← España

REPOSICION-PS-00424-2013

1/12 Procedimiento nº: PS/00424/2013 ASUNTO: Recurso de Reposición Nº RR/00184/2014 Examinado el recurso de reposición interpuesto por la entidad SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00424/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 23/01/2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00424/2013 , en virtud de la cual se imponía a la entidad SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS, una sanción de 6.000 €, por la vulneración de lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 30/01/2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00424/2013, quedó constancia de los siguientes: procedimiento sancionador, En relación con el denunciante 1: 1. En fecha 28/09/2012, tuvo entrada en esta Agencia escrito del denunciante 1 declarando que habiéndose personado en la oficina de SANTA LUCIA y solicitado el histórico de aportaciones y rentabilidades del plan de pensiones contratado, había recibido en su domicilio carta remitida por la compañía aseguradora, si bien figurando también el nombre y apellidos de su marido y, además, conteniendo no solo información solicitada relativa a su PPA (plan de previsión asegurado), sino también la relativa al PPA contratado por su esposo (folio 1). 2. SANTA LUCIA tiene inscrito en el Registro General de Protección de Datos el fichero cartera, código ***COD.1, cuya finalidad es la información de los contratos de seguro y su utilización, además de las funciones administrativas y las concernientes a las prestaciones de siniestros (folio 12 ). 3. Consta que con fecha 29/08/2012, denunciante 1 presentó escrito ante el Servicio de Atención al cliente de la compañía aseguradora quejándose de que llevaba años intentando que le dieran el histórico de las aportaciones y rentabilidades de su plan de pensiones, por lo que solicitaba se le remitiera la citada información hasta la citada fecha (folio 3). 4. SANTA LUCIA, en carta de 11/09/20132 de dirigía a denunciante 1, si bien figurando a continuación de su nombre y apellidos el nombre y apellidos del denunciante 2, en relación con la queja o reclamación relativa a la póliza ***PÓLIZA.1 (del denunciante 1) y también de la póliza ***PÓLIZA.2 (del denunciante 2), con fecha de entrada 09/09/2012 e indicando: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 “Nos dirigimos a ustedes como contestación al escrito que nos han enviado relativo a las pólizas de referencia. Tal y como nos solicitan, adjunto les remitimos un certificado de las primas abonadas por ambos contratos, así como la última información trimestral emitida hasta el momento de los mismos” (folio 5). Asimismo, como se hace constar en la carta remitida, se adjuntaba el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado relativa a la póliza ***PÓLIZA.1, contratada por el denunciante 1 y, además, el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado relativa a la póliza ***PÓLIZA.2, contratada por el denunciante 2 (folios 6 a 9). 5. SANTA LUCIA, en escrito de fecha 03/04/2013, ha manifestado que “La información que se facilitó a la denunciante responde a la petición realizada a nuestro Servicio de Atención al Cliente en las oficinas de nuestro Agente en Algeciras”. La entidad adjuntaba copia de la reclamación referenciada en el hecho probado tercero (folios 26 a 29). En relación con el denunciante 2: 6. En fecha 28/09/2012, tuvo entrada en esta Agencia escrito del denunciante 2 denunciando que habiéndose personado en la oficina de SANTA LUCIA y solicitado el histórico de aportaciones y rentabilidades del plan de pensiones contratado, había recibido en su domicilio carta remitida por la compañía aseguradora, si bien figurando también el nombre y apellidos de su esposa y, además, conteniendo no solo la información solicitada relativa a su PPA (plan de previsión asegurado), sino también la relativa al PPA contratado por su mujer (folio 58). 7. SANTA LUCIA tiene inscrito en el Registro General de Protección de Datos el fichero cartera, código ***COD.1, cuya finalidad es la información de los contratos de seguro y su utilización, además de las funciones administrativas y las concernientes a las prestaciones de siniestros (folio 69). 8. Consta que con fecha 29/08/2012, el denunciante 2 presentó escrito ante el Servicio de Atención al cliente de la compañía aseguradora quejándose de que llevaba años intentando que le dieran el histórico de las aportaciones y rentabilidades de su plan de pensiones, por lo que solicitaba se le remitiera la citada información hasta la citada fecha (folio 60). 9. SANTA LUCIA , en carta de 11/09/20132 contestaba al denunciante, si bien figurando el nombre y apellidos de su esposa a continuación del suyo, con relación a la queja o reclamación relativa a seguro vida, póliza ***PÓLIZA.2 (contratada por el denunciante 2) y también de la póliza ***PÓLIZA.1 (contratada por el denunciante 1), con fecha de entrada 09/09/2012, señalando: “Nos dirigimos a ustedes como contestación al escrito que nos han enviado relativo a las pólizas de referencia. Tal y como nos solicitan, adjunto les remitimos un certificado de las primas abonadas por ambos contratos, así como la última información trimestral emitida hasta el momento de los mismos” (folio 61). Asimismo, como se hace constar en la carta remitida, se adjuntaba el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado relativa a la póliza ***PÓLIZA.2, contratada por el denunciante 2 y, además, el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado relativa a la póliza ***PÓLIZA.1, contratada por el denunciante 1 (folios 62 a 66). 10. SANTA LUCIA, en escrito de fecha 03/04/2013, ha manifestado que “La información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 que se facilitó a la denunciante responde a la petición realizada a nuestro Servicio de Atención al Cliente en las oficinas de nuestro Agente en Algeciras”. La entidad adjuntaba copia de la reclamación referenciada en el hecho probado tercero (folio 83 a 87). 11. SANTA LUCIA no ha acreditado que hubiese obtenido el consentimiento o autorización de cada uno de los denunciantes para la revelación de sus datos relativos a las pólizas de los PPA números ***PÓLIZA.1 y ***PÓLIZA.2 (contratadas por el denunciante 1 y por el denunciante 2, respectivamente), ni que exista norma legal que justifique dicha revelación. TERCERO: SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS (en los sucesivo la recurrente), ha presentado en fecha 27/02/2014, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones presentadas durante el procedimiento y reiterando la nulidad de la sanción por no caber imputar infracción del artículo 10 de la LOPD; que en el presente caso lo que cabía hacer en todo caso era apercibir a la entidad y la aplicación del artículo 45.5

  1. c)y adicionalmente la concurrencia de otros criterios establecidos en el artículo 45.4 LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II Se imputa a SANTA LUCIA en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto.” “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III El artículo 9 de la LOPD establece en relación con la seguridad de los datos que: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. El RD/1720/2007 establece un régimen específico de “seguridad” a implantar por el responsable del fichero para salvaguardar la tutela debida a un derecho fundamental ex artículo 18.4 de la Constitución Española, de conformidad con la doctrina sentada por la STC 292/2000. Así en su artículo 80 señala que “las medidas de seguridad exigibles a os ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto.” Así en los artículos 89 a 94 del citado reglamento se recogen las medidas a implantar para datos a los que son aplicables las medidas de nivel básico y en los artículos 95 a 100 las medidas a implantar para datos a los que son aplicables las medidas de nivel medio, como en el caso presente. Derecho que se conculca desde el momento de la inobservancia de tales medidas que devienen en una indefensión de la privacidad de los datos y en un acceso a éstos por parte de terceros que no están legitimados y cuyo uso no es controlable y que encuentra únicamente el límite de su voluntad, lo que va en menoscabo del derecho fundamental a la protección de los datos de carácter personal. IV La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  2. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  3. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en que condiciones y en que momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 este refleje con veracidad la situación actual del afectado” En el presente caso, estamos antes un tratamiento de datos personales y SANTA LUCIA es responsable del fichero y de dicho tratamiento, de conformidad con las definiciones legales recogidas en el artículo 3 de la LOPD apuntadas. De lo que se deduce que SANTA LUCIA está sometida al régimen sancionador de la citada norma de conformidad con el artículo 43. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el caso analizado, se ha producido por parte de SANTA LUCIA una vulneración del deber de secreto al enviar a cada uno de los participes del PPA contratado no solo la información relativa a su Plan, sino también la relativa al Plan de su cónyuge. Por tanto, SANTA LUCIA no ha actuado con la diligencia debida al no comprobar correctamente los datos y documentos remitidos a cada uno de los denunciantes, por lo que debe considerarse que SANTA LUCIA ha vulnerado la LOPD. Por tanto, la conducta imputada a SANTA LUCIA por vulneración del artículo 10 de la LOPD encuentra su tipificación en el tipo del citado artículo 44.3.d). VI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  4. a)El carácter continuado de la infracción.
  5. b)El volumen de los tratamientos efectuados.
  6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  7. d)El volumen de negocio o actividad del infractor.
  8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  9. f)El grado de intencionalidad.
  10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de SANTA LUCIA ha solicitado el archivo del expediente al entender que no existe infracción de su representada. En lo referente a la aplicación del artículo 45.5, la sentencia de 21 de enero de 2004 de la Audiencia Nacional dijo que dicho precepto “…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión <especialmente cualificada>) y concretos”. En el caso examinado, de las actuaciones practicadas ha quedado acreditado que SANTA LUCIA vulneró el artículo 10 de la LOPD, al enviar a cada uno de los denunciantes carta en la que constaba no solo el nombre y apellidos del cónyuge, sino también el Certificado de Pago de Primas y la Información Trimestral de Plan de Previsión Asegurado contratado por cada uno de ellos, información que había sido solicitada individualizadamente por cada uno de ellos en reclamación de 29/08/2012, sin que hubiese obtenido el consentimiento o autorización de los denunciantes para la revelación de los mismos, conculcando el deber de secreto recogido en el citado artículo 10 de la LOPD, por lo que su actuación ha de ser merecedora de sanción. No obstante, teniendo en cuenta las especificas circunstancias que concurren en el presente caso, permite apreciar la existencia de motivos para la aplicación de la circunstancia contemplada en el apartado
  19. a)del artículo 45.5 de la LOPD, puesto que concurren varios de los criterios que el artículo 45.4 de la LOPD enumera con el objeto de graduar la cuantía de la sanción. Este hecho, en opinión de la AEPD, de conformidad con lo establecido en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 artículo 45.5.
  20. a)de la LOPD, que alude a “…una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”, justifica que se aprecie a favor de la denunciada la atenuante privilegiada prevista en el citado artículo. De entre las circunstancias o criterios enumerados en el artículo 45.4 de la Ley Orgánica 15/1999, que concurren en el presente caso hay que destacar los apartados
  21. e)“beneficios obtenidos”, ya que no se ha obtenido beneficio alguno como consecuencia de la comisión de la infracción, sino todo lo contrario puesto que los denunciantes a raíz de los hechos acaecidos solicitaron la movilización del plan a otra entidad ;
  22. f)“grado de intencionalidad”, no existiendo está en la actuación de la entidad y
  23. i)“La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor”, lo que permite establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Alega la representación de la denunciada que no se ha tenido en cuenta a la hora de aplicar el artículo 45.5 la circunstancia prevista en el aparado
  24. c)“Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción”. En primer lugar, hay que señalar que la aplicación del artículo 45.5
  25. a)de la LOPD posibilita en el presente caso la aplicación a la denunciada de la escala de sanciones prevista para las infracciones leves por la infracción grave de la que ha resultado responsable como consta en el párrafo precedente. Sin embargo, hay que indicar que no se aprecia en la conducta de los denunciantes comportamiento alguno que pudiera inducir a la denunciada a la comisión de la infracción a la luz de los datos identificativos que se hicieron constar en las reclamaciones interpuestas en fecha 29/08/2012 y en la petición expresa y clara señalada en las mismas “que me den un histórico de las aportaciones y rentabilidad de mi Plan de Pensiones”, confirmado, además, por la carta remitida por la entidad al denunciante 1 el 04/09/2012 en la que si se discierne sobre el carácter individual de la reclamación: “Ha tenido entrada en este Servicio de Atención al Cliente su escrito de referencia…” (folio 4). No obstante, estando acreditada la negligencia de la denunciada en la comisión de la infracción aunque solo sea a título de simple inobservancia de la diligencia que le resultaba exigible, concurre en el presente caso una cualificada disminución de la culpabilidad de la compañía aseguradora, pues si bien incluyó en la comunicación dirigida a cada uno de los denunciantes información del Plan del respectivo cónyuge, información que era absolutamente prescindible; sin embargo, los citados denunciantes son cónyuges, la reclamación de los mismos ante la oficina de Algeciras se realiza simultáneamente en la misma fecha, su contenido es prácticamente idéntico, tienen la misma dirección y son beneficiarios de los respectivos Planes. Por otra parte, en lo que atañe a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, es necesario tener en cuenta circunstancias que operan como atenuantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el apartado
  26. c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” pues es notoria la vinculación de la actividad de la entidad con la realización de tratamientos de datos de carácter personal tanto de clientes como de terceros y el apartado
  27. d)“El volumen de negocio o actividad del infractor”, pues se trata de una gran compañía aseguradora por cuota de mercado; todo ello, en vez de atenuar su responsabilidad, le impone un mayor deber de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 diligencia en su actuación. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 6.000 € de la que SANTA LUCIA debe responder. III En el presente escrito de recurso, el recurrente ha alegado: “Que, conforme a la solicitud manifestada por ambos cónyuges, mi mandante remitió, en fecha 11/09/2012, dos cartas en las que se dirigía a ambos cónyuges, siendo cada uno de ellos parte de la relación contractual mantenida con mi mandante, a partir de cada una de las pólizas suscritas por estos”. Conviene hacer las siguientes matizaciones: en primer lugar, que no se trató de una solicitud, sino de dos solicitudes, una por cada uno de los cónyuges y en relación con el negocio jurídico de los que cada uno de ellos era titular. En segundo lugar, que la petición de cada uno de los cónyuges era expresa y clara, “que me den un histórico de las aportaciones y rentabilidad de mi Plan de Pensiones”, petición que además fue confirmada en carta remitida por la entidad al denunciante 1 el 04/09/2012 en la que si se apreciaba y distinguía sobre el carácter individual de la reclamación: “Ha tenido entrada en este Servicio de Atención al Cliente su escrito de referencia…”. Por último, la entidad se dirigió individualmente a cada uno de los cónyuges lo que pone de manifestó, una vez más, el carácter individual de la petición; si bien, en el presente caso, debió prescindirse de parte de la información contenida en las cartas: aquella que correspondía al otro cónyuge como titular de su propio negocio jurídico. - Alega la recurrente que “ambos se identificaron no solo como cónyuges, sino como respectivos tomadores y beneficiarios de las pólizas suscritas y manifestaron conjuntamente su voluntad de recibir, en el mismo domicilio el histórico de aportaciones y rentabilidad obtenidos de los planes contratados, correspondientes tanto la póliza nº ***PÓLIZA.1, como a la po0liza nº ***PÓLIZA.2” Sin embargo, la citada alegación no puede ser admitida; resulta evidente que cada uno de los denunciantes tuvieron que identificarse como tomadores de las respectivas pólizas, al ser los titulares de los respectivos contratos y quienes realizaban las aportaciones adquiriendo los derechos correspondientes; pero resulta irrelevante a los efectos que se dilucidan - el envío de información improcedente a cada uno de los denunciantes-, el que se identificaran como cónyuges o beneficiarios, pues tal condición no les otorgaba derecho alguno a la citada información. Además, el beneficiario, que puede ser cualquier persona designada por el participe, es la persona que tiene derecho a recibir la prestación cuando acaece una contingencia cubierta por el plan, pero esta posición no le otorga derechos que contractual y legalmente corresponden al partícipe del plan. - Alega la representación de la recurrente su disconformidad por la no aplicación del instituto del apercibimiento, al concurrir los requisitos contemplados en el artículo 45.6 de la LOPD. La disposición final quincuagésima sexta “cuatro” de la Ley 2/2011 de 4/03, de Economía Sostenible (BOE 5-3- 2011) ha añadido un nuevo apartado 6 al artículo 45 de la LOPD, que señala: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  28. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  29. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. No obstante, también la nueva redacción del artículo 45.4 de la LOPD incluye nuevos circunstancias de graduación de la sanción, entre los que deben destacarse las siguientes: El volumen de negocio o actividad del infractor La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal Del análisis de la concurrencia de los citados nuevos criterios se concluye, que en el caso como el presente, se trata de una empresa, compañía aseguradora, con un apreciable volumen de negocio y que en el desarrollo de su actividad lleva implícita el tratamiento de datos de carácter personal tanto de los asegurados como de terceros y, estas circunstancias, le obligan a ser especialmente diligente en la aplicación de medidas que garanticen el derecho fundamental a la protección de datos de carácter personal. Es por ello, que no procede la aplicación de la previsión contenida en el nuevo apartado 6 del artículo 45 LOPD, que permite no acordar la apertura de un procedimiento sancionador, y en su lugar, apercibir al sujeto responsable. - Por otra parte, en el fundamento de derecho VI, penúltimo párrafo, se ha advertido un error material al señalar, en cuanto a los criterios de graduación de las sanciónes contemplados en el artículo 45.4, circunstancias que operan como atenuantes de la conducta que ahora se enjuicia, cuando lo que debe decir es agravantes de la conducta y que se deduce de las propias circunstancias aplicadas y de la propia redacción final del párrafo…”todo ello, en vez de atenuar su responsabilidad, le impone un mayor deber de diligencia en su actuación”. El artículo 105.2 de la LRJPAC dispone que “Las Administraciones Públicas podrán asimismo rectificar en cualquier momento, de oficio o a instancia de los interesados, los errores materiales, de hecho o aritméticos existentes en sus actos.” En este sentido, el Tribunal Supremo ha establecido que el error material o de hecho se caracteriza por ser manifiesto e indiscutible, implicando por sí sólo la evidencia del mismo sin necesidad de mayores razonamientos (STS 28/09/19992). Advertido dicho error material en la resolución recurrida, procede la rectificación y subsanación del mismo. - Para concluir, invoca la recurrente la concurrencia de ausencia de intencionalidad, falta de reincidencia y ausencia de perjuicios causados a los denunciantes, previstos en el artículo 45.4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 Por lo que atañe a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, en cuanto a la circunstancia prevista en el apartado
  30. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la citada operadora hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la falta de reincidencia, la citada circunstancia por su propia naturaleza no puede operar como atenuante, premiando la no infracción de la normativa sobre protección de datos y el cumplimiento de deberes que la ley impone, aunque sí podría ser utilizada como agravante de la conducta a enjuiciar e incrementando la sanción a imponer. En este mismo sentido lo señala la Audiencia Nacional en numerosas sentencias, entre otras, la de fecha 10/05/2013, cuando establece “Así las cosas, el art. 45.4 de la LOPD contempla en la actualidad circunstancias que podríamos denominar agravantes, y no solo atenuantes de la responsabilidad,… Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del art. 45 de la LOPD deben concurrir dos o más circunstancias del apartado 4 del mismo art. 45, y además de manera "significativa", circunstancias significativas que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia, y es un hecho notorio la reiteración de conductas infractoras en materia de protección de datos por parte de la sociedad recurrente. A ello debemos de añadir, que la parte actora no actuó con la debida diligencia ya que de conformidad con la documentación que figura en el expediente, el denunciante se puso en contacto en varias ocasiones con la parte demandante para exponer su disconformidad con las penalizaciones aplicadas…” Sobre la falta de perjuicios causados a los denunciantes tampoco puede aceptarse; la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señalando que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. IV Por lo tanto, en el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 23 de enero de 2014, en el procedimiento sancionador PS/00424/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad SANTA LUCIA, S.A. COMPAÑIA DE SEGUROS Y REASEGUROS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.