← España

REPOSICION-PS-00666-2015

1/12 Procedimiento nº: PS/00666/2015 ASUNTO: Recurso de Reposición Nº RR/00448/2016 Examinado el recurso de reposición interpuesto por la entidad A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00666/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 20 de mayo de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00666/2015, en virtud de la cual se imponía a la entidad ALLIANZ POPULAR VIDA, S.A.U., una sanción de 50.000 (cincuenta mil euros), por la vulneración de lo dispuesto en el artículo 4.3 de la LOPD, infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 26/05/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00666/2015, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. Con fecha 28/04/2013 tienen entrada en esta Agencia escrito del denunciante manifestando, entre otras, que el 05/03/2013 ALLIANZ POPULAR le comunica en calidad de titular asegurado de un seguro contratado con EUROVIDA, COMPAÑÍA DE SEGUROS Y REASEGUROS, SAU, que se ha producido un cambio de denominación social de ésta última compañía pasando a denominarse ALLIANZ POPULAR, deduciéndose del escrito que no se encontraba vinculado a dicho seguro; estos hechos dieron lugar a la apertura de actuaciones que fueron archivadas, ante las explicaciones dadas al denunciante por BANCO POPULAR; posteriormente el denunciante recurrió el archivo alegando que habían vuelto a asociarle a otro producto no contratado, seguro de amortización de créditos, póliza ***PÓLIZA.1, del que ha tenido conocimiento a través de escrito de ALLIANZ POPULAR. El denunciante señala igualmente que el número de póliza coincide exactamente con uno de los contratos que habían sido asignados por error a su persona por BANCO POPULAR y que ya fue reconocido por dicha entidad (folios 1 y ss ). SEGUNDO. Consta copia del DNI del denunciante nº ***DNI.1 (folio 29). TERCERO. Consta escrito de fecha 14/11/2012 remitido por BANCO POPULAR al denunciante en el que le informaban que “hemos podido comprobar que se cometió un error al consignarle como titular de los contratos ***CONTRATO.1, ***CONTRATO.2, ***CONTRATO.3, ***CONTRATO.4, ***CONTRATO.5 y ***CONTRATO.6. Según le hemos comentado personalmente, la incidencia surgió al tener el verdadero titular de dichos contratos el mismo nombre y apellidos que Ud. No obstante, le confirmamos que tan pronto como tuvimos conocimiento de lo sucedido, se hicieron las gestiones oportunas para subsanar la incidencia” (folio 21). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 CUARTO. Constan comunicaciones de fechas 05/02/2013 y 22/01/2014 de ALLIANZ POPULAR remitidas a través de BANCO POPULAR al denunciante; en la primera de ellas se señala: “Nos dirigimos a usted como tomador/asegurado de un seguro contratado en la entidad “Eurovida, Compañía de Seguros y Reaseguros, SAU”, para comunicarles que se ha modificado la denominación social, que ha pasado a ser “Allianz Popular Vida, Compañía de Seguros y Reaseguros, SAU”. En consecuencia, las comunicaciones que le remitamos a partir de ahora serán con la nueva denominación” (folio 36) y en la segunda: “En relación con la póliza colectiva del seguro de amortización de créditos ***CRÉDITO.1, nos dirigimos a usted como asegurado/a de la misma…” (folio 45). QUINTO. El denunciante presento el 14/08/2013 (folio 120) y el 23/04/2014 reclamaciones contra BANCO POPULAR ante el BANCO DE ESPAÑA. La primera fue archivada al alcanzarse un acuerdo entre ambos; en la segunda, declaraba que a pesar del error inicialmente cometido y aunque alcanzaron un acuerdo en noviembre de 2013, el banco le había nuevamente remitido información relativa al otro cliente de carácter comercial y sobre la renovación de una póliza de seguro. En la conclusión de la misma se señala que “la actuación de la entidad reclamada podría suponer quebrantamiento de las normas de transparencia y protección da la clientela, por cuanto no actuó con la diligencia exigible en la corrección del error detectado por el reclamante” (folio 206 a 209). SEXTO. El denunciante aporta copia del citado seguro, póliza ***CRÉDITO.1, que le fue remitida a solicitud del mismo el 31/03/2014, en la que constan los datos personales de un tercero, con DNI nº ***DNI.2 y cuyo nombre y apellidos coinciden con los del denunciante (folios 200 a 204). SEPTIMO. ALLIANZ POPULAR, en escrito de 13/02/2015, ha indicado que: “1. El señor D. A.A.A., con DNI XXXXXX66-F solicitó, a través de la sucursal de Banco Popular Español sita en Benifaio un seguro de vida denominado Eurocrédito Integrado con número ***NÚM.1, formalizándose el seguro en fecha 05-03-2009. 2. Debido a un error de esta sucursal, se procedió a imputar el contrato al ahora reclamante debido, como pueden comprobar, a que existe coincidencia entre el nombre del reclamante con el de la verdadera persona a asegurar. 3. Posteriormente, en fecha 16-04-2009 la sucursal de Banco Popular de Benfiaió procede a comunicar a Eurovida (en la actualidad Allianz Popular Vida, el error cometido, por lo que se procedió a su subsanación… 4. Como conclusión de los apartados expuestos, el reclamante no ha estado asegurado en ningún momento por la póliza ***NÚM.1 (folio 142 y 143). OCTAVO. ALLIANZ POPULAR en escrito de 18/12/2015 ha manifestado que “Nos encontramos ante un error material o de hecho que se caracteriza por ser ostensible, manifiesto, indiscutible y evidente por sí mismo, sin necesidad de mayores razonamientos, y por exteriorizarse “prima facie” por su sola contemplación. No obstante, ALLIANZ POPULAR reconoce su responsabilidad en el error cometido al enviar la comunicación de cambio de denominación de la Compañía al reclamante, sin detectar la confusión en la dirección de correo de la persona con el mismo nombre y apellidos que otro asegurado de la Cia”, y que “ha procedido a subsanar el error en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 que ha incurrido” (folios 194 y 195). TERCERO: A.A.A. (en lo sucesivo el recurrente), ha presentado en fecha 25 de junio de 2016, en esta Agencia Española de Protección de Datos, recurso de reposición en el que solicita se sancione a BANCO POPULAR por vulneración de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, presentadas a lo largo del procedimiento sancionador, debe señalarse que las mismas ya fueron analizadas en los Fundamentos de Derecho del II a V ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II Con carácter previo al examen de la cuestión de fondo del asunto, procede analizar la excepción alegada por la representación de ALLIANZ POPULAR, que de prosperar invalidarían las consideraciones de fondo o materiales. Alega la citada representación que la declaración de caducidad conlleva el archivo de las actuaciones y en consecuencia la no conservación de los actos caducados entre los que se encontrarían los escritos remitidos por ALLIANZ POPULAR y BANCO POPULAR, por lo que la incoación del procedimiento sancionador junto con los informes emitidos sería un acto viciado de nulidad de pleno derecho. Sin embargo tal alegato no puede ser admitido, puesto que la Administración tiene la posibilidad, una vez declarada la caducidad, de iniciar un nuevo procedimiento sancionador mientras la infracción no haya prescrito, basándose en los documentos que originaron la inicial actuación. Hay que recordar que el acuerdo de inicio del presente procedimiento sancionador estuvo precedido de la Resolución del Director de la AEPD de en la que se acordó archivar por caducidad las actuaciones de investigación previas, ordenándose iniciar nuevas actuaciones, que traen causa el presente procedimiento sancionador. La Sentencia del TS de 12/06/2003, señala que “la caducidad declarada en un procedimiento sancionador, no constituye obstáculo alguno para la posibilidad de iniciar o reiniciar otro procedimiento sobre el mismo objeto dentro del plazo de prescripción”. Por tanto, la STS considera plenamente aplicable a los procedimientos sancionadores el artículo 92.3 de la LRJPAC y afirma que la caducidad de un expediente sancionador no produce por sí sola la prescripción de las acciones del particular o de la Administración. También la sentencia de la A.N. de 02/07/2015 señala que “Con relación a la caducidad de las actuaciones previas, esta Sala ya ha señalado en las SSAN de 25 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 febrero de 2013 (Rec. 617/2011) y 10 de julio de 2013 (Rec. 323/2012) que la declaración de caducidad de las actuaciones previas por haber transcurrido el plazo máximo de 12 meses a que se refiere el artículo 122.4 del RLOPD, no impide que la AEPD pueda iniciar otras actuaciones u otro expediente por los mismos hechos, siempre claro está que la infracción no hubiera prescrito. Ha tomado en consideración a tal fin, que el artículo 92 de la LRJPAC, al que se remite el artículo 44.2 de la misma Ley, al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento "no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán la prescripción". Así las cosas, el cómputo del dies "a quo" del plazo de caducidad previsto en el art. 122 RLOPD, en este supuesto, no puede venir determinado por la fecha de entrada de la denuncia en la Agencia como hemos declarado en las SSAN de 25 octubre 2013 (Rec. 322/2013 ) y de 12 de febrero de 2014 Rec. 37/2013., sino desde la resolución de declaración de caducidad e inicio de nuevas actuaciones (18 de septiembre de 2013), y entre esa fecha y la notificación del acto de inicio (24 de marzo de 2014), no ha transcurrido el plazo de 12 meses, por lo que no cabe apreciar la caducidad de las actuaciones previas”. Posteriormente, la Sentencia del TS de 24/02/2004 determina el valor que conservan en el nuevo procedimiento sancionador los trámites válidamente celebrados en el seno del procedimiento caducado. Así, señala que las actuaciones probatorias practicadas en el procedimiento caducado deben repetirse en el nuevo con respeto, otra vez, a las garantías originarias con la única excepción de que sea el imputado quien solicite la incorporación de tales actuaciones al nuevo expediente. Sin embargo, en el presente caso no estamos ante un nuevo procedimiento sino ante la caducidad de las actuaciones previas, que como su nombre indica se trata de actuaciones anteriores a la iniciación del procedimiento pero que no forman parte del mismo. La jurisprudencia ha señalado reiteradamente que las Actuaciones Previas de Inspección no forman parte del expediente sancionador, ya que no son propiamente expediente administrativo, sino antecedente del mismo (Sentencias del TS de 22/02/1985 o de 26/05/1987). La Sentencia de la AN de 19/02/2001, precisamente bajo el presupuesto de que no forman parte del procedimiento, considera correcta la intervención del órgano resolutorio en la práctica de estas Actuaciones. Por este motivo, la existencia de Actuaciones Previas no afecta a la caducidad del procedimiento posterior, ni a su cómputo, cuyo dies a quo seguirá siendo el día de la incoación, conforme a lo prevenido en el artículo 42.3

  1. a)LRJAP y PAC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 En el mismo sentido, más reciente jurisprudencia de la Audiencia Nacional, Sentencia de 02/11/2008 señala: “En definitiva, las diligencias previas, pese a su importancia, no constituyen en si misma un procedimiento sino que se trata de actuaciones preprocedimentales”. Además, pese a lo alegado por la entidad en relación con la caducidad de los actos, la A.N. en sentencia de 07/02/2014 señala que “Por otro lado, el haber traído al presente procedimiento determinadas pruebas practicadas en el expediente sancionador caducado es perfectamente posible conforme a la jurisprudencia, como se señala en la Sentencia de 24 de febrero de 2004 - recurso nº. 3.754/2001 - invocada por la parte actora, máxime si tenemos en cuenta que en el procedimiento sancionador que nos ocupa se volvió a abrir un periodo probatorio con fecha 23 de febrero de 2011, en el que se tuvieron por reproducidos las pruebas obtenidas que se trajeron del procedimiento sancionador caducado, además de practicarse otras pruebas. Por lo que con ello no se ha vulnerado el derecho a la presunción de inocencia aludido por la parte recurrente”. Por cuanto antecede esta cuestión previa debe desestimarse. III Se imputa a ALLIANZ POPULAR en el presente procedimiento una infracción del artículo 4.3 de la LOPD, que señala que "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". La obligación establecida en el artículo 4.3 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Y en el apartado 4 de dicho artículo determina que: "Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16". En el presente caso, ALLIANZ POPULAR ha tratado los datos del denunciante de manera inexacta y sin que respondiera con veracidad a su situación actual (en aquel momento), al vincularlos a un seguro colectivo y de crédito, póliza nº ***CRÉDITO.1, mediado por POPULAR DE MEDIACION, SAU. Operador de Banca-Seguros Vinculado, cuyo asegurado era un tercero, que al igual que el denunciante también era cliente de BANCO POPULAR (tomador de la póliza), que tenía su mismo nombre y apellidos pero distinto DNI y domicilio y, de lo que tuvo conocimiento a raíz de las comunicaciones de 05/02/2013 y 22/01/2014 que ALLIANZ POPULAR le remitió a través de la entidad crediticia (folios 36 y 45); además, el número de la citada póliza coincide con el último de la serie de contratos que habían sido asignados por error a su persona por BANCO POPULAR y que fue reconocido por la entidad en escrito de 14/11/2012 (folio 21). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 A mayor abundamiento, las comunicaciones anteriores permitieron al denunciante acceder y obtener de la compañía aseguradora copia del certificado individual de la citada póliza donde constan no solo los datos de aseguramiento sino también los personales y bancarios del asegurado (folio 203). La Audiencia Nacional, en Sentencia de fecha 16/01/2008, manifestaba: "Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso -artículo 44.3.
  2. d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos personales que iba a tratar no cumplían con los requisitos legalmente impuestos, si tenemos en cuenta que la actividad de la recurrente, por su propia naturaleza, ha de tener un cumplido conocimiento, y un escrupuloso respeto, de las normas en materia de protección de datos cuando en su actividad ordinaria se produce un manejo masivo de los mismos. Y es esta falta diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la naturaleza de los datos personales a los que se tiene acceso es una circunstancia que ha de hacerse previamente y de modo riguroso antes de proceder al tratamiento de los mismos, pues se trata de la salvaguarda de un derecho fundamental, el derecho a la protección de los datos previstos en l. Artículo 18.4 de la Constitución." Por tanto, de conformidad con el artículo 4.3 de la LOPD, correspondía a ALLIANZ POPULAR adoptar las medidas necesarias para que la situación acaecida no se produjera. Este comportamiento supone una vulneración del principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD de la que ALLIANZ POPULAR debe responder por ser responsable de la veracidad y exactitud los datos sujetos a su tratamiento, manteniendo en sus ficheros datos inexactos del denunciante e incurriendo en dicho actuar en la infracción del artículo 4.3 de la LOPD. IV El "tratamiento" de datos personales exige que se lleve a cabo de conformidad con los principios de "calidad de los datos", es decir, que los datos tratados han de ser "exactos y puestos al día", requisitos que no se han cumplido en el caso analizado. En este sentido, la Audiencia Nacional ha declarado en numerosas sentencias, entre otras la de fecha 13/03/2009, que señala: "El principio de calidad del dato, como esta Sala ha reiterado en numerosísimas ocasiones, se infringe no solo cuando se facilitan los datos erróneos a un fichero que presta información a terceros sobre el incumplimiento de obligaciones dinerarias (Art. 4.3 LOPD en relación con el artículo 29 de la misma) sino también cuando los datos existentes en los propios ficheros de la entidad acreedora son inexactos y no actuales. La resolución de la Agencia impugnada, en su fundamentación jurídica, considera que ha quedado acreditado que Jazztel giró facturas correspondientes a un número de teléfono por unos servicios que, si bien se habían solicitado por el denunciante, no se habían prestado por la operadora. Los datos personales referidos al denunciante que figuraban en sus ficheros dejan de ser exactos en el momento en que figuran en ellos datos de servicios no prestados e importes no debidos realmente. Después de advertirlo, siguieron siendo inexactos los datos reclamándole el pago de facturas por ese servicio no prestado. Y esos datos inexactos son comunicados a la empresa de impagados para que realice su actuación". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Por lo tanto, ha quedado acreditado que el tratamiento de los datos inexactos del denunciante realizado por parte del ALLIANZ POPULAR, no respondía con veracidad a la situación de aquel, incurriendo por ello en una vulneración del principio de calidad de datos recogido en el artículo 4.3 de la LOPD, que encuentra su tipificación en el artículo 44.3.
  3. c)de la citada Ley Orgánica. V El artículo 44.3.
  4. c)de la LOPD considera infracción grave: "Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave". A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. ALLIANZ POPULAR ha incurrido en la infracción grave descrita al tratar datos inexactos y no veraces del denunciante en relación con la póliza de seguro nº ***CRÉDITO.1 cuyo titular (tercero con el mismo nombre y apellidos que el denunciante pero con DNI ***DNI.2 y domicilio en Algemesí (Valencia)) nada tenía que ver con el denunciante, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. VI El artículo 45.2, 4 y 5 de la LOPD establece que: "2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  5. a)El carácter continuado de la infracción.
  6. b)El volumen de los tratamientos efectuados.
  7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  8. d)El volumen de negocio o actividad del infractor.
  9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  10. f)El grado de intencionalidad.
  11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12
  15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". ALLIANZ POPULAR ha solicitado la aplicación subsidiaria del artículo 45. 5 de la LOOPD, supuestos
  20. b)y
  21. a)como consecuencia de las circunstancias concurrentes en el presente caso (diligencia, infracción puntual, ausencia de beneficio, falta de perjuicios e implantación de mecanismos de protección de datos), que disminuyen de forma cualificada la antijuridicidad y la culpabilidad de la entidad denunciada. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que ALLIANZ POPULAR ha vulnerado el artículo 4.3 de la LOPD, al tratar los datos del denunciante de manera inexacta e inveraz al vincularlos a un seguro colectivo y de crédito, póliza nº ***CRÉDITO.1, cuyo asegurado era un tercero, que al igual que el denunciante también era cliente de BANCO POPULAR (tomador de la póliza), que tenía su mismo nombre y apellidos pero distinto DNI y domicilio; además, el número de la citada póliza coincide con el último de una serie de contratos que habían sido asignados por error a su persona y que fue reconocido en escrito de 14/11/2012 declarando que el error estaba subsanado. A mayor abundamiento, el denunciante obtuvo de la compañía aseguradora, a su solicitud, copia del certificado individual de la citada póliza donde constan no solo los datos de aseguramiento sino también los personales y bancarios del asegurado, lo que demuestra la negligencia y falta de diligencia de la entidad en regularizar las irregularidades cometidas, por lo que su actuación ha de ser objeto de sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Por tanto, las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
  22. d)y
  23. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Por otra parte, es cierto que ALLIANZ POPULAR ha reconocido mediante escrito de 18/12/2015 que “Nos encontramos ante un error material o de hecho que se caracteriza por ser ostensible, manifiesto, indiscutible y evidente por sí mismo, sin necesidad de mayores razonamientos, y por exteriorizarse “prima facie” por su sola contemplación”, matizando a continuación que “No obstante, ALLIANZ POPULAR reconoce su responsabilidad en el error cometido al enviar la comunicación de cambio de denominación de la Compañía al reclamante, sin detectar la confusión en la dirección de correo de la persona con el mismo nombre y apellidos que otro asegurado de la Cia”, y que “ha procedido a subsanar el error en el que ha incurrido”. Ahora bien, la responsabilidad reconocida se circunscribe solamente al hecho del envío de la comunicación de cambio de denominación de la entidad aseguradora sin detectar el domicilio que pertenecía a otro asegurado, obviando el resto de lo ocurrido ya que no se trata de un mero error puntual como se desprende de los hechos denunciados y avalados por la documentación obrante en el expediente, al quedar acreditada la materialización de actos que agravan la culpabilidad de la entidad: en primer lugar, como ya ha sido expresado con anterioridad el número de la póliza coincide con el número de uno de los contratos que habían sido asignados por error en la persona del denunciante habiendo sido reconocido mediante escrito de 14/11/2012 en el que se declaraba que la incidencia estaba subsanada; en segundo lugar, la entidad aseguradora no detectó, que aun existiendo coincidencia en el nombre y apellidos de los afectados, ambos tenían distinto DNI; en tercer lugar, en una nueva comunicación de 22/01/2014 la aseguradora se dirige al denunciante en la condición de asegurado: “En relación con la póliza colectiva del seguro de amortización de créditos ***CRÉDITO.1, nos dirigimos a usted como asegurado/a de la misma…” y, por último, este escrito permitió al denunciante dirigirse a la aseguradora mediante e-mail el 31/03/2014 solicitando copia de la citada póliza, aportando su DNI y que se la enviaran a su domicilio (datos que no coincidían con los del asegurado), la cual le fue enviada (consta el resumen de condiciones al 01/04/2014), infringiendo gravemente de nuevo la LOPD, a los efectos que puedan derivarse. También la representación de la entidad ha invocado la regularización diligente en los hechos acaecidos y la concurrencia de criterios previstos en el artículo 45.4 de la LOPD a efectos de la aplicación de las atenuantes privilegiadas previstas en las letras
  24. a)y
  25. b)del artículo 45.5 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 En relación con la alegación de la regularización diligente no puede ser aceptada a la luz de los hechos probados en el procedimiento que demuestran todo lo contrario, al no ajustar su comportamiento a la diligencia que era procedente y atendiendo a las obligaciones que el desarrollo de su actividad le imponen, por lo que se entiende que no concurre tal circunstancia como atenuante de su conducta. En relación a la concurrencia criterios previstos en el artículo 45.4 de la LOPD a efectos de la aplicación de la circunstancia prevista en el apartado
  26. a)del artículo 45.5, hay que indicar lo siguiente: En cuanto con la circunstancia prevista en el apartado
  27. i)del artículo 45.4, existencia de procedimientos adecuados de actuación en la recogida de datos, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se ha tratado de una anomalía del funcionamiento de los procedimientos implantados, sino un claro incumplimiento de los mismos a la vista de los hechos considerados probados. En cuanto a la circunstancia prevista en el apartado
  28. g)del artículo 45.4, alega la representación de la entidad que no ha sido sancionado con anterioridad por un error en el tratamiento de datos; en primer lugar, aclarar que no se ha tratado de un simple error y que la reincidencia no se contempla como circunstancia atenuante, sino como agravante de la conducta infractora. La Audiencia Nacional en sentencia de 26/02/2014 establece que “Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del artículo 45 LOPD , deben concurrir dos o más circunstancias del apartado 4 del mismo artículo 45, y además de manera "significativa", que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia, y es un hecho notoria la reiteración de conductas infractoras en materia de protección de datos por parte de France Telecom, de todo ello concluimos que el artículo 45.5 LOPD no puede ser aplicado en el caso”. En cuanto a la circunstancia prevista en el apartado
  29. h)del artículo 45.4, la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En cuanto a la ausencia de beneficios, la LOPD prevé en el artículo 45.4 circunstancias tanto agravantes como atenuantes de la responsabilidad, por ello, al margen de que en la conducta de la compañía aseguradora se aprecie en su conducta la circunstancia prevista en el apartado
  30. e)la ausencia de beneficios, la concurrencia de las circunstancias agravantes expresadas en el párrafo siguiente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 No obstante, se advierten otras circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las agravantes previstas en los apartados c), del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de los clientes como de terceros; el apartado
  31. d)del artículo 45.4, “volumen de negocio” toda vez que se trata una gran empresa por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, en particular la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal (apartado b), el volumen de negocio del infractor (apartado d), y que reconoció los hechos en fase de actuaciones previas aunque no su responsabilidad se impone una sanción de 50.000 € por la infracción del artículo 4.3 de la LOPD de la que ALLIANZ POPULAR debe responder. III En su escrito de recurso el recurrente solicita que la entidad BANCO POPULAR sea sancionada por infracciones graves y muy graves a la LOPD. Hay que indicar que en el procedimiento sancionador y la resolución de la que trae causa y que es objeto de recurso la entidad sancionada es ALLIANZ POPULAR, compañía aseguradora perteneciente al Grupo Banco Popular y no la entidad crediticia perteneciente al mismo grupo. De la documentación existente en el expediente administrativo y como bien señala el recurrente BANCO POPULAR había cometido una serie de irregularidades al confundir al recurrente con otro cliente de la entidad con su mismo nombre y apellidos, error que tendría transcendencia para el mismo al trabarse embargo sobre sus bienes por las deudas de un tercero. Sobre este particular, indicar que estos hechos datan de 2012 y ambas partes alcanzaron un acuerdo el 20/11/2013 habiendo sido indemnizado el recurrente por los daños y perjuicios ocasionados por el error sufrido, comprometiéndose la entidad a solventar la incidencia producida. Por otro lado, el recurrente recibió en su domicilio el 11/03/2014, información relativa a una póliza colectiva de un seguro de amortización de créditos ***CRÉDITO.1 de ALLIANZ POPULAR en condición de asegurado; póliza que no había sido contratada por aquel sino por un tercero, cliente de la entidad, que tenía su mismo nombre y apellidos pero distinto DNI. Como ya se hizo constar en la resolución recurrida esta circunstancia permitió al recurrente dirigirse a la aseguradora el 31/03/2014 y recibir en su domicilio el 05/04/2014 copia del certificado individual de la citada póliza donde constan no solo los datos de aseguramiento sino también los personales y bancarios del tercero, cliente de la entidad. Como así consta en los hechos probados, la aseguradora mediante escrito de 18/12/2015 reconocía el error cometido por ser ostensible, manifiesto, indiscutible y evidente por sí mismo; no obstante, en la resolución se hacía constar que la responsabilidad reconocida por la entidad sancionada se circunscribía solamente al hecho del envío de la comunicación de cambio de denominación de la entidad aseguradora, obviando los restantes hechos puestos de manifiesto en el expediente, habiendo quedando acreditados su realización y materialización, lo que agravaba la culpabilidad de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Por tanto, la responsabilidad en los hechos anteriores corresponde a la entidad aseguradora y no a la entidad crediticia como pretende el recurrente. IV Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 20 de mayo de 2016, en el procedimiento sancionador PS/00666/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.