1/10 Expediente Nº: TD/00158/2021 RESOLUCIÓN Nº: R/00553/2021 Visto el recurso de reposición estimatorio dictado por la Directora de la Agencia Española de Protección de Datos por el que se impugna la Resolución de esta Agencia con número de referencia E/03411/2021 de fecha 24/03/2021 que se inadmite la reclamación presentada por D. A.A.A., frente a PELAYO MUTUA DE SEGUROS Y REASEGUROS A PRIMA FIJA, por no haber sido debidamente atendida su solicitud de ejercicio de derechos establecidos en el Reglamento Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 5 de febrero de 2021, D. A.A.A. (en adelante, la parte reclamante) ejerció derecho de acceso frente a PELAYO MUTUA DE SEGUROS Y REASEGUROS A PRIMA FIJA con NIF G28031466 (en adelante, el reclamado), sin que su solicitud haya recibido la contestación legalmente establecida, en concreto, solicita copia exacta de toda la información remitida a UNESPA y que se refiere a datos personales, operaciones de carácter personal y contratos privados. SEGUNDO: En fecha 25 de marzo de 2021, la parte reclamante interpone un recurso potestativo de reposición contra la resolución recaída en el expediente E/03411/2021, en el que muestra su disconformidad con la resolución impugnada, argumentando que, con posterioridad a la presentación de su reclamación ante esta Agencia, recibió contestación por parte de la reclamada de fecha 18 de marzo de 2021, cuya copia aporta y en la que, si bien se indica la finalidad de la incorporación de sus datos al citado fichero, no se concreta qué datos han sido facilitados al mismo. TERCERO: Con fecha 3 de junio de 2021, ésta Agencia puso a disposición de la reclamada la reclamación presentada por la parte reclamante, para que en el plazo de quince días se remita las alegaciones que consideren convenientes, por lo que se realizaron, en síntesis, las siguientes alegaciones: La reclamada manifiesta que, la parte reclamante tenía suscrita una póliza de seguro de hogar, y como consecuencia del siniestro, se informó del mismo al Fichero sectorial de prevención del fraude en el ramo. En dicha carta se facilita toda la información básica que exige la normativa de protección datos, y que es la que determina que se debe trasladar al afectado en el Fichero autorizado en su día por esta Agencia. Este fichero fue creado al amparo de los artículos 99.7 y 100 de la Ley 20/2015, de 14 de julio, de Ordenación, Supervisión y Solvencia de las Entidades Aseguradoras y Reaseguradoras, que habilitan para que las entidades aseguradoras puedan establecer ficheros comunes cuya finalidad sea prevenir el fraude en el seguro, sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 que sea necesario el consentimiento del afectado, bastando con la mera información y comunicación de la inclusión de sus datos en el fichero. La reclamada se encuentra adherida a este Fichero y, por este motivo, se envía dicha información al mismo con el fin de cumplir con las obligaciones establecidas en el mismo. Que existe amparo legal para la cesión de datos a este Fichero, de conformidad con lo establecido en el artículo 8.1 de la Ley Orgánica 3/2018, por lo que no se requiere el consentimiento del afectado, exigiéndose únicamente que se le comunique sus datos han sido incluidos en el citado fichero, como así se hizo. Que se informó a la parte reclamante que, el responsable de este fichero es la Unión Española de Entidades Aseguradoras y Reaseguradoras (UNESPA), y el Encargado del Tratamiento es Tecnologías de la Información y Redes para las Entidades Aseguradoras, S.A. (TIREA), entidad esta última ante quien se debe ejercitar los derechos de protección de datos relativos a este Fichero. Dicha información fue facilitada a la parte reclamante tanto en la carta previa en la que se le comunicaba su inclusión en el fichero al declarar el siniestro y posteriormente mediante correo electrónico al solicitar el derecho de acceso. TERCERO: Examinadas las alegaciones presentadas por la reclamada, son objeto de traslado a la parte reclamante, para que, en el plazo de quince días hábiles formule alegaciones que considere oportunas: La parte reclamante manifiesta que, si la finalidad del fichero es la prevención y detección del fraude, y que, si se han cedidos datos al mismo, se interpreta que, al menos se ha iniciado un procedimiento de seguimiento, por lo que se han facilitado una serie de datos personales a terceros interesados. Por ello, se solicita a la reclamada que indique la información que se ha facilitado, en que extensión y/o detalle y con qué finalidad. Si la reclamada hubiera facilitado la información, la cuestión estaría resuelta, por el contrario, se limitan a facilitar la información básica y sin interés de informar completa y adecuadamente. Que no se ha facilitado la información requerida y como consumidor, la aseguradora debe facilitar al cliente toda aquella información que sea de su interés, personal o comercial relacionado con sus datos personales y/o póliza suscrita. Que, a fecha de las alegaciones, se desconoce qué información y datos ha facilitado la reclamada a UNESPA y TIREA. Que se informe de todos los datos e información facilitadas a las mismas. La parte reclamante se plantea dudas sobre si estas entidades facilitan todos los datos e información que les haya cedido la reclamada. La parte reclamante, manifiesta su desconcierto con esta Agencia que, creada con la finalidad de proteger los datos personales, con su actuación consigue justamente lo contrario. Y es para que una aseguradora localice e identifique a un defraudador, miles y miles de asegurados formarán parte de ficheros con un histórico de datos personales, de sus cuentas bancarias, de sus domicilios, teléfonos, correos electrónicos, dónde están y dónde estuvieron, si tiene seguros y con quién los tiene, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 en definitiva un histórico que no existiría si desde esta Agencia no se autorizara un fichero que sólo beneficia a una aseguradora y en el caso de que uno de sus asegurados, entre muchos miles, fuera o tuviera intención de actuar en fraude. Que, sin ser defraudador, se incluyan en un fichero y se publiquen datos personales y bancarios, para que una determinada compañía aseguradora pueda detectar el fraude de un asegurado, todo ello favorecido por esta Agencia que al menos teóricamente persigue todo lo contrario: la creación de bases de datos con datos personales no justificadas convenientemente o de utilidad pública, plantea serias dudas de la legalidad del procedimiento adoptado cuando las compañías tienen a su disposición otros medios de detección e investigación de posibles fraudes sin tener que recurrir a la creación de ficheros históricos de miles y miles de asegurados que ni participan ni participaron ni existen motivos para que se les incluya en un fichero histórico. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1
- f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta. De conformidad con esta normativa, con motivo de la estimación del recurso potestativo de reposición contra la resolución recaída en el expediente E/03411/2021, que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 plazo de quince días y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los “datos o actividades de tratamiento a los que se refiere la solicitud”. El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. CUARTO: Los artículos 99.7 y 100 de la Ley 20/2014, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras disponen: Artículo 99. Protección de datos de carácter personal. “1. Las entidades aseguradoras podrán tratar los datos de los tomadores, asegurados, beneficiarios o terceros perjudicados, así como de sus derechohabientes sin necesidad de contar con su consentimiento a los solos efectos de garantizar el pleno desenvolvimiento del contrato de seguro y el cumplimiento de las obligaciones establecidas en esta Ley y en sus disposiciones de desarrollo. El tratamiento de los datos de las personas antes indicadas para cualquier finalidad distinta de las especificadas en el párrafo anterior deberá contar con el consentimiento específico de los interesados. 2. Las entidades aseguradoras podrán tratar sin consentimiento del interesado los datos relacionados con su salud en los siguientes supuestos:
- a)Para la determinación de la asistencia sanitaria que hubiera debido facilitarse al perjudicado, así como la indemnización que en su caso procediera, cuando las mismas hayan de ser satisfechas por la entidad.
- b)Para el adecuado abono a los prestadores sanitarios o el reintegro al asegurado o sus beneficiarios de los gastos de asistencia sanitaria que se hubieran llevado a cabo en el ámbito de un contrato de seguro de asistencia sanitaria. El tratamiento de los datos se limitará en estos casos a aquellos que resulten imprescindibles para el abono de la indemnización o la prestación derivada del contrato de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 seguro. Los datos no podrán ser objeto de tratamiento para ninguna otra finalidad, sin perjuicio de las obligaciones de información establecidas en esta Ley. Las entidades aseguradoras deberán informar al asegurado, beneficiario o al tercero perjudicado acerca del tratamiento y, en su caso, de la cesión de los datos de salud, en los términos previstos en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal salvo que, tratándose de seguros colectivos, tal obligación sea asumida contractualmente por el tomador. 3. Las entidades aseguradoras que formen parte de un grupo a los efectos previstos en el título V podrán intercambiar, sin necesidad de contar con el consentimiento del interesado, los datos de carácter personal que resulten necesarios para el cumplimiento de las obligaciones de supervisión establecidas en esta Ley. Los datos no podrán utilizarse para ninguna otra finalidad si no se contase con el consentimiento específico del interesado para ello. 4. Las entidades aseguradoras, o en su caso, reaseguradoras, podrán comunicar a sus entidades reaseguradoras, sin consentimiento del tomador del seguro, asegurado, beneficiario o tercero perjudicado, los datos que sean estrictamente necesarios para la celebración del contrato de reaseguro en los términos previstos en el artículo 77 de la Ley 50/1980, de 8 de octubre, de Contrato de Seguro o la realización de las operaciones conexas, entendiéndose por tales la realización de estudios estadísticos o actuariales, análisis de riesgos o investigaciones para sus clientes, así como cualquier otra actividad relacionada o derivada de la actividad reaseguradora. La cesión de dichos datos para cualquier finalidad distinta de las establecidas en el párrafo anterior requerirá el consentimiento del interesado. 5. Las entidades que desarrollasen por cuenta de entidades aseguradoras actividades objeto de externalización tendrán la consideración de encargadas del tratamiento, debiendo sujetarse al régimen previsto para las mismas en la Ley Orgánica 15/1999, de 13 de diciembre, y su normativa de desarrollo. 6. En los supuestos de cesión de cartera previstos en esta Ley, así como en los de transformación, fusión o escisión de entidades aseguradoras a los que la misma se refiere, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre. 7. Las entidades aseguradoras podrán establecer ficheros comunes que contengan datos de carácter personal para la liquidación de siniestros y la colaboración estadístico actuarial con la finalidad de permitir la tarificación y selección de riesgos y la elaboración de estudios de técnica aseguradora. La cesión de los citados datos no requerirá el consentimiento previo del afectado, pero sí la comunicación a éste de la posible cesión de sus datos personales a ficheros comunes para los fines señalados, con expresa indicación del responsable, para que se puedan ejercitar los derechos de acceso, rectificación, cancelación y oposición previstos en la ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 También podrán establecerse ficheros comunes cuya finalidad sea prevenir el fraude en el seguro sin que sea necesario el consentimiento del afectado. No obstante, será necesaria en estos casos la comunicación al afectado, en la primera introducción de sus datos, de quién sea el responsable del fichero y de las formas de ejercicio de los derechos de acceso, rectificación, cancelación y oposición. En todo caso, los datos relativos a la salud sólo podrán ser objeto de tratamiento con el consentimiento expreso del afectado. 8. En la información que habrá de facilitarse al tomador del seguro conforme al artículo 96 deberá igualmente incorporarse la que, en relación con el tratamiento de sus datos personales, establece el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre. 9. Las entidades aseguradoras deberán proceder en el plazo de diez días a la cancelación de los datos que les hubieran sido facilitados con anterioridad a la celebración de un contrato si el mismo no llegara a celebrarse, a menos que contasen con el consentimiento específico del interesado que deberá ser expreso si se tratase de datos relacionados con la salud. Artículo 100. Lucha contra el fraude en seguros. Las entidades aseguradoras deberán adoptar medidas efectivas para, prevenir, impedir, identificar, detectar, informar y remediar conductas fraudulentas relativas a seguros, ya se adopten de forma individual o mediante su participación en ficheros comunes a los que se refiere el artículo 99.7. Las entidades aseguradoras también podrán suscribir convenios de colaboración con el Ministerio del Interior y los Cuerpos y Fuerzas de Seguridad del Estado, así como con las consejerías y policías de las Comunidades Autónomas que tengan funciones análogas, con objeto de colaborar, cada uno en el ámbito de sus competencias, en la prevención e investigación del fraude en el seguro. En todo caso, el intercambio de información que pudiera llevarse a cabo al amparo de dichos convenios respetará lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: Antes de entrar en el fondo de las cuestiones aquí planteadas, cabe señalar que, se mantiene el principio de que todo tratamiento de datos necesita apoyarse en una base que lo legitime y deberá tener amparo en alguna de las bases legales del tratamiento establecidas en el artículo 6.1 del Reglamento general de protección de datos, según el cual “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, “el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales”. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertados de otros, es decir, el derecho de acceso se otorgará de modo que no afecte a datos de terceros. En el supuesto aquí analizado, la parte reclamante ejerció su derecho de acceso, su solicitud no obtuvo la respuesta legalmente exigible, dado que no se facilitó el acceso requerido (la información remitida a UNESPA). Una vez examinada la documentación obrante en el procedimiento, se observa que la reclamada no da la debida respuesta al derecho de acceso conforme a la normativa en materia de protección, pues se detalla las categorías del registro y no del contenido específico del dato, cuáles de sus datos son objeto del tratamiento, los fines, etc., señalando, de forma genérica, los campos que conforman el fichero: por ejemplo, indican que disponen de nombre y apellidos, pero no los reseñan. La respuesta a una solicitud de acceso debe cumplir con la normativa y estar estructurada según lo que dicta el art. 15 RGPD. A este respecto cabe señalar que, el interesado tiene derecho a obtener del responsable los datos que son objeto del tratamiento y, así poder comprobar que los datos son ciertos, que la utilización o tratamiento se limite a los datos estrictamente necesarios para la finalidad que se hace conforme a la relación entre el interesado y el responsable, y en el caso de disconformidad, poder ejercitar cualquiera de los derechos establecidos en el RGPD. Por consiguiente, se debe facilitar completamente el derecho de acceso ejercitado conforme a lo establecido en la normativa de protección de datos y especificar el dato preciso, especifico, real…que es objeto de tratamiento, que datos se han cedido y su finalidad, y no una respuesta automatizada o genérica. El resto de las cuestiones planteadas por las partes, no resultan de la competencia de esta Agencia, debiéndose dirimir y resolver por las instancias correspondientes. Por otro lado, señalar que, conforme a la normativa en materia de protección de datos, la parte reclamante sólo puede solicitar sus propios datos personales, o de aquellas personas cuya representación ostente, en concreto, dicho documento puede contener C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 otros datos que no constituyen datos de carácter personal de la parte reclamante, por ello, la normativa en materia de protección de datos no ampara la obtención de copias de documentos, con independencia de que otra normativa ampare la obtención de dicha documentación, careciendo esta Agencia de competencias para su análisis. El derecho de acceso es el derecho que tienen los interesados en conocer que datos están siendo tratados por el responsable del tratamiento, los datos objetos del tratamiento, la finalidad de este, el origen de los datos y si se han o van a comunicar a terceros. Con carácter general, la copia o acceso a documentos o información concreta no forma parte del contenido del derecho de acceso regulado en la normativa vigente en materia de protección de datos. En cuanto a lo señalado por la parte reclamante cuestionando la actividad de esta Agencia y que la normativa favorece a la reclamada, señalar que, el conjunto de Ordenamiento jurídico español rigen el estado y como norma suprema la Constitución Española y que propugna como valores superiores dicho ordenamiento jurídico y a esta Agencia le corresponde velar por el cumplimiento de la normativa de protección de datos y controlar su aplicación, para ello, ejercer las funciones y potestades que le atribuyan leyes nacionales o normas de Derecho de la Unión Europea. Le corresponde supervisar la aplicación del artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo. Hay que señalar que todas las resoluciones de esta Agencia son recurribles ante los órganos judiciales, por ello, las decisiones tomadas en la resolución son siempre susceptibles de valoración por una instancia superior. En base a cuanto antecede, considerando que el presente procedimiento tiene como objeto que las garantías y los derechos de los afectados queden debidamente restaurados, procede estimar la reclamación que originó el presente procedimiento por considerar que el derecho de acceso no se llevó a cabo en la forma debida. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. e instar a PELAYO MUTUA DE SEGUROS Y REASEGUROS A PRIMA FIJA con NIF G28031466, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho de acceso solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a PELAYO MUTUA DE SEGUROS Y REASEGUROS A PRIMA FIJA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1037-180321 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es