PS-00655-2016

1/8 - Procedimiento Nº PS/00655/2016 - RESOLUCIÓN: R/01011/2018 En el procedimiento sancionador PS/00655/2016, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por D. B.B.B., y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 03/05/2015 tiene entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D. B.B.B. (en lo sucesivo, el denunciante) en el que manifiesta que FIATC, Mutua de Seguros y Reaseguros a Prima Fija (en lo sucesivo, FIATC), a través de Iuralia Asesores, S.L., le reclama el abono de la prima de un seguro que no ha contratado. Aporta copia de la carta recibida de esa asesoría jurídica, de 14/04/2015, en la que en nombre de la aseguradora le requiere el pago del importe supuestamente adeudado y le adjunta el recibo del seguro contratado con FIATC para el periodo 23/02/2015-23/02/

1. En él aparece como tomador de la póliza de seguro del vehículo automóvil matrícula ***MATRICULA.1 “B.B.B.” (es decir, el nombre y apellidos del denunciante pero en distinto orden), con un domicilio que no coincide plenamente con el del denunciante y con NIF ***NIF.1, del que es titular el denunciante. En fechas 09/08/2015 y 11/08/2015, en respuesta a la subsanación solicitada por la AEPD, el denunciante hace nuevas declaraciones y aporta documentación adicional. Manifiesta que tras recibir el requerimiento de pago contacta con MAPFRE, anterior aseguradora del vehículo, quien le comunica que la póliza de dicho vehículo estaba dada de baja y que esa entidad no tenía relación con la carta que había recibido. Declara que se dirigió a FIATC, quien le informó de que la contratación de la póliza se realizó a través de un Agente de seguros del que le facilitan el nombre para aclarar lo sucedido (A.A.A.). Aporta copia de los siguientes documentos: su DNI; adeudo por domiciliación de MAPFRE –la anterior aseguradora del vehículo- de 4/12/2013, por un seguro obligatorio del vehículo matrícula ***MATRICULA.1; póliza del seguro anual de automóviles de MAPFRE, con su nombre y DNI, con vencimiento 1/12/2012, del vehículo con matrícula ***MATRICULA.1; póliza ***POLIZA.1 de FIATC a nombre de B.B.B. del vehículo con matrícula ***MATRICULA.1, válida hasta 23/2/2016 que está en situación de baja desde 23/2/2015; denuncia ante la comisaría de policía de Sevilla interpuesta el 4/05/2015 contra FIATC y el agente A.A.A.; reclamación ante la oficina del consumidor de Sevilla de 04/05/2015 contra FIATC; respuesta de FIATC a su reclamación, de 05/05/2015, en la que le comunica que la póliza se emitió de acuerdo a la información facilitada por el mediador de seguros, el agente A.A.A., y que al no ser la información correcta procede a la anulación de los recibos. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/8 La Directora de la AEPD dictó el 15/04/2016 acuerdo de inicio de procedimiento sancionador (PS/163/2016) contra FIATC y A.A.A. (en adelante, FACR) por sendas infracciones del artículo 6.1 de la Ley Orgánica 15/1999, de protección de datos de carácter personal, tipificadas como infracciones graves en el artículo 44.3.b, de la citada norma. Al no haberse notificado a FACR el acuerdo de inicio del PS/163/2016 dentro del plazo que el artículo 122 del Reglamento de desarrollo de la LOPD fija para la caducidad de las actuaciones previas, con fecha 02/06/2016 la Directora de la AEPD dictó resolución acordando el archivo del procedimiento sancionador PS/163/2016 en relación con FACR; la continuación del procedimiento sancionador respecto a FIATC y y que por la Subdirección General de Inspección de Datos se procediera a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/02594/2016, toda vez que la presunta infracción atribuida a FACR no había prescrito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron actuaciones encaminadas a su esclarecimiento:
2. En el marco de las Actuaciones Previas del E/02594/2016, la Inspectora actuante incorporó las Actuaciones Previas practicadas en el E/04850/2015, que son el precedente del PS/163/2016, cuyo Informe pasamos a reproducir: <<ACTUACIONES PREVIAS Con fecha 9 de septiembre de 2015 se solicita información a MAPFRE teniendo entrada en esta Agencia con fecha 30 de septiembre escrito en el que manifiesta respecto de D. B.B.B. con NIF ***NIF.1:
3. Adjuntamos la siguiente documentación e información que consta en nuestros archivos. a. Como DOCUMENTO N° 1 acompañamos copia de Condiciones Particulares de la póliza ***POLIZA.2 contratada por el afectado, y copia de la documentación aportada por éste para la contratación de la misma, consistente en copia de su DNI, Permiso de Conducir, así como copia de la Ficha Técnica y Permisos de Circulación de los vehículos asegurados. b. Salvo error u omisión no constan en nuestros archivos ningún siniestro, contestación a escrito alguno o reclamación efectuada por el afectado o por terceros en su nombre. c. Tampoco hemos podido localizar relación alguna entre el afectado y algún posible fraude, ni como asegurado ni como perjudicado.
4. Adjuntamos como DOCUMENTO N° 2 impresiones de pantallas con la información que consta en nuestros archivos sobre productos contratados, fechas de alta y baja, datos de direcciones de contacto, cuentas bancarias y relación de recibos y C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/8 gestiones asociadas por póliza. a. Póliza ***POLIZA.2 de una moto en vigor con pago de los recibos en tiempo y forma, renovada en fecha 30/09/
5. b. Póliza ***POLIZA.3 de vehículo con matrícula ***MATRICULA.1, anulada en la renovación 01/12/2014, por cambio a compañía Pelayo. c. Póliza ***POLIZA.4 de vehículo matrícula ***MATRICULA.2 anulada en la renovación 09/01/2015, por cambio a compañía Pelayo.
6. Que por la información que hemos podido consultar, y salvo error u omisión, mi representada no ha comunicado ninguna información sobre el afectado a los ficheros de morosidad y en consecuencia, tampoco ha solicitado su exclusión. Con fecha 7 de octubre de 2015 se solicita información a FIATC teniendo entrada en esta Agencia con fecha 28 de octubre escrito en el que manifiesta respecto de D. B.B.B. con NIF ***NIF.1:
7. Se anexa como documento n°1 copia impresa de todos los datos que figuran en los ficheros de FIATC relativos al denunciante.  Copia de póliza ***POLIZA.1 de FIATC a nombre de B.B.B. de vehículo con matrícula ***MATRICULA.1, en situación de baja desde 23/2/
8. Se comprueba por la Inspección que coincide con el documento aportado por el afectado.
9. En relación con la solicitud de copia de toda la documentación que pueda acreditar el consentimiento otorgado por el denunciante para la contratación de la póliza y la emisión de recibos, dicha documental debería haberla aportado a FIATC el mediador Sr. A.A.A., sin embargo no lo hizo. Es el mediador, quién recogía materialmente, físicamente los datos del potencial asegurado, a través de la correspondiente Solicitud de Seguro que a tal fin le facilita FIATC, solicitudes que suponen formularios de recogida de datos, y que llevan incluidas las correspondientes cláusulas LOPD (al amparo del artículo 5 de la Norma y concordantes), así como incluyen un campo destinado a la firma del interesado. El mediador es un encargado del tratamiento de FIATC, que es la Responsable, como así lo dispone el legislador (artículos 62 y 63 de la Ley 26/2006 de Mediación de Seguros y Reaseguros Privados). Y como así se recoge en el contrato de agencia suscrito en su día con dicho mediador. Pero es el mediador quién lógicamente realiza la tarea de recoger materialmente el dato. FIATC en actitud de cumplir con el deber ‘in vigilando” de sus encargados, establecido por la legislación sobre protección de datos (por el RD 1720/2007), trató de que dicho mediador cumpliera con el deber de informar al potencial asegurado de los extremos del artículo 5 de la LOPD, y de que obtuviese su consentimiento, obviamente, para la contratación del seguro. Y lo mismo en relación al consentimiento sobre el modo de pago del seguro, ya que FIATC dota a sus agentes de los documentos que sean menester a tal efecto (por ejemplo ordenes SEPA, etc.). Los agentes no trabajan en las dependencias de FIATC, tienen oficinas propias, o se desplazan, son proveedores, no empleados. De una lectura rápida acerca de la actividad mediadora, en esencia de su ley reguladora, la ya citada Ley 26/2006, queda C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/8 claro que es el mediador quién recogerá físicamente el dato del interesado, y FIATC se preocupa de darle al mediador los documentos informativos o de obtención en su caso del consentimiento necesarios para cumplir dichos deberes En el caso que nos ocupa, el mediador notificó a FIATC la supuesta nueva contratación de un seguro con el hoy denunciante (es decir facilitó a FIATC los datos), en fecha de entrada 23/02/2015, a través de un sitio web de FIATC, al que el mediador estaba conectado. Para que un mediador pueda notificar tal alta es menester que marque un campo o casilla obligatorio (sin su marcaje no se puede avanzar en la notificación). Dicha casilla es un JURAMENTO del mediador conforme como encargado de FIATC ha cumplido con el deber informativo y en su caso ha obtenido el debido consentimiento, a efectos LOPD. Si no, no puede pedir el alta de un seguro. Se adjunta como documento n° 2 pantallazos de las aplicaciones de FIATC en materia de notificaciones, que evidencian la realidad de tales extremos ahora indicados, acerca de este sistema obligatorio de “check box”. El mediador debía acudir posteriormente a las dependencias de FIATC para entregar la documental original firmada por el cliente. Como es lógico, el mediador no siempre puede entregarla a FIATC en el acto. Un mediador puede recibir a un cliente una tarde en su oficina, en horario en el que incluso FIATC puede estar cerrada al público o a proveedores, y ese cliente que acude al mediador puede solicitar un seguro para ese mismo día o el siguiente. El mediador, por lógica, puede suceder que no pueda acudir de inmediato a los locales de FIATC, puede tardar incluso unos días (por razones de agenda, de festivos, de salud, imprevistos, etc.). Entre agente y Asegurador existe una relación jurídica de confianza. Según pacífica doctrina de la Dirección General de Seguros, o jurisprudencia de los tribunales civiles o mercantiles, la naturaleza del vínculo entre FIATC y el mediador es a la vez la del mandato (siendo el mediador el mandatario) y también la de la comisión mercantil, y por supuesto también es un contrato mercantil de agencia y en concreto de mediación de seguros. Y como en cualquier contrato, y más cuando se está ante un mandato o encargo, que además supone una suerte de contrato de agencia y de mediación de seguros, es normal que rija el principio de la buena fe, y el de la equivalencia de las contraprestaciones. En base a tales principios, si FIATC le entrega al mediador documentos para que en la recogida de los datos se cumpla con la LOPD, y si le hace firmar juramentos conforme así lo ha cumplido, y se le exige luego la entrega de dichos documentos, es de esperar que el mediador cumpla con todo ello. Es una cuestión de confianza que en el tráfico mercantil debe existir. Pero en el caso que nos ocupa, el mediador no sólo faltó al cumplimiento de sus deberes LOPD, sino que como se expondrá a continuación, el agente ha engañado a FIATC, no sólo al hoy denunciante, sino también a FIATC. Es decir falseó que el afectado deseaba una póliza con FIATC, siendo FIATC también víctima de tal acto, como el denunciante. Así es, el agente Sr. A.A.A. falseó una póliza para obtener una comisión de FIATC, de C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/8 modo que su engaño buscaba un perjuicio contra FIATC. En el caso del agente, por cada solicitud de alta recibía un adelanto (denominado subvención). Lo que el agente buscaba era cobrarla, disponer del dinero en mano. Y si a posteriori se descubría el engaño, no cobraría el resto de comisión, pero ya tenía el adelanto en su poder. Pero FIATC gracias a diversos acontecimientos, descubrió el engaño. A continuación procedemos a consignar tales acontecimientos. 1) Marzo 2015: El agente no entregó a FIATC ninguna documental suscrita por el afectado, es más puso muchas objeciones en relación con sus deberes básicos, corno por ejemplo no acudir a las dependencias de FIATC para reunirse con la Entidad. El seguro del denunciante debía iniciarse a finales de febrero de
10. Ante la actitud extraña del agente, en marzo de 2015 FIATC le bloquea el acceso al mediador a la web de FIATC, lo que significa en la práctica que ya no le permite realizar más contrataciones en nombre de FIATC. Se acompaña como documento nº 3, e-mail de FIATC de 19/03/2015 donde se aprecia que FIATC ordena que se bloquee el acceso a la web de la entidad. 2) Mayo 2015: El día 2, el hoy denunciante contacta con FIATC, y manifiesta que no ha tenido relación con ese mediador y que por tanto se ha falseado una supuesta póliza a su nombre. FIATC atiende su reclamación y da de baja dicha póliza sin acarrear ningún perjuicio económico contra el afectado. El 7 de mayo, FIATC da de baja a este agente por su comportamiento. Se acompaña corno documento n°4, copia de la reclamación del afectado de 2/5/2015 y respuesta de FIATC de 5/5/
11. FIATC en todo momento colaboró con el afectado, prestándole toda nuestra colaboración a tal efecto Al igual que en el presente escrito FIATC trata de aportar al denunciante y a la Agencia toda la información sobre los hechos de que dispone. 3) Mayo 2015: El día 11, la policía comunica a FIATC que ha abierto diligencias de investigación de estos hechos La policía pidió a FIATC su colaboración. Se acompaña corno documento n°5, copia del e-mail que envió la policía a FIATC a tal efecto, se trata de las Diligencias n° ***5 del Grupo de Policía Judicial de Sevilla-Sur. FIATC colaboró con la policía. La policía informó a FIATC que dicho agente tenía antecedentes policiales por hechos similares, en los que las víctimas eran otros supuestos clientes de MAPFRE.
12. Se adjunta como documento n°6 copia de la póliza de seguro cancelada del afectado, y como documento nº 7 copia del único recibo que se le envió. Como fue anulado se ha generado con ocasión de la presente respuesta una copia de dicho recibo para poder atender el presente requerimiento de información de la Agencia.
13. Se adjunta corno documento nº 8 el contrato de agencia de seguros del ex agente infractor y causante de todos estos hechos, Sr. A.A.A.. Se comprueba por la Inspección que el contrato de 1/11/2014 incluye en la cláusula 12ª la referencia a Protección de Datos-Acceso por cuenta de terceros. Se comprueba que la referencia al Reglamento es obsoleta: Real Decreto 994/1999 por el que se aprueba el Reglamento sobre Medidas de Seguridad de los C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/8 ficheros Automatizados.
14. Por cierto, en el registro público de mediadores de seguros de la Dirección General de Seguros y Fondos de Pensiones (en su web), se puede encontrar inscrito en la actualidad a dicho señor como agente actualmente de HELVETIA SEGUROS. Aparecen sus datos de contacto.>>
15. En el curso de las Actuaciones Previas E/02594/2016, con fecha 10/06/2016, se solicita la colaboración del Ayuntamiento de Sevilla, Padrón Municipal de Habitantes, teniendo entrada en esta Agencia con fecha 08/07/2016 un escrito en el que se informa que, respecto del denunciado, en el Padrón Municipal de Habitantes constan los siguientes datos: A.A.A. con NIF ***NIF.2, con domicilio en ***DIRECCION.1, con fecha de alta 03/12/
16. Mediante una diligencia en el BORME de Sevilla y el Registro Mercantil, se comprueba que el denunciado es administrador único de la entidad POLYSALUD BROKERS SOCIEDAD LIMITADA, con CIF ***CIF.1 con domicilio ***DIRECCION.
17. TERCERO: Con fecha 22/02/2017, la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador a FACR por la presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.b), pudiendo ser sancionada con multa de 40.001 € a 300.000 €. CUARTO: La notificación hecha a FACR en el domicilio que constaba en el Padrón Municipal de Sevilla del acuerdo de inicio del PS/00655/2016 dictado por la Directora de la AEPD, resultó infructuosa. La notificación se intentó sin efecto. La empresa de mensajería hizo constar en el albarán de entrega que en ese domicilio el destinatario, FACR, era “desconocido”. La notificación se efectúa mediante la inserción en el B.O.E. de un anuncio. Se publica en el B.O.E. de 13/03/
18. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II La Ley 39/2015, de Procedimiento Administrativo Común de las C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 7/8 Administraciones Públicas (LPACAP), establece en el artículo 84, bajo la rúbrica “Terminación”: “
19. Pondrán fin al procedimiento la resolución, el desistimiento, la renuncia al derecho en que se funde la solicitud, cuando tal renuncia no esté prohibida por el ordenamiento jurídico y la declaración de caducidad”. (El subrayado es de la AEPD) La LPACAP dedica los artículos 87 a 92 a regular una de las formas de terminación que enumera el artículo 84: “La Resolución”. Uno de esos preceptos, el artículo 89 LPACAP, dispone en su apartado 1 que se “resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las circunstancias siguientes: (…) e) Cuando se concluyera, en cualquier momento, que ha prescrito la infracción” (El subrayado es de la AEPD) A propósito de la prescripción se ha de indicar que el plazo de prescripción de las infracciones graves -carácter que tiene la vulneración del artículo 6.1 LOPD, de la que se responsabilizaba a FACR- es de dos años (ex artículo 47 LOPD), por lo que, siendo la fecha inicial del cómputo del plazo de prescripción el 23/02/2015 –fecha en la que FACR, en su condición de mediador, facilita a la aseguradora FIATC los datos personales del afectado-, la prescripción se habría producido el 23/02/
20. El acuerdo de inicio abierto a FACR por infracción del artículo 6.1 LOPD –PS 655/2016 que nos ocupa- se firmó por la Directora de la AEPD el 22/02/2017 y se notificó el 23/02/2017 en la dirección que, a tenor de la información facilitada por el Padrón Municipal de Habitantes, era el domicilio del denunciado en
21. La notificación resultó infructuosa, pues como hizo constar el empleado de la empresa de servicios postales la persona del denunciado era desconocida en ese domicilio. Se procedió entonces a la notificación mediante la inserción de un anuncio en el BOE que se publicó en fecha 13/03/
22. Por tanto, habida cuenta de que cuando el acuerdo de inicio del PS/655/2016 se notifica (el 13/03/2017) la presunta infracción de la LOPD de la que se responsabilizaba a FACR estaba prescrita, al amparo del artículo 89.1.e) de la LPACAP procede dictar resolución en la que se dé por finalizado el expediente sancionador PS/655/2017 con archivo de las actuaciones practicadas. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Acordar la finalización del procedimiento sancionador PS/00655/2016 con archivo de las actuaciones practicadas, de conformidad con el artículo 89.1.e) de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas, toda vez que en la fecha en la que se notificó el acuerdo de inicio del procedimiento sancionador la presunta infracción estaba prescrita. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución a A.A.A. con NIF ***NIF.
23. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es