PS-00586-2017

1/12  Procedimiento Nº PS/00586/2017 RESOLUCIÓN: R/00601/2020 En el procedimiento sancionador PS/00586/2017, instruido por la Agencia Española de Protección de Datos a la entidad MUTUA MADRILEÑA AUTOMOVILISTA, SOCIEDAD DE SEGUROS, con NIF V28027118, vista la denuncia presentada por D. A.A.A., y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 9 de febrero de 2017, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a la empresa Mutua Madrileña Automovilista, Sociedad de Seguros. Por los siguientes hechos manifestados por el denunciante:  Un tercero ha contratado a su nombre, pero sin su consentimiento, un seguro de automóvil con la empresa denunciada Mutua Madrileña Automovilista.  Tiene la certeza de que la persona que ha efectuado la contratación es el intermediario que participó en la compra de un coche usado de su propiedad, que se ha valido de una fotocopia de su DNI obtenida con el pretexto de realizar los trámites con Tráfico.  Se da la circunstancia de que el denunciante era ya cliente de Mutua y tiene otros productos contratados a su nombre.  Denuncia que, si bien la operadora en el momento de tramitar la contratación por vía telefónica hizo una pregunta sobre un dato que ya obraba en poder de Mutua por constar ya el denunciante en la base de datos de clientes (a saber, fecha de obtención del carnet de conducir), la contestación incorrecta a dicha pregunta no se utilizó para interrumpir el proceso de contratación.  Es cierto que previamente la operadora preguntó sobre un dato que sí que contestó correctamente el suplantador (fecha de nacimiento), por encontrarse esta información incluida en el DNI del que poseía copia.  No solo se llevó a cabo la contratación sin su consentimiento; en la misma llamada de contratación, la propia operadora reveló al interlocutor la respuesta correcta a la pregunta que el solicitante había contestado incorrectamente, sin haber acreditado con garantías la identidad de la persona al otro lado del teléfono. El denunciante aporta, entre otra, copia de la siguiente documentación:  Copia de su DNI, con validez hasta 11/06/2026 (con lo que debe haber sido expedido en fecha 12/06/2016). Se observa el domicilio ***DIRECCION.

1.  Escrito de reclamación dirigido al Comisionado para la Defensa del Asegurado y del Partícipe de Planes de Pensiones, dependiente de la Dirección General de Seguros, fechado a 14/02/
2. Se extrae la siguiente información de interés para el caso: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 o El producto contratado fraudulentamente es una póliza de seguro para un vehículo de marca y modelo PEUGEOT 206 con matrícula ***MATRICULA.1 (información facilitada por MUTUA). o Ha reclamado ante la empresa denunciada, facilitándoles a petición de la propia empresa una declaración por escrito de que él no ha contratado la póliza en cuestión, solicitando la anulación de la póliza e información de las causas del incidente.  Por vía telefónica, donde le instaron a remitir correo electrónico.  Por correo electrónico. Aporta correo electrónico procedente de POLIZAS@MUTUA.ES con fecha 27/10/2016 acusando recepción del correo del denunciante.  Por escrito al Servicio de Atención al Cliente de la empresa denunciada con fecha 15/12/2016  Denuncias ante la Guardia Civil y Policía Nacional, con fechas respectivas 07/12/2016 y 19/01/2017, de las que se extrae la siguiente información relevante al caso: o Con fecha 12/10/2016 vendió su automóvil usado de marca y modelo SAAB 93 y matrícula ***MATRICULA.2 a una persona llamada B.B.B., con DNI ***NIF.
3. Sin embargo, la transacción se llevó a cabo con la persona que contactó con él para la compra del vehículo, del que solo se sabe que se llama C.C.C. y tiene domicilio en ***LOCALIDAD.
4. En la firma del contrato éste excusó la no comparecencia de la compradora, supuestamente su cónyuge, limitándose a presentar copia de su DNI. En la denuncia a la AEPD se aporta el contrato de compraventa firmado por ambas partes. o Con fecha 27/10/2016 detecta que alguien ha dado de alta a su nombre una póliza de seguro con MUTUA, con fecha de alta 25/10/2016, para un vehículo de marca y modelo PEUGEOT 206 y matrícula ***MATRICULA.1, que no es de su propiedad. El denunciante niega haber realizado dicha contratación. o A finales de noviembre 2016 recibe una llamada de la pareja de B.B.B. a causa de la recepción de multas asociadas al vehículo vendido en la referida operación de compraventa, el cual, según manifiesta el interlocutor, no es propiedad de su novia. Ellos también han tenido contacto con el tal C.C.C. por motivo de la compra de otro vehículo (lo cual explica que C.C.C. dispusiera de una copia del DNI de dicha persona), operación que también fue problemática y derivó en una denuncia ante la Policía en Cáceres. o Solicitó el contrato a la empresa Mutua, pero le fue denegada dicha petición. Posteriormente, solicitó formalmente a Mutua la cancelación de la póliza y reiterado su petición de acceso al contrato. Finalmente, el día 20/01/2017 (debe ser 19/01/2017, el mismo día de la denuncia) pudo finalmente visitar las oficinas de Mutua y escuchar la grabación en la que no es capaz de distinguir si el contratante es o no C.C.C.. Adicionalmente pudo acceder a la información de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 contratación. El denunciante indica expresamente que el domicilio asociado a la póliza es ***DIRECCION.2, de lo que se deduce que no debe ser el suyo. o En las dependencias de la Policía donde está instruyendo la denuncia le muestran una serie de fotos de personas, de donde él identifica sin ningún género de dudas a la persona a la que vendió el automóvil, el tal C.C.C..  Se aporta copia de un contrato de póliza de seguro de automóvil adicional firmado a con la compañía MAPFRE nombre del denunciante sin su consentimiento, pero se omite en el presente informe todo el detalle de ésta por no estar explícitamente denunciada en la reclamación ante la AEPD (aunque sí se hace mención en la denuncia ante la Policía). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad Mutua Madrileña Automovilista, Sociedad de Seguros, teniendo conocimiento de que: La empresa Mutua Madrileña Automovilista, Sociedad de Seguros ha remitido la siguiente información pertinente a los efectos de la investigación: En relación al producto contratado  Confirman que la póliza, de código ***CÓDIGO.1, fue dada de alta con fecha 25/10/2016 por vía telefónica. El vehículo asegurado era un PEUGEOT 206, matrícula ***MATRICULA.
5. La persona que se hizo pasar por él conocía todos los datos de carácter personal precisos para poder realizar dicha contratación. o Se aporta impresión de pantalla de sus sistemas de información. El domicilio que consta asociado a la póliza es ***DIRECCION.
6. La fecha de obtención de carnet es Junio
7. o También se incluye carta de bienvenida y contrato con las condiciones particulares y generales de la póliza, fechado a 25/10/2016 pero no firmado en el área de cliente.  El denunciante ya era tomador de seguro con la compañía. De hecho, el vehículo de marca y modelo SAAB 93 que vendió en la mencionada operación de compraventa, de matrícula ***MATRICULA.2, está asegurado con MUTUA por la póliza de código 3.288.854 (dicha póliza fue contratada el 06/10/2010 y a día 15/11/2017 aún está en vigor). Adicionalmente fue tomador de otra póliza, la 4.277.310, que fue dada de baja en 08/06/
8.  Aportan la grabación con la llamada correspondiente a la contratación. A continuación se detalla el contenido de la misma: o La operadora pregunta si el interlocutor va a ser el conductor, tomador y propietario, asintiendo éste. o El interlocutor da el DNI del denunciante. La operadora descubre que ya es cliente, con lo que la nueva póliza sería la tercera con la compañía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 o Tras concretar los datos del vehículo, la operadora pregunta la fecha de nacimiento, contestando el interlocutor la que figura en la copia del DNI aportada al expediente. o Acto seguido, la operadora pregunta la fecha de obtención del carnet de conducir. El interlocutor contesta “cuando tenía 18 años”. La operadora a continuación dice que en los sistemas consta Junio 2002, a lo que el interlocutor responde: “Si, puede ser.” o La operadora pregunta por código postal, domicilio y población, contestando el interlocutor ***DIRECCION.1 respectivamente. o El interlocutor pide dar de alta el seguro el mismo día de la llamada. o Sin esperar a que la operadora le pregunte por ello, el interlocutor proporciona un número de cuenta bancaria. o La operadora pide confirmación del correo electrónico que tienen en sus sistemas, ***EMAIL.
9. El interlocutor lo cambia a ***EMAIL.
10. o Finalmente, la operadora pide confirmación completo, respondiendo el interlocutor D.D.D. (el denunciante es A.A.A.) del nombre nombre del  Exponen con detalle las medidas que efectúan para garantizar la autenticidad, integridad y no alteración de las grabaciones. En relación al procedimiento de acreditación de la identidad  Como describen en el escrito de alegaciones, el operador que recibe la llamada de teléfono del solicitante requiere la siguiente información para realizar una nueva contratación: si la póliza va a ser a su nombre (tomador, conductor y propietario) o en caso de contratarse para un tercero, autorización para llevar a cabo la operación y relación con el tomador de la póliza; si tiene un presupuesto previo o no, y a continuación los datos personales siguientes: o Nombre y NIF o Matrícula, marca y modelo del nuevo vehículo o Fecha de nacimiento y fecha del carnet de conducir o Domicilio y Código postal o Nombre y apellidos completos para la contratación, en caso de aceptar el precio del producto cotizado.  Afirman que no se solicita fotocopia del DNI físico en el proceso de contratación, aunque sí número de NIF.  Toda la documentación relativa al proceso de contratación efectuado por medios a distancia es remitida al tomador de la póliza para que se produzca una devolución debidamente firmada de la póliza de seguros contratada. En dicha documentación se recoge la información facilitada por el canal telefónico.  No participó ningún verificador en la contratación, pero sí una empresa subcontratada: Infomarktel, Sociedad de Responsabilidad Limitada, con CIF B
11. Aportan contrato de mediación en seguros privados entre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 tomadores/asegurados y Mutua, firmado por Mutua e Informarktel con fecha 24/12/2008 (se entiende prorrogado de forma automática), y uno más reciente, firmado en 03/07/
12. Existen controles de calidad de la propia compañía relativos a los servicios proporcionados por la empresa subcontratada, que son ejecutados por el Departamento de Calidad de Mutua Madrileña.  En el caso de la presente denuncia, sostienen que el solicitante conoce de antemano todos los datos del reclamante y por tanto se realiza la contratación con fecha de efecto la fecha de finalización de la llamada. Al tratarse de una nueva póliza, el cliente facilita en primera persona todos los datos relativos a la contratación. No existe ningún elemento del que se pueda inducir someramente que se trata de una posible suplantación de identidad en el proceso. En relación a las comunicaciones con el denunciante  Se verifica que recibieron las reclamaciones del mismo, en las fechas que él describe, y se detallan las acciones internas que llevaron a cabo, que encajan con lo que describen ambas partes en sus escritos. o La primera llamada telefónica tuvo lugar el 27/10/
13. o Con fecha 05/12/2016 el denunciante solicitó copia de la grabación. o En la reclamación formal interpuesta con fecha 15/12/2016, vuelve a pedir todo lo relacionado con la contratación. o Las respuestas iniciales que Mutua remitió por vía postal al denunciante fueron dirigidas al domicilio que hay asociado a la póliza, que posiblemente no pertenece al denunciante. o Con fecha 09/03/2017 el denunciante les remite copia de la denuncia ante la Guardia Civil. o Con fecha 19/04/2017, Mutua facilita la grabación al denunciante vía correo electrónico, pero no consta si éste pudo acceder a ella porque afirma encontrar un error por disco dañado. En relación a la regularización de la situación  Aclaran que la póliza fue anulada con fecha 31/10/2016 con efecto retroactivo a la fecha de contratación (25/10/2016). Quedó el recibo en situación de retirado y pendiente de devolver. El 08/11/2016 les llegó rechazado el recibo del banco por motivo “mandato no válido o inexistente”, quedando retirado y anulado. o En la impresión de pantalla de sus sistemas relativa a la póliza en cuestión, se puede leer que la póliza está con estado “Anulada” así como la fecha de baja 25/10/
14. En la información del recibo, que tiene importe 242,60 euros, éste aparece en situación “Anulado”.  Posteriormente la compañía, teniendo conocimiento de la existencia de actuaciones judiciales abiertas, presentó denuncia ante la Fiscalía Provincial de Madrid con el fin de esclarecer los hechos acontecidos y promover la investigación de posibles hechos delictivos. Con esa finalidad se proporcionó al denunciante la grabación de la contratación de la póliza ***CÓDIGO.
15. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 o Se aporta la denuncia dirigida a la Fiscalía, con fecha 17/04/
16.  Dicha denuncia ante la Fiscalía Provincial de Madrid ha sido acumulada a las Diligencias Previas del Procedimiento Abreviado 239/17 del Juzgado de Instrucción núm. 3 de Alcalá de Henares (Madrid), habiéndose personado Mutua con fecha 01/06/
17. Estas actuaciones siguen abiertas a fecha de redacción del escrito (15/11/2017). o Se aporta cédula de citación al denunciante para el día 21/04/
18. o También se adjunta escrito de acusación redactado por el procurador de MUTUA, firmado electrónicamente con fecha 11/07/
19. TERCERO: Con fecha 19 de enero de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a Mutua Madrileña Automovilista, Sociedad de Seguros, con NIF V28027118, por la presunta infracción del artículo del artículo 6.1 de la LOPD; infracción tipificada como grave en el artículo 44.3.b) de la citada Ley, pudiendo ser sancionada, con multa de veinte mil euros (20.000 €). CUARTO: Con motivo de la tramitación de Diligencias Previas, Procedimiento 239/2017, que se tramitan en el Juzgado de Instrucción nº 3 de Alcalá de Henares (Madrid), con fecha 15 de febrero de 2018, la Directora de la Agencia Española de Protección de Datos acuerda suspender la tramitación del procedimiento al apreciar la existencia de identidad de sujeto, hecho y fundamento entre la presunta infracción administrativa y la infracción penal objeto de tales Diligencias Previas. QUINTO: Con fechas de acuse de recibo 11 de febrero de 2019 y 27 de febrero de 2020, se envió solicitud de información al Juzgado de Instrucción nº 3 de Alcalá de Henares (Madrid), con el fin de conocer si hubiera recaído sentencia firme relativa a las Diligencias Previas 239/2017, sin que hasta la fecha se haya obtenido respuesta de dicho Juzgado. SEXTO: A través de la Fiscalía General del Estado, se tuvo conocimiento de que el PS/00586/2017 se correspondía con las Diligencias Previas 1608/2016 del Juzgado de Instrucción nº 7 de Arganda del Rey y que éstas se encontraban en sobreseimiento provisional desde el 24 de marzo de
20. SÉPTIMO: Tras solicitar información al respecto, en fecha 21 de octubre de 2020, se recibe escrito del Juzgado de Primera Instancia e Instrucción nº 7 de Arganda del Rey remitiendo Auto número 228/2017 de fecha 13 de marzo de 2017, por el que se declara el archivo de las actuaciones Diligencias Previas 1608/
21. OCTAVO: A la vista de la documentación recibida, la Directora de la Agencia Española de Protección de Datos en fecha 4 de noviembre de 2020 acordó levantar la suspensión del presente procedimiento sancionador, siendo dicho acuerdo trasladado al denunciado. NOVENO: La conducta presuntamente infractora que es objeto de la presente reclamación queda sometida a las disposiciones de la Ley Orgánica 15/1999, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 Protección de Datos de Carácter Personal. Se toma en consideración para ello, que el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD) es de aplicación efectiva desde el 25/05/
22. DÉCIMO: Con fecha 5 de noviembre de 2020 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 20.000 € (veinte mil euros) a Mutua Madrileña Automovilista, Sociedad de Seguros, por la comisión de una infracción del artículo Artículo 6.1 de la LOPD de la LOPD, tipificada como Grave en el artículo 44.3 b) de dicha Ley. UNDÉCIMO: Con fecha de entrada en esta Agencia 17 de noviembre de 2020, Mutua Madrileña realizó alegaciones frente a la citada propuesta de resolución en la que manifiesta lo que estima oportuno en mejor defensa de sus intereses, señalando: “que al haber recaído sentencia condenatoria contra D. C.C.C. en la que se declara probado que el acusado utilizó ilegalmente el nombre y datos del afectado para contratar la citada póliza ***CÓDIGO.1 resulta evidente que no puede considerarse que Mutua Madrileña haya cometido la infracción que se le imputa. Por otra parte, cabe destacar que no se causó perjuicio a los derechos del denunciante y que Mutua de inmediato adoptó medidas para evitar los mismos se produjesen. Entre otras la anulación de la póliza suscrita, como queda también acreditado en la Sentencia del Juzgado de lo Penal nº 5 de Alcalá de Henares (Madrid) de 6 de febrero de 2019, Sentencia en la que se declara hecho probado que la póliza fue anulada el 27 de octubre de 2016, es decir, el mismo día que el afectado detecta que alguien ha suplantado su identidad Además, y en cualquier caso, no se produjeron perjuicios al afectado, por cuanto Mutua adoptó de inmediato medidas para evitarlos, y la situación del afectado quedó plenamente garantizada, entre otras cosas con la anulación inmediata de la póliza que se suscribió mediante la comisión de un delito por parte de quien suplantó la identidad del afectado” y por lo tanto solicita la finalización del procedimiento con archivo de las actuaciones. HECHOS PROBADOS
23. Con fecha 9 de febrero de 2017, tiene entrada en esta Agencia escrito del denunciante en el que pone de manifiesto que un tercero contrató a su nombre, pero sin su consentimiento, un seguro de automóvil con la empresa denunciada.
24. Consta que la operadora en el momento de tramitar la contratación por vía telefónica hizo una pregunta sobre un dato que ya obraba en poder de Mutua por constar ya el denunciante en la base de datos de clientes (a saber, fecha de obtención del carnet de conducir), la contestación incorrecta a dicha pregunta no se utilizó para interrumpir el proceso de contratación.
25. Consta que la propia operadora reveló al interlocutor la respuesta correcta a la pregunta que el solicitante había contestado incorrectamente, sin haber acreditado con garantías la identidad de la persona al otro lado del teléfono. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12
26. Que el Juzgado de lo Penal nº 5 de Alcalá de Henares (Madrid), emitió Sentencia firme nº 31/2019 condenando al suplantador de la identidad del reclamante por tres delitos de falsedad. FUNDAMENTOS DE DERECHO I En virtud lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se imputa a Mutua Madrileña Automovilista, Sociedad de Seguros en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “
27. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.
28. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Pues bien, respecto de los hechos que son objeto de la presente denuncia, debemos destacar que en la grabación uno de los datos que se mantiene confidencial en un contrato de seguro es la fecha de obtención de la licencia de conducir, motivo por el que Mutua Madrileña solicita éste, al fin de acreditar la identidad del interlocutor en este caso el asegurado. No obstante, en el presente caso este dato no fue solicitado al interlocutor por Mutua Madrileña, sino que fue facilitado al mismo aún en la primera contestación, la fecha que declaró el interlocutor fue errónea. Toda vez que contestó al dato solicitado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 en la fecha que tenía la licencia de conducir “cuando tenía dieciocho años”