PS-00672-2016

1/7 Procedimiento Nº PS/00672/2016 RESOLUCIÓN: R/01218/2017 En el procedimiento sancionador PS/00672/2016, instruido por la Agencia Española de Protección de Datos a la entidad SegurCaixa Adeslas, S.A., de Seguros y Reaseguros, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas 21 y 24 de marzo de 2016, respectivamente, se reciben escritos de A.A.A., en los que pone de manifiesto que, con fecha 27/03/2013 ejercitó derecho de cancelación ante CAJACANARIAS-LA CAIXA, (no obstante, no aporta acreditación de contestación por parte de la entidad). Con fecha de febrero de 2016, recibe un escrito publicitario remitido por Caixabank, S.A. adjunta copia del citado escrito publicitario SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias, teniendo conocimiento de que: 1. Con fecha 05/08/2016, se recibe escrito de CaixaBank en el que pone de manifiesto que: 1.1. En los ficheros de la entidad no consta información asociada al denunciante. 1.2. El envío de la publicidad remitida al denunciante, se realizó en el marco del contrato suscrito entre SEGURCAIXA ADESLAS, S.A., SEGUROS Y REASEGUROS, y CaixaBank, cuya copia se adjunta, por el que ambas partes acordaron una colaboración comercial, concretada en la comunicación, por parte de SegurCaixa, de datos de carácter personal de sus clientes, a favor de CaixaBank, a efectos de que ésta realizara, sobre dichos clientes, actividades de promoción comercial de sus productos y servicios. 1.3. El consentimiento de los citados clientes se llevó a cabo en los términos previstos en la cláusula 2.4. del contrato suscrito con ellos. 2. Con fecha 30/08/2016, se recibe en esta Agencia escrito de SegurCaixa ADESLAS, S.A., DE SEGUROS Y REASEGUROS, en el que pone de manifestó que: 2.1. El denunciante cuenta con las siguientes pólizas : Contrato de póliza de Decesos, con mención de cesión de datos a CaixaBank. Se remite copia de la misma de fecha 02/12/2014, en el que consta la siguiente leyenda: ..el tomador/asegurado consiente la comunicación de sus datos identificativos (nombre, apellidos, productos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 contratados, datos generales de la póliza, dirección, número de teléfono y móvil, email), sin necesidad de comunicar cada primera cesión que fuera a efectuarse, a las entidades SegurCaixa Adeslas, S.A. de Seguros y Reaseguros con Nif: A-****** y domicilio en Barcelona (C/...1) (seguros no vida) y CaixaBank, S.A. con Nif: A-*****1 y domicilio en Barcelona, (C/...2) (servicios bancarios y financieros) y a las empresas, entidades o fundaciones del Grupo Caja de Ahorros y Pensiones de Barcelona……”. Concierto ISFAS al cual está vinculada la póliza de Asistencia Sanitaria del asegurado. TERCERO: Con fecha 1/02/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SEGURCAIXA ADESLAS, S.A., SEGUROS Y REASEGUROS con arreglo a lo dispuesto en el artículo 127 RDLOPD por la presunta infracción del artículo 11 de la LOPD en relación con el artículo 15 RDLOPD, tipificada como grave en el artículo 44.3

1. k)de la citada Ley. CUARTO: Con fecha de 27/02/2016 SEGURCAIXA ADESLAS, S.A., SEGUROS Y REASEGUROS presento escrito de alegaciones, en las que manifestaba, en síntesis, lo siguiente: -El denunciante no formula reproche alguno a SEGURCAIXA, sino que pone su atención a CAIXABANK por el envío publicitario a pesar de haber ejercido el derecho de oposición. -La cesión denunciada se realizó con el consentimiento previo del denunciante de acuerdo con el procedimiento previsto en el art. 14 del RDLOPD. En cuanto a la obtención de los datos, éste consta como cliente asegurado a través de ISFAS y como asegurado en una póliza de decesos. En el año 2011 mediante carta se informó a los clientes que, salvo oposición, los datos de contacto serían utilizados por SEGURCAIXA para fines comerciales, así como para comunicarlos a CAIXABANK para que ésta remitiera publicidad de sus productos financieros. La entidad habilito un teléfono gratuito para manifestar dicha oposición y el canal habitual de los derechos ARCO. El denunciante no manifestó su oposición, y se cumplieron los requisitos del art. 14 del RDLOPD. La AEPD valido dicho procedimiento utilizado para obtención del consentimiento en el PS/558/2014. Por todo ello procede el archivo del presente expediente sancionador. QUINTO.- En fecha de 29/03/2017 se inició un periodo de practica de pruebas, dándose por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 ante SegurCaixa Adeslas, S.A., de Seguros y Reaseguros, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01957/2016 las alegaciones al acuerdo de inicio PS/00672/2016 presentadas por SegurCaixa Adeslas, S.A., de Seguros y Reaseguros, y la documentación que a ellas acompaña. Se incorporó PS/558/2014. al expediente las actuaciones del Procedimiento Sancionador Se incorporó al expediente las alegaciones formuladas por CAIXABANK en el Procedimiento Sancionador PS/671/2016. SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS Uno.- El denunciante figura en los sistemas de SEGURCAIXA en virtud de dos pólizas de seguros, una derivada del concierto con ISFAS y otra de Decesos. Dos.- Mediante contrato de 23/01/2013 SEGURCAIXA y CAIXABANK acordaron una colaboración comercial a los efectos de que esta pudiera remitir comunicaciones comerciales a los clientes de aquella que no se hubieran opuesto a la cesión de sus datos para acciones comerciales. En el contrato figura que se obtendrían dichos consentimientos en virtud de la forma tácita que permite el art. 14 RDLOPD. El contrato supone la comunicación de datos personales de clientes de SEGURCAIXA a CAIXABANK. Tres.- Consta un contrato de ejecución de fecha de 24/04/2013, donde se indica que en el momento de la firma del mismo, se produce la comunicación de los datos por parte de SEGURCAIXA a CAIXABANK a los efectos de iniciar la ejecución del contrato de fecha 23/01/2013. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Dispone el artículo 15 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RDLOPD), que dispone que: Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. En el presente caso, hay que acudir a las contrataciones de los productos de los que es cliente el denunciante y analizar su adecuación a lo dispuesto en el precepto arriba transcrito. Respecto de la póliza de Decesos (NÚM. 308824), consta en las condiciones particulares de fecha 2/12/2014 información relativa a la cesión de los datos a (…) empresas, entidades o fundaciones del Grupo de Caja de Ahorros y Pensiones de Barcelona (…) con la finalidad de que puedan dirigirle, mediante cualquier medio de comunicación (postal, telefónico, electrónico, etc.), información comercial de sus productos y servicios) Por tanto aquí se acredita una finalidad distinta al mantenimiento de la relación contractual. Y añade lo siguiente (…) usted podrá manifestar su oposición por escrito, de forma gratuita a través del sobre prefranqueado que se le remitirá a su domicilio junto con la documentación contractual que deber devolver debidamente firmada a SEGURCAIXA ADESLAS (…). Aquí se acredita que la orden de pago y las condiciones particulares son de diciembre de 2014 y en ese momento no se ofrece un medio de oposición al tratamiento para finalidades distintas de la relación contractual, sino que se supedita a un momento posterior, es decir, cuando se reciba la restante documentación que incluirá un sobre pre franqueado al efecto.- circunstancia no probada en el presente caso-. Respecto de la póliza derivada del concierto de asistencia con ISFAS no consta información. En conclusión, el procedimiento descrito en la citada póliza de Decesos no puede servir de cobertura para la cesión de los datos personales del denunciante en los términos del art. 15 del RDLOPD. III Dispone el artículo 11.1 de la LOPD, lo siguiente 1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. Según afirma SEGURCAIXA en este procedimiento y CAIXABANK en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 procedimiento sancionador nº PS/671/2016, del origen de los datos del denunciante para el tratamiento de datos con finalidades publicitarias realizado por CAIXABANK, está en el contrato con SEGURCAIXA de fecha 23/01/2013 (y posterior contrato de ejecución de 24/04/2013) sobre la cesión previa de esta en favor de aquella, todo ello al abrigo del consentimiento tácito obtenido mediante la fórmula prevista en el art. 14 RDLOPD, y no a raíz de la aceptación de las condiciones particulares de la póliza de decesos – entre las que se encuentra la cesión de datos a CAIXABANK -, que como se ha puesto de manifiesto antes, no cumple con las exigencias del art. 15 del RDLOPD. En el contrato de fecha 23/01/2013 PRIMERA (…) Únicamente SCA incorporara en el citado CD aquellos datos de sus clientes que hayan autorizado la comunicación de datos de carácter personal con la finalidad publicitaria y comercial recogida en el presente contrato. Asimismo SEGURCAIXA manifiesta que la Agencia validó en el procedimiento sancionador nº PS/00558/2014, la obtención del consentimiento a través de la formula consistente en el envío de una carta para la obtención de un consentimiento tácito. Frente a ello debe indicarse que en el procedimiento sancionador citado, se produjo el archivo del mismo en base a la adecuación del contenido de la carta (requisitos de información, y de tamaño de letra). Dicha circunstancia no implica, que todos los titulares de datos que fueron cedidos a CAIXABANK por virtud del contrato, hayan sido informados como requiere el art. 14 del RDLOPD, sobre todo para el caso del Sr. A.A.A. que no se ha aportado prueba alguna en ese sentido, de un tercero imparcial como en aquel caso, no pudiendo obviar el principio probatorio de la carga de la prueba, consistente en que “aquel que afirma algo debe probarlo”. Por ello la cesión producida no encuentra amparo en la obtención del consentimiento tácito alegado por SEGURCAIXA. IV Ahora bien, de acuerdo con el artículo 44.3 k de la LOPD, es una infracción grave, La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave. Por su parte, el artículo 47 de la LOPD establece lo siguiente: 1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 3. Interrumpirá la prescripción la iniciación, con conocimiento de interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses, por causas no imputables al presunto infractor. En el presente caso, debe considerarse que la cesión se ha producido en virtud del contrato de ejecución de fecha 24/04/2013 en cuya clausula PRIMERA se hace constar (…)1.1 En este acto SCA hace entrega a CAIXABANK de un soporte en CD con un total de 541.805 registros, conteniendo a cada uno de dichos registros la identificación de sus clientes con los datos personales que se detallaban en el apartado 1.2 de la estipulación primera(…) Por lo tanto para fijar el “dies a quo” del cómputo de plazo de prescripción de dos años para las infracciones graves, ha de tenerse en cuenta la fecha en la que se produce la cesión, el 24/04/2013 y el “dies ad quem” en fecha de 24/04/2015. Por ello, una vez notificado el Acuerdo de Inicio del presente procedimiento sancionador en fecha de 1/02/2017, acontece la prescripción de la infracción de acuerdo con lo dispuesto en el artículo 47 de la LOPD y la solución procedente en derecho es el archivo de las actuaciones. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR EL PROCEDIMIENTO a la entidad SegurCaixa Adeslas, S.A., de Seguros y Reaseguros, por la prescripción de la infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3
3. k)de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a SegurCaixa Adeslas, S.A., de Seguros y Reaseguros y a quienes aparezcan como interesados en el procedimiento administrativo. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es