← España

REPOSICION-PS-00330-2015

1/18 Procedimiento nº: PS/00330/2015 ASUNTO: Recurso de Reposición Nº RR/00055/2016 Examinado el recurso de reposición interpuesto por la entidad CAIXABANK, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00330/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 30 de noviembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00330/2015, en virtud de la cual se imponía a la entidad CAIXABANK, S.A., una sanción de 20.000 € por la infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.

  1. k)de la LOPD, de conformidad con lo establecido en el artículo 45.5 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 03/12/2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00330/2015, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. En fecha 04/07/2014, tuvo entrada en esta Agencia Española de Protección de Datos escrito del afectado en el que denunciaba la contratación de dos seguros de hogar, correspondientes a viviendas diferentes y ambas con hipotecas contratadas en CAIXABANK, sin su consentimiento por CAIXABANK y SEGURCAIXA ADESLAS siendo cargados en su cuenta dos recibos en concepto de prima mensual de los citados seguros (folios 1 a 6). SEGUNDO. El denunciante ha aportado copia de su DNI nº ***DNI.1, con domicilio en (C/...1)-Zaragoza, coincidente con el que figura en el escrito de denuncia (folios 7 y 8). TERCERO. El denunciante aporta copia de una carta de CAIXABANK de 12/05/2014, dirigida al denunciante en el que se indica: “En relación a su Préstamo Hipotecario nuestro departamento de riesgos ha observado la carencia del seguro de hogar obligatorio por Ley actualizado. Por ello se ha constituido un seguro de hogar” (folio 9 y 10). CUARTO. Constan aportados copias de 2 Comunicados de seguros Recibo de Prima remitidos al denunciante por CAIXABANK, OPERADOR BANCA-SEGUROS de VidaCaixa y autorizado de SEGURCAIXA ADESLAS, recibos adeudados en la cuenta titularidad del denunciante, por seguros de hogar completos: el primero, con referencia al préstamo hipotecario ***PRÉSTAMO.1, vivienda situada en (C/...2), póliza ***PÓLIZA.1, nº de recibo 1º, periodicidad mensual, importe 17,72 euros, figurando los datos del denunciante como tomador y, el segundo, con referencia al préstamo hipotecario ***PRÉSTAMO.2, vivienda situada en (C/...1), póliza ***PÓLIZA.2, nº de recibo 1º, periodicidad mensual, importe 21,01 euros, figurando los datos del denunciante como tomador (folios 23 y 24). QUINTO. Constan aportadas copias de las Condiciones Particulares correspondientes a 2 seguros SegurCaixa Hogar Completo, pólizas números ***PÓLIZA.1, en relación con la vivienda situada en (C/...2), y ***PÓLIZA.2 en relación con la vivienda situada en (C/...1), de duración anual renovable, efectos desde el 28/05/2014 a 28/05/2015, como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 mediador de las mismas figura CAIXABANK, OPERADOR BANCA-SEGUROS y como tomador y asegurado el denunciante. No consta la firma del tomador en ninguna de ellas (folios 11 a 22). SEXTO. Consta escritura con garantía hipotecaria formalizada en Zaragoza, ante el Notario D. C.C.C., el 07/09/2007, por CAIXABANK y el denunciante y su esposa, en relación con la vivienda situada en (C/...1); en las Clausulas Generales, Séptima.Obligaciones de la Parte Prestataria, se señala que: “La parte prestataria queda obligada a: 1. Asegurar de incendios la finca hipotecada, a satisfacción de la “Caja”, por cantidad superior a su “valor de tasación a efectos del seguro”(equivalente al denominado “coste de construcción”), y pagar sus primas, exhibiendo los justificantes de dicho pago cuando la “Caja” lo exija, la cual ser beneficiaria para el caso de siniestro, en la cuantía de lo que en aquel momento se le adeude por razón del préstamo; cláusula que deber contenerse en la oportuna Póliza que al efecto se venga a suscribir. Caso de incumplimiento de dicha obligación, la Caja queda expresamente facultada para sustituir, a cargo de la prestataria, los referidos pagos, quedando igualmente autorizada por esta con carácter irrevocable para comprobar con la misma compañía Aseguradora, la vigencia de la póliza y de los pagos de las primas. Seguro que deberá mantenerse vigente hasta la integra cancelación de la operación que ahora se formaliza”. (folios 35 y ss). Cláusula que prácticamente se reproduce igual en la escritura con garantía hipotecaria formalizada en Zaragoza, el 25/07/2008, ante el Notario D. D.D.D., por CAIXABANK y el denunciante y su esposa, en relación con la vivienda situada en (C/...2) (folios 154 y ss). SEPTIMO. Consta Contrato de Agencia para la distribución de Seguros Generales suscrito entre CAIXABANK, OPERADOR BANCA-SEGUROS y SEGURCAIXA ADESLAS de fecha 14/07/2011; en la estipulación Undécima: Datos Personales, se señala que el citado Operador tendrá la condición de encargado del tratamiento de la Compañía Aseguradora, dando cumplimiento a lo previsto en el artículo 12 de la LOPD (folios 279 y ss.). OCTAVO. Ni CAIXABANK, OPERADOR BANCA-SEGUROS ni SEGURCAIXA ADESLAS han acreditado el consentimiento del denunciante para el tratamiento de sus datos. NOVENO. CAIXABANK, OPERADOR BANCA-SEGUROS ha aportado copia correos electrónicos de 2013 intercambiados entre el denunciante y una empleada de oficina de CAIXABANK, cuyo asunto es Seguros Caixa: 15/03/2013: “***NOMBRE.1, (al denunciante) Tal y como hemos hablado, le paso los datos de los seguros que tenéis contratados actualmente, y como quedarían en la Caixa,… (la empleada de la Caixa le informa de los importes de dos seguros de hogar sobre las viviendas propiedad del matrimonio, de dos seguros de vida, un seguro de automóvil y dos seguros dentales)…Si tenéis alguna duda, me llamas o me mandas un email…” 22/03/2013: “Hola ***NOMBRE.2: (a la empleada) Como te comente, he hablado con ***NOMBRE.3 sobre la renovación de los seguros y, para poder tomar una decisión al respecto, necesitamos que nos envíes las condiciones de los seguros (hogar y vida) para poder cotejar las coberturas. Muchas gracias de antemano por tu interés en este asunto…” 22/03/2013: “Buenos días: (al denunciante) Te adjunto la simulación, donde aparecen coberturas de ambos seguros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 Si quieres más información puedes mirar la página web de la Caixa: www.lacaixa.es o bien pasar por la oficina y te doy el libro que damos al contratar el seguro de hogar, en el que aparece todas las condiciones particulares de los seguros…” 26/04/2013: “Hola ***NOMBRE.2 (a la empleada) Siguiendo nuestra conversación de ayer, te comento que los importes de los seguros que nos han ofertado en otras compañías son los siguientes: (el denunciante le informa de las ofertas realizadas acerca de un seguro de vida para él y su mujer y dos seguros de hogar sobre las viviendas propiedad del matrimonio)…Si consideras que vuestra compañía de seguros puede igualar estos presupuestos házmelo saber y comentamos las opciones”. 03/05/2013: “***NOMBRE.1, (al denunciante) Aún no dispongo de la oferta, te la pasaré en cuento la tenga…” (folios 271 a 274). TERCERO: CAIXABANK, S.A. en su condición de Operador de Banca-Seguros (en lo sucesivo el recurrente), ha presentado en fecha 08/01/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones formuladas con anterioridad: que la condición de encargado del tratamiento en relación con la entidad aseguradora determina que no exista comunicación de datos, de conformidad con lo señalado en el artículo 12 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a XI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II En el presente procedimiento se imputa a CAIXABANK, OPERADOR BANCASEGUROS y autorizado de SEGURCAIXA, la comisión de una infracción del artículo 11.1 de la LOPD, que determina: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 2. El consentimiento exigido en el apartado anterior no será preciso:
  2. a)Cuando la cesión está autorizada en una Ley.
  3. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  4. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique... 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores”. En las Condiciones Particulares de las pólizas puestas en cuestión por el denunciante, se señala “Mediador: Caixabank, S.A. operador de banca seguros exclusivo” inscrito en el Registro Especial de la Dirección General de Seguros y Fondos de Pensiones con nº C********, “El mediador de seguro actúa como encargado del tratamiento de datos de carácter personal recabados con motivo de la formalización del contrato de seguro, siendo responsable del tratamiento la entidad aseguradora” (folios 16 y 22). La Ley 26/2006, de 17 de julio, de mediación de seguros y reaseguro privado, en su Subsección 4, relativo a los Operadores de banca-seguros, que contiene el artículo 25 Ejercicio de la actividad de agente de seguros como operador de banca-seguros, establece, en su punto 1: “1. Tendrán la consideración de operadores de banca-seguros las entidades de crédito y las sociedades mercantiles controladas o participadas por éstas conforme a lo indicado en el artículo 28 de esta Ley que, mediante la celebración de un contrato de agencia de seguros con una o varias entidades aseguradoras y la inscripción en el Registro administrativo especial de mediadores de seguros, corredores de reaseguros y de sus altos cargos, realicen la actividad de mediación de seguros como agente de seguros utilizando las redes de distribución de las entidades de crédito. La entidad de crédito sólo podrá poner su red de distribución a disposición de un único operador de banca-seguros”. Y en el artículo 62 relativo a la condición de responsable o encargado del tratamiento, señala: “1. A los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal: a. Los agentes de seguros exclusivos y los operadores de banca-seguros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 exclusivos tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en esta Ley”. (…). CAIXABANK, OPERADOR BANCA-SEGUROS no ha acreditado que dispusiera del consentimiento del denunciante para poder ceder y comunicar sus datos de carácter personal a la entidad SEGURCAIXA ADESLAS para la contratación de las pólizas de seguro SegurCaixa Hogar Completo, póliza ***PÓLIZA.1, en relación con la vivienda situada en (C/...2), y ***PÓLIZA.2 en relación con la vivienda situada en (C/...1), propiedad del denunciante. En el presente caso y a la luz de la documentación aportada, no se deduce el consentimiento del denunciante para facilitar sus datos a la aseguradora con la finalidad de la contratación de las pólizas de seguro de hogar. Además, hay que señalar que los correos electrónicos cruzados entre la empleada de la oficina de CAIXABANK y el denunciante carecen de valor probatorio alguno pues se remitieron un año antes de la contratación de los citados seguros. III El artículo 8 de la Ley 2/1981, de 25 de marzo, de Regulación del Mercado Hipotecario, señala que: “Los bienes hipotecados habrán de estar asegurados contra daños por el valor de tasación, en las condiciones que reglamentariamente se determinen”. Y el artículo 10 del Real Decreto 716/2009, de 24 de abril, por el que se desarrollan determinados aspectos de la Ley 2/1981, de 25 de marzo, de regulación del mercado hipotecario y otras normas del sistema hipotecario y financiero, determina que: “1. Los bienes sobre los que se constituya la garantía hipotecaria deberán contar con un seguro contra daños adecuado a la naturaleza de los mismos. Los riesgos cubiertos deberán ser, al menos, los incluidos en los ramos de seguro 8 y 9 del artículo 6.1 del Real Decreto Legislativo 6/2004, de 29 de octubre, por el que se aprueba el texto refundido de la Ley de ordenación y supervisión de los seguros privados, con excepción del robo. La suma asegurada deberá coincidir con el valor de tasación del bien asegurado excluido el valor de los bienes no asegurables por naturaleza, en particular el suelo. 2. El tomador del seguro notificará al asegurador la existencia del préstamo o crédito que grave el bien asegurado, y el asegurador dará traslado de aquella notificación al acreedor. 3. En el caso de falta de pago de la prima por el tomador del seguro, el asegurador lo notificará al acreedor antes de que haya expirado el plazo de gracia del pago de la prima. 4. En caso de siniestro, el tomador del seguro lo notificará al asegurador en los términos previstos en la póliza, y éste dará traslado de la notificación al acreedor”. La Ley 50/1980, de 8 de octubre, de Contrato de Seguro, señala: Artículo 40: “El derecho de los acreedores hipotecarios, pignoraticios o privilegiados sobre bienes especialmente afectos se extenderá a las indemnizaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 que correspondan al propietario por razón de los bienes hipotecados, pignorados o afectados de privilegio, si el siniestro acaeciere después de la constitución de la garantía real o del nacimiento del privilegio. A este fin el tomador del seguro o el asegurado deberán comunicar al asegurador la constitución de la hipoteca, de la prenda o el privilegio cuando tuviera conocimiento de su existencia. El asegurador a quien se haya notificado la existencia de estos derechos no podrá pagar la indemnización debida sin el consentimiento del titular del derecho real o del privilegio. En caso de contienda entre los interesados, o si la indemnización hubiera de hacerse efectiva antes del vencimiento de la obligación garantizada, se depositará su importe en la forma que convenga a los interesados, y en defecto de convenio en la establecida en los artículos 1176 y siguientes del Código Civil. Si el asegurador pagare la indemnización, transcurrido el plazo de tres meses desde la notificación del siniestro a los acreedores sin que éstos se hubiesen presentado, quedará liberado de su obligación”. Artículo 41: “La extinción del contrato de seguro no será oponible al acreedor hipotecario, pignoraticio o privilegiado hasta que transcurra un mes desde que se le comunico el hecho que motivo la extinción. Los acreedores a que se refiere este artículo podrán pagar la prima impagada por el tomador del seguro o por el asegurado, aun cuando éstos se opusieren. A este efecto, el asegurador deberá notificar a dichos acreedores el impago en que ha incurrido el asegurado”. Artículo 42: “En el caso de que la indemnización haya de emplearse en la reconstrucción de las cosas siniestradas, el asegurador no pagará la indemnización si el asegurado y los acreedores a que se refieren los artículos anteriores no se ponen de acuerdo sobre las garantías con las que aquéllas han de quedar afectadas a la reconstrucción. En caso de que no se llegue a un acuerdo se depositará la indemnización conforme a lo dispuesto en el artículo 40”. En el caso examinado, las escrituras de préstamo hipotecario, formalizadas en Zaragoza en fechas 07/09/2007 y 25/07/2008, sobre las fincas situadas en (C/...1), y (C/...2), en sus Cláusulas Generales, la cláusula Séptima.- Obligaciones de la Parte Prestataria, de redacción prácticamente idéntica, se establece que: “La parte prestataria queda obligada a: 1. Asegurar de incendios la finca hipotecada, a satisfacción de la “Caja”, por cantidad superior a su “valor de tasación a efectos del seguro”…y pagar sus primas….”. Ahora bien, ni las normas citadas anteriormente ni en las cláusulas de las escrituras hipotecarias suscritas, se autoriza a que el acreedor hipotecario pueda suscribir un seguro de daños en defecto del prestatario o deudor y, tampoco, en su caso, el incumplimiento de los compromisos contractuales adquiridos por parte del tomador del seguro, en virtud de lo indicado en las citadas clausulas o en los preceptos señalados, implica que el acreedor pueda contratar un seguro de daños en nombre del deudor y el correspondiente adeudo de la prima correspondiente en cuenta bancaria de su titularidad, sin su consentimiento. IV CAIXABANK, OPERADOR BANCA-SEGUROS ha alegado que en virtud de su condición de encargado del tratamiento y en el ámbito de la actividad de mediación que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 realiza para la aseguradora SEGURCAIXA ADESLAS habría que calificar como “comunicación de datos” del artículo 11.1 de la LOPD los tratamientos que realiza en favor de la aseguradora sino como “acceso a los datos por cuenta de terceros”, en virtud de lo previsto en el artículo 12 de la LOPD. Sin embargo, tal alegado no puede ser aceptado. Consta en los hechos probados que CAIXABANK, OPERADOR BANCA-SEGUROS suscribió un Contrato de Agencia con SEGURCAIXA ADESLAS cuyo objeto es la prestación de servicios relacionados con la mediación de contratos de seguro, quedando habilitada a través de su red de oficinas en todo lo relacionado con las propuestas o realización de trabajos previos a la formalización de un contrato de seguro y la formalización de operaciones de seguro para su comercialización y distribución. En virtud del mismo, son los empleados de cada sucursal, quienes median en la contratación de los seguros y realizan el contacto con los potenciales tomadores y/o asegurados, formalizando las solicitudes, recabando la firma de los tomadores/asegurados, su autorización para proceder al cobro de los recibos de la prima, mediante el cargo en cuenta corriente, etc. También corresponde a CAIXABANK, OPERADOR BANCA-SEGUROS, entre otras, la obligación de hacer llegar a la SEGURCAIXA ADESLAS la documentación de los contratos de seguros intermediados por CAIXABANK, OPERADOR BANCASEGUROS, quien habrá de prestarle asistencia en las cuestiones vinculadas a la mediación, colaborar en tareas de formación, etc. Ahora bien, en el ejercicio de dicha actividad CAIXABANK, OPERADOR BANCA-SEGUROS estaba obligado a solicitar el consentimiento del denunciante para la cesión de sus datos de carácter personal a SEGURCAIXA con objeto de la contratación de las pólizas nº ***PÓLIZA.1, en relación con la vivienda situada en (C/...2), y ***PÓLIZA.2 en relación con la vivienda situada en (C/...1), ambas en ZARAGOZA; consentimiento que no ha sido acreditado simplemente porque no lo recabaron ni el denunciante lo otorgó. En el contrato de Agencia para la distribución de Seguros Generales suscrito en Barcelona el 14/07/2011, entre CAIXABANK, OPERADOR BANCA-SEGUROS y SEGURCAIXA ADESLAS, en su cláusula undécima, DATOS PERSONALES, en su punto 11.2,
  5. a)se señala que: “En consecuencia, el Operador de Banca-Seguros deberá cumplir con las siguientes obligaciones en relación a los tratamientos de los Datos de los que la Aseguradora es “responsable” (conforme dicho término se define en la LOPD): (
  6. a)Llevará a cabo tratamientos de los Datos por cuenta de la Aseguradora siguiendo las instrucciones de la Aseguradora que ésta deberá impartir por escrito; En particular, será responsabilidad exclusiva de la Aseguradora facilitar por escrito al Operador de Banca-Seguros la información que éste deba transmitir -por cuenta de la Aseguradora- a los afectados para que la Aseguradora cumpla el artículo 5 de la LOPD y obtenga su consentimiento cuando así le sea requerido a la Aseguradora conforme a la LOPD” (el subrayado es de la AGPD). Por tanto, la infracción imputada a CAIXABANK, OPERADOR BANCASEGUROS resulta de la comunicación de datos de carácter personal, sin consentimiento del denunciante, a la entidad SEGURCAIXA ADESLAS, que a su vez es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 responsable del tratamiento de los datos personales del denunciante, que le fueron facilitados por CAIXABANK, OPERADOR BANCA-SEGUROS y que fueron utilizados por SEGURCAIXA ADESLAS para la contratación de las pólizas números ***PÓLIZA.1 y ***PÓLIZA.2 girando a la cuenta titularidad del denunciante los recibos de las primas correspondientes, que habían sido contratadas sin su consentimiento. Por todo ello, se imputa a CAIXABANK, OPERADOR BANCA-SEGUROS la comunicación de los datos del denunciante, sin su consentimiento ni autorización a SEGURCAIXA ADESLAS quien a su vez realizo un tratamiento de datos sin consentimiento, por cuanto utilizo los datos facilitados por CAIXABANK, OPERADOR BANCA-SEGUROS, entidad cuya actividad consiste, entre otras, en la de propuesta y realización de trabajos previos a la formalización de contratos de seguro y formalización de seguros diseñados por SEGURCAIXA ADESLAS. La conducta imputable a CAIXABANK, OPERADOR BANCA-SEGUROS, vulnera el artículo 11.1 de la LOPD. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 2/2011, el artículo 44.3.
  7. k)tipifica como infracción grave “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. A tenor del artículo 45.2 de la LOPD las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. La conducta de CAIXABANK, OPERADOR BANCA-SEGUROS ha vulnerado el artículo 11.1 de la LOPD, al ceder los datos del denunciante sin su consentimiento a SEGURCAIXA ADESLAS con la finalidad de contratar dos pólizas de seguro de hogar, infracción que, tras la reforma introducida por la Ley 2/2011, se encuentra tipificada en el artículo 44.3.
  8. k)de la Ley Orgánica 15/1999. VI Se imputa a SEGURCAIXA ADESLAS la vulneración del artículo 6.1 de la LOPD, que señala: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 (Rec 356/2006) en su Fundamento de Derecho Quinto señala que: “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. En el presente caso, SEGURCAIXA ADESLAS trató los datos del denunciante emitiendo las pólizas de seguro SegurCaixa Hogar Completo, póliza ***PÓLIZA.1, en relación con la vivienda situada en (C/...2), y ***PÓLIZA.2 en relación con la vivienda situada en (C/...1), atribuyéndole la condición de tomador y asegurado y cargando en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 cuenta bancaria de su titularidad los primeros recibos de la prima de carácter mensual correspondiente, sin que haya quedado acreditado que hubiera otorgado su consentimiento para el tratamiento de sus datos, vinculado a las citadas contrataciones. Por tanto, SEGURCAIXA ADESLAS no ha acreditado que cuente con el consentimiento del denunciante para el tratamiento de sus datos. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a la citada entidad tratar los datos del denunciante sin su consentimiento. VII Alega la representación de SEGURCAIXA ADESLAS que el hecho de que la entidad no interviniera en la contratación ni realizase ningún tratamiento supone que no es posible que pueda imponérsele la sanción que se pretende como responsable del fichero. Sin embargo, tal alegato no puede aceptarse; en el Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, en el apartado
  9. q)del artículo 5, señala lo siguiente: “
  10. q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. Por tanto, aunque SEGURCAIXA ADESLAS no realice materialmente el tratamiento, es responsable de la infracción que se deriva de la actuación realizada en atención a que como responsable del fichero es quien decide sobre la finalidad, contenido y uso del tratamiento, es decir, quien tiene capacidad de decisión sobre los datos registrados en su fichero. SEGURCAIXA ADESLAS ha tratado los datos del denunciante sin su consentimiento. La responsabilidad en la que haya podido incurrir, en su caso, el encargado del tratamiento (en este caso CAIXABANK, OPERADOR BANCASEGUROS), no le exime del cumplimiento de la normativa en materia de protección de datos personales, pues es la citada compañía aseguradora la que emitió la respectiva póliza conteniendo los datos del denunciante y no quien media en su contratación; los datos son incorporados a su fichero y quien los trata de forma automatizada, gira los correspondientes recibos y, la que correlativamente, debe asegurarse que aquel a quien se solicitan los datos para ser tratados por ella, los presta con consentimiento inequívoco y que dicha persona que están dando el consentimiento, efectivamente es el titular de los datos personales en cuestión. En este sentido, la A.N. en sentencia de 17/05/2013, recurso 25/2010, señala “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento” (el subrayado es de la AEPD). En el presente caso, tanto CAIXABANK, OPERADOR BANCA-SEGUROS, en su condición de encargado del tratamiento, como SEGURCAIXA ADESLAS, en su condición de responsable del tratamiento, son responsables de la infracción cometida de conformidad con las definiciones legales recogidas en los artículos 3 y 43 de la LOPD. De lo que se desprende que SEGURCAIXA ADESLAS también está sometido al régimen sancionador de la citada norma de conformidad con el artículo 43. VIII Alega la representación de SEGURCAIXA ADESLAS que no concurre culpabilidad en la actuación de su representada, ya que es preciso acreditarla a título de dolo o negligencia. Cabe señalar al respecto, entre otras, la Sentencia de la Audiencia Nacional dictada el 21/09/2005, Recurso 937/2003, que establece, “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
  11. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este sentido la Sentencia de la Audiencia Nacional, de fecha 03/06/2010 señala que “Se aduce en segundo lugar, la falta de intencionalidad amparándose en que se trata de un hecho aislado originado por un error cometido por parte de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, que se subsanó en el momento en que se tuvo conocimiento del mismo. Se hace referencia al principio de culpabilidad y además se alega que se han implementado más medidas para evitar que vuelva a ocurrir otro hecho similar. En cuanto al principio de culpabilidad cabe reseñar que la responsabilidad objetiva está proscrita, ciertamente, en el ámbito administrativo sancionador, siendo preciso la existencia del elemento culpabilísimo para que concurran los elementos de la infracción administrativa. Como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". En el caso de autos la infracción apreciada se puede cometer tanto de forma dolosa como culposa, siendo atribuible en este caso a título de culpa por falta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 diligencia, pues la conducta típica pudo haberse evitado atendidos los parámetros ordinarios de cuidado y precaución. Es más la propia parte reconoce que la no cancelación de los datos del denunciante se produjo por un error de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, error que no viene sino a traslucir esa falta de cuidado o diligencia que constituye la esencia de la culpa. Finalmente reseñar que este es el criterio seguido por la Sala en supuestos semejantes al presente”. Asimismo, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. Por tanto, es a SEGURCAIXA ADESLAS a quien le corresponde adoptar e implantar medidas adecuadas para obtener el consentimiento e identificación de sus clientes, sin que pueda constituir elemento alguno de atenuación de la responsabilidad, sino el cumplimiento de una obligación ordinaria exigible a las empresas, que como la denunciada, trabajan con grandes volúmenes de datos personales y, sin que pueda considerarse la adopción de estas medidas base para la apreciar disminución de la culpabilidad. En definitiva, se ha producido por parte de SEGURCAIXA ADESLAS un tratamiento de los datos de la denunciante, asociándolos a dos pólizas de seguros de hogar, emitiendo los correspondientes recibos de primas que fueron cargados en cuenta de titularidad del denunciante. Por tanto, resulta evidente que SEGURCAIXA ADESLAS no ha actuado con la diligencia debida al no adoptar las medidas adecuadas y requisitos mínimos exigibles en cualquier contratación y por ello debe considerarse que ha vulnerado la LOPD. IX También alega la representación de SEGURCAIXA ADESLAS que la contratación del seguro se enmarca dentro de una operación de financiación hipotecaria y que la misma exigía por imperativo legal la contratación de un seguro de hogar. Sin embargo, la Dirección General de Seguros ha señalado que cuando se suscribe un préstamo con garantía hipotecaria no existe obligación legal para el prestatario de contratar un seguro. La legislación vigente no impone con carácter general y de forma directa al deudor de un préstamo hipotecario la obligación de contratar seguros sobre el inmueble hipotecado. La normativa reguladora del mercado hipotecario establece determinados requisitos para que las entidades financieras puedan emitir títulos en el citado mercado. Por tanto, si una entidad de crédito desea emitir cedulas o bonos hipotecarios con base en los préstamos con garantía hipotecaria concedidos a propietarios de inmuebles hipotecados puede condicionar la concesión del préstamo a que el deudor se comprometa a suscribir un seguro de daños para el citado inmueble, pero, en todo caso, la obligación para el deudor tendrá siempre carácter contractual y no legal. En el presente caso, consta acreditado que el denunciante, su esposa y CAIXABANK suscribieron en Zaragoza dos escrituras con garantía hipotecaria, el 07/09/2007 en relación con la vivienda situada en (C/...1) y el 25/07/2008 en relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 con la vivienda situada en (C/...2). En las citadas escrituras, constan cláusulas con el mismo contenido y contenidas en su clausulado financiero como general, clausula Quinta, Gastos a cargo de la Prestataria, letra
  12. e)“Los derivados de la conservación del inmueble hipotecado, así como del seguro de daños e incendios”; Sexta-bis, Vencimiento anticipado del plazo, punto 3. “no contratación del seguro referido en la siguiente estipulación séptima en las condiciones señaladas en la misma, por falta de pago de sus primas” y Séptima, Obligaciones de la Parte Prestataria, indicándose: “La parte prestataria queda obligada a: 1. Asegurar de incendios la finca hipotecada, a satisfacción de la “Caja”, por cantidad superior a su “valor de tasación a efectos del seguro”(equivalente al denominado “coste de construcción”), y pagar sus primas, exhibiendo los justificantes de dicho pago cuando la “Caja” lo exija, la cual ser beneficiaria para el caso de siniestro, en la cuantía de lo que en aquel momento se le adeude por razón del préstamo; cláusula que deber contenerse en la oportuna Póliza que al efecto se venga a suscribir. Caso de incumplimiento de dicha obligación, la Caja queda expresamente facultada para sustituir, a cargo de la prestataria, los referidos pagos, quedando igualmente autorizada por esta con carácter irrevocable para comprobar con la misma compañía Aseguradora, la vigencia de la póliza y de los pagos de las primas. Seguro que deberá mantenerse vigente hasta la integra cancelación de la operación que ahora se formaliza”. Tanto la actuación de CAIXABANK, OPERADOR BANCA-SEGUROS al ceder los datos del denunciante sin su consentimiento, como SEGURCAIXA ADESLAS al suscribir las pólizas de los seguros controvertidos y cargar posteriormente los recibos de las primas en la cuenta titularidad del denunciante, ni es acorde con las clausulas acordadas en la escritura hipotecaria ni con la legislación concordante en la materia. Hay que señalar que el denunciante a la luz de las preceptos señalados y las cláusulas contractuales incluidas en la escritura de préstamo hipotecario, estaba obligado en su condición de deudor hipotecario a mantener un seguro de daños sobre el inmueble hipotecado y a pagar sus primas exhibiendo los justificantes de dicho pago cuando la entidad financiera se lo exigiere; también, a incluir en la póliza de seguro cláusula de beneficiario con motivo del préstamo hipotecario para el caso de siniestro (cuestión que a la luz del apéndice de la póliza aportada había realizado (folio )); en caso contrario, la entidad prestamista, CAIXABANK, estaba facultada para sustituir aquellos pagos con cargo al prestatario (denunciante), y autorizada para comprobar con el asegurador la vigencia de la póliza y de los pagos de las primas. Sin embargo, la actuación de CAIXABANK, OPERADOR BANCA-SEGUROS, como encargado del tratamiento, procedió a ceder a SEGURCAIXA ADESLAS los datos del denunciante para la contratación de las pólizas de seguros de hogar, sin haber obtenido su consentimiento, excediéndose de la habilitación legal y de las cláusulas contractuales convenidas y, SEGURCAIXA ADESLAS, responsable del tratamiento, procedió a la contratación y emisión de las mismas, con una absoluta falta de verificación de la actuación llevada a cabo por su encargada del tratamiento, incumpliendo la obligación establecida en el citado artículo 6.1 de la LOPD, al no comprobar la existencia del consentimiento inequívoco del denunciante. Tampoco consta que el denunciante hubiera impagado al vencimiento del plazo de las pólizas el importe de las primas correspondientes para la anualidad siguiente y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 tampoco de las cláusulas de la escritura hipotecaria se deduce la obligación del denunciante de acreditar la tenencia y vigencia del seguro; tan solo se determina que CAIXABANK podría exigirle la exhibición del justificante del pago de la prima. Facultad que no parece fuera ejercitada a la luz de lo que se desprende de la carta enviada por CAIXABANK al denunciante el 12/05/2014, indicándole que el departamento de riesgos había observado la carencia del seguro de hogar obligatorio por ley, por lo que habían decidido constituir un seguro de hogar, sin que se haya acreditado que se le hubiera exigido al denunciante la exhibición de los recibos de los seguros y cuando el propio denunciante aporta copia de las condiciones particulares de un seguro contratado con GENERALI sobre la vivienda situada en C/ (C/...2) (se aporta apéndice de la póliza de fecha 30/07/2013, folio 206). X De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 2/2011, el artículo 44.3.
  13. b)tipifica como infracción grave “
  14. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. Por lo tanto, SEGURCAIXA ADESLAS ha incurrido en la infracción descrita, ya que el principio de consentimiento es básico del derecho fundamental a la protección de datos. La entidad mencionada ha tratado los datos del denunciante infringiendo tal principio, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
  15. b)de la citada Ley Orgánica. XI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  16. a)El carácter continuado de la infracción.
  17. b)El volumen de los tratamientos efectuados.
  18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  19. d)El volumen de negocio o actividad del infractor.
  20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  21. f)El grado de intencionalidad.
  22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de SEGURCAIXA ADESLAS, ha solicitado la aplicación del artículo 45.5 de la LOPD, atendiendo a las circunstancias concurrentes, aplicando la escala de sanciones correspondiente a las infracciones leves y en grado mínimo, debido una cualificada disminución de la culpabilidad de su representada y CAIXABANK, OPERADOR BANCA-SEGUROS además el archivo del expediente. En el presente caso, por lo que se refiere a SEGURCAIXA ADESLAS, ha quedado acreditado que trató los datos del denunciante sin su consentimiento, siendo utilizados para la contratación de las pólizas de los seguros SegurCaixa Hogar Completo, nº ***PÓLIZA.1 en relación con la vivienda situada en (C/...2), y nº ***PÓLIZA.2 en relación con la vivienda situada en (C/...1), y girar a la cuenta titularidad del denunciante los recibos de las primas correspondientes a las mismas, con ausencia de verificación de la actuación llevada a cabo por su encargado del tratamiento, lo que demuestra la falta de diligencia en su actuación. En cuanto a CAIXABANK, OPERADOR BANCA-SEGUROS, ha quedado acreditado que comunicó los datos de carácter personal, sin consentimiento del denunciante, a SEGURCAIXA ADESLAS para la formalización de las pólizas anteriormente citadas, por lo que las citadas conductas han de ser objeto de sanción. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia de dos de los supuestos contemplados en el artículo 45.5, el
  31. b)“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, ya que tanto SEGURCAIXA ADESLAS como CAIXABANK, OPERADOR BANCA-SEGUROS tan pronto como tuvieron conocimiento de la reclamación del denunciante manifestando su desacuerdo con la contratación de las pólizas actuaron con razonable diligencia como lo prueba el que fueran extornadas las primas cargadas en cuenta y se anularan las pólizas emitidas, por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Tanto SEGURCAIXA ADESLAS como CAIXABANK, OPERADOR BANCASEGUROS han invocado también la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de la aplicación de la atenuante privilegiada prevista en el artículo 45.5.a). Sin embargo, las circunstancias apuntadas tanto por la representación de la aseguradora como la del mediador no concurren en el presente caso. Así, en cuanto a la circunstancia prevista en el apartado
  32. a)resulta evidente que la infracción imputada no tiene carácter continuado, porque la naturaleza de la infracción no lo permite al tratarse de una infracción de mera actividad. En cuanto a la circunstancia prevista en el apartado
  33. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la entidad hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la circunstancia prevista en el apartado
  34. h)del artículo 45.4, basta con una remisión al relato de los hechos y a la denuncia para verificar su existencia. Hay que señalar que con motivo de los hechos acaecidos al afectado le fueron cargados en cuenta los recibos de las pólizas, aunque estos fueron posteriormente devueltos. No obstante, la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En cuanto a que la existencia de procedimientos adoptados en la recogida y tratamiento de los datos de carácter personal con anterioridad a los hechos constitutivos de la infracción, circunstancia prevista en el apartado
  35. i)del artículo 45.4 de la LOPD, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se trató de una anomalía del funcionamiento de los mismos, situación que debería mejorar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 con medidas adicionales para no incurrir en hechos similares a los imputados y que no pudieron ser evitados. En cuanto a la ausencia de beneficios tampoco puede aceptarse, pues no puede invocarse la citada circunstancia cuando lo que se pretende es la contratación de dos pólizas de seguros con la finalidad precisamente de obtenerlos. Por otra parte, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 se advierten otras circunstancias que operan como agravantes de las conductas que ahora se enjuician, en relación con las entidades denunciadas: SEGURCAIXA ADESLAS y CAIXABANK SEGUROS EXCLUSIVO. Así, concurren las agravantes previstas en el apartado
  36. c)del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues como consecuencia de la actividad que realizan, las citadas compañías se ven abocadas a un tratamiento continuo de datos, tanto de sus clientes como de terceros y del apartado
  37. d)del artículo 45.4, “volumen de negocio” del infractor, ya que se trata de dos grandes entidades, la una aseguradora y la otra en su actividad de mediación, por cuota de mercado. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, la vinculación de la actividad de la entidades infractoras con la realización de tratamientos de datos de carácter personal y el volumen de negocio de las mismas, se imponen dos multas de 20.000 € cada una a SEGURCAIXA ADESLAS y a CAIXABANK, OPERADOR BANCASEGUROS de las que tienen que responder. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, limitándose a reiterar lo ya alegado en el procedimiento. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CAIXABANK, S.A. en su condición de Operador de Banca-Seguros exclusivo contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 30 de noviembre de 2015, en el procedimiento sancionador PS/00330/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad CAIXABANK, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.