1/16
Expediente Nº: EXP202105693
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 8 de agosto de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a CAJA DE SEGUROS
REUNIDOS, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (CASER) (en
adelante, la parte reclamada), mediante el Acuerdo que se transcribe:
<<
Expediente N.º: EXP202105693
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 26 de octubre de
2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra CAJA DE SEGUROS REUNIDOS, COMPAÑÍA DE
SEGUROS Y REASEGUROS, S.A. (CASER) con NIF A28013050 (en adelante, la
parte reclamada). Los motivos en que basa la reclamación son los siguientes: en el
mes de mayo de 2016 el reclamante suscribió con BANCO IBERCAJA (en lo sucesivo
IBERCAJA) un préstamo hipotecario a un determinado tipo de interés y, para
mantener dicho tipo de interés, una de las condiciones del préstamo era contratar un
seguro de salud con la aseguradora reclamada. El reclamante contrató la póliza de
salud, figurando él como tomador y siendo el único titular de la cuenta de cargo abierta
con la entidad financiera reclamada. Como beneficiaria de la póliza figuraba su pareja
por aquel entonces y de la que actualmente se encuentra separado desde el
14/04/2021; desde el 08/06/2021, la aseguradora reclamada ha realizado diversas
modificaciones en los datos de la póliza, sin su consentimiento, en concreto, se
modificó el tomador y la cuenta de cargo de la prima, despareciendo el reclamante y
su cuenta bancaria, figurando en su lugar su expareja como tomadora y la cuenta de
esta; días más tarde, el 16/06/2021, se volvió a incluir al reclamante como tomador,
pero la cuenta de cargo seguía siendo la de su expareja; finalmente, y tras las
reclamaciones efectuadas por el reclamante, el 17/06/2021, se modificó la cuenta de
cargo, pasando a ser la cuenta privativa del reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/16
A raíz de lo sucedido, el 05/07/2021, presentó reclamación ante la aseguradora
reclamada, recibiendo respuesta el 22/07/2021, pidiendo disculpas e indicando que las
modificaciones en la póliza se realizaron a instancia de la entidad financiera y que tan
pronto tuvieron conocimiento del desacuerdo del reclamante, rectificaron la incidencia.
Asimismo, el 21/07/2021, presento reclamación ante la entidad financiera, en relación
con la modificación unilateral de la póliza vinculada a su contrato de préstamo,
recibiendo respuesta el 27/07/2021, indicándole que las modificaciones se solicitaron
desde su oficina gestora por la persona asegurada (su expareja) y que, no obstante,
se han mantenido las bonificaciones del préstamo. El reclamante manifiesta que el
hermano de su expareja trabaja en la oficina desde la que se instaron las
modificaciones no consentidas en los datos contractuales.
Aporta admisión a trámite de la solicitud de divorcio, copia de las reclamaciones
efectuadas y de las respuestas recibidas, así como reclamación dirigida a la Dirección
General de Seguros y Fondos de Pensiones, de 20/10/2021.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 20/12/2021 como consta en el
acuse de recibo que obra en el expediente.
El 14/01/2022 el reclamado respondió al requerimiento formulado señalando que el
31/05/2016 el reclamante formalizó con IBERCAJA un préstamo con garantía
hipotecaria pactándose en un tipo de interés fijo del 3,25% (tipo de interés sin cumplir
las bonificaciones), salvo que, efectivamente se verificara que se cumplían las
condiciones de bonificación según lo indicado en el apartado de la escritura
hipotecaria "VINCULACIONES Y OTROS COSTES", en cuyo caso sería de aplicación
lo allí referido con un tipo de interés mínimo aplicable del 1,750% para el supuesto que
se cumplan todas las bonificaciones pactadas, entre las que se encuentra la
contratación con CASER del seguro "Ibercaja Salud". El tipo de interés pactado en la
escritura es el tipo de interés acordado en la operación de préstamo hipotecario y que
las bonificaciones pactadas tienen carácter opcional y voluntario para el prestatario, no
siendo de obligado cumplimiento, por lo que, si lo desea, puede cancelar y no
mantener el seguro de salud indicado o contratar otro de los citados en el anexo de
condiciones de bonificación.
Con fecha de efectos 01/01/2017, el reclamante suscribe con CASER la póliza
colectiva "Caser Salud Integral" en la que se figura como tomador e incluye como
única asegurada a Dña. B.B.B., contratación realizada en las oficinas de IBERCAJA,
en su calidad de red de distribución del operador de banca seguros del Grupo Ibercaja
(la entidad IBERCAJA MEDIACION DE SEGUROS, S.A.U. (en lo sucesivo IBERCAJA
MEDIACION) y que mantiene contrato de agencia con CASER. Las primas del seguro
se adeudaban en la cuenta de IBERCAJA titularidad del reclamante.
El día 08/06/2021, IBERCAJA MEDIACION en su calidad de mediadora de la póliza de
seguro y, por tanto, encargada del tratamiento de los datos responsabilidad de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/16
CASER, tramita una solicitud formulada en las oficinas de IBERCAJA, en la que
solicita la modificación de la cuenta asociada a dicha póliza para proceder ella misma
a los pagos de las primas, dado que es la única asegurada, y a su vez, modificar su
posición contractual de asegurada por la de tomadora de la póliza y asegurada de la
misma póliza, no efectuándose ninguna modificación en la póliza, limitándose a
trasladar la solicitud de la asegurada a la entidad aseguradora.
El 09/06/2021 CASER procede, con efectos desde el día 8 de junio, a sustituir al
tomador del seguro (reclamante) por la que hasta ese momento era la asegurada de la
póliza (Dña. B.B.B.), presuponiendo por el principio de la buena fe mercantil que de
dicha sustitución era conocedor el reclamante, quién habría otorgado su
consentimiento, al menos de forma tácita. El hecho de que al perder la condición de
tomador del seguro el reclamante quedaba liberado de las obligaciones y deberes que
derivan del contrato de seguro, inducían a pensar que el tomador del seguro conocía y
aceptaba su sustitución en la póliza.
Tras las comunicaciones del reclamante al Centro de Relación con los Clientes de
CASER en las que manifestó no haber aceptado o consentido el cambio de tomador
del seguro, una vez verificado que no figuraba en los archivos documento alguno
suscrito por el tomador del seguro (reclamante) solicitando o autorizando dicho
cambio, con fecha 16/06/2021, se retrotrajo la póliza a la situación anterior,
restituyéndose a reclamante como tomador del seguro y, el día 17 de junio, se volvió a
incluir su número de cuenta a los efectos del pago de los recibos de primas.
En cuanto al contrato de préstamo hipotecario formalizado por el reclamante con
IBERCAJA, los cambios realizados en la póliza del seguro de salud por la entidad
aseguradora, objeto de esta reclamación, no modificaron el tipo de interés que venía
siendo aplicado al mismo.
Asimismo, el reclamado en su respuesta de 14/01/2022 manifestaba, entre otros
aspectos, los siguientes:
“ El tratamiento de los datos del reclamante por la aseguradora se encuentra
legitimado por el contenido del artículo 6.1.b) del RGPD que establece que el
tratamiento de los datos personales será licito si es necesario para la ejecución de un
contrato en el que el asegurado sea parte.
Adicionalmente, el tratamiento de los datos de los tomadores de los seguros por las
Aseguradoras se encuentran legitimado por el artículo 99.1 de la Ley 20/2015, de 14
de julio, de Ordenación, Supervisión y Solvencia de las Entidades Aseguradoras y
Reaseguradoras, que faculta a las compañías aseguradoras a tratar los datos de los
tomadores de los seguros, sin necesidad de recabar su consentimiento, para el
desenvolvimiento del contrato de seguro; debiéndose tomar en consideración que, tan
pronto como tuvo noticias Caser de la ausencia de consentimiento otorgada por el
reclamante rectificó el cambio del tomador.
Con respecto al acceso a los datos responsabilidad de Caser por Ibercaja Mediación,
este se encuentra legitimado por asumir esta última sociedad la condición de
encargada del tratamiento de conformidad con lo dispuesto en el artículo 203.1.a) del
Real Decreto-ley 3/2020, así como por el hecho de haber suscrito entre ambas un
contrato comprensivo de las obligaciones establecidas en el artículo 28 del RGPD.
- Que la reclamación formulada por el reclamante se basa en la ocurrencia de unos
hechos que, al incluirlos el reclamante en su escrito presentado ante la AEPD, los
reconoce como auténticos.
- Y se reproduce también parte de la información que trasladó al reclamante:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/16
o Todas las referencias que se hacen por esta parte a la entidad IBERCAJA, vienen
referidas a Ibercaja Mediación de Seguros, S.A.U., que es la sociedad mediadora del
seguro suscrito por usted y, por tanto, encargada del tratamiento de los datos
responsabilidad de Caser.
o Que tan pronto como tuvo noticias Caser de que usted no había solicitado el cambio
de tomador del seguro, procedió a restituir el contrato a la situación anterior”.
TERCERO: Con fecha 26/01/2022, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
Al objeto de investigar la ocurrencia de los hechos descritos, el 09/03/2022 se realizó
una solicitud de información al reclamado, IBERCAJA e IBERCAJA MEDIACION.
Las respuestas a dichos requerimientos tuvieron entrada en la sede electrónica de la
AEPD el 24/03/2022 (el reclamado), y el 29/03/2022 (IBERCAJA e IBERCAJA
MEDIACION).
En la documentación recabada se describen las actuaciones de las distintas entidades
para gestionar modificaciones de una póliza de seguro de salud y, a continuación, se
reproduce un extracto del contenido aportado con el fin de introducir las aplicaciones
informáticas que se referencian:
“[…]
El proceso para modificar los datos de una póliza de seguro de salud, con carácter ge-
neral, se inicia en las oficinas de la IBERCAJA, dado que allí es donde se dirigen los
clientes para ello.
[…]
La gestión de las modificaciones de una póliza de salud del reclamado, en la mayoría
de los casos puede realizarse directamente desde las oficinas de IBERCAJA a través
de la aplicación informática del reclamado “Portal Bancaseguros.
[…]
La modificación del tomador de la póliza de un seguro de salud, es decir, la sustitución
de la persona del tomador inicial por otra persona supone una modificación de los
intervinientes en el contrato, excediendo de sus datos personales, y ha de ejecutarse
por el reclamado.
[…]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/16
Las solicitudes que las oficinas de la IBERCAJA no pueden realizar directamente en el
aplicativo del reclamado son comunicadas a IBERCAJA MEDIACION, para su traslado
al reclamado, de la siguiente forma:
- Aplicativo de Consultas Internas” Remedy-Ibersic”
- Buzón de correo electrónico ***EMAIL.1
La IBERCAJA MEDIACION traslada la petición al reclamado a través de la herramien-
ta “Peticiones SGO” que se encuentra disponible en el “Portal Bancaseguros” del re-
clamado, a la cual no tienen acceso las oficinas de la IBERCAJA.
[…]
Una vez hecha la introducción, se expone para cada entidad investigada el resultado
de las actuaciones de investigación.
EL RECLAMADO:
En la documentación aportada, en el Registro de la Actividad de tratamiento de datos
personales “Tratamiento de Producción de Seguros Generales”, se identifica al
reclamado como la entidad responsable de las actividades de tratamiento de datos
personales.
Con fecha 08/06/2021 la IBERCAJA MEDIACION abre el expediente
***EXPEDIENTE.1 a través de la función “Peticiones de Operaciones (SGO)” que se
encuentra disponible en la aplicación informática “Portal Bancaseguros” y le traslada al
reclamado solicitud de cambio de tomador de la póliza de seguro Salud Integral del
reclamante.
El reclamado no recaba los “escritos firmados por el tomador cedente y el tomador
que acepta”, documentación necesaria según el procedimiento para la modificación de
una póliza de seguro de salud mediante la emisión de un suplemento que el
reclamado ha descrito en el marco de las actuaciones previas de investigación.
A continuación, se reproduce un extracto de la descripción del “Procedimiento
establecido para la modificación de una póliza de seguro de salud mediante la emisión
de un suplemento” del reclamado:
Por su importancia hay que destacar que en el Procedimiento de Emisión de Seguros
Generales se detalla la documentación que debe aportarse junto con la solicitud de
modificación de las condiciones de un seguro. Concretamente, en lo que respecta a la
documentación necesaria para solicitar la sustitución del tomador, se establece
literalmente:
“Cambio de Tomador.
Se requiere escrito o escritos firmados por el tomador cedente y el tomador que
acepta. Además, en el documento tienen que facilitarse los datos personales del
nuevo tomador: nombre, apellidos, documento, domiciliación bancaria, domicilio de
prestación, etc.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/16
El tomador deberá ser mayor de 18 años, o en caso de ser menor de 18 años y mayor
de 16, declarado legalmente mayor de edad por un juez.”
Con fecha 09/06/2021 el reclamado hace efectivo el cambio en la póliza de seguro
Salud Integral del reclamante en los términos solicitados por la IBERCAJA
MEDIACION: el Área de Producción de Salud, cambia el número de cuenta y el
tomador del seguro, por entender que el tomador del seguro consentía, al menos
tácitamente su sustitución.
Con fecha 16/06/2021 y como consecuencia de las reclamaciones formuladas por el
reclamante al reclamado, el reclamado insta a IBERCAJA MEDIACION a abrir un
expediente solicitando que se retroceda la póliza de seguro Salud Integral del
reclamante a la situación anterior, incluyendo como tomador al reclamante y su cuenta
corriente como domicilio del pago del recibo de primas.
Con fecha 16/06/2021 el reclamado retrotrae la póliza de seguro Salud Integral del
reclamante a la situación anterior al día 9 de junio de 2021.
IBERCAJA MEDIACION
Se señala que IBERCAJA MEDIACION, sociedad participada por IBERCAJA, actúa
como encargado del Tratamiento respecto a los tratamientos de datos necesarios para
distribuir los seguros del reclamado, que es la entidad responsable del Tratamiento, y
que la IBERCAJA actúa como subencargado del tratamiento.
Se indica que el personal de IBERCAJA MEDIACION no tiene presencia física en
ninguna oficina de la red de distribución de la IBERCAJA y que cualquier gestión sobre
las pólizas de seguros de salud realizadas en las oficinas de la IBERCAJA son
realizadas por empleados de dicha entidad.
Con fecha 08/06/2021 la IBERCAJA MEDIACION recibe de IBERCAJA, a través de la
aplicación “Remedy-Ibersic”, una consulta de cambio de tomador en la póliza de
seguro Salud Integral del reclamante; solicitando que la asegurada pase a ser la
tomadora del seguro y facilitando adicionalmente una nueva cuenta domiciliaria para el
pago de la prima del seguro; para su traslado al reclamado.
Con fecha 08/06/2021 la IBERCAJA MEDIACION traslada al reclamado, a través de la
función “Peticiones de Operaciones (SGO)” de la aplicación “Portal Bancaseguros”,
petición de cambio de tomador de la póliza de seguro Salud Integral del reclamante.
Se aporta captura de pantalla de la aplicación “Portal Bancaseguros” con el detalle de
la petición trasladada al reclamado. La petición incluye la siguiente información:
Cambio de tomador en seguro de Salud Integral: […]
“La asegurada va a ser tomadora y asegurada y quien va a pagar el seguro.
Actualmente, ya era quien pagaba realmente el seguro”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/16
Con fecha 09/06/2021 IBERCAJA MEDIACION es informada por el reclamado, a
través de correo electrónico, de que la petición ha sido tramitada.
Con fecha 10/06/2021 IBERCAJA MEDIACION traslada a IBERCAJA, a través de la
aplicación “Remedy-Ibersis”, que la petición ha sido tramitada por el reclamado.
Con fecha 16/06/2021 IBERCAJA MEDIACION, con motivo de la reclamación del
reclamante ante el reclamado y a instancias del reclamado, inicia una solicitud de
rectificación para restablecer la póliza de seguro Salud Integral del reclamante a su
situación anterior.
Con fecha 16/06/2021 IBERCAJA MEDIACION es informada por el reclamado, a
través de correo electrónico, de que la póliza se ha retrocedido a la situación inicial.
IBERCAJA
IBERCAJA señala que es la asegurada quien solicita convertirse en tomadora y
asegurada de la póliza de seguro Salud Integral cuyo tomador es el reclamante.
Con fecha 08/06/2021 IBERCAJA comunica a IBERCAJA MEDIACION, a través de la
aplicación “Remedy-Ibersic”, petición de cambio de tomador de la póliza de seguro
Salud Integral del reclamante; solicitando que la asegurada pase a ser la tomadora del
seguro y facilitando adicionalmente una nueva cuenta domiciliaria para el pago de la
prima del seguro; para su traslado al reclamado.
Se aporta captura de pantalla de la aplicación “Remedy-Ibersic” con la comunicación a
la IBERCAJA MEDIACION, Nueva Relación, donde se identifica el usuario y la oficina
de procedencia y se describen los detalles de la petición:
- Nueva Relación: hermano de la asegurada (Subdirector Oficina)
- Oficina: ***OFICINA.1
- Detalle de la Relación: se facilita la nueva cuenta domiciliaria para el pago de la
prima del seguro y se incluye la siguiente información:
“La asegurada va a ser tomadora y asegurada y quien va a pagar el seguro.
Actualmente, ya era quien pagaba realmente el seguro.”
Información que es contraria a lo que el reclamante manifiesta en su reclamación y la
IBERCAJA corrobora en su respuesta al reclamante con fecha 27 de julio 2021:
“Todas las cuotas del seguro Salud Integral se han cobrado en la cuenta asociada
[…]”
Refiriéndose la cuenta asociada a la del tomador de la póliza de seguro Salud Integral
del reclamante (Doc-4 de la Reclamación, entrada – ***ENTRADA.1).
Con fecha 10/06/2021 la IBERCAJA es informada por la IBERCAJA MEDIACION, a
través de la aplicación “Remedy-Ibersic”, de que su petición ha sido tramitada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/16
FUNDAMENTOS DE DERECHO
I
De acuerdo con [Introduzca el texto correspondiente a [Texto fundamento I
PS].] y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver
este procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los
procedimientos tramitados por la Agencia Española de Protección de Datos se regirán
por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las
disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las
contradigan, con carácter subsidiario, por las normas generales sobre los
procedimientos administrativos."
II
Los hechos denunciados se materializan en que la reclamada llevo a cabo
diversas modificaciones en los datos de la póliza de salud, vinculada al préstamo
hipotecario contratado con entidad financiera, sin su consentimiento, en concreto, el
tomador y la cuenta de cargo de la prima, figurando en su lugar su expareja tanto
como tomadora y como su cuenta personal; más tarde se volvió a modificar incluyendo
al reclamante como tomador, si bien la cuenta de cargo siguió siendo la de su expareja
y, finalmente, tras las reclamaciones efectuadas por el reclamante, fue modificada la
cuenta de cargo, pasando a ser la cuenta del reclamante, lo que podría suponer la
vulneración de la normativa en materia de protección de datos de carácter personal.
El artículo 58 del RGPD, Poderes, señala:
“2. Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las
circunstancias de cada caso particular;
(…)”
El artículo 6, Licitud del tratamiento, del RGPD en su apartado 1, establece
que:
1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/16
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”.
Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11,
señala que:
“1) «datos personales»: toda información sobre una persona física identificada
o identificable («el interesado»); se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador, como por ejemplo un nombre, un número de identificación,
datos de localización, un identificador en línea o uno o varios elementos propios de la
identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha
persona;
“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;
“11) «consentimiento del interesado»: toda manifestación de voluntad libre,
específica, informada e inequívoca por la que el interesado acepta, ya sea mediante
una declaración o una clara acción afirmativa, el tratamiento de datos personales que
le conciernen”.
III
El tratamiento de datos requiere la existencia de una base legal que lo legitime,
como el consentimiento del interesado para el tratamiento de los datos personales
para uno o varios fines específicos.
De conformidad con el artículo 6.1 del RGPD, además del consentimiento,
existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de
contar con la autorización de su titular, en particular, cuando sea necesario para la
ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición
de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de
intereses legítimos perseguidos por el responsable del tratamiento o por un tercero,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/16
siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y
libertades fundamentales del afectado que requieran la protección de tales datos. El
tratamiento también se considera lícito cuando sea necesario para el cumplimiento de
una obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.
En el presente caso, se imputa al reclamado la vulneración del artículo 6.1 del
RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo, pues como se
señalaba en el fundamento anterior posibilito diversas modificaciones en los datos de
la póliza de salud, vinculada al préstamo hipotecario contratado con entidad financiera,
sin su consentimiento ni autorización sin su consentimiento ni autorización ni ninguna
otra causa de legitimación de las previstas en el art. 6.1 del RGPD.
.
El mismo reclamado ha reconocido haber hecho efectivo el cambio de tomador
del seguro y número de cuenta de cargo asociada sin haber seguido el procedimiento
establecido para la modificación de una póliza de seguro de salud, esto es, sin haber
recabado los “escritos firmados por el tomador cedente y el tomador que acepta”.
Hay que señalar que el respeto al principio de licitud de los datos exige que
conste acreditado que el titular de los datos consintió en el tratamiento de sus datos de
carácter personal y desplegar una razonable diligencia imprescindible para acreditar
ese extremo. De no actuar así, o concurrir alguna otra causa de legitimación, el
resultado sería vaciar de contenido el principio de licitud.
IV
La infracción que se le atribuye a la reclamada se encuentra tipificada en el
artículo 83.5 a) del RGPD, que considera que la infracción de “los principios básicos
para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los
artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado
artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/16
(…)
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679.
(…)”
V
A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/16
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a
imponer en el presente caso por la infracción tipificada en el artículo 83.5.a) del RGPD
de la que se responsabiliza al reclamado, en una valoración inicial, se estiman
concurrentes los siguientes factores:
Se consideran circunstancias agravantes:
- La naturaleza, gravedad y duración de la infracción: los hechos afectan
gravemente a un principio básico relativo al tratamiento de los datos de carácter
personal, como es el legitimidad, cuya vulneración se considera muy grave; los daños
y perjuicios causados como consecuencia de la intromisión en la esfera de privacidad
del reclamante pues no hay que olvidar que nos encontramos ante la infracción de un
derecho fundamental a la protección de los datos personales; el reclamante se vio
obligado a dirigirse tanto a la entidad financiera como a la reclamada como
consecuencia de las modificaciones producidas en la póliza , así como la presentación
d reclamación ante la DGSFP y ante este organismo por los mismos hechos (artículo
83.2, a) del RGPD). .
- La actividad de la reclamada se halla vinculada con el tratamiento de datos
tanto de clientes como de terceros. En su actividad de la entidad reclamada es
imprescindible el tratamiento de datos de carácter personal por lo que, dado volumen
de negocio de la misma (una de las importantes entidades aseguradoras del país), la
transcendencia de la conducta objeto de la presente reclamación es innegable
(artículo 76.2.b) de la LOPDGDD en relación con el artículo 83.2.k).
- Aunque no se puede sostener que el reclamado haya actuado
intencionadamente, no cabe duda de que se observa una grave falta de diligencia en
su actuación. Conectado con el grado de diligencia que el responsable del tratamiento
está obligado a desplegar en el cumplimiento de las obligaciones que le impone la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/16
normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue
dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente
extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las
entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de
datos de clientes y terceros han de observar un adecuado nivel de diligencia,
precisaba que “(...) el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que,
en el caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
b) del RGPD).
Se consideran circunstancias atenuantes:
- Solo se ha visto afectada una persona por la conducta infractora.
Por lo tanto, de acuerdo con lo señalado,
Por la Directora de la Agencia Española de Protección de Datos,
SE ACUERDA:
1. INICIAR PROCEDIMIENTO SANCIONADOR a CAJA DE SEGUROS REUNIDOS,
COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (CASER) con NIF A28013050, por
la presunta infracción del artículo 6.1 del RGPD, sancionada conforme a lo dispuesto
en el artículo 83.5.a) del citado RGPD.
2. NOMBRAR Instructor a C.C.C. y Secretaria a D.D.D., indicando que cualquiera de
ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y
24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público
(LRJSP).
3. INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación
interpuesta por la parte reclamante y su documentación, así como los documentos
obtenidos y generados por la Subdirección General de Inspección de Datos en las
actuaciones previas al inicio del presente procedimiento sancionador.
4. QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), y
articulo 127 letra b) del RLOPD, la sanción que pudiera corresponder por la infracción
descrita sería de 40.000 € (cuarenta mil euros), sin perjuicio de lo que resulte de la
instrucción.
5. NOTIFICAR el presente Acuerdo a CAJA DE SEGUROS REUNIDOS, COMPAÑÍA
DE SEGUROS Y REASEGUROS, S.A. (CASER) con NIF A28013050, indicándole
expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo
de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/16
considere procedentes. En su escrito de alegaciones deberá facilitar su NIF y el
número de procedimiento que figura en el encabezamiento de este documento.
Asimismo, de conformidad con los artículos 64.2.f) y 85 de la LPACAP, se le informa
de que, si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá
ser considerado propuesta de resolución.
También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1
LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la
formulación de alegaciones al presente acuerdo de inicio lo que llevará aparejada una
reducción de un 20% de la sanción que proceda imponer en el presente
procedimiento, equivalente en este caso a 8.000 euros. Con la aplicación de esta
reducción, la sanción quedaría establecida en 32.000 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de
conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una
reducción de un 20% del importe de la misma, equivalente en este caso a 8.000 euros.
Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000 euros
y su pago implicará la terminación del procedimiento.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 24.000 euros.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (32.000 euros o 24.000 euros), de acuerdo con lo previsto en
el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso
en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la
Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa de reducción del importe a la que se
acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/16
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la
LPACAP, contra el presente acto no cabe recurso administrativo alguno.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 17 de agosto de 2022, la parte reclamada ha procedido al pago
de la sanción en la cuantía de 24000 euros haciendo uso de las dos reducciones
previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/16
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202105693, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a CAJA DE SEGUROS REUNIDOS,
COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (CASER).
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
936-040822
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es