1/6 Procedimiento nº.: PS/00117/2016 ASUNTO: Recurso de Reposición Nº RR/00666/2016 Examinado el recurso de reposición interpuesto por la entidad MGS SEGUROS Y REASEGUROS, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00117/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 24/08/2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00117/2016 , en virtud de la cual se imponía a la entidad MGS SEGUROS Y REASEGUROS, S.A., una sanción de 50.000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b) de la LOPD, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 26/08/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. SEGUNDO: Como hechos probados del citado PS/00117/2016, quedó constancia de los siguientes: procedimiento sancionador, 1. La denunciante indica que dio los datos de su esposo D A.A.A. a BANKIA para contratar un seguro del hogar con MGS, póliza acabada en 74, manifestando que la anularon pues le daban efectos de 30/12/2012
(1)y pese a ello se le cargó en su cuenta de BANKIA 185,18 euros, aportando copia del apunte en la cartilla
(5), figurando una anulación del cargo el 16/01/2013
(6). Aporta copia del contrato de dicha póliza firmado el 27/12/2012 constando los datos bancarios ***CCC.1, y copia de escrito de MSG de 7/03/2013 dirigido al titular indicando que el seguro queda sin efecto
(11). En el contrato figura operador de Banca seguros vinculado: CAJA RIOJA, si bien la denunciante aporta cargo del seguro en una cuenta de BANKIA (en la que CAJA RIOJA se había integrado (289,290, 339 a 341) en la que se aprecian extractos de movimientos bancarios desde 31/12/2012 a 25/02/2013, constando 5 cargos por dicha cantidad y 4 retrocesiones de 185,18 € (5 a 7). 2. La denunciante denuncia que MGS ha dado de alta con sus datos una póliza del hogar acabada en 43, sin su consentimiento y figurando ella como titular
(1)cobrando una cantidad de 185,18 € de forma indebida. (1, 40, 44, 50 a 56).
- La denunciante aporta copia de requerimientos de pago por 199,40 € de MGS de la póliza de seguro de hogar 43, fechados a 7/03 y 2/04/2014 (28,30).
- La denunciante puso en conocimiento de la denunciada la no concertación de la póliza bajo su titularidad en 2/09/2014 en su contestación a la demanda que le había C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 interpuesto en el Juzgado a la denunciante
(34). También en carta de reclamación al Defensor del Cliente el 1/10/2015 (50 a 57), indicando este que daba traslado a MGS y que efectivamente disponía de dicho documento
(142), disponiendo también MGS de otro escrito de la denunciante de 17/10/205 (58, 59, 144-145). Antes, se acredita el envío de la denunciante a MGS de otro escrito fechado el 30/12/2014, en el que manifiesta la no contratación de la póliza 43, el cobro indebido de 185,18 y la devolución de dicha cantidad, recibido por la entidad el 5/01/2015
- Consta acreditado que MGS reclamó al Juzgado de Primera Instancia 4 de Logroño, monitorio 713/2014 B contra la denunciante a la que solicita el pago de 199,40 € por la póliza de seguro del hogar acabada en 43 a nombre de la denunciante, con efectos 1/02/
- De acuerdo con la demanda dirigida al Juzgado por MGS el 12/06/2014, se manifiesta que no se pagó el recibo del periodo 1/02/2014 a 1/02/
- La sentencia 103/2015 de 25/05/2015 considera que MGS no acredita la realidad del contrato suscrito y en concreto la efectiva aceptación del mismo absolviendo a la demandada de los pedimentos
(38).
- La denunciante y la denunciada aportan copia de condiciones particulares del contrato de seguro y /o “Proyecto” de seguro del hogar a su nombre, que figura sin firmar, fechado a 31/01/2013, con efectos de póliza desde 1/02/2013 a 1/02/2014 con importe de 185,18 €, y los datos bancarios ***CCC.1 (22 y 24, 92 a 95, 97 a 131), mientras que en la solicitud cuestionario de dicho seguro, aportado por la denunciada, no consta su fecha, figuraba una firma al lado del tomador que no se asemeja ni a la firma que de la denunciante obra en su DNI ni a la que figura en la denuncia (89 a 91, 2 y 4). En operador de Banca seguros vinculado figura CAJA RIOJA, si bien la denunciante aporta cargo del seguro en una cuenta de BANKIA donde se observan cargos y retrocesiones de dicha cantidad. Como copia de contrato de seguro firmado no consta presentación de documento alguno
- Los datos de la denunciante figuran en los sistemas de MGS como tomador de una póliza de Hogar con número ***PÓLIZA.
- El mediador fue CAJA RIOJA (integrada en BANKIA). Fecha efectos póliza 1/02/2013 y en último recibo cobrado 1/02/2013
(87). Manifiesta la denunciada que se cobró la prima emitida en 2013 de 185,18 € en la cuenta designada por la tomadora en la solicitud del seguro. 2. BANKIA detalla en escrito de 5/03/2015 que la póliza 43 a nombre de la denunciante no ha sido contratada en BANKIA y su intermediación no consta.
(49), si bien CAJA RIOJA se había integrado en BANKIA y en las condiciones de las copias de los contratos figuraba como mediador CAJA RIOJA. 3. La denunciante dirigió a MGS escrito de 30/12/2014, en que solicita la devolución de la cantidad de 185,18 € por la póliza 43
(40)entregado en MGS, según acuse de recibo el 31/12/2014.
(40)4. La denunciante aporta copia de escrito dirigido al Defensor del Cliente de MGS entregado el 7/10/2015 (50 a 56) reiterándolo en escrito de 17/10/2015 solicitando la devolución del cobro indebido de 185,18 € de la póliza seguro hogar 43, que le consta recibida a la denunciada (144-145, 5 a 7). Como respuesta del Defensor del Cliente de 28/10/2015 se informaba a la denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 que MGS le iba a retornar los 185,18 €,
(147)que se llevó a efecto tras reiteración de la solicitud por denunciante de 30/11/2015, finalmente, el 15/12/2015 (255, 260) según manifiesta la denunciante, a través de la entrega de un talón nominativo según manifestó la denunciada
(282). La denunciante manifiesta además, que para recibir la cantidad, se le pidió y se le fotocopió copia del DNI por parte de MGS. “ TERCERO: MGS SEGUROS Y REASEGUROS, S.A. presenta escrito de recurso de reposición que tiene entrada el 29/09/2016, presentado en el servicio de Correos el 26 del mismo mes. Reitera lo manifestado, y añade:
- a)A la fecha de interposición de la denuncia estaba todo solucionado y recurrente ya había retornado la prima cobrada. la
- b)En la resolución no se establece algún grado de culpa o negligencia de la denunciada ni resulta cuantificado. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En cuanto a que la infracción la cometió el encargado de tratamiento, se reitera la respuesta contenida en el fundamento de derecho III. “En cuanto a la imputabilidad de la responsabilidad por el tratamiento de datos que la denunciada pretende desviar al mediador del seguro, se ha de tener en cuenta en primer lugar la constancia de datos en sus sistemas, que ella emitió recibos con dichos datos, que efectuó requerimientos de pago a la denunciante, incluyendo su reclamación judicial. En segundo lugar que los datos desde su recogida se incluyen en un fichero titularidad de la denunciada según obra en el contrato de mediación firmado, con independencia de las responsabilidades que pueda exigir a dicho mediador. En relación con ello, la LOPD señala que es responsable del fichero o del tratamiento: “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.”(Artículo 3.d LOPD) y en este supuesto, todas esas acciones suponen un tratamiento sobre el que decidió la denunciada, siéndole exigible la responsabilidad a la misma. Además, como se ha puesto de manifiesto anteriormente, no existe copia de contrato firmado, sino una solicitud de cuestionario de seguro, cuya firma no se asemeja C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 a la del DNI. Por lo demás, la copia del DNI no se acredita que se hubiera obtenido en el momento de la contratación y para dicho trámite. En primer lugar, no consta fecha de recepción o sello del citado DNI, tampoco se acredita que figurara insertado en el correo electrónico que el mediador del seguro CAJA RIOJA envía a MGS el 30/01/2013, documento que se aportó por primera vez en la propuesta de resolución y en el que no se aprecia que se contuviera DNI alguno. Finalmente, se debe tener en cuenta que la denunciante era titular de una cuenta en CAJA RIOJA, entidad que posiblemente dispusiera de dicho DNI, así como las manifestaciones de la denunciante sobre la obtención del DNI cuando se le entrega el talón el 15712/2015, y que nada de ello figura en la sentencia recaída en el asunto. Así, no se acredita que dicha copia del DNI pueda considerarse que se obtuvo en el proceso de obtención del consentimiento. La denunciada, sobre la base de una sentencia que analizó los elementos del consentimiento en relación con el seguro discutido es terminante y no consta aspecto alguno relacionado con lo que alega la denunciada. Dicha sentencia de la que no consta fuera recurrida por la denunciada es terminante en cuanto a la valoración del consentimiento y determina que no existe prueba alguna que coadyuve a que pueda considerarse que la denunciada hubiera otorgado su consentimiento para dicho acto. A tal efecto, la denunciada en sus alegaciones no menciona en ningún momento dicha sentencia cuando lo cierto es que sus efectos desde su declaración suponen que el tratamiento debe ser cancelado pues era improcedente.” III Sobre la valoración de la culpabilidad o falta de diligencia, expresamente se refiere a ella el fundamento de derecho V que se da por reproducido “Cabe indicar que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. A este respecto, el Tribunal Supremo viene declarando como en la Sentencia de 13/04/2005 -recurso nº. 241/2003 -, que es exigible a las entidades que operan en el mercado de datos de datos de carácter personal una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26/11/2008). Y ello porque, siendo el de la protección de los datos personales un derecho fundamental (STC 292/2000, de 30/11), los depositarios de esos datos -más aún cuando se trata de empresas habituadas o dedicadas específicamente a la gestión de datos de carácter personal deben ser especialmente diligentes y cuidadosos a la hora de realizar operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En tal sentido la sentencia de 5/2015 reconoció no figurar acreditada la concertación de contrato alguno por la denunciante, y la denunciada no acredita modo alguno de obtención de su consentimiento. En contra de lo alegado por la denunciada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 respecto a la falta de intencionalidad, para la comisión de la infracción, no es determinante dicho elemento, pues estas infracciones se pueden cometer por falta de diligencia. “ La concurrencia de las causas alegadas para la aplicación del 45.5.
- a)de la LOPD que eventualmente coadyuven a su aplicación, han de ser cualificadas, en el sentido de importantes o decisivas. Así, en este acaso no se puede decir que no se ocasionaron daños y perjuicios pues la denunciante tuvo que solicitar el reembolso de la prima ante el Banco desde el mismo mes de febrero de 2013, luego insistir a la denunciada, y ante la falta de efectividad de esta, ante el Defensor del Cliente ante el que tuvo que insistir también en la respuesta y efectividad del extorno, que se produce en 15/12/2015, teniendo en cuenta que había recaído la sentencia en mayo 2015 que era suficientemente clara sobre la consideración de la supuesta contratación.” Asimismo se tiene en cuenta dicha circunstancia en el análisis del artículo 45.4, en su párrafo 3 que precisaba: “3. En relación con el grado de intencionalidad (apartado 4.f), recordar con la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrió en una grave falta de diligencia. Extremo este que se evidencia del relato de hechos probados, que pone de manifiesto que tras la sentencia se desoyeron las peticiones de la denunciante sobre reintegro de la prima indebidamente cobrada.” IV Por lo tanto, en el presente recurso de reposición, MGS SEGUROS Y REASEGUROS, S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por MGS SEGUROS Y REASEGUROS, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 24/08/2016, en el procedimiento sancionador PS/00117/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad MGS SEGUROS Y REASEGUROS, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es