1/12 Procedimiento nº.: PS/00576/2015 ASUNTO: Recurso de Reposición Nº RR/00346/2016 Examinado el recurso de reposición interpuesto por la entidad PLUS ULTRA, SEGUROS GENERALES Y VIDA, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00576/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 18 de abril de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00576/2015 , en virtud de la cual se imponía a la entidad PLUS ULTRA, SEGUROS GENERALES Y VIDA, S.A., una sanción de 50.000€, por la vulneración de lo dispuesto en el artículo 6.1 de Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3 b), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en legal forma según consta acreditado en el expediente administrativo de referencia, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00576/2015, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. En fecha 14/11/2014, tuvo entrada en esta Agencia Española de Protección de Datos escrito de la afectado en el que denuncia la contratación de un seguro de hogar con la aseguradora PLUS ULTRA, mediado por BANKINTER, sin su consentimiento, habiendo ordenado la devolución del recibo de la prima correspondiente que había sido cargado en su cuenta bancaria y, además, que al tener hipoteca con la citada entidad financiera tenía suscrito contrato de seguro de hogar con la aseguradora AXA y cuyo beneficiario era precisamente BANKINTER (folios 1 y 2). SEGUNDO. La denunciante ha aportado copia del DNI nº ***DNI.1, domiciliada en (C/...1) (Córdoba), coincidente con el consignado en el escrito de denuncia (folio 13). TERCERO. Constan aportadas Condiciones Particulares Seguro Multiriesgo de Hogar de PLUS ULTRA, póliza nº ***PÓLIZA.1, con fecha de efectos 31/10/2014 y vencimiento 31/10/2015, anual prorrogable, forma de pago anual, importe del recibo 192,66 euros. Figura como entidad beneficiaria la entidad crediticia BANKINTER y como mediador BANKINTER, en su condición de operador de banca-seguros vinculado (folio 108). CUARTO. BANKINTER remitió comunicación a la denunciante el 03/11/2014 señalando: “Queremos agradecerle la confianza depositada en Bankinter, al contratar su seguro de Hogar. A continuación encontrará la póliza, las principales características, así como la información de interés que usted debe conocer…” (folio 101). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 También PLUS ULTRA dirigió comunicación a la denunciante en fecha 07/11/2014 con motivo de la devolución del recibo de la prima e informándole que no era posible dicha anulación a la luz del artículo 22 de la Ley de contrato de seguro (folio 7). QUINTO. Consta escritura de compraventa con subrogación de hipoteca formalizada en Córdoba, ante el Notario D. A.A.A., el 30/03/2007, por BANKINTER y la denunciante y su esposo, en relación con la vivienda situada en (C/...1); en su disposición Tercera, Subrogación de la carga hipoteca, punto 6) se señala que “La parte compradora ASUME, con responsabilidad solidaria, en su caso, la obligación personal garantizada con la hipoteca constituida sobre la finca que adquiere, a favor de BANKINTER y, en consecuencia: (…) 6) Se obliga a tener vigentes los seguros de incendios de la expresada vivienda y de amortización de deudas, en los términos previstos en las estipulaciones de la reseñada escritura de préstamo hipotecario” (folios 167 y 168). Entre las cláusulas de garantía, el apartado B), apartado sexta de la escritura de préstamo hipotecario celebrada entre BANKINTER y la promotora Hogar Sierra Morena, en las que se subrogaban los compradores, establecía que “La promotora y quienes se subroguen en su lugar,…De igual forma, los prestatarios están obligados a contratar un seguro contra todo riesgo para la construcción y en todo caso, de daños e incendios en compañía de solvencia a juicio del Banco, al que notificarán la constitución de esta hipoteca por cantidad coincidente con el valor de tasación del bien asegurado menos el importe que represente la repercusión del solar, así como a cuidar la/s finca/s con la diligencia de todo dueño, sin perjuicio del derecho reconocido al acreedor en el artículo 117 de la Ley Hipotecaria. Si no asegurasen la/s finca/s por el monto previsto, BANKINTER podrá hacerlo por cuenta de ellos pagando a su cargo el importe de la prima y gastos que se ocasiones…Asimismo se obligan al puntual abono de los recibos correspondientes al seguro, a facilitar al Banco las copias de las pólizas de seguros concertados y a justificarles el pago de las primas en las fechas que se efectúen. La sociedad prestamista solicitará a los deudores que justifiquen los seguros que han concertado y la forma en que se han realizado” (folios 266 a 268) (el subrayado es de la AEPD). BANKINTER ha aportado copia de la carta de fecha 15/09/2014, en la que se señala: “Le recordamos que, como refleja su escritura hipotecaria, es necesario asegurar su vivienda por el importe de tasación a efectos del seguro y designar como beneficiario a Bankinter. Si pasados 45 días desde la fecha de emisión de la oferta de seguro o fecha de esta carta no ha contratado un seguro de hogar, por su seguridad, procederemos a hacerlo en su nombre por los valores de continente y contenido indicados anteriormente”. (…) No obstante, Bankinter no acredita ni el envío ni la recepción de la citada carta por la denunciante. Además, esta niega que haya recibido la misma en escrito de fecha 07/12/2015 (folio 159). SEXTO. PLUS ULTRA no ha podido acreditar que cuente con el consentimiento del denunciante para la contratación de la póliza nº ***PÓLIZA.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 SEPTIMO. BANKINTER no ha podido acreditar que cuenta con el consentimiento del denunciante para la cesión de sus datos de carácter personal a PLUS ULTRA con motivo de la contratación de la póliza nº ***PÓLIZA.1. OCTAVO. La denunciante tenía contratado de seguro de hogar con LIBERTY, póliza nº ***PÓLIZA.2, con fecha de efectos 17/04/2007, de duración anual prorrogable (folios 443 a 445); seguro cuya prorroga fue denunciada y su baja comunicada a BANKINTER el 12/03/2014 (folio 456), no siendo cierto, según manifestaciones de la denunciante, “que BANKINTER no tuviera conocimiento de la nueva póliza contratada con AXA porque para poder cancelar la póliza de LIBERTY, BANKINTER me exigía presentar copia de una nueva póliza donde apareciese como beneficiaria. Esta actuación la realice personalmente en las oficinas de BANKINTER en (C/...2)-Cordoba, el día 12 de marzo de 2014, donde se comunicaba que se procediese a dar de baja la domiciliación del recibo de la prima anual del seguro de hogar de LIBERTY y a la que acompañaba fotocopia de la nueva póliza” (folio 446). La denunciante ha aportado copia del documento Domiciliación de pagos Cargo emitido por la Caixa contra la cuenta titularidad de la denunciante, de fecha 04/02/2014, en concepto de seguro de hogar AXA, póliza nº ***PÓLIZA.3, por un importe de 144,48 euros (folio 73). Asimismo, consta copia de las Condiciones Particulares del seguro de hogar suscrito con AXA, póliza nº ***PÓLIZA.3, cuya tomadora es la denunciante, con fecha de efectos 01/02/2014, como bien asegurado la vivienda situada en (C/...1) y como beneficiarlo y persona titular del derecho a la indemnización en caso de siniestro BANKINTER (folios 42 y ss.). TERCERO: La entidad PLUS ULTRA, SEGUROS GENERALES Y VIDA, S.A. ha presentado en fecha 20 de mayo de 2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: “Respecto del contenido imposible de la resolución sancionadora que la convierte en nula de pleno derecho. Con fecha 06/11/2015 se recibió en Plus Ultra una resolución del procedimiento E/00517/2015, cuya copia ya fue aportada a este expediente, que versaba y traía causa de los mismos hechos que éste (…). Lo anterior evidencia sin ningún género de dudas que el procedimiento sancionador 576/2015 cuya resolución recurrimos en este acto, versa exactamente sobre los mismos hechos que el procedimiento de investigación E/00517/2015, procedimiento que fue resuelto el pasado 2 de noviembre de 2015 por la Directora de la AEPD a la que me dirijo (…). En relación con lo anterior, la LRJ-PAC (Ley 30/92) en su artículo 62.1
- e)establece lo siguiente: “Los actos de las Administraciones públicas son nulos de pleno derecho en los casos siguientes:
- c)Los que tengan un contenido imposible. La jurisprudencia ha equiparado en algunos casos la indeterminación, la contradicción, ambigüedad o ininteligibilidad del contenido del acto con la imposibilidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 de éste (STS 6 de noviembre de 1981 y 9 de mayo de 1985). …parece claro que dicha resolución sancionadora que por la presente se recurre es nula de pleno derecho por resultar imposible en sus términos y contenidos. Sobre el fondo del asunto. Para el caso de no admitirse las alegaciones relativas a los errores y contradicciones cometidos por la Administración actuante en la tramitación del procedimiento, analizaremos nuevamente los fundamentos jurídicos materiales que sobre el fondo del asunto justifican la revocación de la sanción impuesta a Plus Ultra, por ausencia de antijuridicidad alguna en que hubiera incurrido en este asunto. A lo anterior se añadía en las páginas 73 y 74 de la citada escritura que el deudor hipotecario estaba obligado a pagar puntualmente las primas del seguro y tributos que recayesen sobre los bienes gravados o sobre el préstamo que en esa escritura se indicaba, pudiendo Bankinter, cuando lo considerase oportuno, exigir la presentación de los correspondientes justificantes de pago de las primas. …Bankinter tuvo que suscribir un contrato de seguro por cuenta de aquella deudora, con mi representada, para cubrir los riesgos que pudieran recaer sobre el bien hipotecado, lo cual realizó sobre la base y estricto cumplimiento no solamente de la obligación contractual antedicha, sino del poder que con tal finalidad la deudora hipotecaria le había otorgado expresamente en la escritura pública de préstamo hipotecario. Parece claro que la emisión de la póliza es perfectamente correcta si se tiene en cuenta que Plus Ultra se limitó a recibir las instrucciones de Bankinter, que actuaba como operador de banca seguros y representante apoderado del tomador (…) Sobre la aplicación del artículo 45.5 LOPD. En relación a la interpretación que la resolución sancionadora realiza de los criterios de graduación de las sanciones contemplados en el art. 45.4 de la LOPD, y para el caso de que no se estimen nuestros motivos para la completa revocación de la sanción impuesta (…). Respecto a la ausencia de perjuicios a la denunciante. Lo primero que tenemos que decir es que la prima no se llegó a satisfacer por la denunciante. Respecto a la ineficacia de los procedimientos internos de protección de datos (…). Según consta probado Plus Ultra recuerda habitualmente sus obligaciones en la materia a su personal y a sus mediadores y pone a disposición de todos ellos, documentación en soporte informático en la que constan los principios que deben cumplir en materia de protección de datos. Respecto a la ausencia de beneficio alguno de Plus Ultra. (…) debemos reiterar el hecho de que Plus Ultra no ha obtenido ningún beneficio con la comisión de la infracción que se le imputa, ya que se trata de una operación insignificante en atención al volumen de la Sociedad, en la que ni siquiera el asegurado satisfizo en concepto de prima del seguro contratado. En el caso hipotético de determinarse algún género de culpa/negligencia, se ha observado en todo momento una conducta diligente de mi representada que ha de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 traducirse en una cualificada disminución de su culpabilidad y de la antijuridicidad del hecho, como consecuencia de la concurrencia significativa de varios de los criterios enumerados en el apartado 4º del artículo 45 de la LOPD, todo lo cual debe dar lugar, en el peor de los casos a una disminución significativa de la sanción impuesta por la resolución sancionadora que por la presente se recurre. Solicitud de suspensión. Por último, esta parte en base a la facultad prevista en el art. 11.2 de la Ley 30/92, 26 de noviembre solicita la suspensión de la ejecutividad del acto que se impugna, al cumplirse los requisitos previstos en el citado precepto y en concreto los siguientes:
- b)Que la impugnación se fundamente en alguna de las causas de nulidad de pleno derecho previstas en el artículo 62.1 de esta Ley. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Antes de entrar en el fondo del asunto, conviene detenerse en la solicitud de la entidad recurrente-Plus Ultra—que considera la resolución de esta Agencia de fecha 18/04/16 “nula de pleno derecho”. En concreto considera que se ha de proceder a aplicar el art. 62.1 letra
- c)de la Ley 30/92, 26 de noviembre: “Los que tengan un contenido imposible”. Manifiesta que la denuncia de Doña B.B.B. fue objeto de tramitación en el marco del procedimiento con número de referencia E/00517/2015, que finalizó con el Archivo del mismo al no considerarse la conducta objeto de denuncia contraria a la normativa vigente en materia de LOPD. Dicha resolución cabe indicar fue objeto de revisión como consecuencia del recurso de reposición formulado por la afectada (denunciante) en fecha de entrada en esta Agencia 07/12/2015, terminado el mismo con resolución de fecha 21/12/2015 en la que se acordaba “Estimar el recurso interpuesto por la afectada”. La resolución del citado recurso ha sido finalmente revocada (art. 105.1 Ley 30/92, 26 de noviembre) por esta Agencia en aplicación del principio “non bis in ídem”, ya que el inicio de un procedimiento sancionador relacionado con los hechos descritos en la mencionada denuncia implicaría la vulneración del citado principio, toda vez que podríamos encontrarnos ante un supuesto con identidad de sujeto, hecho y fundamento(
- s)entre el supuesto analizado en la denuncia aludida y el contemplado en el procedimiento sancionador cuya resolución ahora se recurre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 Cabe indicar que la entidad recurrente con motivo de la tramitación del procedimiento sancionador PS/00576/2015 ha podido alegar en tiempo y forma todo aquello que ha considerado necesario en aras de la defensa de sus derechos e intereses legítimos. De manera que la sanción se ha impuesto respetando el principio de contradicción y pudiendo la parte denunciada ejercitar su derecho a la defensa (art. 24.2 CE) durante todo el procedimiento administrativo sancionador (STC 175/2007, 23 de julio), siendo reiterada doctrina del Tribunal Constitucional desde la STC 18/1981, de 8 de junio, que los valores esenciales que se encuentran en la base del art. 24.2 CE 'no quedarían salvaguardados si se admitiera que la Administración puede incidir en la esfera jurídica de los ciudadanos imponiéndoles una sanción sin observar procedimiento alguno y, por tanto, sin posibilidad de defensa previa a la toma de la decisión', pues “la garantía del orden constitucional exige que el acuerdo se adopte a través de un procedimiento en el que el presunto inculpado tenga oportunidad de aportar y proponer las pruebas que estime pertinentes y alegar lo que a su derecho convenga”. La determinación de la casuística de los de actos nulos por su contenido imposible ha sido apreciada con prudencia por la doctrina y la jurisprudencia, para evitar que se amplíe inadecuadamente el supuesto legal a cualquier acto desprovisto de fundamento jurídico. La imposibilidad debe ser de carácter material o físico y originaria, ya que una imposibilidad sobrevenida comportaría simple ineficacia del acto: “Actos nulos por tener un contenido imposible son, por tanto, los que resultan inadecuados, en forma total y originaria, a la re a l i d a d física sobre la que recaen. Son también de contenido imposible los actos que encierran una contradicción interna en sus términos (imposibilidad lógica) por oponerse a leyes físicas inexorables o a lo que racionalmente se considera insuperable. La jurisprudencia ha equiparado en algunos casos la indeterminación, ambigüedad o ininteligibilidad del contenido del acto con la imposibilidad de éste” (STS, 5.a , 6-3-2000, RC 647/95). De manera que no nos encontramos ante uno de los supuesto (
- s)que puedan considerarse como “actos de contenido imposible” el acto objeto de recurso, pues el mismo ha sido dictado por un órgano competente para ello, dentro de un cauce procedimental, con concreción de los “hechos”, con la posibilidad de ejercitar el derecho de defensa (art. 24.2 CE) y ha finalizado con una resolución sancionadora motivada en Derecho. III En el presente caso, se procede a examinar el escrito calificado como “recurso de reposición” de fecha 20/05/2016. El presente recurso trae causa de la denuncia presentada en esta Agencia en fecha 14/11/2014 por Doña B.B.B.. “Mediante documentación remitida a mi domicilio por Bankinter y en la propia web de Bankinter que se declara como entidad mediadora, se me hace partícipe de contratar un seguro de hogar con Plus Ultra Seguros, advirtiéndome mediante escrito de fecha 7 de noviembre que a pesar de haber devuelto el recibo de la póliza no puedo anularla. Esta contratación con Plus Ultra se ha realizado con mi desconocimiento y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 sin mi consentimiento, haciendo uso de mis datos de carácter personal como DNI, domicilio y lo que considero muy grave la cuenta bancaria”-folio nº 1--. La entidad denunciada procedió a la formalización de un contrato de seguro con efectos de fecha 31/10/2014 a través de su operador de banca seguros vinculado BANKINTER, operador de banca seguros, quien realizó las gestiones para la contratación de la póliza de seguro de hogar y remitió los datos de carácter personal de la denunciante y los restantes necesarios para la contratación del producto a PLUS ULTRA, sin que conste acreditado que contaban con el consentimiento de la misma. El primer recibo de la prima del seguro por importe de 192,66 euros fue cargado en la cuenta titularidad de la denunciante; sin embargo, fue devuelto por el banco tal y como manifiesta PLUS ULTRA en la comunicación enviada a la denunciante el 07/11/2014 en la que, además, le indicaba que no era posible la anulación de la póliza contratada ya que su oposición a la misma debía ser realizada de conformidad con lo señalado en el artículo 22 de la LCS. Tanto PLUS ULTRA como BANKINTER, en su condición de operador de banca seguros vinculado han justificado la contratación de la póliza en la obligación señalada en la escritura de compraventa con subrogación de hipoteca formalizada ante notario el 30/03/2007. En su disposición Tercera, Subrogación de la carga hipotecaria, punto 6) se señala que “La parte compradora ASUME, con responsabilidad solidaria, en su caso, la obligación personal garantizada con la hipoteca constituida sobre la finca que adquiere, a favor de BANKINTER y, en consecuencia: (…) "6) Se obliga a tener vigentes los seguros de incendios de la expresada vivienda y de amortización de deudas, en los términos previstos en las estipulaciones de la reseñada escritura de préstamo hipotecario”. Entre las estipulaciones personales de la citada escritura, la Sexta establecía que “La promotora y quienes se subroguen en su lugar,…De igual forma, los prestatarios están obligados a contratar un seguro contra todo riesgo para la construcción y en todo caso, de daños e incendios en compañía de solvencia a juicio del Banco, al que notificarán la constitución de esta hipoteca por cantidad coincidente con el valor de tasación del bien asegurado menos el importe que represente la repercusión del solar, así como a cuidar la/s finca/s con la diligencia de todo dueño, sin perjuicio del derecho reconocido al acreedor en el artículo 117 de la Ley Hipotecaria. Si no asegurasen la/s finca/s por el monto previsto, BANKINTER podrá hacerlo por cuenta de ellos pagando a su cargo el importe de la prima y gastos que se ocasiones…La sociedad prestamista solicitará a los deudores que justifiquen los seguros que han concertado y la forma en que se han realizado”. Sin embargo, hay que señalar que la denunciante tenía concertado seguro de hogar sobre la vivienda hipotecada con la aseguradora Liberti desde el 17/04/2007; no obstante, con fecha 12/03/2014 la denunciante comunicó a BANKINTER, en la oficina de la entidad situada en (C/...2), Córdoba, la baja en la citada póliza para que no se le cargara en su cuenta el recibo de la prima correspondiente a la anualidad siguiente puesto que la de la anualidad anterior, en contra de lo manifestado por BANKINTER de que la baja se había producido por impago de la prima, había sido cargada el 18/04/2013 (folio 445) en la cuenta domiciliataria que la denunciante tenía abierta en dicha entidad; además, según la denunciante no es cierto que BANKINTER no tuviera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 conocimiento de la nueva póliza contratada con AXA porque para poder cancelar la póliza de Liberty, BANKINTER le exigía presentar copia de una nueva póliza donde apareciese como beneficiaria. Esta actuación la realizó personalmente en las oficinas de la entidad anteriormente citada (folio 446). III En el presente procedimiento se imputa a PLUS ULTRA la comisión de una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento del afectado constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que: “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. En el presente caso, PLUS ULTRA trató los datos de carácter personal de la denunciante, materializado en la emisión de la póliza nº ***PÓLIZA.1 del seguro multiriesgos del hogar, en la que figura como tomador, realizando el adeudo del correspondiente recibo de la prima en cuenta de su titularidad, sin que haya quedado acreditado que la denunciante hubiera otorgado su consentimiento para el citado tratamiento. PLUS ULTRA no ha acreditado que cuente con el consentimiento de la denunciante para el tratamiento de sus datos. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a la citada entidad tratar los datos del denunciante sin su consentimiento. IV Procede entrar a valorar, finalmente, la cuestión planteada por la entidad recurrentePlus Ultra—sobre la aplicación al caso que nos ocupa del art. 45.5 LOPD. Hay que señalar que la multa recurrida se había fijado en su grado mínimo en una cuantía situada en la parte inferior de la escala cifrada para las infracciones graves: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 40.001€ hasta 300.000€. En concretó se acordó imponer una sanción cifrada en la cuantía de 50.000€. Por la parte recurrente, se alega en relación a la aplicación del art. 45 apartado 5º lo siguiente: “ausencia de perjuicios a la denunciante” (al poner de manifiesto que la prima no llegó a satisfacerse), “consta probado que Plus Ultra recuerda habitualmente sus obligaciones en la materia a su personal y pone a disposición de todos ellos documentación en la que constan los principios que deben cumplir en materia de protección de datos”, “ausencia de beneficio alguno para Plus Ultra” (se trata de una operación insignificante en atención al volumen de la Sociedad” y “vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”. -No puede hablarse de ausencia de beneficios cuando lo que se pretendía por la entidad sancionada es la contratación de una póliza de seguros con independencia de que la denunciante “no abonara recibo alguno en concepto de prima del seguro”. -Los perjuicios para la denunciante se derivan de la suscripción de una póliza que no había firmado así como todas las consecuencias derivadas de tal acto (vgr. interposición de denuncia ante esta Agencia). -Se cumple con las exigencias de la culpabilidad como básicas en todas las infracciones. No obstante, si que conviene tener en cuenta en el presente caso la aplicación del art. 45.5 letra
- a)LOPD (LO 15/99) que establece que: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. En concreto, se tiene en cuenta el mayor grado de culpabilidad de la entidadBankinter S.A—al ser ésta la que estaba en disposición de los datos de la afectada, por lo que resulta de aplicación apartado 4º letra
- j)artículo 45 LOPD “Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. En base a lo argumentado, se tienen en cuenta las argumentaciones de la entidad denunciada y se procede a acotar la sanción administrativa, por la infracción acreditada del contenido del art. 6 LOPD, dentro de la escala relativa a las infracciones leves: 900€ hasta 40.000€. La entidad Plus Ultra sólo procedió a emitir un único recibo de prima de seguro “que fue objeto de devolución”, procediendo ante la incidencia a la cancelación del seguro. Por lo que se tiene en cuenta la aplicación del art. 45.4 letra
- b)“al ser un único tratamiento de los datos de la afectada”. Ahora bien para graduar la sanción administrativa se tiene en cuenta que la entidad denunciada—Plus Ultra—es uno de los líderes del sector asegurador español, procediendo por su práctica habitual a tratar de datos de carácter personal de miles de afectados, teniendo presencia internacional en más de 50 países (art. 45.4 letras c y
- d)LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 Asimismo, ha de valorarse la falta de cuidado de la entidad denunciada-Plus Ultra—a la hora de contratar el seguro, ya que no consta que la misma desplegara actuación alguna encaminada a cerciorarse de que contaba con el consentimiento inequívoco de la afectada a la hora de tratar sus datos de carácter personal, ni a la hora de comprobar que la entidad cedente-Bankinter—estuviera habilitado para contratar en nombre y representación de la titular de los datos. De acuerdo con los criterios expuesto, se procede a cifrar la cuantía de la sanción administrativa en la cantidad de 20.000€ (veinte mil euros) teniendo en cuenta las circunstancias agravantes previstas en las letras c),
- d)
- e)y
- h)del art. 45 apartado 4º de la LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR parcialmente el recurso de reposición interpuesto por la entidad PLUS ULTRA, SEGUROS GENERALES Y VIDA, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 18 de abril de 2016, en el procedimiento sancionador PS/00576/2015, procediendo a cifrar la cuantía de la sanción a imponer por la vulneración del contenido del art. 6 LOPD en la cifra de 20.000€ (veinte mil euros), de acuerdo con lo previsto en el art. 45. 1º, 4º y 5º. SEGUNDO: NOTIFICAR la presente resolución a la entidad PLUS ULTRA, SEGUROS GENERALES Y VIDA, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es