1/4 Procedimiento nº.: PS/00612/2016 ASUNTO: Recurso de Reposición Nº RR/00598/2017 Examinado el recurso de reposición interpuesto por la entidad SANITAS SA, DE SEGUROS (SANITAS), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/612/2016, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/06/17 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/612/2016, por la que se acuerda Imponer a la entidad SANITAS, una multa de 50.000 (cincuenta mil euros); por una infracción del artículo 6.1) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en adelante LOPD), tipificada como grave en su artículo 44.3.b). Dicha resolución, que fue notificada a la entidad recurrente, con fecha 26/06/17, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia en la resolución, de los siguientes aspectos: 1.- Los datos que figuran en los ficheros de SANITAS, relativos a la denunciante, como tomador de un seguro “DENTAL PREMIUM” a nombre de su madre, con fecha de alta 01/10/15: D.D.D.; Pasaporte. F.F.F.; domicilio: A.A.A. C.C.C.. 2.- La solicitud de alta se realizó a través de la página web de SANITAS. La reclamación de la denunciante se tramitó el 15/02/16 y SANITAS procedió a dar de baja de sus sistemas, con carácter retroactivo, con fecha de efecto, el 01/10/
- 3.- La contratación se realizó a través de internet, según consta en las pantallas obtenidas de los ficheros de log (accesos al sistema), siendo la IP, desde donde se realiza el acceso al sistema, de las Islas Baleares (Palma); ISP, Telefónica de España SAU. 4.- El Burofax de reclamación ante SANITAS, de fecha 19/10/15, está sellado su recepción por la entidad denunciada el 20/10/15 (DPTO. CORREO ***). 5.- A partir de 03/02/16 hasta el 15/02/16 existe un intercambio de correos electrónicos entre la denunciante y SANITAS cuyo contenido se encuentra recogido en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 el expediente sancionador y que dan como resultado que, SANITAS pide disculpas al no tener conocimiento de haber recibido el burofax en el que solicitaba la baja y procede a cancelar la póliza con fecha de efectos desde el día de la contratación, el 01/10/
- 6.- Según los datos remitidos por Telefónica España, la dirección E.E.E., desde donde se realizó la contratación de la póliza el 18/10/16, estuvo asignada de forma dinámica a un número de teléfono, cuyo titular, no corresponde con la denunciante. Aunque si está radicada en las Islas Baleares, la contratación se realizó desde otra localidad diferente al domicilio de la afectada. TERCERO: La entidad SANITAS ha presentado, el 18/07/17, recurso de reposición fundamentándolo, básicamente, en que: “La resolución dictada incurre en motivo de nulidad, ya que: a).- se hace referencia a que con fecha 18/05/17 el instructor emite propuesta de resolución indicando que lo único que ha recibido la entidad ha sido la propuesta de resolución firmada el 05/06/17 y notificada el 06/06/17, no habiendo recibido la propuesta del 18/05/
- b).- Argumenta que la fecha de contratación de la póliza fue realizada el 18/10/15 y que la dirección IP manifestada en los hechos probados 6º de la resolución es de fecha 18/10/16, por lo que el hecho probado es irrelevante y con defecto de forma generando grave indefensión a la entidad solicitando que se retrotraigan la actuaciones a la propuesta de resolución. c).- La resolución se notificó el 26/06/17, antes de terminar el plazo previsto para formular alegaciones a la propuesta de resolución, esto es, el 27/06/17 y por tanto el procedimiento sancionador es nulo de pleno derecho. d).- Por último solicita que se valoren las alegaciones interpuestas por SANITAS con fecha 27/06/17 frente a la propuesta de resolución”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por SANITAS, en su escrito de recurso de reposición, hay que indicar lo siguiente: a).- Respecto a la propuesta de resolución hay que diferenciar entre la emisión, la firma y la notificación. Las tres tienen, en casi todos los casos, diferentes fechas de ejecución. Así, la fecha de misión de la propuesta de resolución fue el 18/05/17, su firma el 05/06/17 y la notificación el 06/06/
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 b).- Respecto a la fecha asignada a la dirección IP, hay que indicar que, en las alegaciones presentadas por la representación de la empresa a la incoación del expediente sancionador, justifican lo siguiente: “(…) TERCERA.- DESCRIPCIÓN DEL PROCEDIMIENTO DE SOLICITUD DE POLIZA ONLINE. El día 18 de octubre de 2016 la denunciante accedió y contrató a través del portal online (…) una póliza dental Premium siguiendo el siguiente procedimiento (…)”. Se solicita además, en el último OTROSI que: “se requiera a Telefónica de España para identificar y obtener la información sobre el titular de la dirección IP señalada en la alegación CUARTA”, y en la alegación cuarta se indica que: “se adjunta como documento nº 5 la evidencia de la dirección IP (…)”, pero en dicho documento nº 5 adjunto como prueba, no se incluye fecha alguna. Es más, en las alegaciones presentadas el 27/06/17 a la propuesta de resolución, se justifican indicando: “(…) SEGUNDA.- DEL PROCEDIMIENTO DE CONTRATACIÓN DE PÓLIZA ONLINE.- Tal como detallamos en nuestro anterior escrito de alegaciones, con fecha 18 de octubre de 2016 la denunciante accedió al portar online de SANITAS (…) y contrató una póliza de seguro Dental Premium a nombre de su madre (…)”. No es por tanto, admisible que, en el recurso de reposición, la representación de la empresa intente ahora justificar la “impugnación de los documentos que conforman la petición del titular de la IP el 18/11/16”, cuando en sus dos escritos de alegaciones, se justifican diciendo que la contratación a través de la página web de SANITA fue realizada el 18/11/16 y no el 18/11/15 como ahora alegan. c).- Respecto a que la resolución dictada incurre en motivo de nulidad ya que “se notificó el 26/06/17, antes de terminar el plazo previsto para formular alegaciones a la propuesta de resolución, esto es, el 27/06/17”, se debe tomar como un error no invalidante del procedimiento, más aún cuando las alegaciones presentadas a lo largo del proceso en nada desvirtúan los fundamentos esgrimidos en las diferentes fases y que todas ellas fueron ya suficientemente analizadas y desestimadas en los Fundamentos de Derecho, del II al IV ambos inclusive, de la resolución del expediente sancionador. Por último indicar que, los hechos que han sido declarados probados en el procedimiento, no han sido desvirtuados por la entidad recurrente en el escrito de recurso de reposición. III Se imputa a SANITAS la vulneración del artículo 6.1) de la LOPD, que consagra el “principio del consentimiento”, donde se requiere la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de los datos personales sin consentimiento, o sin otra habilitación amparada en la Ley, lo que constituye una vulneración del derecho y supone la comisión de una infracción grave, prevista en el artículo 44.3.b) de la citada Ley. Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SANITAS, contra la Resolución de esta Agencia Española de Protección de Datos dictada en el procedimiento sancionador PS/0612/
- SEGUNDO: NOTIFICAR la presente resolución a la entidad SANITAS SA. DE SEGUROS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es