PS-00622-2016

1/8 Procedimiento Nº: PS/00622/2016 RESOLUCIÓN R/00481/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00622/2016, instruido por la Agencia Española de Protección de Datos a la entidad Liberty Seguros, Compañía de Seguros y Reaseguros, S.A, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 19/12/16, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad Liberty Seguros, Compañía de Seguros y Reaseguros, S.A , mediante el Acuerdo que se transcribe: <<< Procedimiento PS/00622/2016 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad Liberty Seguros Compañía de Seguros y Reaseguros SA en virtud de denuncia presentada ante la misma por A.A.A. y en base a los siguientes, HECHOS PRIMERO: Con fecha de 24 de diciembre de 2016 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. en el que denuncia que la aseguradora Liberty Seguros Compañía de Seguros y Reaseguros SA (Liberty Seguros) ha transmitido a Tecnologías de la Información y Redes para Entidades Aseguradoras (TIREA) los datos de un siniestro falso, que la aseguradora reconoce pero que no rectifica. Por lo que le imponen una prima desmesurada, otras compañías no aceptan asegurarle y Liberty Seguros impide el acceso a sus datos personales y la rectificación del dato falso. Con el escrito de denuncia se adjunta la siguiente documentación: -Escrito de Liberty Seguros dirigido al denunciante por correo electrónico, de fecha 12 de febrero de 2015, desde la dirección <....@libertyseguros.es> a la dirección <....@gmail.com>, en el que le informan de lo siguiente “el certificado enviado, es el formato regulado por ley, no siendo posible facilitar más información por la ley de protección de datos (…)”. -Respuesta dada por TIREA al derecho de acceso del denunciante, de fecha 16 de septiembre de 2015, en el que le informan de que asociados a sus datos personales se encuentra una póliza nº ***PÓLIZA.1 contratada con la entidad Liberty Seguros, del vehículo matrícula ***MATRÍCULA.1, con dos siniestros, nº ***SINIESTRO.1 de fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 26 de diciembre de 2013 y nº ***SINIESTRO.2 de fecha 24 de septiembre de 2014. -Escrito del denunciante remitido a Liberty Seguros, el día 29 de septiembre de 2015, mediante burofax, en el que solicita el acceso a todos los datos que consten del supuesto siniestro ya que ha solicitado en tres ocasiones información sobre todos los siniestros (incluyendo el que desconocía) y en ningún caso se ha recibido respuesta: El 5 de febrero de 2015, por correo electrónico desde la dirección <....@gmail.com> a la dirección <....@libertyseguros.es>. El 9 de septiembre de 2015, a través de su web, defectuosa pues no permite introducir la dirección completa. El 9 de septiembre de 2015, por correo electrónico desde la dirección <....@gmail.com> a la dirección <csi. Producción @libertyseguros .es>. -Escrito de Liberty Seguros dirigido al denunciante por correo electrónico, de fecha 8 de octubre de 2015, desde la dirección <.........@libertyseguros.es> a la dirección <....@gmail.com>, en el que le informan de lo siguiente: Nos ponemos en contacto con usted en referencia al siniestro ocurrido el 26-12-2013, en respuesta a su escrito de 29 de septiembre de 2015, indicarle que este siniestro se apertura al recibir reclamación de un hospital por los gastos asistenciales de una atropellada. Al verificar que existía un error en la matrícula ya que aunque la matrícula era la suya, tanto el modelo del coche como el propietario que constaba no tenía nada que ver se rehusó y cerró el expediente sin ningún cargo para su póliza”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a Liberty Seguros y TIREA. Recibidas las respuestas se emite el siguiente informe de actuaciones: <<< 1--- En el Registro General de Protección de Datos figura inscrito el fichero denominado “FICHERO HCO.SEGUROS AUTOMOVIL”, en adelante FHSA, con el código ***CÓD.1, siendo responsable la entidad UNION ESPAÑOLA DE ENTIDADES ASEGURADORAS Y REASEGURADORAS (UNESPA). La entidad encargada del tratamiento es TIREA y ante la que se deben ejercitar los derechos de acceso, rectificación, oposición y cancelación. Dichas circunstancias constan en la Diligencia de fecha 16 de noviembre de 2016. 2 --- De la información y de la documentación remitida por las entidades LIBERTY y TIREA se desprende lo siguiente: La compañía LIBERTY ha informado que el denunciante fue tomador de la póliza nº ***PÓLIZA.1, de seguro del automóvil matrícula ***MATRÍCULA.1 hasta diciembre de 2014, se adjunta copia de la póliza. Durante el periodo de vigencia de la póliza han recibido comunicación de dos siniestros de responsabilidad ante terceros, siendo uno de ellos de fecha 26 de diciembre de 2013, fecha de comunicación de 28 de abril de 2014, nº de registro nº ***SINIESTRO.1, del Servicio de emergencias de Castilla y León, en el consta el vehículo con matrícula ***MATRÍCULA.1, de la entidad aseguradora LIBERTY. Se adjunta copia del Parte transmitido a través del sistema CAS - TIREA en el que se detalla dicha información. La aseguradora se pone en contacto con el denunciante, mediante carta, con objeto de que “confirme si es correcto o existe algún error en el siniestro ocurrido el 26 de diciembre de 2013, nº ***SINIESTRO.1”, quién informa telefónicamente que no ha intervenido en dicho accidente, tratándose de un error que había incurrido el lesionado. Se adjunta copia de la carta de fecha 20 de mayo de 2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 La habilitación legal dimanante del artículo 25.4 del Real Decreto Legislativo 6/2004, de 29 de octubre, por el que se aprobó el Texto Refundido de la Ley de Ordenación y Supervisión de los Seguros Privados, en vigor en el momento de producirse el citado siniestro de responsabilidad ante terceros (derogado por la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras), por el que las entidades aseguradoras han establecido ficheros comunes que contienen datos de carácter personal para la liquidación de siniestros y la colaboración entre las aseguradoras para la tarificación y selección de riesgos. Por lo que la cesión de datos personales de los asegurados a los citados ficheros comunes no requiere el consentimiento previo del afectado. La entidad encargada de la gestión del fichero común denominado “FHSA“ es TIREA, el responsable es UNESPA, al que las entidades aseguradoras adheridas ceden, entre otros, los datos de los siniestros de responsabilidad frente a terceros en los que se vean involucrados los vehículos. Por lo que LIBERTY, al ser una entidad adherida al citado fichero, facilita mensualmente a TIREA, de forma automática por vía telemática, los datos de los siniestros de sus asegurados como el del denunciante nº ***SINIESTRO.1, conservándose únicamente durante dos meses la información sobre la transmisión. En el caso de que un siniestro fuese comunicado a TIREA y hubiera que eliminarlo por cualquier circunstancia tal modificación se incluye en la comunicación mensual por vía telemática, pero debido a una incidencia informática no se comunicó la eliminación del siniestro nº ***SINIESTRO.1 asociado al denunciante. Si bien, cuando LIBERTY tuvo constancia al recibir el 30 de septiembre de 2015 el escrito del denunciante, dio respuesta el 7 de octubre de 2015. También, el denunciante solicitó ante TIREA la revisión del siniestro que se recibió en LIBERTY el día 8 de octubre de 2015 y se dio respuesta a TIREA el día 27 de noviembre de 2015, con objeto de resolver el asunto. Se adjunta carta de respuesta al denunciante y de los correos electrónicos intercambiados entre TIREA y LIBERTY. La aseguradora recibió el día 9 de septiembre de 2015, a través de la página web, el derecho de acceso del denunciante al que dieron respuesta mediante correo certificado con acuse de recibo, el día 23 de septiembre de 2015, pero el día 9 de octubre recibieron devuelta la carta al no haber sido recogida de la oficina de correos, se adjunta copia de la carta y del certificado del Servicio de Correos en el que consta “ausente de reparto. Se dejó aviso llegada en buzón” y “no retirado”. Con fecha de 21 de octubre de 2015 el denunciante reitera el derecho de acceso, mediante burofax, que no se dio respuesta por motivos desconocidos que están investigando. La compañía TIREA ha informado que los datos que contiene el fichero FHSA proceden de los contratos de seguros de automóviles son los siguientes: matrícula, nombre y apellidos del tomador y NIF, coberturas contratadas y periodo de vigencia y siniestros declarados, de los últimos cinco años. En relación con el siniestro nº ***SINIESTRO.1 asociado al denunciante, de fecha 26 de diciembre de 2013, el día 8 de octubre de 2015, reciben un escrito del reclamante solicitando la rectificación de dicho siniestro, por lo que dieron traslado de la solicitud a LIBERTY, pero al no haberse pronunciado la aseguradora, proceden a bloquear cautelarmente los datos del siniestro. Con fecha de 25 de noviembre de 2015, se recibe en TIREA un nuevo escrito del denunciante solicitando el derecho de cancelación, dando traslado de la solicitud a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 LIBERTY, quién indica que remitirán con fecha de 27 de noviembre de 2015, movimiento de borrado del siniestro. Con fecha de 9 de diciembre de 2015, la Comisión de Control del fichero FHSA, dentro del plazo de 15 días hábiles establecido en el Código Tipo, remite Resolución a la reclamación plateada por el denunciante donde se constata el borrado del siniestro, se aporta la citada documentación. >>> FUNDAMENTOS DE DERECHO I Los hechos expuestos podrían suponer infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) que establece: “4. Calidad de los datos. 3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado." La infracción del artículo 4.3 de la LOPD se hallan tipificada como grave en el artículo 44.3.c): "Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” La infracción puede ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. II De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Liberty Seguros realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos (4.3 en de la LOPD) pues dió de alta en el fichero común de las aseguradoras un dato inexacto y lo mantuvo a pesar de las numerosas reclamaciones de la persona denunciante. Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD: -El carácter continuado de la infracción queda fuera de duda, pues los datos personales del denunciante han sido tratados sin tener en cuenta el principio de calidad de datos del denunciante: la compañía Liberty Seguros tuvo conocimiento del siniestro el 25 de abril de 2014, remitió carta al denunciante informando del mismo el 20 de mayo de 2015, el denunciante cuando recibe la carta telefónicamente indica a LIBERTY que no ha intervenido en el accidente, según manifiesta la propia aseguradora. Por diversas incidencias o errores Liberty Seguros no ha comunicado la baja del siniestro a TIREA hasta el 27 de noviembre de 2015, aunque el denunciante y TIREA se habían puesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 en contacto con Liberty Seguros con anterioridad. (45.4.a)) -La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que es una empresa que tiene como actividad la comercialización de seguros, y tiene un constante tratamiento de datos de carácter personal pues sus clientes son mayoritariamente personas físicas a nivel internacional. Estando, por tanto, su actividad estrechamente relacionada con el tratamiento de los datos personales de sus clientes. (45.4.

1. c)- El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien tramitara la emisión el alta del siniestro, no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.
2. f)-Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.
3. i)Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. Iniciar procedimiento sancionador a Liberty Seguros Compañía de Seguros y Reaseguros SA con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
4. c)en la citada ley orgánica. 2. Nombrar como instructor a D. B.B.B. y como Secretario a D. C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en el artículo 29 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), de acuerdo con lo establecido en el artículo 127 del citado Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el/la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
5. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
6. b)del RLOPD, la sanción que pudiera corresponder sería de 50.000 euros, sin perjuicio de lo que resulte de la instrucción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 5. NOTIFICAR el presente Acuerdo a Liberty Seguros Compañía de Seguros y Reaseguros SA indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
7. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
8. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 10.000 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 Euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 10.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 Euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 30.000 Euros En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (40.000 Euros o 30.000 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00522/2016 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
9. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. >>> SEGUNDO: En fecha 13/01/17 la entidad Liberty Seguros, Compañía de Seguros y Reaseguros SA ha procedido al pago de la sanción en la cuantía de 30.000 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 02/01/17 tuvo entrada en esta Agencia escrito de la entidad Liberty Seguros, Compañía de Seguros y Reaseguros, S.A, de fecha 02/01/17, en que alega que en la fijación del importe de la sanción no ha sido tenido en cuenta lo dispuesto en el 45.5.
10. d)de la LOPD para fijarlo dentro de la escala de las leves. Estima que el reconocimiento voluntario de la responsabilidad lleva aparejada de forma automática la fijación de la multa por el importe de las leves. Es criterio de esta Agencia que la aplicación de esa disposición por el reconocimiento espontaneo de la culpabilidad exige que este se haga en un momento anterior a la notificación del acuerdo de inicio; que sea hecho como resultado de una actuación investigadora propia o en todo caso como consecuencia de la reacción espontánea a la primera noticia o reclamación sobre los hechos de que tenga conocimiento. No este el caso que nos ocupa. La alegación ha de ser desestimada. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00622/2016 , de conformidad con lo establecido en el artículo 85 de la LPACAP SEGUNDO: NOTIFICAR la presente resolución a Liberty Seguros, Compañía de Seguros y Reaseguros, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es