1/6 Procedimiento Nº PS/00612/2016 RESOLUCIÓN: R/01783/2017 En el procedimiento sancionador PS/00612/2016, instruido por la Agencia Española de Protección de Datos, a la entidad SANITAS S.A. DE SEGUROS (SANITAS), vista la denuncia presentada por Dª A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20/01/16, tiene entrada en esta Agencia un escrito de la hija de Dª A.A.A., en el que denuncia a la entidad por: “estar usando todos mis datos personales sin tener mi consentimiento para cargarme en mi cuenta bancaria los recibos por un servicio de seguro dental (Sanitas Dental Premium), que no hemos contratado para mi madre B.B.B.”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a SANITAS. Esta entidad aporta, entre otra, la siguiente documentación: Copia impresa de los datos que figuran en sus ficheros relativos a la denunciante, como tomador de un seguro “DENTAL PREMIUM”, a nombre de B.B.B., con fecha de alta 01/10/15. Aportan documentos asociados a la citada póliza, donde consta que: la solicitud de alta se realizó el 18/10/15. La reclamación de la denunciante se tramitó el 15/02/16 y SANITAS procedió a dar de baja de sus sistemas, con carácter retroactivo, con fecha de efecto el 01/10/15. La contratación se realizó a través de internet. Aportan copia impresa de las pantallas obtenidas de sus ficheros de log (accesos al sistema), donde figura una solicitud a nombre de la denunciante, como tomadora, de Sanitas Dental Premium, con fecha de alta el 01/10/15. En la solicitud consta como asegurada B.B.B., y los números de documento acreditativo tanto de la denunciante como de la asegurada y sus fechas de nacimiento. Los documentos de solicitud de póliza, de los que aportan copia, no se encuentran firmados. Respecto a las gestiones realizadas por la compañía como consecuencia del escrito remitido por la denunciante, mediante Burofax de fecha 19/10/15, manifiestan que no les consta haberlo recibido. Aportan copia de los correos electrónicos intercambiados con la denunciante que se detallan a continuación: a).- El 03/02/16, la denunciante remite un correo a COLLECTA en el que pone de manifiesto su disconformidad con el tratamiento de sus datos que se están utilizando para reclamarle el pago de las cuotas de un seguro de SANITAS que nunca ha contratado. B).- El 08/02/16, la denunciante manifiesta a SANITAS que no tienen consentimiento para el tratamiento de sus datos que se están utilizando para reclamarle el pago de las cuotas de un seguro que nunca ha contratado. c).- El 12/02/16, SANITAS le solicita a la denunciante que remita los datos para poder tramitar su reclamación. d).- El 15/02/16, la denunciante informa que solicito el desistimiento y la baja de la póliza en plazo con fecha 10/10/15, mediante burofax. e).- El 15/02/16, SANITAS le pide disculpas al no tener conocimiento en ese departamento de haber recibido el burofax en el que solicitaba la baja. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Según manifiestan, una vez realizadas las gestiones derivadas de la reclamación de la denunciante, incluidas las realizadas con la entidad COLLECTA, se consideró que la denunciante había intentado ejercitar su derecho de desistimiento de la póliza y dado que no había hecho uso de los servicios cubiertos en la misma, se dio de baja la póliza en la fecha de la contratación y se anularon los recibos. TERCERO: Con fecha 27/12/16, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SANITAS, por presunta infracción del artículo 6.1) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en adelante LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma. Notificado el acuerdo de inicio, SANITAS formuló alegaciones en las que, entre otras, indica: “existe la evidencia de haber aportado los datos personales de la beneficiaria y su madre, durante el proceso de contratación, mediante la incorporación al expediente de los “logs y registros de integridad” de la base de datos del sistema informático. Una vez completados los datos y para poder continuar con el proceso de contratación, resulta obligatorio marcar expresamente las casillas de “Aceptación de Condiciones Legales”. Por otra parte, al realizar una solicitud de póliza por el canal web, se deja registrado en los sistemas de SANITAS, la IP desde donde se efectúa el alta de dicha póliza. Se adjunta la dirección IP desde donde se realizó la contratación de la póliza correspondiendo a la localización de las Islas Baleares, donde reside la denunciante. Se aporta extracto del procedimiento interno ***PROC.1 de “Alta a través de Web Sanitas, Mediadores, Empresas, AADD y Plataformas Externas”, que describe las acciones que SANITAS debe seguir en todos los supuestos de contratación online”. El 08/02/16 se recibió correo electrónico remitido por la denunciante al departamento de Reclamaciones de SANITAS, en el que se ponía de manifiesto su deseo de darse de baja de los servicios de un seguro dental, y tras realizar las comprobaciones oportunas encaminadas a su identificación y a la localización de su n° de póliza, se procedió a la baja inmediata del servicio, concretamente el día 15/02/16 tal como queda constatado en los diferentes correos intercambiado entre ambas partes. Por otro lado, tal y como se manifestó en el escrito de alegaciones remitido a la AEPD, SANITAS alega que “no tiene constancia de la recepción el burofax”, enviado por la denunciante, alegando que si se hubiera tenido constancia de su recepción, se hubiera procedido con la misma diligencia y rapidez que con los correos electrónicos”. CUARTO: Con fecha 18/01/17, se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta con su documentación, los documentos obtenidos y generados por los Servicios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Inspección, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio presentadas por la denunciada y la documentación que a ellas acompaña. QUINTO: Con fecha 23/01/17, se recibe en esta Agencia, correo electrónico de SANITAS, donde se plantea la práctica de prueba consistente en solicitar a Telefónica España, la identificación del titular de la dirección IP, desde donde se realizó la contratación de la póliza SEXTO: Con fecha 03/05/17 se notifica a la entidad denunciada el cambio de instructor del procedimiento sancionador se solicita a Telefónica España SAU, el titular de la IP. De la respuesta enviada por Telefónica, se desprende que dicha dirección IP corresponde a otro titular que no es Dª A.A.A., con otro NIF y en otra dirección que no corresponde con la señalada en el contrato de la póliza ni con la señalada en la denuncia, aunque si se encuentra situado en las Islas Baleares. SEPTIMO: Con fecha 18/05/17, el Instructor emite propuesta de resolución sancionadora consistente en que por la Directora de la Agencia Española de Protección de Datos se sancione a SANITAS, por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, con una multa de 50.000 euros (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica, siendo notificada a la entidad con fecha 06/06/17. OCTAVO: Notificada la propuesta de resolución a SANITAS y considerando que las alegaciones realizadas por la entidad, no modifican los fundamentos expuestos a lo largo del procedimiento sancionador, y habiendo quedado acreditados los siguientes, HECHOS PROBADOS 1.- Los datos que figuran en los ficheros de SANITAS, relativos a la denunciante, como tomador de un seguro “DENTAL PREMIUM” a nombre de su madre, con fecha de alta 01/10/15: A.A.A.; Pasaporte.- ***PAS.1; domicilio: (C/...1) Baleares; Tlf.- ***TEL.1; email.- ***EMAIL.1; datos bancarios.- *****XXXX . 2.- La solicitud de alta se realizó a través de la página web de SANITAS el 18/10/15. La reclamación de la denunciante se tramitó el 15/02/16 y SANITAS procedió a dar de baja de sus sistemas, con carácter retroactivo, con fecha de efecto, el 01/10/15. 3.- La contratación se realizó a través de internet, según consta en las pantallas obtenidas de los ficheros de log (accesos al sistema), siendo la IP, desde donde se realiza el acceso al sistema, de las Islas Baleares (Palma); ISP, Telefónica de España SAU. 4.- El Burofax de reclamación ante SANITAS, de fecha 19/10/15, está sellado por la entidad el 20/10/15 (DPTO. CORREO “Carlos”). 5.- A partir de 03/02/16 hasta el 15/02/16 existe un intercambio de correos electrónicos entre la denunciante y SANITAS cuyo contenido se encuentra recogido en el expediente sancionador y que dan como resultado que, SANITAS pide disculpas al no tener conocimiento de haber recibido el burofax en el que solicitaba la baja y procede a cancelar la póliza con fecha de efectos desde el día de la contratación, el 01/10/15. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 6.- Según los datos remitidos por Telefónica España, la dirección IP ***IP.1, desde donde se realizó la contratación de la póliza el 18/10/16, estuvo asignada de forma dinámica a un número de teléfono, cuyo titular, no corresponde con la denunciante. Aunque si está radicada en las Islas Baleares, la contratación se realizó desde otra localidad diferente al domicilio de la afectada. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36 de la LOPD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a SANITAS que ha quedado reflejada en los hechos declarados probados arriba relatados: SANITAS es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio del “consentimiento”, contenido en el artículo 6.1) de la LOPD. SANITAS ha realizado un tratamiento de los datos personales del denunciante sin su consentimiento al haber quedado acreditado que la entidad realizó un tratamiento en los ficheros en los que la entidad tiene la consideración de responsable, dando de alta los datos de la denunciante y los de su madre. La denunciante niega tener relación contractual con SANITAS, respecto a la póliza contratada con sus datos cuya beneficiaria es su madre. III Se imputa a SANITAS la vulneración del artículo 6.1) de la LOPD, que consagra el “principio del consentimiento”, donde se requiere la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de los datos personales sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración del derecho y supone la comisión de una infracción grave, prevista en el artículo 44.3.
- b)de la citada Ley. IV El artículo 45 de la LOPD, distingue la división de las infracciones, su cuantía y su graduación atendiendo a diferentes argumentos. Se indica además que, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 la considerada en el caso de que se trate. Para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Tras las evidencias obtenidas, no procede en este caso ninguna de las circunstancias especificadas en el artículo 45.5 para su aplicación y considerar como agravante, estipulados en el artículo 45.4 de la LOPD, los siguientes: -El carácter continuado de la infracción, pues los datos han sido tratados sin consentimiento desde octubre de 2015 –fecha del alta en la base de datos como cliente- a febrero de 2016 –anulación de los recibos-. (45.4.a). -Vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto sus servicios de sanidad dental son para personas físicas. (45.4.c). - El grado de intencionalidad es el de una entidad jurídica dirigida por los órganos de dirección que toman las decisiones relevantes y ejecutadas por empleados de todos los niveles. Los incumplimientos de estos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.f). - Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.i). Valorados los criterios de graduación de las sanciones previstos en el artículo 45 de la LOPD, cuya presencia ha quedado acreditada, procede sancionar a SANITAS. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SANITAS, una sanción de 50.000 € (cincuenta mil euros), por la infracción del artículo 6.1) de la LOPD, de conformidad con lo establecido en el artículo 45 de la citada Ley, tipificada como grave en su artículo 44.3.b). SEGUNDO: NOTIFICAR la presente resolución a SANITAS S.A. DE SEGUROS. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva, una vez sea ejecutiva la presente resolución de conformidad con lo dispuesto en el artículo 98.1.
- b)de la Leu 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Recibida la notificación y una vez ejecutiva, si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es