← España

PS-00638-2013

1/14 Procedimiento Nº PS/00638/2013 RESOLUCIÓN: R/01064/2014 En el procedimiento sancionador PS/00638/2013, instruido por la Agencia Española de Protección de Datos a la entidad BILBAO CIA. ANONIMA DE SEGUROS Y REASEGUROS1, vista la denuncia presentada por C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 05/12/2012, escrito presentado por Dª C.C.C. (en lo sucesivo la denunciante), en el que denuncia a la compañía BILBAO CIA. ANONIMA DE SEGUROS Y REASEGUROS1. (en adelante SEGUROS BILBAO), manifestando lo siguiente. Que recibió llamadas para ofrecerle un seguro de automóvil, que en ningún momento contrató, pero que si escucho la oferta y que sin su consentimiento, el 06/09/2011, le cargan en su cuenta bancaria un recibo por importe 346,40€, que no se da cuenta hasta que el día 05/09/2012 le vuelven a cargar otro recibo por importe de 358,43€, dando orden al banco para que lo devuelvan, ya que tiene el automóvil asegurado en otra compañía. Que remite escrito a la compañía aseguradora y a su agente, por correo certificado, con fecha de 21/03/2012, comunicando los mismos hechos que los manifestados ante esta AEPD pero que no ha recibido respuesta. Se aporta con el escrito de denuncia dos adeudos por domiciliaciones de SEGUROS BILBAO, de fecha 06/09/2011 y 05/09/2012, como concepto consta BILBAO TELEMARK seguro obligatorio de vehículo matrícula G.G.G. a nombre de la denunciante. Con fecha de 10/01/2013 se solicita a la denunciante acreditación documental de que el vehículo se encontraba asegurado en otra compañía. Dando respuesta informando que en el periodo comprendido entre el 04/09/2011 al 01/09/2012, el vehículo matrícula G.G.G., se encontraba asegurado con Allianz, Compañía de Seguros y Reaseguros, S.A. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad SEGUROS BILBAO y a BILBAO TELEMARK: 1. SEGUROS BILBAO ha informado a la Inspección de Datos, con fecha de 07/06/2013, en relación con la contratación del seguro a nombre de la denunciante lo siguiente: - El origen de los datos personales de la denunciante fue la contratación de una póliza de automóviles con número F.F.F., matrícula G.G.G., con fecha de efecto 05/09/2005 y que estuvo vigente hasta 05/09/2008, acompañan duplicado de la póliza. No les consta a la entidad que la denunciante haya solicitado la exclusión de los procesos comerciales sobre otros productos y servicios de la entidad, que se detallan en las cláusulas de la citada póliza, que tras el requerimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 la AEPD la entidad aseguradora ha procedido a la exclusión de los mismos. - Que en virtud del consentimiento prestado por parte de la denunciante, la aseguradora facilitó los datos básicos de la misma a la agencia de seguros BILBAO TELEMARK, con quien mantiene el correspondiente contrato de mediación, con la finalidad de que contactara para informarle sobre el producto de seguro de automóviles. Los datos facilitados a BILBAO TELEMARK por la aseguradora para establecer contacto telefónico con la denunciante fueron: nombre, apellidos, NIF, dirección postal, nº móvil y fecha vencimiento producto. - Que BILBAO TELEMARK contactó con la denunciante, tal y como la misma reconoce en su escrito, en diversas ocasiones, sin que se opusiera a la recepción de dichas llamadas o revoque su consentimiento. Con fecha 04/08/2011, facilita toda la información precisa cara a la contratación de la póliza de automóviles E.E.E.. Dicha póliza fue grabada y emitida el 04/08/2011 con fecha de efecto 04/09/2011, procediendo a remitirle por correo ordinario las Condiciones Generales y Particulares, por duplicado, indicando al tomador que devuelva el ejemplar firmado que debe obrar en poder de la entidad, no pudiendo ser imputable a la entidad el hecho de que la tomadora no haya procedido a su devolución firmada. Que los datos facilitados por la denunciante a la agencia de seguros fueron: nombre, apellidos, DNI, domicilio postal, cuenta corriente, teléfono, fecha de nacimiento, fecha de carnet de conducir, marca y modelo de vehículo, compañía aseguradora anterior y nº de póliza; siendo imposible conocer por ejemplo el número de póliza correspondiente a la compañía anterior donde el vehículo estaba asegurado si no es a través de su aportación por la propia denunciante. - La aseguradora no puede aportar la grabación de la contratación realizada en su día, ya que las grabaciones de voz correspondientes a la suscripción de pólizas telefónicas se mantienen durante un periodo de cuatro meses, tiempo que se entiende suficiente para que, de existir algún problema o irregularidad, pueda ser precisa dicha prueba. Dichas grabaciones no pueden ser conservadas más tiempo ni por capacidad, ni por espacio, ni por aplicación del propio principio de conservación de los datos durante el tiempo en que resultan precisos para el tratamiento. Habiendo transcurrido más de un año desde la suscripción de la póliza y una vez otorgada por la entidad cobertura al vehículo asegurado durante toda la anualidad, no parece lógico entender que alguien pueda reclamar la no contratación de dicho producto, se adjunta copia de la póliza. El primer recibo fue debidamente atendido el pago por la tomadora de la póliza y llegado el vencimiento anual de la póliza en fecha 04/09/2012 se emitió un nuevo recibo que fue devuelto. - 2. Por lo que consideran que la aseguradora dispone de los datos personales de la denunciante que fueron aportados por la misma y que no les consta reclamación ni el ejercicio de los derechos por parte de la misma. BILBAO TELEMARK ha informado a la Inspección de Datos, con fecha de 07/06/2013, en relación con la contratación del seguro a nombre de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 denunciante lo siguiente: - Que la compañía tiene suscrito un contrato de agencia exclusiva con SEGUROS BILBAO y que en virtud de lo dispuesto en el artículo 62 de la 26/2006, de 17 de julio, de mediación en seguros y reaseguros privados, por lo que ostenta la condición de encargado del tratamiento, a los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal, respecto de los datos de las personas que suscriben un contrato de seguro con SEGUROS BILBAO. En virtud de dicho contrato de agencia de seguros exclusiva, BILBAO TELEMARK efectúa la actividad mercantil de mediación en la celebración de contratos de seguros privados entre personas físicas y la Compañía Aseguradora. - Confirman que se pusieron en contacto con la denunciante con objeto de desarrollar su actividad mercantil a través de los datos facilitados por SEGUROS BILBAO, y tras facilitar la información precisa para la contratación de la póliza de automóviles E.E.E., procediendo a la grabación y a remitir por correo las Condiciones Generales y Particulares si bien no pueden aportar la grabación. TERCERO: Con fecha 21/11/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SEGUROS BILBAO por presunta infracción del artículo 6.1 de la LOPD de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de SEGUROS BILBAO en fecha 17/12/2013 presentó escrito, formulando en síntesis las siguientes alegaciones: que la denunciante fue tomadora de una póliza de automóviles en la que se contenía clausula por medio de la cual la tomadora prestaba su consentimiento para la gestión del citado contrato así como para la recepción de informaciones sobre otros productos o servicios de la entidad; que la agencia de seguros exclusiva BILBAO TELEMARK contacto con la interesada con la finalidad de informar sobre un seguro de automóvil comercializado por la entidad y que tras facilitar toda la información precisa para la contratación de la póliza de automóviles D.D.D. procedió a la grabación de dicha póliza; que los datos fueron aportados voluntariamente por la interesada no manifestando en ningún momento disconformidad con la contratación de la póliza por lo que la entidad procedió a girar el recibo de la prima; que girado al cobro el recibo, el mismo fue debidamente atendido al pago por la tomadora de la póliza; que la entidad no ha recibido ninguna reclamación de la interesada; que se proceda al archivo del expediente y subsidiariamente, en caso contrario, la aplicación del artículo 45.5 de la LOPD, aplicando la escala relativa a las infracciones leves y en su cuantía mínima. QUINTO: Con fecha 20/12/2013 se inició el período de práctica de pruebas, acodándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/00080/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00638/2013 presentadas por SEGUROS BILBAO y la documentación que a ellas acompaña. Solicitar a SEGUROS BILBAO que aporte el consentimiento inequívoco de la denunciante para la contratación de la póliza E.E.E.. Solicitar a la denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó cualquier otra manifestación en relación con los hechos denunciados. El 14/01/2014 la representación de SEGUROS BILBAO daba respuesta a la prueba requerida cuyo contenido obra el expediente. SEXTO: En fecha 08/04/2014, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a SEGUROS BILBAO por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. b)de dicha norma, con multa de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de SEGUROS BILBAO mediante escrito de fecha 05/05/2014 reiteraba las alegaciones realizadas con anterioridad señalando que la póliza fue emitida con el consentimiento de la denunciante; que la agencia exclusiva contacto telefónicamente con la interesada con la finalidad de informarle sobre el seguro en cuestión y que toda la información disponible, entre ella el de la póliza anterior con Axa y el número de la cuenta, fue facilitada por la tomadora de manera voluntaria sin que mostrara en ningún momento disconformidad ni con la contratación ni con su contenido de la misma; que han sido tenidos en cuenta como circunstancias agravantes criterios que parecen quebrar el principio de igualdad ante la ley. HECHOS PROBADOS PRIMERO. En fecha 05/12/2012, tiene entrada en la Agencia Española de Protección de Datos, escrito de la afectada en la que manifiesta que sin que lo haya solicitado, autorizado o consentido el 06/09/2011 le pasaron un recibo bancario de 346,40 euros de un seguro de automóvil; de este cargo se da cuenta al año siguiente cuando en la misma fecha vuelve a recibir otro cargo, si bien esta vez de 358,43 euros, cuando tiene su automóvil asegurado en otra compañía y con agente de su zona (folio 1). SEGUNDO. La denunciante aporta copia de su DNI nº H.H.H., domiciliada en B.B.B., (A Coruña), coincidente con el que figura en el escrito de denuncia (folio 6). TERCERO. La denunciante aporta copia de dos adeudos por domiciliaciones en la cuenta de la denunciante en Novacaixagalicia y su sucesora Banco NCC, S.A. conteniendo dos adeudos de la prima de la póliza de automóviles E.E.E., vehículo I.I.I., periodos 04/09/2011 al 04/09/2012 y 04/09/2012 al 04/09/2013 e importes 346,40 euros y 358,43 euros respectivamente, emitido por SEGUROS BILBAO, mediador BILBAO TELEMARK (folios 3 y 4). CUARTO. La denunciante aporta carta que fue remitida a SEGUROS BILBAO y BILBAO TELEMARK en la que señala que había recibido algunas llamadas en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 teléfono por empleada de la aseguradora ofertándole un seguro de automóvil que en ningún momento aceptó aunque puso oídos a lo que le ofrecían; que sin su consentimiento y sin haberles facilitado su número de cuenta, ni ningún otro dato personal (aunque anteriormente estuvo asegurada con SEGUROS BILBAO), le habían pasado al cobro dos recibos , uno en el año 2011 sin que se hubiera dado cuenta del mismo y otro en 2012, averiguando de quien procedía ya que tiene asegurado su vehículo con otra compañía, dando orden al banco para que lo devolviera y, con respecto al del año anterior, exigiendo el extorno del importe de la prima pasado al cobro (folio 2). QUINTO. La denunciante aporta certificación expedida por su Corredor de Seguros en el que manifiesta que la denunciante “tenía póliza de seguro de automóvil en vigor en la compañía Allianz, durante el periodo 04/09/2011 a 01/09/2012” y que “Dicha póliza aseguraba el vehículo de su propiedad Rover 220, matrícula I.I.I.”. Asimismo aporta el recibo de la prima emitido por la compañía aseguradora ALLIANZ, pago anual, fecha de expedición 02/09/2011, por un importe de 345,1 euros (folios 12 y 13). SEXTO. Consta copia de las Condiciones Particulares de la póliza E.E.E., en la que figuran los datos personales de la denunciante como tomadora, propietaria y conductora del vehículo Rover 220, matrícula I.I.I.; la fecha de efectos, su duración y vencimiento, importe de la prima anual, datos bancarios, forma de pago, etc. como mediador figura el agente de seguros exclusivo BILBAO TELEMARK. La citada póliza no se encuentra firmada por la tomadora (folios 38 a 41). SEPTIMO. SEGUROS BILBAO suscribió el 02/01/2012 con BILBAO TELEMARK Contrato de Agencia de Seguros, conteniendo cláusula de conformidad con lo señalado en el artículo 12 de la LOPD, adoptando la condición de encargado del tratamiento (folios 30 a 35) OCTAVO. SEGUROS BILBAO, en escrito de fecha 07/06/2013, ha manifestado que “la Entidad Aseguradora facilitó los datos básicos de la interesada a su agencia de seguros exclusiva BILBAO TELEMARK, con quien mantiene el correspondiente contrato de mediación vigente, con la finalidad de que dicha agencia de seguros exclusiva contactara con la interesada para informarle sobre el producto de seguro de automóviles…” (folio 43). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Se imputa a SEGUROS BILBAO en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negociad entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. SEGUROS BILBAO no ha acreditado en el procedimiento que cuente con el consentimiento inequívoco de la denunciante para el tratamiento de sus datos, materializado en la contratación de un seguro de automóvil, póliza nº E.E.E. y además, adeudando en la cuenta bancaria de la denunciante hasta dos recibos anuales de la prima de la citada póliza. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a SEGUROS BILBAO tratar los datos de la denunciante sin su consentimiento. III Con carácter general, la actividad de mediación del seguro privado se encuentra regulada en la Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguros privados. En el presente caso interviene un Agente de seguros exclusivo por lo que hay que traer a colación lo establecido en el artículo 13 de la citada Ley. El artículo 13. Concepto y requisitos de los agentes de seguros exclusivos, señala que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 “1. Son agentes de seguros exclusivos las personas físicas o jurídicas que, mediante la celebración de un contrato de agencia de seguros con una entidad aseguradora y la inscripción en el Registro administrativo especial de mediadores de seguros, corredores de reaseguros y de sus altos cargos, se comprometen frente a dicha entidad aseguradora a realizar la actividad de mediación de seguros definida en el artículo 2.1 de esta Ley, en los términos acordados en dicho contrato”. Además, el artículo 19. Incompatibilidades de los agentes de seguros exclusivos, establece: “1. Los agentes de seguros exclusivos no podrán ejercer como agentes de seguros vinculados, ni como corredores de seguros o como auxiliares externos de ellos o de otros agentes de seguros exclusivos”. El artículo 62. Condición de responsable o encargado del tratamiento. “1. A los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal: a. Los agentes de seguros exclusivos y los operadores de banca-seguros exclusivos tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en esta Ley. b. (…) c. (…) d. (…) 2. En los supuestos previstos en las letras a y b del apartado 1 anterior, en el contrato de agencia deberán hacerse constar los extremos previstos en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, y, en particular, la indicación de si el agente de seguros va a celebrar contratos mercantiles con los auxiliares externos, a los que se refiere el artículo 8 de esta Ley. Del mismo modo, en el supuesto previsto en el apartado 1.d anterior deberán incluirse en el contrato mercantil celebrado con los auxiliares externos los extremos previstos en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre”. Los preceptos anteriores han de ponerse en relación con el artículo 43 de la LOPD que señala: “Responsables.- 1. “ Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley” La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que “se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales, por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específico. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento” El propio reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, en el apartado
  4. q)del artículo 5, señala lo siguiente: “
  5. q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. En el presente caso, aunque SEGUROS BILBAO no realice materialmente el tratamiento, es responsable de la infracción que se deriva de la actuación realizada en atención a que como responsable del fichero es quien decide sobre la finalidad, contenido y uso del tratamiento, es decir, quien tiene capacidad de decisión sobre los datos registrados en su fichero. SEGUROS BILBAO ha tratado los datos de la denunciante sin su consentimiento. La responsabilidad en la que haya podido incurrir, en su caso, el encargado del tratamiento (en este caso el agente exclusivo), no le exime del cumplimiento de la normativa en materia de protección de datos personales, pues es la citada compañía aseguradora la que emitió la respectiva póliza conteniendo los datos de la denunciante y no quien media en su contratación; los datos son incorporados a su fichero y quien los trata de forma automatizada, gira los correspondientes recibos y, la que correlativamente, debe asegurarse que aquel a quien se solicitan los datos para ser tratados por ella, los presta con consentimiento inequívoco y que dicha persona que están dando el consentimiento, efectivamente es el titular de los datos personales en cuestión. IV Alega la representación de SEGUROS BILBAO que no se ha incumplido el artículo 6.1 de la LOPD puesto que los datos para la emisión de la póliza habían sido recabados por el agente de seguros exclusivo BILBAO TELEMARK con la finalidad de ofertarle a la denunciante un seguro de automóviles, facilitando sus datos y consintiendo para llevar a cabo la citada contratación. Sin embargo el citato alegato no puede admitirse; una cosa es la/s llamada/s que el empleado del agente de seguros exclusivo realizara a la denunciante con el propósito de ofertarle un seguro de automóviles e incluso las posibles simulaciones del mismo y, cuestión muy distinta, que sin su aceptación ni consentimiento como queda claro por las manifestaciones de la denunciante, el asegurador emita una póliza de seguro y cargue en la cuenta de la denunciante la prima de la póliza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 La Audiencia Nacional en sentencia de fecha 05/03/2014, ha señalado: “Al respecto, resulta significativo que no se haya acreditado por la entidad aseguradora la prestación por la denunciante de su consentimiento inequívoco para la contratación de la póliza de seguro de hogar y, por ende, para el tratamiento de sus datos personales por aquella, pese a recaer sobre tal entidad la carga de tal prueba. Evidentemente, no puede exigirse a la denunciante la prueba de un hecho negativo, la ausencia de consentimiento para la citada contratación, pues supondría una probatio diabólica a su cargo, tal y como la jurisprudencia ha resaltado. Sin embargo, la acreditación de la existencia de tal consentimiento no habría de presentar dificultad alguna para la parte demandante de haber actuado con la diligencia que le resultaba exigible, y esta circunstancia hace también que la carga de la prueba de tal hecho recaiga sobre la compañía sancionada, tal y como corrobora el principio de facilidad probatoria que establece el artículo 217.6 LEC. Resulta relevante que la denunciante haya negado en todo momento haber prestado su consentimiento a la contratación de la póliza de seguro de hogar, a través de la agente exclusiva de la entidad aseguradora sancionada, sin perjuicio de que recibiera una oferta de seguro de esta, a cuyo efecto le facilitó algunos datos personales necesarios para la formulación de la misma, tal y como ponen de manifiesto los correos electrónicos obrantes en el expediente, en los que se transmite esa oferta de seguro, donde se indica su carácter meramente informativo. Los contactos mantenidos entre la agente de la entidad aseguradora y la denunciante con motivo de la formulación de la oferta de seguro en modo alguno permiten presumir la existencia de consentimiento a la contratación de la póliza por parte de esta”. Por otra parte, la Audiencia Nacional ha señalado con reiteración en numerosas sentencias que la negativa del denunciante, en el sentido de no haber suscrito ningún contrato con la entidad denunciada, traslada a ésta última la carga de probar la indicada contratación, y por ende el consentimiento para el tratamiento de sus datos personales. En este mismo sentido se pronuncia en sentencia de fecha 21 de diciembre de 2001, que señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Asimismo, en sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Alega igualmente la representación de la denunciada como prueba del consentimiento que la denunciante aportó información de la que la entidad aseguradora carecía, como el número de póliza de su anterior compañía aseguradora, AXA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Hay que indicar que la información a la que alude la citada representación resulta irrelevante a los efectos del presente procedimiento. No obstante, en sentido contrario, sí que resulta relevante el tratamiento de datos personales de la denunciante en la emisión de la citada póliza y que aquella niega haberlos aportado (folio 2), como el número de cuenta bancaria en la que se domiciliaron los recibos de la prima; datos de cobro que si estaban en poder de la entidad aseguradora como lo acredita en su escrito de fecha 07/06/2013, donde señala: “Que la Entidad Aseguradora dispone de los siguientes datos básicos objeto de tratamiento, correspondientes a la Sra. C.C.C.: nombre, DNI, dirección, cuenta corriente, teléfono, fecha de nacimiento y fecha de carnet de conducir. El origen de dichos datos fue la contratación por parte de la interesada, de una póliza de automóviles con número F.F.F. con fecha de efecto 5 de septiembre de 2005 que estuvo vigente hasta 5 de septiembre de 2008” (folio 42). Por tanto, corresponde a SEGUROS BILBAO, estar en condiciones de acreditar que había obtenido el consentimiento de la denunciante, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento ha sido prestado. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
  6. b)tipifica como infracción grave “
  7. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En le presente caso, SEGUROS BILBAO ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6.1 de la LOPD. La entidad mencionada ha tratado los datos del denunciante sin contar con su consentimiento, emitiéndole la póliza nº E.E.E. de un seguro de automóvil y adeudándole en cuenta el importe de dos recibos de la prima de la póliza correspondientes a 2011 y 2012, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en este artículo 44.3.
  8. b)de la citada Ley Orgánica. VI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de SEGUROS BILBAO ha solicitado la aplicación subsidiaria del artículo 45.5 de la LOPD como consecuencia de la existencia de una cualificada disminución de la culpabilidad y antijuridicidad lo que permitiría la aplicación de una sanción de la escala inferior, correspondiente a las sanciones leves y, adicionalmente, la aplicación del apartado 4 del citado artículo, al concurrir supuestos contemplados en el mismo y que permiten rebajar la cuantía de la sanción. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que SEGUROS BILBAO vulneró el artículo 6.1 de la LOPD, al tratar los datos del denunciante sin su consentimiento, materializado en la emisión de un seguro de automóvil, póliza nº E.E.E. y además, adeudando en la cuenta bancaria de la denunciante hasta dos recibos anuales de la prima de la citada póliza, por lo que la actuación de la entidad ha de ser objeto de sanción. No obstante, teniendo en cuenta las especificas circunstancias que concurren en el presente caso, permite apreciar la existencia de motivos para la aplicación de la circunstancia contemplada en el apartado
  24. b)del artículo 45.5 de la LOPD, al haber procedido la entidad con una razonable diligencia cuando tuvo conocimiento de los hechos regularizando la situación irregular creada, anulando la póliza y devolviendo el importe del recibo de la prima a través de transferencia bancaria, lo que permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 SEGUROS BILBAO invoca la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de la aplicación de la atenuante privilegiada prevista en el artículo 45.5.a). Sin embargo, las circunstancias apuntadas por la representación de la denunciada, no concurren en el presente caso. Así, en cuanto a la circunstancia prevista en el apartado
  25. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la entidad hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la circunstancia previas en la letra
  26. g)falta de reincidencia, hay que indicar que tal circunstancia por su propia naturaleza no puede operar como atenuante, premiando la no infracción de la normativa sobre protección de datos, aunque sí podría ser utilizada como agravante de la conducta a enjuiciar e incrementando la sanción a imponer. En este sentido se pronuncia la Audiencia Nacional en numerosas sentencias, entre otras, la de fecha 10/05/2013, señalando “Así las cosas, el art. 45.4 de la LOPD contempla en la actualidad circunstancias que podríamos denominar agravantes, y no solo atenuantes de la responsabilidad,… Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del art. 45 de la LOPD deben concurrir dos o más circunstancias del apartado 4 del mismo art. 45, y además de manera "significativa", circunstancias significativas que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia…” Por otra parte, se advierten otras circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las agravantes previstas en los apartados c), del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeñan se ven obligadas a un continuo tratamiento de datos personales tanto de los clientes como de terceros; el apartado
  27. d)del artículo 45.4, “volumen de negocio” toda vez que se trata una gran compañía aseguradora por cuota de mercado Alega la representación de la denunciada que no se han tenido en cuenta circunstancias como la ausencia de beneficio prevista en el artículo 45.4 e), para la graduación de la sanción. Hay que señalar, como se indicaba anteriormente, que la LOPD prevée en el artículo 45.4 circunstancias tanto agravantes como atenuantes de la responsabilidad y, es por ello, que al margen de que en la conducta de la compañía aseguradora se aprecie como atenuante de su conducta la circunstancia prevista en el apartado
  28. e)la ausencia de beneficios como consecuencia de la comisión de la infracción, la concurrencia de las circunstancias agravantes expresadas en el párrafo precedente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Invoca igualmente el representante de la entidad denunciada que no se puede considerar como agravante la circunstancias prevista en el artículo 45.5
  29. d)“volumen de negocio o actividad del infractor”; sin embargo, tal alegato tampoco puede ser admitido a la vista de las sentencias emitidas por la Audiencia Nacional, entre otras, la de fecha 08/04/2014, que señala: “Por otro lado, aun reconociéndose la ausencia de intencionalidad en la comisión de las infracciones -no se trata de una sola infracción-, el carácter continuado de la infracción del principio de calidad del dato, la vinculación de la actividad de la infractora con la realización de tratamientos de datos de carácter personal y el volumen de negocio de la sancionada, constituyen circunstancias que agravan su responsabilidad que, unidas a la patente la ausencia de diligencia en la conducta de la sancionada, justifican la graduación de la sanción realizada”. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal (apartado b), el volumen de negocio del infractor (apartado d), se impone una sanción de 20.000 € por la infracción del artículo 6.1 de la LOPD de la que SEGUROS BILBAO debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BILBAO CIA. ANONIMA DE SEGUROS Y REASEGUROS1, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  30. b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a SEGUROS Y REASEGUROS1 y a C.C.C.. BILBAO CIA. ANONIMA DE TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.