asimismo, se implementarán las garantías que le indicamos a continuación: Categoría de destinatario: Entidades del Grupo AXA, por ejemplo, AXA Business Services Pvt. Ltd. País: India; Garantía: Normas Corporativas Vinculantes Categoría de destinatario: Prestadores de servicios tecnológicos y de marketing País: EEUU; Garantía: Cláusulas Contractuales Tipo, adoptadas por la Comisión Europea el 4 de junio de 2021 (Texto pertinente a efectos del EEE) (2021/914/UE). Puede consultarlas <<aquí>> (https://www.boe.es/buscar/doc.php?id=DOUE-L-2021-80739). - Copia de las cláusulas de “Política de Privacidad” de la entidad Línea Directa Aseguradora S.A., https://www.lineadirecta.com/politica-de-privacidad.html donde se puede leer, o (…) El responsable y destinatario de los datos es Línea Directa Aseguradora, S.A. Solo se cederán tus datos, en caso de contratación, a los ficheros comunes del sector asegurador, o cuando nos des tu consentimiento expreso a otras entidades o por ley estemos obligados. También podrán tener acceso a tus datos los proveedores de servicios que Línea Directa Aseguradora contrate o pueda contratar y que tengan la condición de encargados del tratamiento. No hacemos transferencias internacionales de tus datos (…)”. SEGUNDO: Con fecha 18/05/22, de conformidad con lo estipulado en el artículo 65.4 de la LOPDGDD, por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. TERCERO: Con fecha 15/06/22, la parte reclamada envía a esta Agencia escrito de contestación a la solicitud realizada, en el cual se indica lo siguiente: “Primera. - Informe sobre las causas que han motivado la incidencia que originado la reclamación.
  4. Existencia de dos contratos con apéndices en materia de protección de datos que no autorizan Transferencia Internacional de Datos. 1.
  5. Hemos de indicar que, en ningún caso, se ha autorizado que se pueda efectuar transferencias internacionales de datos. 1.
  6. Así, la relación que vincula con la entidad INTER PARTNER ASSISTANCE, S.A. SUCURSAL EN ESPAÑA está debidamente instrumentalizada en los siguientes contratos firmados digitalmente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/27 1.2.
  7. Contrato de 29 de abril de 2021 que se aporta como DOCUMENTO NÚMERO 2, relativo a riesgos de cerrajería, manitas y reparaciones adicionales y reformas. 1.2.
  8. Contrato de 19 de enero de 2022 que se aporta como DOCUMENTO NÚMERO 3, relativo a riesgos de asistencia en el hogar y de mantenimiento. 1.
  9. INTER PARNER, como aseguradora, tiene una doble condición, pues por una parte actúa como encargado del tratamiento para prestar los servicios asociados a los riesgos indicados (tratamiento al que se refiere el presente requerimiento) y, a la postre, puede intervenir finalmente como reaseguradora al amparo del art. 99.4 de Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras. En el presente caso nos ceñiremos a lo relativo a la actuación como encargada de tratamiento. 1.
  10. Para poder efectuar los tratamientos por cuenta de Línea Directa, en particular prestaciones de servicio y recepción de llamadas, dichos contratos recogen un Apéndice 2 donde se lee (pág. 39 del documento número 2 y pág. 54 del documento número 3) que “Los tratamientos de datos llevados a cabo por INTER PARTNER en relación a (…) cualesquiera otros que se lleven a cabo por cuenta y nombre de Línea Directa, se entenderán realizados por INTER PARTNER, en calidad de Encargado del Tratamiento por cuenta de Línea Directa como Responsable del mismo. Aplicando a dichos tratamientos las siguientes obligaciones”, entre las que se encuentran (cláusulas, 5.4.3 y 5.5.2, entre otras) la no autorización de subcontratación a terceros, salvo ciertos servicios y la no existencia de Transferencias Internacionales de Datos, salvo previa autorización que no se ha dado. 1.
  11. Así, la subcontratación de servicios está únicamente permitida para ciertos casos por cuestión de operatividad (fontaneros, electricistas, albañiles, etc.), entre los que no se encuentra el relativo al servicio de recepción de llamadas telefónicas (véase la cláusula 5.6.1.1 pág. 42 doc. 2 y pág. 57 doc. 3). 1.
  12. Para facilitar el manejo de dichos apéndices de encargado de tratamiento, firmados digitalmente, se reproducen las cláusulas citadas en imagen:
  13. Existencia de política de proveedores donde se informa expresamente por el proveedor que no habrá ninguna transferencia internacional de datos. 2.
  14. Si bien INTER PARTNER es, como la propia reclamación que ahora respondemos establece, una empresa perteneciente al grupo asegurador internacional AXA Partners, de manera que se le reconoce una especial observancia de la normativa, LÍNEA DIRECTA tiene implementado, al amparo del art. 28 RGPD, formularios de homologación y revisión que sirven para llevar a cabo una revisión de los servicios y de los tratamientos de datos que se van a efectuar. Estos formularios han de ser cumplimentados por el proveedor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/27 2.
  15. Pues bien, revisado dicho cuestionario, debidamente firmado digitalmente, consta expresamente señalado por INTER PARTNER que NO SE EFECTUAN TRANSFERENCIAS INTERNACIONALES DE DATOS. 2.
  16. Es más, se indica también que solo se prevé la subcontratación para reparadores de hogar, con lo que el servicio telefónico no podría estar subcontratado. 2.
  17. Se aporta el cuestionario como DOCUMENTO NÚMERO 4 y se reproduce parcialmente el mismo. Véanse las respuestas 13 y 14
  18. Requerimientos a INTER PARTNER tras recibir la presente reclamación. No se había informado a LÍNEA DIRECTA del tratamiento. 3.
  19. Recibido el requerimiento se procedió de inmediato a solicitar aclaración de lo sucedido al proveedor, ya que vemos que la reclamación tiene su causa en el hecho de que hay cruces de correos electrónicos con el responsable sindical, tal y como se refleja en el anexo I de la presente reclamación. 3.
  20. Al respecto INTER PARTNER ha confirmado que, si bien los datos siguen ubicados en sistemas ubicados dentro del Espacio Económico Europeo, pueden haber existido accesos puntuales derivados de atención telefónica prestada desde la filial de dicho proveedor en Colombia, para así, con más operadores disponibles, dar mayor agilidad y calidad en la atención a las llamadas. 3.
  21. Así las cosas, se requirió al proveedor mediante correo electrónico remitido el pasado día 20 de mayo de 2022, que se adjunta como DOC 5, el cese inmediato de dichos accesos, en la medida en que implican subcontratación de servicios no expresamente autorizada, y ni tan siquiera previamente informada. 3.
  22. En respuesta a dicho correo, INTER PARTNER remitió comunicación de fecha 25/05/22, que se adjunta como DOC 6, en la que se disculpa por no haber informado previamente de este hecho y no contar con autorización, indicando literalmente que “Desde IPA reconocemos y lamentamos el retraso producido en la comunicación a LDA en relación con esta nueva característica del servicio”. Evidentemente, la denominación como “nueva característica del servicio” es un eufemismo para referirse al tratamiento de datos no informado y no consentido en los contratos; y el hecho de que se diga que hay “retraso” en comunicar esta situación, también es una disimulada atenuación de la realidad que no es otra que LINEA DIRECTA se ha enterado a raíz del requerimiento recibido.
  23. Sobre las causas que han motivado la incidencia que originado la reclamación. 4.
  24. La causa del incidente es un tratamiento por parte de un proveedor que no ha seguido las instrucciones expresamente reflejadas en los contratos firmados, en la medida en que las cláusulas 5.6.1.1 solo autorizan ciertas subcontrataciones, entre las que no se encuentra la recepción de llamadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/27 4.
  25. Además, si la prestación del servicio pudiera implicar una transferencia internacional de datos, lo que se analiza en el siguiente hecho, en ambos contratos se recoge la necesidad de autorización previa por parte de Línea Directa (cláusulas, 5.4.3 y 5.5.2, entre otras del apéndice). 4.
  26. De este tratamiento no se ha tenido noticia hasta recibir la presente reclamación, constando expresamente en el formulario de revisión del servicio debidamente firmado, cumplimentado por el proveedor, que no existen transferencias internacionales de datos, ni la subcontratación para la atención de llamadas telefónicas. Segundo. - Informe sobre si se llevan a cabo transferencias internacionales de datos personales a terceros países fuera del ámbito de la Unión Europea y a qué países, con indicación de la base jurídica.
  27. Informa INTER PARTNER que los datos siempre han permanecido ubicados en ficheros dentro del EEE, pero que, para mejorar tiempos de respuesta en la atención telefónica al cliente, algunas llamadas pueden haber sido atendidas desde operadores ubicados en la empresa filial del proveedor en Colombia.
  28. De acuerdo con lo comunicado por el proveedor, el tratamiento se ha implementado desde enero de 2022, y ha supuesto atender, puntual y singularmente, únicamente a personas que han llamado preguntando por el servicio de manitas y por el servicio de asistencia, de manera que en las llamadas se han manejado los datos propios de este tipo de servicios, que no incluyen datos especialmente protegidos u otra información relevante.
  29. Así las cosas, a efectos del presente informe, no nos hallamos ante una clásica transferencia internacional de datos en la que se traslada la base de datos a un tercer país sin más, sino del caso inverso, esto es, que ciertos operadores ubicados en un tercer país puedan haber recabado datos telefónicamente, procediendo acto seguido a haber incluido los mismos en sistemas ubicados en el Espacio Económico Europeo. Para ello se ha utilizado un acceso remoto, dotado con medidas de seguridad.
  30. Como es sabido, ni el Reglamento General de Protección de Datos, ni la LO 3/2018, de Protección de Datos definen explícitamente el concepto “transferencia internacional de datos”. Sí se recoge en el art. 4.23 el concepto de “tratamiento transfronterizo” y sí que puede extrapolarse del Considerando 101 RGPD que se trata de la existencia de “flujos transfronterizos de datos a, y desde, países no pertenecientes a la Unión”. En la legislación anterior a la presente, sí se incluía una definición, por ejemplo en la Instrucción 1/2000 de esta digna Agencia, norma primera, o en el punto s) del art. 5 del RD 1720/2007, de 21 de diciembre, que señalaba que son “Tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo, bien constituya una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/27 de datos por cuenta del responsable del fichero establecido en territorio español”.
  31. Sea como fuere, a efectos de política interna de Línea Directa, el acceso se ha interpretado como potencial transferencia internacional de datos, en línea con el Informe sobre transferencias internacionales de datos de la AEPD, en el ámbito de la inspección sectorial de oficio España-Colombia en centros de atención al cliente de Julio 2021 . Por ello, y aun reconociendo que con la normativa vigente pueden existir dudas acerca del alcance de si existe propiamente una completa transferencia internacional de datos, en la medida en que no hay transferencia física de información, se ha optado por informar del tratamiento en cuestión como tal 1 https://es.slideshare.net/dataconsulting/informe-sobre-transferenciasinternacionales-de-datos-5813338 8 transferencia internacional de datos, como se detallará en el apartado “Decisiones adoptadas”.
  32. De acuerdo con lo indicado por el proveedor, la base jurídica para dicho tratamiento es la firma de contratos sujetos a las cláusulas contractuales tipo con arreglo a la Decisión de la Comisión de 4 de junio de 2021, según ha acreditado INTER PARTNER tras requerirle LÍNEA DIRECTA esta cuestión, mediante la entrega de los anexos 3, 4, 5 y 6 firmados con su filial en Colombia. Se aportan dichos anexos como DOCUMENTOS NÚMERO 7, 8, 9 y
  33. Tercera. - . Decisiones adoptadas a propósito de esta reclamación. Tras recibir la reclamación de esta digna Agencia, primera noticia recibida sobre el tratamiento, y dado que no es posible cambiar de proveedor de inmediato, con el fin de dotar de transparencia a la situación, y sin que esto implique ratificar o conceder autorización al proveedor para prestar el servicio de forma distinta a la pactada, se han adoptado las decisiones que se incluyen a continuación:
  34. Requerir al proveedor para el inmediato cese de la prestación del servicio con tales accesos puntuales telefónicos, así como copia del contrato firmado con la filial en Colombia y las medidas de seguridad adoptadas. Así, además de las llamadas y reuniones, se han intercambiado: a. Correo de 20 de mayo de 2022 (aportado como documento número 5 respondido por medio de correo electrónico de 25 de mayo de 2022 (aportado como documento número 6). b. Correo de LINEA DIRECTA de 30 de mayo de 2022, que se aporta como DOCUMENTOS NÚMERO 11, respondido por medio de correo electrónico de INTER PARTNER de 3 de junio de 2022, que se incorpora como DOC
  36. Dado que el proveedor necesitaba, al menos, mes y medio para garantizar la calidad del servicio sin tales accesos puntuales, se incluyó modificación en la página web de Línea Directa informando de posible transferencia internacional de datos, con arreglo al art. 13.1.f) RGPD. Se incluye: a. Como DOCUMENTO NÚMERO 13 parte de dicha modificación, consultable en https://www.lineadirecta.com/politica-de-privacidad.html Así, se ha optado por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 incluir en una primera capa referencia a la posible existencia de Transferencia Internacional de Datos, como así refleja en este punto: b. Como DOCUMENTO NÚMERO 14 reflejo de la modificación incluida en la información adicional de la cláusula, consultable en https://www.lineadirecta.com/politica-de-privacidadampliada.html Se reproduce parcialmente el detalle:
  37. Del mismo modo, con el fin de trasladar esta misma información por parte del proveedor, se le obligó a incluir una locución en la recepción de las llamadas que vayan a ser atendidas desde la filial en Colombia, locución que informa de la potencial asistencia desde países ubicados fuera del EEE. Se adjunta la misma como DOC 14, consultable al llamar al teléfono 9191800122: “Bienvenido a Línea Directa. En garantía del servicio le informamos que esta llamada puede ser grabada. Para mejorar el tiempo de respuesta, pueden existir transferencias internacionales de datos en la atención de su llamada”. Pulse 1 para tener más información o revise nuestra política de privacidad en www.lineadirecta.com”. 2 La locución solo se activa si el sistema necesita recurrir a operadores de Inter Partner quienes, a su vez, estén ubicados fuera de la Unión Europea, pues si son atendidos por otros proveedores distintos, o por operadores ubicados en España, no sería necesario dar la información referida en la locución. En todo caso, se ha comprobado por este DPD la inclusión de la locución a través de realizar varias llamadas, a veces en horas punta de asistencia.

(1)“Todos nuestros operadores pertenecen a empresas con las que se han firmado acuerdos de confidencialidad para el manejo de sus datos, y aunque la atención telefónica pudiera estar ubicada fuera del ámbito del Espacio Económico Europeo, en particular en Colombia, todos sus datos se almacenan en servidores ubicados en España. Además, se han firmado acuerdos de confidencialidad con las cláusulas contractuales aprobadas por la Decisión de la Comisión Europea 2021/914 de 4 de junio, o bien existen normas corporativas vinculantes u otras garantías adecuadas conforme a la normativa. Para más información puedes dirigirte al Delegado de Protección de Datos mediante correo electrónico a privacidad@lineadirectaaseguradora.com. 4. Dado que el servicio supone atender a una misma persona en varias ocasiones a lo largo del tiempo (en el proceso de reparación, o de asistencia de averías), y habiéndose informado de que el acceso es puntual relativo a llamadas efectuadas entre enero y mayo de 2022, acceso puntual en que muchas personas han podido volver a llamar por teléfono y poder tener la información derivada de la locución telefónica para dar cumplimiento al art. 13.1.
  1. f)RGPD, se ha solicitado al proveedor que identifique el número total de posibles interesados que pueden no haber recibido la información del art. 13.1.
  2. f)RGPD, a los cuales se ha ordenado remitir una comunicación para comprobar la calidad del servicio e informar de que para la agilidad de las llamadas es posible que se le haya podido atender desde países ubicados fuera del Espacio Económico Europeo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27 Se adjunta como DOCUMENTO NÚMERO 15 modelo de la comunicación que será remitida una vez se tenga la identificación final de posibles interesados. Se reproduce el mismo: Estimado Cliente: Para Línea Directa su satisfacción es lo primero, por eso queríamos conocer su valoración sobre el servicio prestado, en particular respecto a la calidad de los operadores que han intervenido. Para poder acceder a la encuesta haga link en el siguiente enlace Linkencuestaqualtrics.es Le informamos que todos nuestros operadores han firmado acuerdos de confidencialidad para el manejo de sus datos, y aunque la atención telefónica haya sido prestada fuera del ámbito del Espacio Económico Europeo, en particular en Colombia, todos sus datos se almacenan en servidores ubicados en España habiéndose firmado los acuerdos de confidencialidad con las cláusulas contractuales aprobadas por la Decisión de la Comisión Europea 2021/914 de 4 de junio, Para más información puedes dirigirte al Delegado de Protección de Datos mediante correo electrónico a privacidad@lineadirectaaseguradora.com. Para acceder a la información completa sobre el tratamiento de datos, consulte nuestra política de privacidad https://www.lineadirecta.com/politica-deprivacidad.html 5. Están pendientes de ser adoptadas las medidas finales respecto al mantenimiento o resolución del contrato con el proveedor. Por lo expuesto, Respetuosamente solicitamos se tengan por realizadas las presentes alegaciones, por aportados los documentos incluidas con la misma y por evacuado el trámite conferido. Al escrito de contestación, se aporta, entre otras, la siguiente documentación: - Copia del “CONTRATO DE REASEGURO ENTRE LÍNEA DIRECTA S.A. COMPAÑÍA DE SEGUROS Y REASEGUROS, E INTER PARTNER ASSISTANCE S.A. SUCURSAL EN ESPAÑA” firmado el 29/04/21, donde se puede leer entre otras, las siguientes clausulas: C/ Jorge Juan, 6 28001 – Madrid o EXPONEN I. Que LÍNEA DIRECTA es una entidad aseguradora que entre los productos aseguradores que comercializa, se encuentra el seguro de hogar y que requiere cubrir la prestación de ciertos servicios asociados a este seguro Multirriesgo Hogar. II. Que INTER PARTNER es una empresa de Seguros y Reaseguros especializada en la cobertura de garantías de asistencia y reparaciones domiciliarias de ámbito nacional, que cuenta para tales fines con la infraestructura y medios técnicos, materiales y humanos necesarios para el desarrollo de tal fin. III. Que LÍNEA DIRECTA está interesada en contar con la colaboración de INTER PARTNER para la prestación de determinadas garantías de reparación en los hogares asegurados en LÍNEA DIRECTA, en la forma y con los requisitos que se establecen en el presente Contrato De acuerdo con lo expuesto, ambas partes formalizan el presente Contrato, que se regirá por las siguientes. (…) o 2.1.- Traslado de la información sobre clientes. Con la finalidad de poder prestar las coberturas, La CEDENTE (Línea Directa) facilitará de manera diaria un fichero, a través de un medio de intercambio seguro acordado por las partes, en el que facilitará la información sobre todos www.aepd.es sedeagpd.gob.es 11/27 aquellos clientes que tengan contratada con la aseguradora alguna de las garantías susceptibles de prestación de servicios sobre la base del presente Contrato. o 2.2.-Gestión de los encargos. Los encargos de los servicios se harán de manera telefónica, desde la CEDENTE. A tal efecto y con la finalidad de que el REASEGURADOR gestione las llamadas que le sean derivadas desde La CEDENTE, mantendrá una plataforma telefónica operativa. Los Servicios se prestarán por el REASEGURADOR tanto en castellano como en inglés. El REASEGURADOR proporcionará tres líneas de teléfono para el castellano y dos líneas de teléfono para el idioma inglés. La atención telefónica se prestará por el REASEGURADOR en la modalidad 24x7x365 días al año. o 2.3.-Características de la Plataforma telefónica. – Ambas partes convienen que, por la misma naturaleza del objeto de este Contrato, que se realiza teniendo en cuenta la estructura asistencial del REASEGURADOR, será éste quien lleve la gestión directa de los siniestros sobrevenidos indicados en este contrato. El REASEGURADOR pondrá a disposición de los Asegurados de La CEDENTE su estructura asistencial, manteniendo su plataforma telefónica en condiciones de operatividad y eficacia, que cumplirá las siguientes características:(…)  o El REASEGURADOR cumplirá los requisitos establecidos por la normativa sobre protección de datos personales, tanto desde el punto de vista jurídico, organizativo y de seguridad, tanto para el tratamiento de datos personales por cuenta de La CEDENTE, como para el tratamiento de los datos de los empleados del REASEGURADOR que participarán en el servicio. (…). DECIMOSÉPTIMA. - PROTECCION DE DATOS PERSONALES De conformidad con la normativa legal aplicable en materia de Protección de Datos Personales, ambas partes se comprometen a dar cumplimiento al contenido de lo establecido en los apéndices 1 y 2 del el Anexo IV del presente contrato., que se acompañan al Presente Contrato, formando parte integrante del mismo. En el apartado 5.4.3. del anexo 2 indicado anteriormente se puede leer: “Si bien no se autorizan Transferencias Internacionales de Datos, salvo indicación en contrario en el Contrato, en caso de que ulteriormente fueran autorizadas o necesarias, se deberán incluir las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49 apartado 1, párrafo segundo del Reglamento General de Protección de Datos (RGPD), la documentación de garantías adecuadas”. En el punto 6 del citado anexo 2, se puede leer, sobre las “Obligaciones del Responsable del Tratamiento”, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27 “6.1. Facilitar al Encargado del Tratamiento el acceso a la información o los sistemas necesarios a fin de prestar el servicio contratado. 6.2. Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte del Encargado del Tratamiento. 6.3. Supervisar el tratamiento y las condiciones de la prestación de los servicios de acuerdo con lo establecido en el Contrato. 6.4. Cumplir con las obligaciones que le correspondan de acuerdo con lo establecido en la normativa aplicable en materia de protección de datos de carácter personal. 6.5. Cumplir con el deber de Información a los Interesados con carácter previo al tratamiento de sus datos personales. 6.6. El Responsable contará durante toda la vigencia del Contrato con la base jurídica que legitime el tratamiento, fin de permitir al Encargado tratar los datos personales durante el tiempo y para las finalidades indicadas por el Responsable”. CUARTO: Con fecha 17/06/22, la parte reclamada envía a esta Agencia escrito de contestación a la solicitud realizada, en el cual, se aporta, entre otras, la siguiente documentación: - Copia del correo electrónico enviado desde la dirección C.C.C., enviado el: 20/05/22 a las direcciones de correo electrónico ***USUARIO.3@axa-assistance.es ; ***USUARIO.4@axa-assistance.es ; ***USUARIO.5@axa-assistance.es con el Asunto: Requerimiento de información de la AEPD, donde se puede leer, entre otra, lo siguiente: o Tras la video-reunión urgente de contacto mantenida ayer a las 16:00, y una vez que se ha procedido internamente a estudiar el asunto, le ponemos de manifiesto las siguientes circunstancias:
  3. a)Como les indicamos ayer, de la lectura del requerimiento, en particular de dos correos electrónicos unidos como anexos a dicho requerimiento AEPD, podría llegar a interpretarse que están Vds. comenzando a efectuar transferencias internacionales de datos personales a su filial en Colombia, a través de lo que se denomina en dichos correos como “proyecto de amortización de puestos de trabajo en España”.
  4. b)Tal y como se les indicó en el día de ayer, desconocemos si este proyecto afecta, ha afectado, o podrá afectar a tratamientos de datos contratados con Vds., pero les recordamos que, revisados los contratos que nos vinculan, a la fecha no está autorizada ningún tipo de transferencia internacional de datos. Rogamos por favor revisen las cláusulas, entre otras, 5.4.3, 5.5.2 donde se pacta la no autorización de Transferencias Internacionales de Datos. De hecho, la subcontratación de los servicios está únicamente permitida para ciertos casos por cuestión de operatividad (fontaneros, electricistas, albañiles, etc.), entre los que no se encuentra el relativo al servicio de recepción de llamadas telefónicas (véase la cláusula a 5.6.1.1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27
  5. c)Revisado también el cuestionario de elección y supervisión de proveedores al amparo del art. 28 RGPD, debidamente firmado, consta expresamente señalado por Vds. que NO SE EFECTUAN TRANSFERENCIAS INTERNACIONALES DE DATOS. (…)”. - Copia del correo electrónico enviado desde la dirección D.D.D. ***USUARIO.3@axa-assistance.es, con fecha 25/05/22 enviado a las direcciones de correo electrónico de C.C.C.; y E.E.E., con Asunto: Requerimiento de información de la AEPD, donde se puede leer, entre otras, lo siguiente: o INTER PARTNER ASSISTANCE S.A. SUCURSAL EN ESPAÑA (“IPA”) ha externalizado parte del servicio contratado con Línea Directa (“LDA”) con AXA ASISTENCIA COLOMBIA, S.A. (a través de la entidad de su grupo INTER PARTNER ASSISTANCE SERVICIOS ESPAÑA, S.A.) en fecha 19/01/22. En particular, los servicios de front y back office que implican la atención de llamadas desde un call center ubicado en Colombia. Por tanto, debido a dicho acceso, el tratamiento implica una transferencia internacional desde el mencionado país para la parte del servicio comentada. Por otro lado, en respuesta a la pregunta planteada, los datos afectados son únicamente aquellos que el asegurado comunique al agente durante la llamada para la correcta prestación del servicio. En particular, el tipo de datos afectados por la transferencia son los siguientes: o Datos identificativos como nombre y apellidos, NIF/DNI, dirección, teléfono, correo electrónico. o Datos económicos, financieros y de seguros como número de cuenta bancaria, número de póliza, número de contrato, número de siniestro, fotografías del siniestro. o Datos que el asegurado pudiera facilitar para la gestión del siniestro. Adicionalmente, las llamadas tratadas, desde Colombia, por parte de nuestro colaborador para la gestión de los siniestros de sus asegurados son las siguientes: LLAMADAS ATENDIDAS Enero Febrero Marzo Abril Mayo TOTAL 3.869 11.080 13.506 14.077 11.354 53.886 En línea de lo anterior, es importante resaltar que la transferencia internacional derivada de este tratamiento está debidamente regularizada mediante las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea en junio de 2021 con anterioridad a la prestación del servicio desde Colombia. Por tanto, desde IPA se ha producido en todo momento un tratamiento transfronterizo contemplando todas las garantías exigidas por la normativa de protección de datos aplicable. Desde IPA reconocemos y lamentamos el retraso producido en la comunicación a LDA en relación con esta nueva característica del servicio, que constaba en nuestro plan interno como una acción a llevar a cabo en un plazo muy corto y que, por razones de estructura y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/27 organización interna, no nos ha sido posible llevar a cabo en el tiempo en el que, según nuestros procedimientos internos y diligencia debida, lo hacemos de forma habitual. Queremos destacar que el tratamiento transfronterizo de datos personales consiste únicamente en el acceso por parte de empleados de la entidad del Grupo en Colombia a datos de asegurados que realizan llamadas a nuestro call center y debe tenerse en cuenta que los empleados de Colombia tienen acceso a nuestros aplicativos en España. En este sentido, es importante resaltar que los servidores donde se almacenan los datos personales derivados de dichas llamadas se encuentran en España. Por tanto, la transferencia internacional se limita exclusivamente a ese acceso, pero no al almacenamiento de la información ni a ningún tratamiento adicional. En relación con lo anterior, IPA ha aplicado medidas de seguridad adicionales que, según su análisis de riesgos, ha identificado como necesarias para garantizar que el tratamiento es conforme a los estándares de seguridad pertinentes de acuerdo al riesgo asociado que, en este supuesto, es leve teniendo en cuenta lo indicado. Por otra parte, y de acuerdo a lo comentado, una vez analizada internamente la operativa del negocio y, consideradas las posibles consecuencias para la prestación del servicio a los asegurados (tanto por parte de IPA como de LDA), hemos concluido que el cese de la prestación del servicio desde Colombia resulta un perjuicio importante, que impediría la continuidad del negocio en el contexto actual, resultando altamente complejo poder llegar a los niveles de servicio acordados contractualmente y actualmente garantizados de forma efectiva. En todo caso, si se decidiera proceder con el cambio en el servicio se precisaría, como mínimo, por parte de IPA, entre un mes y medio y dos meses para llevar a cabo el cambio en la infraestructura y personal. Dicho lo anterior, y teniendo en cuenta que la transferencia internacional de datos está regularizada y el tratamiento se lleva a cabo con las garantías legales, contractuales y de seguridad exigidas por la normativa, el único incumplimiento actual es la falta de cumplimiento con el deber de información, cuestión que entendemos quedará subsanada con las medidas descritas en el siguiente párrafo. Por tanto, el tratamiento de datos personales desde Colombia no supone un riesgo para los derechos y libertades de los interesados. Teniendo en cuenta lo anterior, es importante tener en cuenta las medidas que desde IPA hemos valorado que deben aplicarse de forma inmediata, siempre en colaboración con LDA, para regularizar esta situación de cara a garantizar el cumplimiento con el deber de información al interesado de la manera más eficiente y garantista C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/27 posible, son las siguientes: o IPA incluirá en la locución actual de sus llamadas realizadas desde el call center de Colombia un sistema de capas informativas incluyendo una segunda capa en la que detallará la información correspondiente al tratamiento realizado por cuenta de LDA. En dicha cláusula se incluirá la información exigida por la normativa, resaltando, entre otras cuestiones que el tratamiento de datos personales implica una transferencia internacional de datos a Colombia, con las garantías establecidas por la normativa, en concreto, con la firma de Cláusulas Contractuales Tipo. o Sería necesario que LDA, asimismo, incluya la información correspondiente a la realización de transferencias internacionales en sus textos informativos dirigidos a asegurados. Esperamos que lo anterior os resulte de utilidad y quedamos a vuestra disposición para continuar cooperando en este asunto y cualquiera que pudiera derivarse de la prestación del servicio por parte de IPA. - Copia del correo electrónico enviado desde la dirección de E.E.E., enviado el 30/05/22 a las direcciones de correo electrónico de C.C.C.; F.F.F. y D.D.D. con el Asunto: Requerimiento de información de la AEPD, y donde se puede leer, entre otras, lo siguiente: o “(…) agradecemos también que nos asegures que la TID queda limitada al mero acceso de servicio telefónico, puesto que toda la información se sigue manteniendo en servidores ubicados dentro del Espacio Económico Europeo. En todo caso, rogamos que nos remitan copia del contrato o contratos por los que han procedido a subcontratar con su filial en Colombia, así como referencia a las medidas de seguridad implementadas, pues dicha comprobación es parte de las medidas que provisionalmente se han adoptado.
  6. c)Del mismo modo, agradecemos también comprobar que la situación de TID se ha producido con pocas llamadas en enero de 2022, y algunas más desde febrero y siguientes. Según nos indican, y dado que cada asegurado realiza más de una llamada por cada siniestro, de las 53.886 llamadas, los asegurados que habrían llamado serían únicamente 13.073 para la atención “Manitas” y 17.978 para “Mantenimiento”, (…)”.
  7. d)De igual modo les adelantamos que Línea Directa está en proceso de modificación de su cláusula de Protección de Datos y que, cautelarmente, se han ordenado modificaciones en la versión actual web de la cláusula para informar de TID efectuada por Vds. Es preciso tener en cuenta que tal modificación en ningún caso supone consentir autorización alguna para llevar a cabo la TID, ni implica modificación alguna del contrato que las prohíbe. La medida únicamente se ha implementado con el fin de dar urgente cumplimiento a lo dispuesto en el art. 13.1.
  8. f)RGPD, entre tanto, por si no han cesado en la realización de las TID. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/27
  9. e)Respecto a la locución a que se refieren en su correo, y dado que según indican la TID es únicamente para evitar esperas telefónicas y mejorar la calidad del servicio, les proponemos que se implemente una referencia general que indique un texto similar al presente: “Bienvenido a Línea Directa. En garantía del servicio le informamos que esta llamada puede ser grabada. Para mejorar el tiempo de respuesta, pueden existir transferencias internacionales de datos en la atención de su llamada”. Pulse 1 para tener más información o revise nuestra política de privacidad en www.lineadirecta.com”.
(1)“Todos nuestros operadores pertenecen a empresas con las que se han firmado acuerdos de confidencialidad para el manejo de sus datos, y aunque la atención telefónica pudiera estar ubicada fuera del ámbito del Espacio Económico Europeo, en particular en Colombia, todos sus datos se almacenan en servidores ubicados en ¿España. Además, se han firmado acuerdos de confidencialidad con las cláusulas contractuales aprobadas por la Decisión de la Comisión Europea 2021/914 de 4 de junio, o bien existen normas corporativas vinculantes u otras garantías adecuadas conforme a la normativa. Para más información puedes dirigirte al Delegado de Protección de Datos mediante correo electrónico a privacidad@lineadirectaaseguradora.com. QUINTO: Con fecha 18/06/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos FUNDAMENTOS DE DERECHO I.- Competencia: De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12 de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II.- Síntesis de los hechos: Primero: Con fecha 29/04/21 la aseguradora LÍNEA DIRECTA S.A. realiza un contrato de reaseguros con la compañía INTER PARTNER ASSISTANCE S.A. para la prestación de determinadas garantías de los asegurados en LÍNEA DIRECTA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/27 Entre las cláusulas del contrato firmado entre ambas compañías se estipula que Línea Directa, facilitará de manera diaria un fichero, en el que facilitará la información sobre todos aquellos clientes que tengan contratada con la aseguradora alguna de las garantías susceptibles de prestación (punto 2.1). Se indica también que, ambas partes se comprometen a dar cumplimiento al contenido de lo establecido en los apéndices 1 y 2 del el Anexo IV del contrato, en el cual, se puede leer, entre otras, lo siguiente: - En su punto 5.4.3.: “no se autorizan transferencias internacionales de datos”. - En el punto 5.5.2.: “Si el encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público”. Segundo: Solicitada información por parte de esta Agencia a la entidad Línea Directa, respecto a la reclamación presentada, ésta comunica, entre otras, que, según INTER PARTNER los datos siempre han permanecido ubicados en ficheros dentro del EEE, pero que, algunas llamadas pueden haber sido atendidas desde operadores ubicados en una de las empresas filiales ubicada en Colombia. Estos hechos se empezaron a producir en enero de 2022 y que, pero afirman que no es una clásica transferencia internacional de datos en la que se traslada la base de datos a un tercer país, sino que, ciertos operadores ubicados en un tercer país (Colombia) recaban datos telefónicamente, procediendo acto seguido a incluirlos en una base de datos ubicada dentro del EEE. Al escrito de comunicación, Línea Directa aporta los contratos sujetos a las cláusulas contractuales tipo con arreglo a la Decisión de la Comisión de 4 de junio de 2021, firmados entre la entidad INTER PARTNER y AXA-Colombia. Tercero: Según se desprende de los correos intercambiados entre los responsables de Línea Directa e INTER PARTNER, el 25/05/22, las llamadas atendidas desde Colombia, desde enero de 2022 hasta mayo de 2022 fueron 53.886, que corresponden a unos 31.051 asegurados en Línea Directa. También se indica en dichos correos que, el tipo de datos personales afectados son datos identificativos del usuario, como nombre y apellidos, NIF/DNI, dirección, teléfono, correo electrónico. Datos económicos, financieros y de seguros como número de cuenta bancaria, número de póliza, número de contrato, número de siniestro, fotografías del siniestro y datos que el asegurado pudiera facilitar para la gestión del siniestro. Cuarto: En el correo electrónico enviado desde la dirección ***USUARIO.3@axa-assistance.es , el 25/05/22 enviado a las direcciones de correo electrónico de C.C.C.; y E.E.E., con el Asunto: “Requerimiento de información de la AEPD”, se puede leer, entre otras, lo siguiente: “(…) Desde IPA (INTER PARTNER ASSISTANCE) reconocemos y lamentamos el retraso producido en la comunicación a LDA (Línea Directa) en relación con esta nueva característica del servicio, que constaba en nuestro plan inC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/27 terno como una acción a llevar a cabo en un plazo muy corto y que, por razones de estructura y organización interna, no nos ha sido posible llevar a cabo en el tiempo en el que, según nuestros procedimientos internos y diligencia debida, lo hacemos de forma habitual (…)”. III.- Sobre el posible incumplimiento contractual de la empresa INTER PARTNER ASSISTANCE SERVICIOS ESPAÑA, S.A. con la aseguradora LINEA DIRECTA, S.A en materia de protección de datos de carácter personal. III.-1 Posible infracción administrativa. Según especifica el artículo 4.2 del RGPD, debemos entender el tratamiento de datos personales como: “Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; También se especifica en los puntos 7 y 8 de dicho artículo lo que se debe entender por responsable del tratamiento y encargado del tratamiento. Así tenemos, como: 7) «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad pública, que decide sobre el tratamiento de los datos personales, determinando los fines y los medios de dicho tratamiento. En virtud del principio de responsabilidad proactiva el responsable del tratamiento tiene que aplicar medidas técnicas y organizativas para, en atención al riesgo que implica el tratamiento de los datos personales, cumplir y ser capaz de demostrar el cumplimiento. Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable que conlleva el tratamiento de datos personales por cuenta de éste. En este sentido, el responsable es quien decide el “por qué” y el “cómo” relativo a los datos personales y el encargado es quien se encarga de llevar a cabo el tratamiento a cargo del responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/27 La figura del encargado del tratamiento en el RGPD se define en su artículo 28, donde se establecen los requisitos que debe cumplir respecto a la protección de datos: 1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  1. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público; b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  2. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  3. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  4. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  5. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  6. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  7. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  8. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/27 instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4.Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5.La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6.Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7.La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8.Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9.El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10.Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento. III.-2 Propuesta de sanción De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que INTER PARTNER ASSISTANCE S.A. SUCURSAL EN ESPAÑA vulnera el artículo 28 del RGPD al externalizar parte del servicio contratado con Línea Directa, con AXA ASISTENCIA COLOMBIA, S.A. (a través de la entidad de su grupo INTER PARTNER ASSISTANCE SERVICIOS ESPAÑA, S.A.) en fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/27 19/01/22, incumpliendo el contrato de encargo con la aseguradora Línea Directa, en lo referente al tratamiento de datos personales de los asegurados. Esta infracción puede ser sancionada con multa de 10.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.4.
  9. a)del RGPD. Por su parte, el artículo 73.
  10. k)de la LOPDGDD, considera “grave”, a efectos de prescripción, “
  11. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679”. III.-3 Graduación de la sanción La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  12. a)a
  13. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  14. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  15. b)la intencionalidad o negligencia en la infracción;
  16. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  17. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  18. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  19. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/27
  20. g)las categorías de los datos de carácter personal afectados por la infracción;
  21. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  22. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  23. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  24. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  25. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  26. a)El carácter continuado de la infracción.
  27. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  29. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  30. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  31. f)La afectación a los derechos de los menores.
  32. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  33. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/27 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción tipificada en el artículo 83.5.
  34. a)del RGPD y 74.
  35. a)de la LOPDGDD, en una valoración inicial, se estiman concurrentes en el presente caso los siguientes factores: En calidad de agravantes: - El número de interesados afectados, que según estimaciones de la propia reclamada podrían llegar a unos 31.000 asegurados afectados durante los 5 meses que duró en tratamiento de los datos personales desde Colombia sin que se comunicara este hecho a la aseguradora Línea Directa, (artículo 83.2.a), - La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD). La Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), en la que, respecto de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.” Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 30.000 euros (treinta mil euros), por la presunta infracción del artículo 28) del RGPD tipificada en el artículo 83.4.
  36. a)del citado RGPD. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad INTER PARTNER ASSISTANCE SERVICIOS ESPAÑA, S.A., CIF.: A59825307, por infracción del artículo 28) del RGPD, tipificada en el artículo 83.4.
  37. a)del citado RGPD. NOMBRAR: como Instructor a D. G.G.G., y Secretaria, en su caso, a Dª H.H.H., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/27 establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, todos ellos parte del presente expediente administrativo. QUE: a los efectos previstos en el art. 64.2
  38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 30.000 euros (treinta mil euros) por la Infracción del artículo 28) del RGPD. NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a INTER PARTNER ASSISTANCE SERVICIOS ESPAÑA, S.A, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  39. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 6.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 24.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 6.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 24.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 18.000 euros (diez y ocho mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/27 Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 11 de enero de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 18000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/27 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202204485, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a INTER PARTNER ASSISTANCE SERVICIOS ESPAÑA, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  40. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/27 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.