← España

PS-00625-2015

1/16 Procedimiento Nº PS/00625/2015 RESOLUCIÓN: R/01163/2016 En el procedimiento sancionador PS/00625/2015, instruido por la Agencia Española de Protección de Datos a la entidad BARCLAYS MEDIADOR, OPERADOR DE BANCA SEGUROS VINCULADO, S.A., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 2 de junio de 2015 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que declara que:  El 3 de septiembre de 2009 formalizó un préstamo hipotecario con BARCLAYS BANK, S.A.U., (en adelante BARCLAYS) y vinculado al mismo, un seguro de protección de pagos con CARDIF ASSURANCES RISQUES DIVERS SUCURSAL EN ESPAÑA (en adelante CARDIF) a través de BARCLAYS MEDIADOR, OPERADOR DE BANCA-SEGUROS VINCULADO S.A. (en adelante BARCLAYS MEDIADOR).  En octubre de 2013 causó baja laboral (incapacidad temporal), procediendo el 23/11/2013 a declarar el siniestro de incapacidad temporal, mediante la entrega en su oficina de BARCLAYS, de la documentación en formato papel para tramitar la indemnización de la amortización del préstamo. La documentación incluye un formulario de solicitud, declaración de incapacidad laboral y cuestionario cumplimentado por el médico donde figuran todos los datos de la dolencia, naturaleza, síntomas y tratamiento.  El 25 de febrero de 2014, debido a la falta de contestación contacta con CARDIF solicitando información sobre la situación de la tramitación a lo que le contestan por correo electrónico que “a día de hoy no hemos recibido notificación por parte de su entidad financiera por el siniestro de incapacidad temporal”.  El 4 de marzo contacta con su oficina BARCLAYS donde le informan que la documentación del siniestro la han perdido y que debe entregarla de nuevo, lo que realiza.  en fecha 10 de marzo de 2014 el denunciante presentó reclamación en BARCLAYS en la que ponía de manifiesto la pérdida de la documentación por él entregada, hecho que señala tuvo lugar en la oficina de BARCLAYS sita en la Avda. Menéndez Pelayo 41 de Sevilla.  el 14 de agosto de 2014 el servicio de atención al cliente del GRUPO BARCLAYS le remite una carta lamentando el retraso y asegurando el envío puntual de la documentación desde el BARCLAYS MEDIADOR a CARDIF, indicando que no han “podido precisar los motivos por los cuales la documentación no fue recibida por la compañía aseguradora”. Aporta copia de la documentación entregada indicando que se puede apreciar la existencia de dos sellos de entrada en la entidad que acreditan las presentaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 (20/11/2013 y 4/03/2014), impresión del correo electrónico de CARDIF de indicando que no han recibido notificación de la entidad financiera, y copia de la contestación de BARCLAYS de 14/08/2014. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a CAIXABANK, que informa de lo siguiente: - Los hechos objeto de denuncia tienen lugar en el marco de la contratación de un seguro, y su posterior gestión (tramitación de siniestro cubierto por el producto de seguro contratado por lo que de acuerdo con la Ley 26/2006, de mediación de seguros y reaseguros privados la gestión y ejecución de dichos contratos (seguros), en particular en caso de siniestro, corresponde a BARCLAYS MEDIADOR, sociedad íntegramente participada por BARCLAYS BANK, P.L.C., SUCURSAL EN ESPAÑA. - Es decir, las actividades cuya ejecución diligente cuestiona el denunciante son actividades llevadas a cabo y responsabilidad de BARCLAYS MEDIADOR, sociedad mercantil que no ha formado pate de la operación mercantil de fusión por absorción entre CAIXABANK y BARCLAYS. Por lo tanto no puede atribuirse CAIXABANK ninguna responsabilidad en relación a los hechos objeto de la denuncia, puesto que no resulta sucesora de BARCLAYS MEDIADOR, que es la responsable de acuerdo con la legislación sectorial de aplicación de la ejecución de las labores de mediación derivadas del producto de seguro contratado por el denunciante. - El presunto extravío de la documentación se basa en una manifestación del denunciante (efectuada un año y dos meses después de producida la presunta incidencia), sin que se aclare: o o que realmente se haya producido ningún extravío (puesto que la documentación no ha aparecido en ningún lado, para nada en manos de terceros ajenos), lo que indiciariamente indicaría que esa documentación está destruida, no extraviada. si la documentación referida la ha perdido BARCLAYS en su calidad de remitente o la perdido la entidad aseguradora CARDIF en su calidad de destinataria, una vez correctamente recepcionada. TERCERO: Con fecha 20/11/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BARCLAYS MEDIADOR por presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. h)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, BARCLAYS MEDIADOR efectuó las siguientes alegaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 1ª.En la fecha de los hechos denunciados BARCLAYS MEDIADOR era una sociedad participada por el operador de banca BARCLAYS lo que permitía que en la contratación de seguros vinculados a las operaciones de préstamos mercantiles BARCLAYS MEDIADOR utilizase la red de distribución de BARCLAYS, es decir las sucursales de la entidad bancaria, y ello conforme al contrato suscrito entre ambas entidades en fecha 13/08/2007. En la cláusula undécima del citado contrato se regulaba lo relativo a confidencialidad y protección de datos. En la fecha del contrato no había entrado en vigor el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, por lo que no podían imponerse en el contrato las medidas de seguridad que establece el mismo. 2ª.La póliza de protección de pagos, en el particular del seguro de pérdidas pecuniarias por incapacidad temporal y desempleo, fue suscrita el 1 de julio de 2005 por la compañía de seguros CARDIF en la que figuran como tomador del seguro BARCLAYS, y como mediador BARCLAYS CORREDURIA DE SEGUROS, S.A. (actualmente BARCLAYS MEDIADOR) La Ley 26/2006, de mediación de seguros privados en sus artículos 8.1 y 62 otorgan a las sucursales bancaras (en este caso BARCLAYS) la condición de encargados del tratamiento (sub encargados) de los operadores de banca-seguros vinculados (en este caso BARCLAYS MEDIADOR) 3ª.La cláusula Quinta del citado contrato de colaboración suscrito entre BARCLAYS y BARCLAYS MEDIADOR establece que es BARCLAYS, quien debe adoptar las medidas para el cumplimiento de la normativa de protección de datos, en concreto se especifica que las oficinas bancarias serán las encargadas de recopilar del cliente la información necesaria para llevar a cabo la tramitación de los mismos. Esta operativa se plasmó en unas instrucciones específicas para sucursales en lo atinente a los seguros de CARDIF (seguro integral hipotecario) señalando que la documentación que el afectado entregaba a la sucursal debía ser remitida a BARCLAYS MEDIADOR por medio de valija interna con la clave 0964. 4ª.El extravío de la documentación se verificó en la sucursal de BARCLAYS de la Avda. Menéndez Pelayo nº 41 de Sevilla y en ningún momento llegó a BARCLAYS MEDIADOR. 5ª.Aplicación subsidiaria del artículo 45.5 de la LOPD en atención a la falta de continuidad en la infracción, volumen de tratamientos efectuados, beneficios obtenidos, grado de intencionalidad, ausencia de reincidencia y acreditación de tener implantados procedimiento adecuados para la recogida y tratamiento de datos. QUINTO: Notificado el acuerdo de inicio, el denunciante solicitó su personación como interesado en el procedimiento y efectuó las siguientes alegaciones: 1ª.- Actuación negligente de BARCLAYS y BARCLAYS MEDIADOR. 2ª.Inobservancia de medidas de seguridad al extraviar la documentación entregada en fecha 23/11/2013 en la oficina de BARCLAYS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 3ª.La ley 26/2007, de 17 de julio de mediación de seguros y reaseguros privados establece que los operadores de banco-seguros vinculados tendrán la condición de encargados del tratamiento de las entidades aseguradoras con las que hubieran celebrado el correspondiente contrato de agencia, y sus auxiliares externos tendrán la condición de encargados de los tratamientos de los agentes con los que hubieran celebrado el correspondiente contrato mercantil. Por tanto BARCLAYS y BARCLAYS MEDIADOR son encargados del tratamiento. 4ª.Legitimación pasiva tanto de CAIXABANK, S.A. (entidad absorbente de BARCLAYS) como de BARCLAYS MEDIADOR. SEXTO: En fecha 19/04/2016 se emitió propuesta de resolución en el sentido de imponer a BARCLAYS MEDIADOR un multa de 40.001 € por la infracción del artículo 9 de la LOPD. HECHOS PROBADOS PRIMERO: Con fecha 01/07/2005 BARCLAYS (tomador del seguro), CARDIF (asegurador) y BARCLAYS MEDIADOR (mediador) suscribieron un contrato de seguro de pérdidas pecuniarias por incapacidad temporal y desempleo (protección de pagos), cuyo objeto era garantizar el pago de cuotas del préstamos hipotecarios concedidos por BARCLAYS caso de darse en los titulares de los préstamos los siniestros de incapacidad temporal o desempleo. Con fecha 07/09/2009 el denunciante, que había suscrito un préstamo hipotecario con BARCLAYS, se adhirió a la citada póliza de seguro (folios 6-12, 104-119) Las condiciones generales de la citada póliza establecen: “SEGUNDA. BENEFICIARIO: En caso de siniestro para las coberturas del Seguro contratado con Cardif, el Asegurador abonará a Barclays la prestación garantizada a través de Barclays Mediador, Operador de banca-Seguros Vinculado, S.A…. … DECIMOTERCERA. PROTECCION DE DATOS: Conforme a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos que los datos solicitados son de carácter obligatorio y serán incorporados a un fichero cuyo responsable es CARDIF ASSURANCES RISQUES DIVERS Sucursal en España (en adelante CARDIF) para la evaluación de los riesgos, la determinación de su aseguramiento, la tramitación del siniestro, en su caso, así como para informarle de otros productos y servicios….El asegurado otorga su consentimiento expreso (revocable) para la recogida y tratamiento por CARDIF y/o sus entidades colaboradoras BARCLAYS MEDIADOR, OPERADOR DE BANCA - SEGUROS VINCULADO como entidad mediadora, BARCLAYS como entidad de crédito concedente de un préstamo al asegurado. Médicos internos/externos y cualesquiera otras instituciones sanitarias que actúen por cuenta de CARDIF, de sus datos personales y de sus datos de salud, así como la cesión de dichos datos a las entidades citadas con las finalidades arriba descritas, y en particular para el desarrollo, mantenimiento, cumplimiento y control del presente contrato, la evaluación del riesgo, la tramitación del siniestro y/o el pago de la prima, en su caso…” (folios 6-12, 104-119) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 SEGUNDO: En fecha 13/08/2007 BARCLAYS (BBSS) y BARCLAYS MEDIADOR (BOBS) suscribieron un contrato de colaboración para la distribución de seguros privados a través de la red de distribución de BARCLAYS. El contrato contiene en su clausulado: “TERCERA.- RED DE DISTRIBUCION OBJETO DEL PRESENTE CONTRATO 3.1. La red de distribución de BBSA objeto del presente Contrato (en adelante la “Red de Distribución”), a través de la cual BOBS podrá distribuir, durante la vigencia del mismo, lo productos de seguro que medie, es la constituida inicialmente por:
  2. a)La actual red de oficinas y sucursales de BBSA. … QUINTA.OPERATIVA DE DISTRIBUCIÓN … 5.1 BBSA se compromete (
  3. i)a cumplir y a hacer que se cumplan los procedimientos descritos en el Anexo 5.1, y (
  4. ii)a adoptar y hacer que se adopten las medidas necesarias para el debido cumplimiento de las obligaciones que la normativa impone, en particular, en lo relativo al tratamiento de datos de carácter personal, a la prevención del blanqueo de capitales y a la protección e información a los consumidores de seguros. Anexo 5.1. Operativa de gestión TRAMITACION DE NOTIFICACIONES DE SINIESTROS Excepto en los siniestros de Protección de Pagos, Aval Hipotecario, Leasing y seguros vinculados a tarjetas y cuenta, que serán tramitados íntegramente desde el Operador, siendo las oficinas los encargados de recopilar del cliente a información necesaria para llevar a cabo la tramitación de los mismos, toda la información relativa a la documentación a solicitar figurará en la intranet del Operador. UNDECIMA.- CONFIDENCIALIDAD Y TRATAMIENTO DE DATOS 11.1 Cada una de las Partes deberá tratar de modo confidencial cualesquiera datos e informaciones que le sean proporcionados por las otras Partes en el desarrollo y ejecución del presente Contrato. No tendrán la consideración de confidenciales los datos e informaciones proporcionados por una de las Partes (
  5. i)que sean de dominio público o que pasen a ser de dominio público sin infracción por la Parte que los revele: (
  6. ii)hayan sido creados, suministrados, descubiertos, desarrollados u obtenidos por dicha Parte sin utilizar información confidencial de las Partes, (iii) hayan sido legítimamente recibidos por la Parte que los revele de un tercero no vinculado con la otra Parte por un acuerdo de confidencialidad, y (
  7. iv)deban ser revelados por obligación inexcusable de carácter legal, siempre que la Parte obligada notifique a la afectada con carácter previo de la necesidad de proceder a su revelación.” (folios 83-103) TERCERO: BARCLAYS MEDIADOR aportó un documento que manifiesta ser la operativa para la tramitación de notificación de siniestros en lo atinente a los seguros de CARDIF en el cual se establece que el cliente contactará con su oficina de BARCLAYS para notificar el siniestro y que la documentación se trasladará en sobre confidencial cerrado a BARCLAYS MEDIADOR con la clave 0964 (folios 120-121) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 CUARTO: Constan en el expediente documentación que el denunciante manifiesta haber entregado en fecha 20/11/2013 en la sucursal de BARCLAYS de Avda. Menéndez Pelayo 41 Sevilla con objeto de tramitar la cobertura del seguro de protección de pagos por incapacidad debido a su situación de baja laboral. Los documentos en formato papel contienen dos sellos con fechas “20 NOV 2013” y “4 MAR 2014”, y en uno de ellos se aprecia de manera borrosa en el sello “BARCLAYS…”. Los documentos referidos son: - Formulario de siniestro por incapacidad temporal que contiene los datos del denunciante y del préstamo hipotecario suscrito con BARCLAYS. Declaración de siniestro de incapacidad temporal, con los datos del denunciante, datos del siniestro, fecha de baja, causa, y la actividad profesional. Cuestionario médico cumplimentado por el médico que prescribió la incapacidad temporal, donde figuran los datos de la dolencia, naturaleza, y tratamiento. Informes médicos. Partes de baja Justificante de condición de trabajador autónomo (recibo bancario pago cuotas de seguridad social trabajadores autónomos) (folios 1-4, 17-35) QUINTO: Consta en el expediente correo electrónico de fecha 26/02/2014 remitido por CARDIF al denunciante en el que le informan que no han recibido notificación por parte de su entidad financiera por el siniestro de incapacidad temporal. El denunciante manifiesta que en fecha 04/03/2014 en la oficina de BARCLAYS de Avda. Menéndez Pelayo 41 Sevilla le informaron que su documentación “la habían perdido” y debía volver a entregarla para tramitar el siniestro de incapacidad temporal, cosa que hizo, además de presentar una reclamación de consumo por tales hechos y que fue respondida por el servicio de atención al cliente del Grupo BARCLAYS informando de lo siguiente. “Le pido disculpas por todos los inconvenientes que hayamos podido ocasionarle durante la tramitación de su expediente de incapacidad temporal, y le aseguro que desde Barclays Mediador, Operador de Banca-Seguros Vinculado, S.A. se ha enviado puntualmente a CARDIF toda la documentación que usted nos ha facilitado, sin que hayamos podido precisar los motivos por los que la documentación no fue recibida por la Compañía Aseguradora” (folios 1-4, 36-39) SEXTO: En los sistemas de BARCLAYS MEDIADOR consta el 17/03/2014 como fecha de alta de la declaración del siniestro efectuada por el denunciante (folio 122) SEPTIMO: En la fecha de comisión de los hechos denunciados (20/11/2013), BARCLAYS MEDIADOR era una sociedad participada por BARCLAYS (folio 75) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  8. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 II El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” III El Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en su artículo 92. Gestión de soportes y documentos, establece: “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” Igualmente los artículos 106 y 108 del citado Real Decreto, establecen: “Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo.” “Custodia de los soportes. Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.” IV En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben asegurar la localización de los documentos que contengan datos personales. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29 de junio de 2001). V En este punto y con objeto de determinar la responsabilidad de BARCLAYS MEDIADOR en la infracción cometida debe acudirse a lo estipulado por Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguros privados, que establece: “Artículo 1 Objeto de la Ley Esta Ley tiene por objeto regular las condiciones en las que deben ordenarse y desarrollarse las actividades mercantiles de mediación de seguros y reaseguros privados, establece las normas sobre el acceso y ejercicio por parte de las personas físicas y jurídicas que las realicen y el régimen de supervisión y disciplina administrativa que les resulte de aplicación. … Artículo 2 Ámbito de aplicación y definiciones 1. Las actividades a que se refiere el artículo 1 comprenderán la mediación entre los tomadores de seguros o de reaseguros y asegurados, de una parte, y las entidades aseguradoras o reaseguradoras autorizadas para ejercer la actividad aseguradora o reaseguradora privadas, de otra. A tales efectos, se entenderá por mediación aquellas actividades consistentes en la presentación, propuesta o realización de trabajos previos a la celebración de un contrato de seguro o de reaseguro, o de celebración de estos contratos, así como la asistencia en la gestión y ejecución de dichos contratos, en particular en caso de siniestro. … Artículo 7 Clasificación 1. Los mediadores de seguros se clasifican en agentes de seguros, ya sean exclusivos o vinculados, y en corredores de seguros. Los agentes de seguros y los corredores de seguros podrán ser personas físicas o jurídicas. La condición de agente de seguros exclusivo, de agente de seguros vinculado y de corredor de seguros son incompatibles entre sí en cuanto a su ejercicio al mismo tiempo por las mismas personas físicas o jurídicas. Cualquier mediador de seguros podrá cambiar su inscripción en el Registro administrativo especial de mediadores de seguros, de corredores de reaseguros y de sus altos cargos para ejercer otra clase de mediación de seguros si acredita previamente el cumplimiento de los requisitos que sean exigidos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 para ella. 2. Las denominaciones «agente de seguros exclusivo», «agente de seguros vinculado» y «corredor de seguros» quedan reservadas a los mediadores definidos en esta Ley. Las entidades de crédito y, en su caso, las sociedades mercantiles controladas o participadas por éstas cuando ejerzan la actividad de agente de seguros adoptarán la denominación de «operador de banca-seguros exclusivo» o, en su caso, la de «operador de banca-seguros vinculado», que quedará reservada a ellas. …. Artículo 8 Los colaboradores externos de los mediadores de seguros 1. Los mediadores de seguros podrán celebrar contratos mercantiles con colaboradores externos que colaboren con ellos en la distribución de productos de seguros actuando por cuenta de dichos mediadores bajo su responsabilidad y dirección, en los términos que las partes acuerden libremente. … 2. Los colaboradores externos no tendrán la condición de mediadores de seguros, y desarrollarán su actividad bajo la dirección, responsabilidad y régimen de capacidad financiera del mediador de seguros para el que actúen. Los colaboradores deberán identificarse como tales e indicar también la identidad del mediador por cuenta del que actúen. En virtud del contrato mercantil con éste, la información que deberán proporcionar al tomador de seguros será toda o parte de la establecida en el artículo 42, sin que en ningún caso el tomador deje de recibir esa información completa. … Artículo 25 Ejercicio de la actividad de agente de seguros como operador de bancaseguros 1. Tendrán la consideración de operadores de banca-seguros las entidades de crédito, los establecimientos financieros de crédito y las sociedades mercantiles controladas o participadas por estas conforme a lo indicado en el artículo 28 de esta Ley que, mediante la celebración de un contrato de agencia de seguros con una o varias entidades aseguradoras y la inscripción en el Registro administrativo especial de mediadores de seguros, corredores de reaseguros y de sus altos cargos, realicen la actividad de mediación de seguros como agente de seguros utilizando sus redes de distribución. La entidad de crédito o el establecimiento financiero de crédito sólo podrá poner su red de distribución a disposición de un único operador de banca-seguros. Cuando la actividad de mediación de seguros se realice a través de una sociedad mercantil controlada o participada por la entidad de crédito o por el establecimiento financiero de crédito o grupo de entidades de crédito o de establecimientos financieros de crédito, las relaciones con dicha sociedad mercantil se regularán por un contrato de prestación de servicios consistentes en la cesión de la red de distribución de cada una de dichas entidades de crédito o establecimientos financieros de crédito al operador de banca-seguros para la mediación de los productos de seguro. En dicho contrato las entidades de crédito o establecimientos financieros de crédito deberán asumir la obligación de formación adecuada de las personas que forman parte de la red y que participen directamente en la mediación de los seguros para el ejercicio de sus funciones. A los efectos de lo previsto en esta Ley se entenderá por red de distribución de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 entidad de crédito y del establecimiento financiero de crédito el conjunto de toda su estructura de la organización de medios personales, oficinas operativas y agentes, de acuerdo con lo previsto en su normativa de creación y régimen jurídico. Una vez cedida a un operador de banca-seguros, la red de la entidad de crédito o del establecimiento financiero de crédito no podrá fragmentarse para que parte de ella participe en la mediación de los seguros como red de otro operador de banca-seguros o como colaborador externo de otro mediador de seguros. …. Artículo 62 Condición de responsable o encargado del tratamiento 1. A los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal:
  9. a)Los agentes de seguros exclusivos y los operadores de banca-seguros exclusivos tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en esta Ley.
  10. b)Los agentes de seguros vinculados y los operadores de banca-seguros vinculados tendrán la condición de encargados del tratamiento de las entidades aseguradoras con las que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en esta Ley. Cuando el cliente hubiera firmado un contrato de seguro, los agentes de seguros vinculados y los operadores de banca-seguros vinculados deberán tratar los datos del contrato de forma que únicamente puedan ser conocidos por la entidad aseguradora con la que se hubiera celebrado el contrato, sin que puedan tener acceso a dichos datos las restantes entidades aseguradoras por cuenta de las cuales actúen.
  11. c)Los corredores de seguros y los corredores de reaseguros tendrán la condición de responsables del tratamiento respecto de los datos de las personas que acudan a ellos.
  12. d)Los colaboradores externos a los que se refiere el artículo 8 de esta Ley tendrán la condición de encargados del tratamiento de los agentes o corredores de seguros con los que hubieran celebrado el correspondiente contrato mercantil. En este caso, sólo podrán tratar los datos para los fines previstos en el apartado 1 de dicho artículo 8. 2. En los supuestos previstos en las letras
  13. a)y
  14. b)del apartado 1 anterior, en el contrato de agencia deberán hacerse constar los extremos previstos en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, y, en particular, la indicación de si el agente de seguros va a celebrar contratos mercantiles con los colaboradores externos, a los que se refiere el artículo 8 de esta Ley. Del mismo modo, en el supuesto previsto en el apartado 1.
  15. d)anterior deberán incluirse en el contrato mercantil celebrado con los colaboradores externos los extremos previstos en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre.” Conforme a dicha normativa BARCLAYS MEDIADOR, en su condición de mediador del seguro de protección de pagos suscrito entre BARCLAYS y CARDIFF y al que se adhirió el denunciante, es la entidad responsable de la ejecución del contrato, en particular en caso de siniestro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 Por otra parte y puesto que en el momento de la comisión de los hechos denunciados BARCLAYS MEDIADOR era una sociedad mercantil participada por BARCLAYS, sus relaciones se regulaban por el contrato de prestación de servicios suscrito entre ambas entidades en fecha 13/08/2007 que establece que BARCLAYS MEDIADOR podrá distribuir sus productos (entre ellos el seguro de protección de pagos del denunciante) a través de la red de oficinas de BARCLAYS. En cuanto a la operativa de distribución de los seguros BARCLAYS se compromete a que se cumplan los procedimientos, entre los cuales, y en lo relativo a la tramitación de los siniestros se establece únicamente que serán las oficinas de BARCLAYS las encargadas de recopilar del cliente la información necesaria para llevar a cabo la tramitación de los mismos. Concretamente BARCLAYS MEDIADOR aporta copia de un documento interno que establece que la documentación entregada por el cliente será remitida por BARCLAYS a BARCLAYS MEDIADOR en un sobre cerrado y con una clave. Dicho contrato conforme a la referida normativa de seguros confiere a BARCLAYS la condición de colaborador externo de BARCLAYS MEDIADOR, actuando bajo la responsabilidad y dirección de éste último en los términos fijados en el citado contrato. Pues bien en el presente caso BARCLAYS MEDIADOR, responsable de la tramitación de los siniestros no ha aportado prueba alguna que acredite que en el momento de producirse los hechos contara con un documento de seguridad que contemplara lo relativo a la gestión de soportes y documentos (art. 92 RLOPD), criterios de archivo y custodia de soportes (arts. 92 , 105 y 108 RLOPD) en lo relativo a la documentación exigida a los clientes para la tramitación de un siniestro como es el caso denunciado, ya que el contrato suscrito entre BARCLAYS MEDIADOR a BARCLAYS en fecha 13/08/2007, es previo a la entrada en vigor del RLOPD y además no contiene ningún tipo de instrucción o directriz por parte de BARCLAYS MEDIADOR a BARCLAYS en relación con la gestión de soportes más allá de mencionar que la documentación necesaria para tramitar un siniestro será entregada en las oficinas de BARCLAYS y remitida a BARCLAYS MEDIADOR en un sobre cerrado con un clave, lo cual incumple lo dispuesto por los mencionados artículos del RLOPD y en definitiva lo dispuesto en el artículo 9 de la LOPD al adolecer BARCLAYS MEDIADOR de las medidas de seguridad adecuadas para garantizar la seguridad de los datos y evitar (como es el presente caso) su pérdida.. Alega BARCLAYS MEDIADOR y el denunciante la responsabilidad de BARCLAYS en la comisión de la infracción imputada habida cuenta de su condición de encargado del tratamiento por cuenta de BARCLAYS MEDIADOR y ello conforme a lo dispuesto en el artículo 62.1.
  16. b)de la Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguros privados. No cabe considerar tal extremo por cuanto la citada norma atribuye tal condición a los colaboradores externos (BARCLAYS) de los agentes de seguros (BARCLAYS MEDIADOR) siempre y cuando en el contrato mercantil suscrito entre ambas entidades se incluyeran los extremos previstos en el artículo 12 de la LOPD que establece: “Artículo 12. Acceso a los datos por cuenta de terceros 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” BARCLAYS MEDIADOR no acredita que en el contrato suscrito con BARCLAYS se incluyeran los extremos contenidos en el citado artículo, ni de manera concreta las medidas de seguridad que BARCLAYS debería implementar en el caso de la tramitación de siniestros a través de su red de oficinas. VI El artículo 44.3.
  17. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. VII El artículo 45.1, 2, 4 y 5 de la LOPD, establece: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La Audiencia Nacional, en sus Sentencias de 24/05/2002 y 16/02/2005, ha señalado en cuanto a la aplicación del apartado 5 del citado precepto que “... la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 En el supuesto examinado, BARCLAYS MEDIADOR solicita se reduzca la sanción por aplicación de lo dispuesto en el citado artículo 45.5 de la LOPD, en concreto motivado por la falta de continuidad en la infracción, volumen de tratamientos efectuados, beneficios obtenidos, grado de intencionalidad, ausencia de reincidencia y acreditación de tener implantados procedimiento adecuados para la recogida y tratamiento de datos. Las alegaciones realizadas, y las medidas adoptadas, no acreditan que en los hechos concretos se hubieran tomado ninguna medida, que de haberse producido, habría evitado los hechos como el denunciado habida cuenta que BARCLAYS MEDIADOR no ha acreditado contar las medidas de seguridad adecuadas, por cuanto el contrato de distribución suscrito entre BARCLAYS MEDIADOR, recordemos entidad responsable de la gestión del contrato de seguro y tramitación de siniestros y BARCLAYS, entidad tomadora de seguro, no establece la adopción de ninguna medida de seguridad exigida en el RLOPD (arts. 92, 106 y 108) para el caso de la presentación en las oficinas de BARCLAYS de documentación necesaria para la tramitación de siniestros más allá de la remisión en sobre cerrado con clave a BARCLAYS MEDIADOR, medida a todos los efectos insuficiente por cuanto no se acredita la existencia de registro o control alguno que verifique, tanto la entrega de la documentación por los clientes en BARCLAYS, su salida/envío a BARCLAYS MEDIADOR, así como la efectiva recepción en esta última. Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5 de la LOPD. Por otra parte, teniendo en cuenta los criterios de graduación de las sanciones recogidos, en el citado artículo 45.4 de la LOPD y, en especial, que la ausencia de intencionalidad y la ausencia de beneficios obtenidos como consecuencia de la infracción procede la imposición a BARCLAYS MEDIADOR de una sanción por importe de 40.001 euros por la infracción del artículo 9 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a BARCLAYS MEDIADOR, OPERADOR DE BANCA SEGUROS VINCULADO, S.A., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 9 de la LOPD, en relación con los artículos 92.3, 106 y 108 del RLOPD, una multa de 40.001 € (cuarenta mil un euros), de conformidad con lo establecido en el artículo 44.3.
  33. h)de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a BARCLAYS MEDIADOR, OPERADOR DE BANCA - SEGUROS VINCULADO, S.A., y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.