Rızasız Ehliyet Puanı Sorgulaması

1/73

 Expediente N.º: EXP202202567

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y con
base en los siguientes

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, la parte reclamante) en fecha 14/01/2022 interpuso
una reclamación ante la Agencia Española de Protección de Datos (AEPD). La
reclamación se dirige contra LÍNEA DIRECTA ASEGURADORA, S.A., COMPAÑÍA DE
SEGUROS Y REASEGUROS, con NIF A80871031, (en lo sucesivo, la parte
reclamada o LÍNEA DIRECTA). El hecho en el que basa la reclamación es el siguiente:

El agente de seguros exclusivo de LÍNEA DIRECTA, la mercantil MAJOREL S.P.
SOLUTIONS, S.A., (en adelante, MAJOREL), sin recabar su consentimiento, ha
consultado a través de la página web de la Dirección General de Tráfico (DGT) el
saldo de puntos asociados a su carné de conducir. Para poder efectuar esta consulta
MAJOREL ha obtenido previamente de la DGT una clave de acceso, para lo cual ha
debido de facilitar datos personales de la parte reclamante -el NIF y la fecha de
expedición de su carné de conducir- y una dirección de correo electrónico -en este
caso, una dirección de la que el reclamante no es titular- a la que la DGT ha remitido la
clave. Recibida la clave, ha accedido a la información de los puntos que se encuentra
registrada en la DGT.

La parte reclamante manifiesta:

“Hoy día 13/01/2022 solicité a compañía de seguros Línea Directa Aseguradora
precio del seguro del coche. Me llamó por teléfono un mediador (MAJOREL SP
SOLUTIONS, S.A.U.) […]. Esta entidad ha consultado sin mi consentimiento mi
saldo de puntos del carnet de conducir, a través de la Web de la DGT, sin
certificado.
Han introducido en la Web de la DGT mi DNI, mi fecha de expedición del carnet
de conducir, y han insertado un email que no es de mi propiedad, sin mi
consentimiento, para que la DGT le enviase una clave de acceso para conocer
mi saldo de puntos del carnet de conducir.
Posteriormente he comprobado el email que han utilizado accediendo a la Web
de la DGT y solicitando la recuperación de clave por email.
El email que me aparece es ***EMAIL.1 Decido interponer denuncia ya que en
ningún momento he dado mi consentimiento para que realicen en mi nombre esa
consulta.” (El subrayado es nuestro)

Con su escrito de reclamación aporta:

-Una captura de pantalla que lleva en el encabezamiento la indicación “Gobierno de
España”, “Ministerio del Interior”, “Dirección General de Tráfico” y que incluye esta

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/73

información: “Solicitud de clave de acceso. Paso 2 de 2- Verificación de datos
personales.”

Inmediatamente debajo, en un recuadro, figuran estos datos de la parte reclamante: el
nombre, apellido 1, apellido 2, NIF y la fecha de expedición de su carné de conducir. A
continuación, en dos recuadros precedidos de las rúbricas “E-mail” y “Comprobación
de E-mail”, figura en ambas casillas esta dirección electrónica: ***EMAIL.1. Por último,
precedida del símbolo de información, aparece esta leyenda: “La dirección de correo
electrónico que nos indique será donde recibirá su clave de acceso”.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a LÍNEA DIRECTA y a
MAJOREL para que procediesen a su análisis e informasen a esta Agencia, en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.

El traslado se practicó conforme a lo prevenido en la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP) en fecha 03/03/2022. La notificación fue aceptada en esa misma fecha por
ambas entidades como lo acreditan los acuses de recibo que obran en el expediente.

A. Respuesta de LÍNEA DIRECTA al traslado de la reclamación y solicitud de
información de la Subdirección General de Inspección de Datos (SGID)

En fecha 31/03/2022 se recibe la respuesta de la Delegada de Protección de Datos
(DPD) de LÍNEA DIRECTA en la que solicita que se proceda al archivo de la
reclamación. Sobre el fundamento de la licitud del tratamiento invoca la concurrencia
de dos bases jurídicas: los apartados a) y b) del artículo 6.1 RGPD.

Comienza haciendo referencia a “tres hechos diferenciados” que a su juicio se
plantean en la reclamación y que conllevan distintos tratamientos de datos:

i. El primero sería en su opinión la “solicitud de precio de seguro” que el reclamante
hizo a LÍNEA DIRECTA. Dice que ha de valorarse la licitud de “atender la solicitud de
contratación de un seguro del que se ha pedido precio” y, añade: “Por lo que resulta
de la llamada, el reclamante había introducido ya todos sus datos por internet para
obtener una cotización, o al menos había solicitado ser llamado (“Te llamamos gratis”)

ii. El hecho segundo consiste en la “llamada telefónica por parte de MAJOREL”.
Explica que MAJOREL es agente exclusivo de LÍNEA DIRECTA, por lo que estamos
ante un encargado de tratamiento que actúa por cuenta y en nombre de esa parte.

Aporta (documento número 1) el contrato de Agencia de seguros celebrado entre
MAJOREL y LÍNEA DIRECTA el 14/04/2021 en virtud del cual se adaptó el contrato de
Agencia de seguros exclusiva que ambas partes habían suscrito el 01/09/2010 a las
previsiones del Real Decreto-ley 3/2020, de 4 de febrero, de medidas urgentes por el
que se incorporan al ordenamiento jurídico español diversas Directivas de la Unión
Europea en el ámbito de la contratación pública en determinados sectores, entre ellos
el de seguros privados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/73

El contrato de encargo de tratamiento consta de treinta y cinco estipulaciones. Forman
parte de él el Anexo I, “de protección de datos personales”, el Anexo II, “requisitos de
seguridad a implementar por el encargado”, el Anexo III “Complementario al Anexo
RGPD. Indicadores del plan de calidad”, y el Anexo IV, “Código Ético”.

Aporta como documento número 2 unas capturas de pantalla obtenidas el 30/04/2022
de la página web de la Dirección General de Seguros y Fondos de Pensiones
(DGSFP) en las que consta inscrita MAJOREL como agente exclusivo de seguros con
contrato con LÍNEA DIRECTA desde el 03/02/2011.

iii. El hecho tercero es la “Consulta de los puntos DGT”.

Frente a lo manifestado por la parte reclamante de que los puntos asociados a su
carné de conducir se consultaron “sin su autorización ni consentimiento”, la DPD de
LÍNEA DIRECTA, alega:

“Se ha investigado si esto fue así, pues en los contratos de encargo de
tratamiento se incorpora, cláusula séptima, la necesidad de recabar la
autorización para llevar a cabo cualquier actividad como la descrita. También se
incluyen recordatorios al respecto, como se justifica con los planes de calidad
para operadores de ventas externos. Se aporta el mismo como DOCUMENTO
NÚMERO 3.”
(El subrayado es nuestro)

Describimos seguidamente los dos documentos mencionados por la DPD:

a)La estipulación séptima del contrato de Agencia -aportado como documento 1- que
establece:

“INFORMACIÓN Y PROTECCIÓN DE LA CLIENTELA COMERCIALIZACIÓN A
DISTANCIA
Además de las obligaciones generales en materia de información referidas en
cláusulas anteriores, en la realización de comercialización a distancia, la Agencia
queda obligada de forma previa a la celebración de los productos objeto de
intermediación bajo este Contrato, a cumplir con las obligaciones previas
exigidas en la normativa específica y en concreto en la LSSICE y en la LCD en
todo aquello que le fuera de aplicación.
Por tanto, la Agencia deberá identificarse como tal, en todas las llamadas y
cumplir con las restantes previsiones a tal efecto establecidas bajo las
referenciadas normativas.
Asimismo, la Agencia manifiesta su capacidad para obtener el consentimiento
expreso y jurídicamente válido de los clientes para la realización de las
actuaciones previas a la contratación del producto de seguro mediado conforme
a las previsiones contenidas en el RGPD y en la LOPDPGDD e incluidas en el
Anexo Complementario RGPD adjunto al presente contrato, de acuerdo con las
instrucciones que al respecto le indique LINEA DIRECTA.
[…].” (El subrayado es nuestro)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/73

b) Los “planes de calidad para operadores de ventas externos” que la aseguradora
reclamada aporta como documento número 3, consisten en un documento en Word en
el que se ha transcrito parte del encabezamiento de un correo electrónico. En el
extremo izquierdo del documento se indica:
“Motor_calidad”. “Enviado por Motor_calidad” “18/02/2020.17:12”.

En el extremo derecho, los apartados “Para” y “cc” están en blanco. En el apartado
“cco” se incluyen varias direcciones de correo electrónico, de ellas, la única que
pertenece al dominio “majorel” es: “***EMAIL.2”.

Como “Asunto”, consta en el documento “Operativa pautas generales ventas”.
Inmediatamente debajo se incluye este texto, sin ninguna indicación sobre su
procedencia o sobre el documento del que se hubiera extraído:

<<CAMPAÑA 15 PUNTOS:
- Como cualquier campaña, se puede aplicar si nuestro precio es superior o hay
queja del cliente.
- Hay que preguntar si tiene los 15 puntos.
- Hay que solicitar el justificante de los 15 puntos o pedir autorización al cliente
para realizar la consulta online.
>> se considera incidencia media.
>> en cotización y/o cierre.>> (El subrayado es nuestro)

Como documentos números 4 y 5 la DPD de LÍNEA DIRECTA aporta la grabación de
la conversación telefónica mantenida entre el trabajador/operador telefónico de
MAJOREL y la parte reclamante. La conversación se interrumpe por la comida del
reclamante, de ahí que existan dos grabaciones.

La DPD hace estas consideraciones respecto a los audios de las conversaciones
mantenidas
“ […]
b) Se observa en la conversación que la consulta a los puntos de la DGT se
efectúa en el seno de la contratación de una póliza de seguros de vehículo, que
fue finalmente contratada. Se adjunta como DOCUMENTO NÚMERO 6 la póliza
que tuvo efecto justamente el mismo día de la llamada, esto es, el día
13/01/2022.

c) La contratación de la póliza, cuyo precio depende, entre otros, de que se
tengan o no los 15 puntos, implica corroborar esta información con la DGT.
Se reproduce la transcripción de la grabación en esta parte (en negrita y
subrayados los puntos que inciden en el presente requerimiento):

• Operador: “yo tengo un precio inicial de 501 euros, vale, es inicial, ¿usted tiene
los 15 puntos de carnet de conducir?”
• Cliente: “Sí”
• Operador: “vale, ¿me dice por favor la fecha de expedición de su carnet?’”
• Cliente: “sí, 31/05/2007”
(…)
• Operador: “disculpe, ¿me repite la fecha de expedición de su carnet?”
• Cliente: “31/05/2007”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/73

• Operador: “un segundito que hago la consulta”
• Cliente: “sí”
• Operador: “le pongo en espera y vuelvo con usted en seguida, ¿vale?”
• Cliente: “claro”
(…) periodo de varios minutos en que se efectúa la consulta a la D.G.T.
• Operador:” Gracias por la espera A.A.A., actualmente tiene 11 puntos de
carnet de conducir”
• Cliente: “no lo sé, yo tengo los 15”
• Operador: “no, tiene 11 porque lo acabo de consultar a la D.G.T., no sé si le
han quitado recientemente 4 puntos…”
(…) Se contrata la póliza aplicando descuento y valorando los 11 puntos para
ello entre otros puntos.

d) Nótese que se hace referencia a la posibilidad de que los 4 puntos que
supuestamente le faltan han sido retirados “recientemente”, lo que implica que el
acceso se ha efectuado en ese instante “reciente” a la DGT. De hecho, el propio
reclamante aporta un “pantallazo” desde su móvil del sistema de acceso a la
página web de la D.G.T. para la consulta de sus puntos, lo que nos hace
presuponer que conocía el sistema utilizado, o estaba familiarizado con el
mismo, de manera que era consciente de que la única consulta posible para
contrastar su saldo de puntos era a la web de la D.G.T.

e) Este DPD considera que hubiera sido más conveniente y ajustado a la política
de calidad que el operador indicara expresamente no solo “¿hago la consulta?”,
sino que hubiera añadido “a la D.G.T.”, o que empleara una fórmula como “¿me
autoriza la consulta de sus puntos a la D.G.T.? Sin embargo, del contexto de la
conversación, está claro que cuando el operador indica “un segundito que hago
la consulta (…) ¿vale?” y el reclamante responde “sí”, o “claro”, es porque dicho
reclamante estaba consintiendo y autorizando tal consulta, como así se
desprende de haberle dejado en espera por más de dos minutos, y que el
reclamante esperara pacientemente, y acto seguido el operador retomara la
conversación informando de los puntos que se tiene “tras consulta a la D.G.T.”,
(aquí sí se dice literalmente por el operador que la consulta ha sido a la D.G.T),
lo que no generó sorpresa alguna entonces, o de que se contrate a la póliza
finalmente.

f) También hemos de indicar que la consulta de los puntos no requiere de
consentimiento expreso, como afirma el reclamante, lo que exponemos en la
siguiente alegación.” (El subrayado es nuestro)

La DPD concluye: “En suma, no se cohonesta bien la reclamación formulada con el
contenido y el tono de la conversación mantenida, pues tras escuchar la misma no
puede negarse que el reclamante supo, en todo momento, que se iban a consultar sus
puntos a la D.G.T. y que ello se hacía para mejorar el precio del seguro, que ya le
había dado el operador.”

La DPD de LÍNEA DIRECTA aporta con el número 6 dos documentos:

a) “Las condiciones particulares del seguro de automóvil póliza nº ***REFERENCIA.5”,
emitidas el 13/01/2022, en las que figura como tomador y conductor el reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/73

Entre los datos incluidos en el condicionado particular destaca el apartado referente a
la “Prima” del seguro. En relación con la “Prima anual” consta “Total anual...530,79€”.
Debajo, “Descuento campaña...-265.39€”. Y a continuación: “A pagar …265,40€”.

b) Un documento que trata dos cuestiones:
(i) “Información previa a la contratación de Línea Directa Aseguradora, S.A.”
(ii) “Información sobre el mediador”, estructurado en cuatro sub-epígrafes. El tercero
de ellos, “Tratamiento de datos de carácter personal del cliente” incluye esta
información:

“El responsable del fichero de los datos de los clientes que contraten un seguro
es LÍNEA DIRECTA ASEGURADORA, S.A. que realizará los tratamientos que se
detallan en la Política de Privacidad que está disponible en la página web de la
entidad aseguradora y se acompaña a la documentación contractual.

MAJOREL SP SOLUTIONS, S.A.U. tratará los datos facilitados por los clientes,
para la mediación del seguro solicitado, como encargado del tratamiento de los
datos de LÍNEA DIRECTA ASEGURADORA S.A., siguiendo las instrucciones de
la entidad aseguradora.” (El subrayado es nuestro)

LÍNEA DIRECTA dedica la alegación quinta de su respuesta al traslado a exponer la
“Diferencia entre “consentimiento” y “autorización” para consultar los puntos en
nombre del reclamante.”

Afirma que “la política de calidad de Línea Directa tiene establecido, para todos los
operadores y encargados de tratamiento, que se solicite autorización y consentimiento
para la consulta de los puntos a la D.G.T. siendo así del todo explícitos.”

Manifiesta seguidamente que, “en el presente caso, lo que se sería exigible es una
autorización para consultar los puntos on line por cuenta del titular, al objeto de
aplicarle una campaña publicitaria notoriamente conocida
(https://www.lineadirectaaseguradora.com/-/15-puntos-seguro).”

Argumenta lo siguiente:

“El ámbito de esta autorización son las reglas generales del mandato, o
representación, regulado en los arts. 1709 y ss. del Código Civil que, como es sabido,
permite en el art. 1710 Cc. que el mandato sea expreso (autorización expresa), o
“tácito”, es decir, que se infiera o deduzca de los actos del mandatario, como sucede
en este caso, donde aunque el operador no emplee la fórmula recomendable de “me
autoriza a consultar sus puntos ante la DGT”, tal autorización resulta tácitamente
derivada del contexto de la conversación misma.

De hecho, nuestro Código Civil regula también la gestión de negocios de tercero sin
mandato, como un cuasicontrato (arts. 1888 y ss. C.c.), donde, como señala el art.
1892 Cc. “La ratificación de la gestión por parte del dueño del negocio produce los
efectos del mandato expreso”. En este caso está claro que, en el curso de la
conversación, se hace referencia a la consulta de la D.G.T. y se asume la obtención
de los 11 puntos para, con ellos, aplicar también un descuento, lo que implicaría la
ratificación de la consulta previa misma.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/73

Ahora bien, una vez obtenida la autorización para la consulta del saldo de puntos
(mandato tácito ex. Art. 1710 Cc), o asumida la consulta efectuada para la obtención
del descuento en cuestión (ratificación ex. Art. 1892 Cc), el uso y tratamiento del dato
personal “saldo de puntos” no requiere de consentimiento expreso, a diferencia de lo
que señala el reclamante.” (El subrayado es nuestro)

LÍNEA DIRECTA, concluye:

1.Que no era necesario el consentimiento de la parte reclamante para la consulta de
los puntos de su carné ante la DGT. Afirma: “no estamos ante la necesidad de
consentir el tratamiento del saldo de los puntos, pues la base jurídica para el
tratamiento de esta información, necesaria para la ejecución o celebración del
contrato, sería el art. 6.1.b) RGPD, en la medida en que con el saldo se aplicaba la
medida precontractual que requería necesariamente tal tratamiento (campaña
descuento por los 15 puntos).”

2.Que, incluso de ser preciso el consentimiento, -tesis que niega- conforme al
Considerando 32 del RGPD se considera consentimiento válido “cualquier otra
declaración o conducta que indique claramente en este contexto que el interesado
acepta la propuesta de tratamiento de sus datos personales”.

3.Que, a tenor de la Directrices 5/2020 del Comité Europeo de Protección de Datos, en
el ejemplo 15, “el consentimiento puede consistir en acciones como saludar con la
mano a una cámara inteligente, o incluso en contextos adversos de desequilibrio,
como el ámbito laboral, el Comité Europeo viene a considerar válido el sentarse en
una determina zona para ser grabado, pues se entiende que las personas que se han
sentado en ese lugar consienten tal grabación. Es decir, la legislación sobre privacidad
no requiere una fórmula rígida que únicamente pase por “¿consiente usted que se
traten sus datos?”, sino que el consentimiento puede inferirse de la conducta del
interesado, analizado el contexto en cuestión, con tal de que exista claridad.”

4.Que concurría un mandato tácito del reclamante para efectuar la consulta: “Pues
bien, analizado el contexto, teniendo en cuenta la conversación, creemos que no solo
concurre un mandato tácito para efectuar la consulta, sino un consentimiento derivado
de la conducta del propio reclamante.”

5.En todo caso no se considera necesario obtener el consentimiento para el
tratamiento de saldo de puntos “cuando esta información es claramente necesaria
para aplicar un descuento de una campaña en concreto (art. 6.1.b) RGPD) -descuento
aplicable por tener un saldo de puntos en la medida en que esto refleja ser buen
conductor-, sino la mera autorización (mandato o representación) para efectuar la
consulta en nombre del reclamante, autorización que puede ser tácita, o que, incluso
de no existir, queda subsanada por su ratificación ulterior (art. 1892 Cc).”

En la alegación sexta de su escrito de respuesta al traslado – bajo la rúbrica “Consulta
de puntos en la DGT informada por la propia Línea Directa”- la DPD de LÍNEA
DIRECTA explica que el “saldo de los puntos asociados a la licencia de conducción
puede obtenerse de dos modos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/73

(i) mediante un certificado expedido por la D.G.T. o (ii) mediante una consulta del saldo
“on line”, es decir a través de la web de la D.G.T.

(i)Explica que la obtención de un certificado por el usuario implica que éste deba
abonar tasas por importe de 8,67 euros; presentar justificante de compra de dichas
tasas; rellenar formularios y presentarlos presencialmente o por internet con firma, “lo
que constituye un trámite complejísimo”.

Razona a continuación que, “Dado que el sistema de certificado no es ágil, y además
implica que el particular debe abonar 8,67 euros, la D.G.T. tiene implementado un
sistema de acceso en línea al saldo de puntos, mediante un proceso en el que se
introduce el NIF o el NIE del interesado y la fecha de expedición del carnet de
conducir, como dato adicional de validación.

Como medida adicional de seguridad, para evitar usos indiscriminados por terceros, la
D.G.T. incluye la introducción de CAPTCHA, y de un correo electrónico para la
obtención del saldo en ese momento. Este correo puede ser, de un solo uso, pues el
sistema permite cambiar tal correo con el siguiente acceso. Con el proceso no se
puede acceder a más información que la estrictamente referida al saldo de puntos
existente en ese momento, de manera que no es accesible o realizable cualquier otra
operativa ante la Administración, o cualquier otra información del propio interesado.”

Añade: “cuando el interesado no tiene generado su acceso on line a su saldo, o para
agilidad y comodidad del mismo, quien así no se ve obligado a tener que dar sus
datos de acceso (ya que basta cambiar el correo electrónico en siguiente acceso), o
ante lo inviable de contar con un certificado de saldo de puntos, se puede usar este
modelo de consulta, que culmina con el envío al interesado de correo electrónico
informativo del proceso de consulta seguido ante la D.G.T.

En otras palabras, para evitar casos como el presente, como medida adicional al
proceso de consulta e información establecido, Línea Directa tiene implementado un
proceso de información al interesado mediante el envío de un correo electrónico
explicativo, que permite así dejar constancia de haber dado esta información.

Desconocemos el motivo por el que el reclamante ha optado por no aportar el correo
explicativo, que consideramos relevante.” (El subrayado es nuestro)

Aporta, entre otros, estos documentos:

-Número 7. Es una captura de pantalla con la siguiente información:
En la primera línea “servidorSMTP”.
En las columnas “Time” y “Destinatarios”, respectivamente: “2022-01-13 18:11:06:137”
y “***EMAIL.3.”
Como asunto, “Línea Directa Aseguradora; Resultado consulta de puntos DGT”.

La parte reclamada manifiesta que este documento es una copia del que envió al
reclamante el 13/01/2022.

-Número 8: La reclamada se refiere a él como “la plantilla del correo electrónico
remitido a [la parte reclamante] informando de la consulta efectuada y de que puede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/73

cambiar el correo utilizado de un solo uso para la consulta del saldo.” El texto del
documento dice así:

“Estimado {nombresaludo}
Nos ponemos en contacto con usted, de acuerdo con la conversación
mantenida, para informarle de que hemos realizado la consulta de puntos a la
Dirección General de Tráfico con su autorización y consentimiento.
Nuestra única finalidad es poder ofrecerle el mejor precio para su Seguro.
El saldo actual de puntos facilitado por la Dirección General de Tráfico para
{nombre completo} con DNI {NIF} es de {puntos}
Le informamos que hemos creado de manera automática una dirección de
correo electrónico aleatoria y de un solo uso, que podrá ser modificada por usted
si lo desea, al acceder la web de tráfico www.dgt.es.”

-Número 9. Denominado por la parte reclamada “Prueba correcto envío de los tres
correos electrónicos”.

Se trata de una captura de pantalla obtenida el 24/03/2022 que muestra el resultado
de tres correos electrónicos enviados en fecha 13/01/2022 desde no-
[email protected] a la dirección de correo de la parte reclamante.

El primer correo se envió a las 18:11:07 y versó sobre el asunto “Resultado de la
consulta de punto DGT”. El segundo, enviado a las 18:18:51, tenía como asunto
“Bienvenida a Línea Directa”. El tercero, enviado a las 18:21:47, relativo a “Documento
de información sobre el producto de seguro”.

-Número 10. “Resumen de sobres y encabezados”.

A través de él se acredita la recepción por el reclamante en fecha 13/01/2022 a las
18:11:07 de los correos enviados por LÍNEA DIRECTA.

La DPD de LÍNEA DIRECTA dedica la alegación séptima de su escrito a las
“Conclusiones y decisiones adoptadas al respecto de esta reclamación”.

Como medidas adoptadas:
a) Comprobar el cumplimiento del plan de calidad. El ya precitado documento 3.
b) Instar al agente exclusivo, su encargado de tratamiento, a reiterar y reforzar el
cumplimiento del plan de calidad referido y facilitar la formación que requiera su
correcta aplicación.
c) Que el encargado de tratamiento implementará auditorías específicas.
d) Que el encargado de tratamiento le ha informado que el operador ha sido
sancionado por falta muy grave y será apartado del servicio a LÍNEA DIRECTA.

B. Respuesta de MAJOREL al traslado informativo de la reclamación y solicitud de
información de la SGID

El DPD responde el 01/04/2022 y dice que MAJOREL cumple con el RGPD. Invoca
también dos bases jurídicas del tratamiento: los artículos 6.1.a) y 6.1.b) del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/73

Informa que LÍNEA DIRECTA y MAJOREL suscribieron el 14/04/2021 un contrato de
Agencia de seguros exclusiva que sustituye al celebrado entre ambas partes en el año
2010, en el que se engloba el servicio de mediación de seguros de motor de la entidad
aseguradora.

Aporta (documento número 1) copia del contrato de Agencia. Indica que la regulación
en materia de protección de datos se encuentra en los anexos al contrato: anexo I,
que “contiene los requerimientos del artículo 28 RGPD respecto a la prestación de
servicios como encargado del tratamiento”; II, que recoge los “requisitos de seguridad
a implementar por el encargado”, y III, relativo a los “indicadores del plan de calidad
para el cumplimiento de la normativa RGPD”.

Aporta (documento número 2) el “ANEXO 01/2022 DE LA CAMPAÑA VENTAS
MOTOR, de fecha 01/01/2022, donde se detalla la campaña “ventas motor” relativa a
los hechos reflejados por el reclamante [...]”

Explica que “El agente de seguros exclusivo es un intermediario contractualmente
vinculado a una única compañía de seguros (en nuestro caso, LÍNEA DIRECTA) que
mediante un contrato se compromete a mediar exclusivamente los seguros de la
aseguradora [..].” Que “MAJOREL comercializa los seguros de LÍNEA DIRECTA
determinados por contrato a través de su plataforma telefónica mediante la emisión y
recepción de llamadas, actuando como intermediario entre los posibles clientes,
tomadores y asegurados y LÍNEA DIRECTA.”

Informa (alegación segunda de su escrito) de las causas que han motivado la
incidencia que ha originado esta reclamación y se pronuncia en los siguientes
términos:
“considera que no hay falta del consentimiento del reclamante a la consulta de sus
puntos ante la DGT, ya que, tal y como se expone en la alegación tercera del presente
escrito, la conducta del reclamante denota como único motivo la omisión de un mero
formalismo rígido (en concreto, no formular la pregunta al interesado) puesto que,
como expondremos más adelante, queda claro que el reclamante con su conducta
autoriza la consulta del saldo de sus puntos con el único objetivo de beneficiarse de
un descuento en su póliza.[…]”

El DPD (alegación tercera) hace las siguientes matizaciones frente a la reclamación
formulada por la parte reclamante:

“El operador de MAJOREL que realiza la llamada de venta del seguro de coche,
formalmente no solicita el consentimiento expreso de manera estricta al interesado,
incumpliendo la normativa interna (órdenes y manuales) del servicio establecidas por
nuestro cliente (LÍNEA DIRECTA) al realizar la consulta de los puntos del carnet de
conducir en la DGT, aunque en todo momento [el reclamante] es informado y autoriza
dicha consulta en la propia llamada (en varias ocasiones) y, además, recibe en su
correo electrónico un email de LÍNEA DIRECTA tras la consulta de sus puntos de
carnet (se genera un email automático remitido desde el sistema Galgo de LÍNEA
DIRECTA).

Es decir, [el reclamante] es conocedor, en todo momento, de que el operador de
MAJOREL realiza la mencionada consulta de puntos e inclusive discrepan sobre los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/73

mismos y, tras la consulta de sus puntos, recibe un email informando de este hecho
con la exclusiva finalidad de poder ofrecerle el mejor precio al seguro interesado.

Por otra parte, en el mencionado email automático que el reclamante recibe, se
informa de la creación de una dirección de correo electrónico aleatoria y de un solo
uso, que puede ser modificada por el afectado al acceder nuevamente a la web de la
DGT.

De lo anterior se deduce la total transparencia del procedimiento de consulta de
puntos del carnet de conducir que refleja la exclusiva finalidad de poder ofrecer el
mejor precio (descuento) del seguro al interesado y sin ningún otra finalidad propia o
beneficio obtenido de la consulta de puntos.

El operador es consciente de que el cliente recibe el mencionado correo electrónico.
Por tanto, el incumplimiento formal del trabajador de MAJOREL no pretendía en
ningún momento ocultar el acceso a los puntos de su carnet de conducir, sino que
demuestra una mera falta al no seguir paso a paso los protocolos marcado en el
servicio. De hecho, en la propia llamada, el operador informa al interesado de que está
realizando la consulta dejándole en espera y, tras acceder, le comunica que tras la
consulta dispone solo de once puntos y no los quince necesarios para favorecerse del
descuento pretendido, siendo autorizado por el reclamante que no se opone a la
actuación del teleoperador.
[...]
Es importante aclarar a la AEPD que se infiere claramente en el contexto de la
conversación telefónica mantenida que el interesado acepta la mencionada consulta
de sus puntos y queda satisfecho con la acción mediadora de MAJOREL, puesto que
accedió en la misma llamada a contratar el seguro de automóvil con LÍNEA DIRECTA,
que entra en vigor el próximo mes de abril de presente año.

El hecho de discrepar por el número de puntos del carnet de conducir tras informar de
los puntos actuales existentes en la DGT, unido a que el teleoperador le informa y le
deja en espera mientras se realiza la consulta, refleja el consentimiento derivado de la
conducta del propio reclamante. Es decir, esta reclamación denota una intención de
retorcer a realidad a posteriori amparándose exclusivamente en una fórmula rígida,
que no pretende el legislador, cuando choca frontalmente con conducta y aceptación
mostrada en la llamada de comercialización del seguro.
[....]
Finalmente, MAJOREL podría inclusive considerar (cosa que no hace, al ser un mero
encargado del tratamiento) no necesario obtener el consentimiento del reclamante
para realizar la consulta del saldo de sus puntos ante la DGT, debido a que esta
información es claramente necesaria para aplicar un descuento de una campaña en
concreto que refleja ser un buen conductor. Todo ello, a través del mandato que se le
otorga a la aseguradora a través del mediador.

El DPD (alegación cuarta) comunica a la AEPD las decisiones adoptadas tras realizar
la correspondiente investigación y estudio detallado de los hechos reflejados en la
reclamación. En síntesis, las siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/73

“Se procede a abrir una incidencia de seguridad en el servicio relativa a los hechos
detallados. Se adjunta captura de pantalla del ticket registrado en el software de
gestión de incidencias corporativo (SolveIt).”

“Se han tomado medidas disciplinarias respecto al teleoperador especialista en el
servicio de LÍNEA DIRECTA que realizó la llamada al reclamante el pasado 13 de
enero de 2022 (login ***REFERENCIA.2) al incumplir ordenes, instrucciones,
procedimientos y operativa del servicio donde trabajaba y que eran suficientemente
conocidas por el empleado tanto en su formación inicial como en las sucesivas
formaciones de reciclaje. La Dirección de MAJOREL decidió calificar la falta como muy
grave con sanción de suspensión de empleo y sueldo durante 4 días y, tras su
reincorporación, se le aparta del servicio de LÍNEA DIRECTA. A simple solicitud por
parte de esa Agencia, en caso de estimarse necesario, facilitaremos este escrito.”

El DPD se refiere en la alegación quinta a las medidas adoptadas para evitar que se
produzcan incidencias similares, fechas de implantación y controles efectuados para
comprobar su eficacia. Explica que esta incidencia “es la primera que se recibe, de
manera que se entiende que el plan de formación e implementación actual es
correcto. Por tanto, se considera un hecho puntual o aislado.”

Dice que, “dentro del plan general de mejora de MAJOREL se ha identificado el
siguiente plan de acción, partiendo de que todos los teleoperadores de MAJOREL que
trabajan en el servicio de LÍNEA DIRECTA han recibido una formación inicial y reciben
formaciones de reciclaje periódicas:”

Distingue entre un “Plan de acción interno” y un “Plan de acción coordinada con LÍNEA
DIRECTA”. En el “Plan de acción interno” se desarrollan las siguientes medidas:

“1. Cambio de estándar de la monitorización, estableciendo un refuerzo específico de
control de autorización de DGT desde el 01/04/2022, para que la obligación ya
existente de solicitar consentimiento y autorización se vea reforzada En el estándar de
monitorizaciones, la pregunta de DGT que MAJOREL establecerá a partir de
01/04/2022 es: “¿Obtiene consentimiento y autorización de cliente a realizar la
consulta de DGT?” y las posibles respuestas serán:
- Si; - No; - N/A

El volumen de auditorías donde se realizará este punto de control es de 140 auditorías
mensuales aproximadamente (2 auditorías por teleoperador con una media de 70
teleoperadores en los servicios de venta de seguros de coche y moto)

2. Establecimiento de recordatorio de manera quincenal con los puntos a cumplir en
las llamadas respecto a la consulta de puntos del carnet de conducir.
Se acompaña el recordatorio implementado actualmente que se está comunicando a
los teleoperadores del servicio, más la formación que hemos publicado a todo el
servicio para hacer hincapié del procedimiento y que se repite periódicamente.

3. Refuerzo y reiteración de punto específico “consulta de puntos DGT” en formación
inicial y formación continua.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/73

4. Seguimiento analítico semanal de llamadas con consulta de puntos del carnet de
conducir a la DGT.”

Añade que actualmente se están realizando auditorías específicas para el control de la
correcta aplicación del RGPD en el servicio de LÍNEA DIRECTA. A partir del día
21/03/2022 se replica este control para correcta aplicación de la consulta de puntos del
carnet en la página web de la DGT. Serán aproximadamente 20 auditorías semanales
solamente para control de este punto, adicionales a las comentadas anteriormente.

Aporta estos documentos:

1.El contrato de Agencia de Seguros entre MAJOREL Y LINEA DIRECTA, celebrado el
14/04/2021 (número 1), cuya cláusula vigesimotercera, “Protección de datos”, dispone:

“De conformidad con la normativa legal aplicable en materia de Protección de
Datos Personales, La Agencia, en su calidad de encargado de tratamiento de los
datos de LÍNEA DIRECTA como responsable, se compromete a dar
cumplimiento al contenido de lo establecido en el Anexo de Protección de Datos
Personales, que forma parte integral del Presente Contrato como Anexo I y III,
formando parte integrante del mismo.”

Forman parte del contrato cuatro Anexos (I “Protección de datos personales”, II
“Requisitos de seguridad a implementar por el encargado”; III “Complementario al
Anexo RGPD. Indicadores del Plan de Calidad para cumplimiento de la normativa
RGPD”, y IV “Código Ético”)

El Anexo I al contrato, “Protección de datos personales”, dice en su estipulación 2,
“Objeto del encargo del tratamiento.”:

“2.1. Mediante las presentes condiciones, se habilita al Encargado del
Tratamiento para tratar, por cuenta del Responsable del Tratamiento, los datos
de carácter personal necesarios para prestar el servicio objeto del Contrato de
prestación de servicios suscrito entre las Partes (en adelante, el “Contrato
Principal” o el “Contrato”). Este Contrato Principal contiene la descripción
detallada de los servicios prestados.

2.2. Los tratamientos que concretamente llevará a cabo el Encargado del
Tratamiento serán únicamente los estrictamente necesarios para cumplir con el
objeto del Contrato Principal. De acuerdo con la naturaleza de tales tareas, el
Encargado del Tratamiento podrá realizar las actividades de tratamiento que se
indican a continuación:

x Recogida
x Registro
x Estructuración
□ Modificación
x Conservación
x Extracción
x Consulta
□ Difusión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/73

x Interconexión
□ Cotejo
□ Limitación
□ Supresión
□ Destrucción
x Comunicación

2.3 Las categorías de datos personales y datos personales que el Encargado del
Tratamiento debe tratar para la ejecución de las obligaciones derivadas del
cumplimiento del objeto del Contrato son los siguientes:
o Datos de clientes (nombre, apellidos, NIF, sexo y teléfono.).
o Datos de posibles clientes (nombre, apellidos, NIF, sexo y teléfono.

La estipulación 5 de este Anexo I, “Obligaciones del Encargado del tratamiento” se
refiere en el punto 5.1.b) a “La comercialización y promoción de los productos de
seguro de LINEA DIRECTA descritos en el Anexo 1 de este Contrato, en estricto
cumplimiento de las instrucciones recibidas de la Aseguradora y ateniéndose a las
tarifas de prima que ésta establezca en cada momento.”

El Anexo III al contrato de Agencia, “Complementario al Anexo RGPD. Indicadores del
Plan de Calidad para cumplimiento de la normativa RGPD”, incluye, entre otras, estas
estipulaciones:

“Con la finalidad de dar cumplimiento a las obligaciones en materia de
protección de datos de carácter personal recogidas en la legislación vigente y en
el anexo RGPD de 019/04/2018 firmado entre las Partes, MAJOREL, en su
condición de encargado de tratamiento de los datos personales de Línea
Directa, se compromete a llevar a cabo las siguientes acciones:

 MAJOREL deberá cumplir de manera estricta, con la obligación de
informar/leer la cláusula relativa al tratamiento de datos personales (cláusula
RGPD) facilitada por LINEA DIRECTA y recoger el consentimiento indicado en
las distintas operativas, en las aplicaciones de LÍNEA DIRECTA o las designadas
entre las Partes a estos efectos, todo ello, en todas las comunicaciones con los
clientes.

 MAJOREL deberá realizar auditorías por sus propios medios, de todas las
comunicaciones, para el control de esta obligación y reportar el resultado global
de las mismas al Responsable del tratamiento, LINEA DIRECTA.”

2. El “Anexo al contrato de agencia exclusiva 01/2022 de la Campaña Ventas Motor”,
de fecha 01/01/2022 dice:

En el punto I. “Definición de la campaña”:
“La campaña consiste en: emisión y recepción de llamadas a clientes con el
objetivo de contratar pólizas de coches y motocicletas de Línea Directa”. [...]

Punto II, “Duración”:
“La campaña comenzará el día 1 de enero de 2020 y finalizará el día 31 de
enero de 2022. En cualquier momento LINEA DIRECTA podrá cancelar la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/73

campaña a que se refiere el presente Anexo mediante preaviso escrito con 5
días naturales de antelación y sin que proceda reclamación por daños y
perjuicios.” (El subrayado es nuestro)

TERCERO: Admisión a trámite

En fecha 07/04/2022, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de
5 de abril, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte
reclamante.

CUARTO: Información económica sobre LÍNEA DIRECTA

Según la información obtenida de la herramienta Axesor, LÍNEA DIRECTA
ASEGURADORA, S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS, con NIF
A80871031, constituida el 04/05/1994, es la sociedad matriz del Grupo empresarial
LDA. El volumen estimado de ventas correspondiente al ejercicio 2022 ascendió a
***CANTIDAD.1 y el número estimado de empleados a ***CANTIDAD.2.

QUINTO: Acuerdo de inicio

En fecha 04/01/2024 la Directora de la Agencia Española de Protección de Datos
acordó iniciar procedimiento sancionador a LÍNEA DIRECTA, con arreglo a lo
dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los
artículos 6.1 del RGPD, infracción tipificada en su artículo 83.5.a), y 28 del RGPD,
infracción tipificada en su artículo 83.4.

SEXTO: Notificación del acuerdo de inicio

El acuerdo de inicio se notifica a la parte reclamada electrónicamente, conforme a las
normas establecidas en la LPACAP, siendo aceptada la notificación en fecha
08/01/2024, como lo acredita el acuse de recibo que obra en el expediente.

SÉPTIMO: Solicitud de ampliación del plazo y de copia del expediente. Alegaciones al
acuerdo de inicio “ad cautelam”.

1.-En escrito presentado el 18/01/2024 LÍNEA DIRECTA solicita, al amparo del artículo
32 LPACAP, “la ampliación del plazo para evacuar respuesta al Acuerdo de Inicio del
Procedimiento Sancionador, con entrega a esta parte de cuántos informes y
actuaciones se hayan incorporado al expediente”.

A continuación, en el punto 2 de ese mismo escrito, solicita “subsidiariamente” que se
tengan por “efectuadas ad cautelam las presentes alegaciones y por aportados los
documentos que se incorporan con el presente escrito.”

Solicita también que se practiquen las pruebas que detalla en su alegación sexta.

2.- Mediante sendos escritos de fecha 19/01/2024, el órgano instructor concede la
ampliación del plazo de alegaciones por el máximo permitido legalmente y da traslado
a la parte reclamada de una copia del expediente administrativo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/73

3.- Alegaciones “ad cautelam” al acuerdo de inicio presentadas por LÍNEA DIRECTA el
18/01/2024.

Las alegaciones de LINEA DIRECTA al acuerdo de inicio, estructuradas en seis
epígrafes, hacen referencia a dos cuestiones fundamentales: de una parte, a la
exposición, y aportación de documentos, de las instrucciones que la aseguradora
reclamada dio a su encargada de tratamiento MAYOREL sobre la operación de
tratamiento que es objeto de este procedimiento. De otra, a la admisión de que el
reclamante no prestó el consentimiento al tratamiento controvertido. LÍNEA DIRECTA
vincula el reconocimiento de que la parte reclamante no consintió el tratamiento de sus
dato a que MAYOREL y no ella sea considerado responsable del tratamiento. En
síntesis, las alegaciones se pronuncian sobre las siguientes cuestiones:

1. Comunica que ha puesto fin al tratamiento sobre el que versa la reclamación.

Afirma que “ ya no lleva a cabo el tratamiento al que se refiere el acuerdo de inicio del
procedimiento sancionador” y explica que es debido a que “las condiciones de acceso
a la información de consulta a los puntos han ido variando a lo largo del tiempo, como
consta incluso en la comprobación efectuada en fecha de 15 de marzo de 2023 según
se expone en la página 22 del Acuerdo de Inicio.”

No obstante, advierte que, en todo caso, sí era posible la consulta en enero de 2022,
“en los términos referidos en el requerimiento de información EXP202202567 que se
presentó en su día y que damos por reproducido, siempre que se informara al
interesado y se solicitara su consentimiento, entre otros puntos que posteriormente
detallaremos, todos ellos debidamente documentados.”

2. Comenta ampliamente (alegación segunda) las características del “contexto
especial” en el que se realizó el tratamiento de datos que nos ocupa.

-Indica que, además de existir un contrato de encargo de tratamiento, MAJOREL y sus
empleados están sujetos a una normativa sectorial que conlleva “ la existencia de una
formación particular sobre la materia de protección de datos y una particular
transparencia en la contratación”.

-Que el operador que realizó la llamada telefónica a la parte reclamante intervino como
empleado de MAJOREL, en calidad de encargado de tratamiento, y se identificó como
tal. Cuestión que, por otra parte, el acuerdo de inicio no pone en tela de juicio.

- Que MAJOREL está inscrita en el registro administrativo de mediadores dependiente
de la DGSFP con la clave ***REFERENCIA.1. Aporta ( documento 3) captura de
pantalla de la inscripción en el citado registro.

-Que la actuación de MAJOREL y de sus empleados está doblemente regulada: A
través del contrato de distribución de seguros con sus anexos, de una parte. De otra,
porque son de aplicación los artículos 140 a 145 del Real Decreto Ley 3/2020 de
Distribución de Seguros, en particular el artículo 147.3.b) conforme al cual “todas las
personas que participen directamente en la distribución de seguros poseen unos
conocimientos y aptitudes apropiados mediante la superación de cursos de formación
de acuerdo con lo previsto en el título I y en su normativa de desarrollo”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/73

-Que la formación que reciben “está reglada”: Menciona el artículo 165 del RDL
3/2020; el Real Decreto 287/2021, de 20 de abril, sobre formación y remisión de la
información estadístico-contable de los distribuidores de seguros y reaseguros, cuyo
artículo 7 dispone que será preciso que cualquier empleado supere una formación de
al menos 150 horas lectivas, o hasta 300 horas, dependiendo del nivel que ostente. Y
la Resolución de 3 de junio de 2021, de la DGSFP por la que se establecen los
principios básicos de los cursos y programas de formación para los distribuidores de
seguros y de reaseguros.

-Considera que la mejor prueba (i) “de lo expuesto acerca de esta cualificada
formación de los empleados” y (ii) de “la existencia de las documentadas instrucciones
dadas al encargado y a los empleados de éste” “es que la propia resolución de esta
Agencia refleja en la página 12 de 42 que MAJOREL calificó la actuación de su
empleado como falta muy grave con suspensión de empleo y sueldo por incumplir
ordenes, instrucciones, procedimientos y operativa.”

3. Bajo la rúbrica “análisis del contrato de Agencia firmado con MAJOREL y de sus
anexos” (alegación tercera) reproduce las siguientes estipulaciones del contrato:

-La cláusula séptima, párrafo tercero: “Asimismo, la Agencia manifiesta su capacidad
para obtener el consentimiento expreso y jurídicamente válido de los clientes para la
realización de las actuaciones previas a la contratación del producto de seguro
mediado conforme a las previsiones contenidas en el RGPD y en la LOPDPGDD e
incluidas en el Anexo Complementario RGPD adjunto al presente contrato, de acuerdo
con las instrucciones que al respecto le indique LINEA DIRECTA”.(El subrayado es
nuestro)

- La cláusula 5.1.o), apartado III: “Que todos los operadores autorizados que tengan
acceso a los ficheros de LÍNEA DIRECTA deberán cumplir con lo dispuesto en la
normativa de distribución de seguros, […]”.

-La cláusula 5.1.o), apartado IV: “En todo caso, la Agencia garantiza que todos los
recursos humanos que destine a la ejecución del presente Contrato con LÍNEA
DIRECTA y que por tanto manejen los datos de los ficheros titularidad de LÍNEA
DIRECTA cumplen con todas las obligaciones legales y contractuales”.

A continuación, afirma que ha quedado debidamente acreditado que el empleado de
MAJOREL incumplió las instrucciones dadas por LÍNEA DIRECTA, afirmación que
apoya en estos tres elementos: (i) la especial formación del encargado de tratamiento
Majorel y de sus empleados; (ii) “la existencia de previsiones contractuales acerca de
la necesidad de solicitar el consentimiento cuando así se exija en la operativa (como
consta probado se exigió) y que el mismo sea acorde al RGPD” y (iii) “por la existencia
de instrucciones específicas para el tratamiento que analizamos en la siguiente
alegación”

4. Dedica un epígrafe específico a “las instrucciones dadas al encargado de
tratamiento para sus empleados.”

Dice que el empleado de MAJOREL que atendió telefónicamente al denunciante no
solicitó ni el certificado de sus puntos, ni tampoco solicitó consentimiento para su
obtención, incumpliendo así las instrucciones dadas por LÍNEA DIRECTA, y siendo por
ello sancionado por infracción laboral. Cita la respuesta de MAJOREL al traslado de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/73

reclamación, en la que declara que el empleado “no solicita el consentimiento expreso
de manera estricta al interesado, incumpliendo la normativa interna (órdenes y
manuales) del servicio establecidas por nuestro cliente (LÍNEA DIRECTA) al realizar la
consulta de los puntos del carnet de conducir en la DGT”.

Explica que estas órdenes y manuales son la concreción de instrucciones detalladas y
documentadas sobre los tratamientos y comprenden cómo llevar a cabo la operativa
con detalle, de manera que “van incluso más allá de la mera referencia a instrucciones
documentadas del art. 28.3 RGPD”.

Aporta en prueba estos documentos:

-Con el número 5, capturas de pantalla de la aplicación informática “Manual Cartera”.
En ella quedan documentadas y registradas las instrucciones que han de cumplir
todos los operadores, en particular los empleados de un encargado de tratamiento
como lo es MAJOREL.

Aporta un extracto obtenido de esa aplicación que corresponde a la denominada
“OPERATIVA PAUTAS GENERALES DE VENTAS” de fecha 18/02/2020, en la parte
correspondiente a la campaña de 15 puntos. Se accede a la notificación que se dirigió
a MAJOREL, de la que se aportó a la Agencia, con la respuesta al traslado de la
reclamación, un extracto en Word con esta información: “CAMPAÑA 15 PUNTOS: -
Como cualquier campaña , se puede aplicar si nuestro precio es superior o hay queja
del cliente. - Hay que preguntar si tiene los 15 puntos. - Hay que solicitar el justificante
de los 15 puntos o pedir autorización al cliente para realizar la consulta online.”

Se comprueba que efectuó el envío de esa operativa de ventas el 18/02/2020 a las
17:08:54 mediante un correo electrónico remitido por B.B.B. en nombre de
Motor/Línea Directa y los receptores del mensaje, entre ellos consta que se envía
copia a la dirección ***EMAIL.4.

Además, aporta un informe elaborado por el departamento de calidad de LÍNEA
DIRECTA tras haber auditado en el año 2022 a MAJOREL (Informe Majorel ventas
2020) del que comenta que recoge la misma incidencia que se ha presentado en el
supuesto de hecho analizado y que implementa planes de refuerzo para recordar la
importancia de solicitar consentimiento.

En el documento 7.bis, “Informe Majorel ventas 2020” consta una mención a esta
incidencia: “DGT o 15 puntos. Aplicarla sin queja de precio y no indicar/pedir permiso
para realizar la consulta por la página de la DGT”.

Y como medida de refuerzo se recoge en el documento la siguiente:
“CONSENTIMIENTO DGT. Os recordamos la importancia de pedir
autorización /consentimiento al cliente para poder hacer la consulta de la DGT en el
contexto de aplicación de la Campaña 15 puntos. Como sabéis es un tema de
especial relevancia legal y que debemos realizar con gran cuidado. El hecho de pedir
la fecha de expedición no es suficiente hay que mencionar en la llamada para que se
lo pedimos: " para hacer la consulta a la DGT ". En ocasiones omitimos que es para
hacer la consulta a la DGT.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/73

5. El epígrafe más extenso de las alegaciones está dedicado al “análisis de las
instrucciones documentadas de LÍNEA DIRECTA para los operadores empleados de
MAJOREL”.

El análisis que la reclamada hace de las instrucciones dadas a su encargado de
tratamiento finaliza con dos conclusiones. La primera, que existió un contrato de
encargo con sus anexos y que también existieron instrucciones documentadas cuyo
incumplimiento genera penalizaciones. La segunda, que el responsable del tratamiento
objeto de este procedimiento no es LÍNEA DIRECTA sino MAJOREL.

Sostiene LÍNEA DIRECTA que, como indicó en la respuesta al requerimiento
informativo, el operador empleado del encargado MAJOREL “no fue riguroso en la
aplicación de las instrucciones dadas, sin perjuicio de que, honestamente, del contexto
y tono de la conversación creemos que el interesado sí tuvo conocimiento de que se
hizo la consulta [...] Sea como fuere, a efectos de Línea Directa es relevante recordar
que, conforme al art. 28.10 RGPD el responsable de estos incumplimientos sería
MAJOREL, y no Línea Directa.”

Basa esa afirmación en que así se concluye en la página 19 del acuerdo de inicio que
dice: “De ser cierto que MAJOREL, a través de su empleado, actuó al margen de las
indicaciones supuestamente recibidas de LÍNEA DIRECTA, sería ella, en virtud del
artículo 28.10 del RGPD, la responsable del tratamiento de datos del reclamante sobre
el que versa este acuerdo de inicio. Recordemos que el artículo 28 del RGPD dispone:
Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del
tratamiento infringe el presente Reglamento al determinar los fines y medios del
tratamiento, será considerado responsable del tratamiento con respecto a dicho
tratamiento.”

Aporta y describe los siguientes documentos:

-Un Certificado expedido por MAJOREL en el que este encargado de tratamiento
declara que:

(i) el correo electrónico remitido el 18/02/2020 por LÍNEA DIRECTA a la dirección
***EMAIL.4 fue recibido correctamente.

(ii) Que esa dirección electrónica fue la que MAJOREL facilitó a LÍNEA DIRECTA
“como válida para recibir la información de campañas como la de “15 puntos” entre
otra”.

(iii) Que pone a disposición de la Agencia, por si fueran necesarios, los documentos
que acreditan la formación específica que recibió el empleado que atendió a la parte
reclamante, así como las medidas que se adoptaron por su actuación con ocasión de
la llamada al reclamante.

(iv) Que las instrucciones que reciben de LÍNEA DIRECTA se documentan en órdenes
y manuales que se complementan con sesiones formativas.

(v) Que el “Manual LDA Emisión Motor” (versión 13/07/2021) que se aporta como
anexo corresponde con las órdenes y manuales vigentes en enero de 2022.

-En el documento “Manual LDA Emisión Motor” (número 8) se ofrece la siguiente
información:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/73

a. Explica, apartado 9.3, bajo el título “Descuento DGT 15 Puntos” en qué consisten
los puntos de la DGT.

b.Indica que la consulta de puntos precisa tener el consentimiento y autorización para
realizarla, que tendrá una validez de tres meses y se arrastrará en cualquier
presupuesto realizado en ese período de tiempo. En el momento de la consulta el
cliente recibirá un email informativo con el resultado de la misma.

c.Para los clientes que no deseen que desde LÍNEA DIRECTA se realice la consulta
“se podrá utilizar la campaña antigua que luego veremos”.

d. Se detallan los pasos del procedimiento a seguir para la consulta de puntos por
LÍNEA DIRECTA, en líneas generales, los siguientes:

1.Antes de consultar los puntos DGT hay que terminar la cotización para informar de
precio inicial y ver si es necesario aplicar la campaña.

2.(…)

Se hace mención a la ANTIGUA CAMPAÑA PUNTOS DGT con esta información:

“Siempre que sea posible, debemos aplicar la campaña NUEVA, pero en algunos
casos no será posible. Utilizaremos la campaña antigua (…).

Cuando el cliente nos indique que (…) tiene los 15 puntos del carnet, le informamos
que para acogerse a esta promoción tiene que mandarnos el justificante de puntos. Al
aplicar la campaña, (…).

Seguidamente se dan las instrucciones para descargar el justificante de la DGT.

-Documento de 21/04/2021 de concienciación a los empleados de la necesidad de
pedir permiso para realizar la consulta de puntos a la DGT (documento número 10)

OCTAVO: Segundas alegaciones de la parte reclamada al acuerdo de inicio.

En fecha 29/01/2024 LÍNEA DIRECTA presenta un segundo escrito de alegaciones en
el que pide que se consideren definitivas las que presentó “ad cautelam”; que se den
por aportados los documentos que presentó con su primer escrito de alegaciones, de
fecha 18/01/2024, así como los que incorpora a su segundo escrito de alegaciones:
una transcripción completa de la conversación telefónica mantenida con el reclamante
y el empleado de MAJOREL tras la llamada efectuada.

Igualmente, pide que se tengan por solicitados los medios de prueba expuestos en la
alegación sexta del escrito de alegaciones “ad cautelam” de 18/01/2024.

NOVENO: Denegación de las pruebas solicitadas por Línea Directa en su escrito de
alegaciones de 18/01/2024.

1.La parte reclamada solicitó en sus alegaciones al acuerdo de apertura, a fin de
justificar lo expuesto en ellas, la práctica de las siguientes pruebas:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/73

“1.Que se tenga por incorporadas las respuestas, con documentos adjuntados a las
mismas, presentados en su día en respuesta a los requerimientos de información,
tanto por la entidad MAJOREL, como por Línea Directa Aseguradora.

2.Que se requiera a la entidad MAJOREL para que aporte […]:

a)Conforme al punto 5 de su certificado aportado como documento número 8 de este
escrito, la justificación de los cursos de formación efectuados por el operador D.
C.C.C., con login ***REFERENCIA.2.

b)Documentos justificativos de las medidas disciplinarias adoptadas por MAJOREL
contra el teleoperador (login ***REFERENCIA.2) que realizó la llamada al reclamante
el 13 de enero de 2022 al incumplir ordenes, instrucciones, procedimientos operativa
del servicio donde trabajaba y que eran suficientemente conocidas por el empleado
tanto en su formación inicial como en las sucesivas formaciones de reciclaje.

c)Aportación en formato electrónico del correo electrónico de 18 de febrero de 2020
remitido a la dirección ***EMAIL.2 , o en su defecto aportación de las propiedades de
dicho correo y su adjunto.

d)Aportación de los documentos de recordatorios de penalizaciones, así como de
cursos o sesiones de formación de empleados impartidos en fechas inmediatamente
anteriores y posteriores al 13 de enero de 2022, en particular de las penalizaciones
por incumplir la campaña de los “15 puntos” y no indicar o pedir permiso para realizar
la consulta por la página de la DGT, en particular de recordatorios de penalizaciones
de 31 de julio de 2020 y de 21 de abril de 2021.”

2.El artículo 77.3 de la LPACAP establece que el “instructor del procedimiento sólo
podrá rechazar las pruebas propuestas por los interesados cuando sean
manifiestamente improcedentes o innecesarias, mediante resolución motivada.”

El órgano instructor, tras el examen del expediente y de las pruebas propuestas,
considera que, a excepción de la petición recogida en el punto 1 –“Que se tenga por
incorporadas las respuestas, con documentos adjuntados a las mismas, presentados
en su día en respuesta a los requerimientos de información, tanto por la entidad
MAJOREL, como por Línea Directa Aseguradora.”-, el resto, detalladas en el punto 2,
son absolutamente innecesarias y por consiguiente resultaba improcedente su
práctica.

Esta conclusión se apoya en que su finalidad era reforzar la afirmación de LÍNEA
DIRECTA de que proporcionó indicaciones documentadas a su encargado de
tratamiento MAJOREL, cuestión sobre la que la entidad reclamada ha hecho en sus
alegaciones al acuerdo de apertura un análisis detallado y ha aportado abundante
documentación acreditativa. Con las pruebas propuestas se buscaría reforzar aún más
dos extremos que no son objeto de discusión a la vista de la documentación aportada
anexa a las alegaciones: Que el empleado de MAJOREL había recibido la formación
adecuada en la materia y que el empleado incumplió las órdenes e instrucciones de
su empleador proporcionadas a través de la aseguradora reclamada, siendo el
incumplimiento del protocolo de actuación relativo a la campaña 15 puntos que estaba
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/73

obligado a seguir lo que determinó que fuera sancionado disciplinariamente por la
empresa.

La cuestión que el órgano instructor toma en consideración para estimar que no
procede la práctica de las pruebas propuestas no es solo que resultaban innecesarias
en la medida en que ya consta prueba bastante de los extremos que quieren
acreditarse, sino, fundamentalmente, que, en contra de lo que la parte reclamada
considera, desde el punto de vista del incumplimiento de la normativa de protección de
datos en nada afecta esa cuestión a la aplicación del artículo 28.10 del RGPD.

Esto, porque el presupuesto de hecho al que el artículo 28.10 del RGPD vincula el
efecto jurídico de considerar al encargado responsable del tratamiento es que el
encargado infrinja el RGPD al determinar los fines y medios del tratamiento. Cosa
distinta de que el encargado no haya cumplido las órdenes e indicaciones que le
proporcionó de forma documentada el responsable.

El desvío de los fines y los medios del tratamiento al que se refiere el artículo 28.10 del
RGPD está conectado con la finalidad del tratamiento diseñado por el responsable y
con el medio previsto para su cumplimiento: en este caso, la consulta del saldo de
puntos que custodia la DGT valiéndose de la página web de la DGT, autenticándose el
empleado de MAJOREL con los datos del reclamante (NIF y fecha de expedición de
su carné) y facilitando una dirección de correo electrónico que el interesado no conoce
en la que recibe la clave de acceso a la información. De tal manera que, no existe un
desvío en los fines y los medios del tratamiento cuando el encargado se aparta de las
instrucciones y no recaba el consentimiento del reclamante para consultar su saldo de
puntos a través de la página web de la DGT pero los datos se tratan para la finalidad
prevista por el responsable y por su cuenta. Ese y no otro es el sentido correcto del
artículo 28.10 del RGPD, por lo cual los comentarios equivocados que sobre la materia
se hubieran incluido en el acuerdo de inicio no pueden alterar el verdadero sentido de
la norma.

DÉCIMO: Diligencia de incorporación de documentos

Mediante diligencia firmada el 14/11/2024 el órgano instructor deja constancia de la
incorporación al expediente de referencia de la reclamación presentada y sus
documentos anexos; de los documentos generados y obtenidos por la SGID durante el
traslado de la reclamación y solicitud informativa; de los escritos de alegaciones
presentados por la parte reclamada y de su documentación anexa, así como de las
capturas de pantalla de la página web de la DGT obtenidas el 15/03/2023.

UNDÉCIMO: Propuesta de resolución

En fecha 21/11/2024 el órgano instructor emite la propuesta de resolución del
procedimiento sancionador en estos términos:

<<1. Que por la Directora de la Agencia Española de Protección de Datos se sancione
a LÍNEA DIRECTA ASEGURADORA, COMPAÑÍA DE SEGUROS Y REASEGUROS,
S.A., con NIF A80871031, por una infracción del artículo 6.1 del RGPD, tipificada en el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/73

artículo 83.5.a) del RGPD, con multa administrativa (artículo 58.2.i, RGPD) por un
importe de 100.000€ (cien mil euros)

2. Que por la Directora de la Agencia Española de Protección de Datos se sancione a
LÍNEA DIRECTA ASEGURADORA, COMPAÑÍA DE SEGUROS Y REASEGUROS
S.A., con NIF A80871031, por una infracción del artículo 28 del RGPD, tipificada en el
artículo 83.4.a) del RGPD, con multa administrativa (artículo 58.2.i, RGPD) por un
importe de 200.000€ (doscientos mil euros)

3.Que por la Directora de la Agencia Española de Protección de Datos se ordene a
LÍNEA DIRECTA ASEGURADORA, COMPAÑÍA DE SEGUROS Y REASEGUROS
S.A., que, en virtud del artículo 58.2.d) del RGPD, en el plazo de tres meses desde
que la resolución sancionadora fuese ejecutiva, acredite haber adoptado las medidas
necesarias para ajustar su actuación a lo dispuesto en los artículos 6 y 28 del
RGPD.>>

DUODÉCIMO: Alegaciones a la propuesta de resolución

En fecha 04/12/2024 LÍNEA DIRECTA presenta sus alegaciones a la propuesta de
resolución en las que solicita que se tenga por evacuado el trámite en tiempo y forma y
reitera la petición de que se admita “la práctica de prueba incluida en nuestro escrito
anterior consistente en que se requiera a la entidad MAJOREL para que aporte […]:

e)Conforme al punto 5 de su certificado aportado como documento número 8 de
escrito anterior, la justificación de los cursos de formación efectuados por el
operador D. C.C.C., con login ***REFERENCIA.2.
f)Documentos justificativos de las medidas disciplinarias adoptadas por
MAJOREL contra el teleoperador (login ***REFERENCIA.2) que realizó la
llamada al reclamante el 13 de enero de 2022 al incumplir ordenes,
instrucciones, procedimientos operativa del servicio donde trabajaba y que eran
suficientemente conocidas por el empleado tanto en su formación inicial como
en las sucesivas formaciones de reciclaje.
g)Aportación en formato electrónico del correo electrónico de 18 de febrero de
2020 remitido a la dirección ***EMAIL.2 , o en su defecto aportación de las
propiedades de dicho correo y su adjunto.
h)Aportación de los documentos de recordatorios de penalizaciones, así como
de cursos o sesiones de formación de empleados impartidos en fechas
inmediatamente anteriores y posteriores al 13 de enero de 2022, en particular de
las penalizaciones por incumplir la campaña de los “15 puntos” y no indicar o
pedir permito para realizar la consulta por la página de la DGT, en particular de
recordatorios de penalizaciones de 31 de julio de 2020 y de 21 de abril de 2021.”
(El subrayado es nuestro)

La reclamada estructura los argumentos que invoca a través de estos epígrafes:

1. Con carácter previo, bajo la rúbrica “Aspectos incluidos en el acuerdo de inicio del
procedimiento sancionador que han sido preteridos”, llama la atención (i) sobre lo que
denomina “algunas cuestiones de legalidad que estaban presentes en el Acuerdo de
inicio de este procedimiento, que han sido preteridas” y (ii) sobre otras “que son
propias de la legislación sectorial de seguros”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/73

(i)Sobre las cuestiones de legalidad que han sido preteridas.

La reclamada dice:

“Así, en primer lugar, se nos trasladó en el Acuerdo de Inicio del Procedimiento
Sancionador que el sujeto de la infracción sería el encargado de tratamiento
MAJOREL, en aplicación del art. 28.10 RGPD, si se conseguía probar que, realmente,
se habían dado instrucciones a dicho encargado para recabar el consentimiento.

En efecto, la página 19 del Acuerdo de Inicio del Procedimiento Sancionador invitaba a
probar que se habían remitido las instrucciones al encargado. Señalaba dicha página
(el subrayado y negrita son nuestros, remarcando el adverbio “supuestamente”):

De ser cierto que MAJOREL, a través de su empleado, actuó al margen de las
indicaciones supuestamente recibidas de LÍNEA DIRECTA, sería ella, en virtud del
artículo 28.10 del RGPD, la responsable del tratamiento de datos del reclamante sobre
el que versa este acuerdo de inicio. Recordemos que el artículo 28 del RGPD dispone:
Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del
tratamiento infringe el presente Reglamento al determinar los fines y medios del
tratamiento, será considerado responsable del tratamiento con respecto a dicho
tratamiento.”

¿Por qué se ponía en duda la remisión de tales instrucciones al encargado en el
Acuerdo de Inicio? Debido a que se decía en tal Acuerdo de Inicio que estas
instrucciones sobre el tratamiento de los “15 puntos” se habían remitido a un correo
electrónico distinto al que prefijaba el contrato del art. 28 RGPD firmado entre las
partes, no dando por tanto validez jurídica a las mismas a efectos de dicho art. 28
RGPD. Así, señalaba la página 34 del Acuerdo de Inicio que:

Si, como defiende LÍNEA DIRECTA, la prueba de que cumplió el artículo 28.3 del
RGPD, esto es, de que existían indicaciones dirigidas a su encargado sobre la
operación de tratamiento objeto de la reclamación, es un documento que transcribe
parcialmente un correo electrónico que se envió el 18/02/2020 desde “Motor_calidad”,
en el que no se indica quién era el destinatario y en cuyo texto sí se alude a la
campaña 15 puntos, a la consulta al saldo de puntos a través de la aplicación de la
DGT y a la necesidad de recabar su consentimiento del titular de los datos, sería
preciso, como mínimo, que estuviera acreditado que el mensaje electrónico se envió a
la dirección e-mail indicada en el contrato a efectos de notificaciones entre las partes
contratantes (en este caso, estipulación vigesimoprimera, a ***EMAIL.5).

Así pues, podemos afirmar que falta en el contrato de Agencia suscrito entre LÍNEA
DIRECTA y MAJOREL –en el que, por imperativo del artículo 203.2 del RDL 3/2020
(…) deben de incluirse todos los extremos relativos al encargo de tratamiento a los
que se refiere el artículo 28.3. del RGPD- una referencia a la operación de tratamiento
(de su objeto, finalidad, naturaleza y datos tratados) que consiste en consultar el saldo
de puntos del solicitante del seguro de automóvil a través de la página web de la
DGT.” (El subrayado es nuestro)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/73

Manifiesta que “Sobre la base de lo entonces indicado, [en el acuerdo de inicio] esta
parte aportó prueba abundante que luego referiremos, y solicitó la práctica de otra que
ha sido denegada, al respecto de probar la transmisión y la vinculación jurídica de
tales instrucciones dadas al encargado, como indicamos en la alegación primera al
respecto de la denegación de prueba.” Y añade que tales instrucciones se atisbaban
en el acuerdo de inicio como recibidas por MAJOREL al haber sido sancionado en
consideración a ellas el empleado que las incumplió.

ii. Indica que la legislación en materia de seguros “exige comprobar todas las
circunstancias que puedan influir en el riesgo (artículo 10 Ley 50/1980, de 8 de
octubre de Contrato de Seguro -en adelante LCS), entre las cuales, obviamente,
puede estar el ser buen conductor para poder rebajar el precio del seguro.” Además,
hace una somera referencia al principio de suficiencia de la prima y a los criterios en
consideración a los cuales las aseguradoras están obligadas a calcular el importe de la
prima.

iii. Cabe mencionar por su relevancia las siguientes afirmaciones que también hace
LÍNEA DIRECTA enmarcadas en el epígrafe de la alegación previa:

“Téngase en cuenta que no se toma el saldo de los puntos, sino solo si se cuenta con
“los 15 puntos”, es decir, lo que en España equivale a ser buen conductor por haber
recibido una bonificación o haber efectuado cursos de sensibilización (lo que no es ni
siquiera equiparable a infracción administrativa), pues el sistema español es del todo
distinto al de Letonia, Alemania y otros países de nuestro entorno.”

Afirma que la Agencia ha hecho “una interpretación extensiva del derecho sancionador
a puntos no expresamente reflejados en la norma infractora, como luego diremos
(alegación cuarta), e incluso contrarios al art. 27.2 LO 3/2018, de 5 de diciembre de
Protección de Datos de Carácter Personal y Garantía de Derechos Digitales
(LOPDGDD en adelante), que permite incluso tratar infracciones administrativas con
consentimiento del interesado.”

Sostiene, además, que la campaña de “los 15 puntos” “se incardinó” en su
compromiso con la seguridad vial “para valorar, premiando en el cálculo de la prima, el
efecto de ser “buen conductor” por medio de un descuento sustancial en el precio. Es
decir, solo el conductor que tuviera la bonificación de “los 15 puntos” podía ser
merecedor de un descuento, y ello porque lo permite la ley al apreciarse menor riesgo
en estas personas”.

Concluye: “En suma, únicamente se trató de convertir la bonificación de puntos dada
por la Administración en un ahorro para los asegurados que así lo pidieran, por
permitir la ley fijar una prima menor sobre la base de datos ciertos y fiables al no poder
ser las primas fijadas libremente sin más, y además indicando que se debía contar con
el consentimiento como permite incluso el art. 27.2 LOPDGDD.”
(El subrayado es nuestro)

NOTA RESPUESTA:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/73

2. La alegación primera lleva por título “Acerca de la prueba propuesta: denegación
basada en el art. 28.10 RGPD cuando la prueba propuesta servía para justificar la
existencia, recepción y vinculación jurídica de las instrucciones dadas al encargado, a
efectos de la presunta infracción consistente en la inexistencia de contrato del art. 28
RGPD”.

En este epígrafe expone su discrepancia con la inadmisión de la prueba acordada por
el órgano instructor y con las razones en las que fundó tal decisión y dice:

“El órgano instructor, tras el examen del expediente y de las pruebas propuestas,
considera que, a excepción de la petición recogida en el punto 1 (…) el resto
-detalladas en el punto 2- son absolutamente innecesarias y por consiguiente
resultaba improcedente su práctica. (…).

Esta conclusión se apoya en que su finalidad es reforzar la afirmación de LÍNEA
DIRECTA de que proporcionó indicaciones documentadas a su encargado de
tratamiento MAJOREL, cuestión sobre la que la entidad reclamada ha hecho en
sus alegaciones al acuerdo de apertura un análisis detallado y ha aportado
abundante documentación acreditativa. Con las pruebas propuestas se buscaría
reforzar aún más dos extremos que no son objeto de discusión a la vista de la
documentación aportada anexa a las alegaciones: Que el empleado de
MAJOREL había recibido la formación adecuada en la materia y que el
empleado incumplió las órdenes e instrucciones de su empleador
proporcionadas a través de la aseguradora reclamada, siendo el incumplimiento
del protocolo de actuación relativo a la campaña 15 puntos que estaba obligado
a seguir lo que determinó que fuera sancionado disciplinariamente por la
empresa.

Frente a las razones en las que el órgano instructor fundamentó la inadmisión de la
prueba propuesta -que eran innecesarias en la medida que ya habían resultado
acreditados los extremos que pretendían probarse y que en nada afectaba esa prueba
a la aplicación del artículo 28.10 del RGPD- LÍNEA DIRECTA considera que si las
pruebas propuestas hubieran sido innecesarias no cabría sancionar, como hace la
propuesta de resolución, por incumplimiento del artículo 28 del RGPD.

“Sin embargo, con el debido respeto, o bien la prueba es necesaria y debe
practicarse para justificar que Línea Directa sí ha dado instrucciones vinculantes
a MAJOREL que han sido incumplidas, y siendo así no cabría sancionar por
infringir el art. 28 RGPD; o bien, si realmente la prueba propuesta es realmente
innecesaria, no cabría sancionar por la infracción del art. 28 RGPD, aplicando en
tal caso, se copia literalmente, que “el empleado incumplió las órdenes e
instrucciones de su empleador proporcionadas a través de la aseguradora
reclamada”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/73

Y añade: “La clave de esta disyuntiva es que no cabe denegar prueba a menos que la
misma sea manifiestamente improcedente o innecesaria, debiendo prevalecer el
derecho a la prueba en caso de duda.”

Afirma que “la prueba propuesta por esta parte en vía administrativa se evidencia
como pertinente y útil desde el instante en que se propone sancionar a mi
representada, pues con tal prueba se acreditará que Línea Directa no solo impone
instrucciones concretas a MAJOREL, sino que exige que se lleven a cabo cursos de
formación específicos al operador sobre la base de tales instrucciones (es decir, que
no queden simplemente en “papel mojado” en un contrato entre mercantiles), e incluso
penaliza a MAJOREL económicamente si las incumple, pues solicitábamos que se
requiera a la entidad MAJOREL para que aporte ante esta digna Agencia y en relación
al tema en liza:

“Dicha práctica de prueba se reitera en este acto, pues se trata de documentos
que solo pueden ser aportados por MAJOREL, en particular todos los relativos a
las relaciones entre empleado y empleador.
Téngase en cuenta que, como señalan las págs. 40 y 41 de la Propuesta de
Resolución, una de las claves que se imputan sobre estas instrucciones es que
no se había exigido consentimiento como tal, sino mera autorización para la
comprobación de que se contaba con “los 15 puntos”. Sin embargo,
“consentimiento” es lo pedido por Línea Directa a MAJOREL y lo explicitado en
el Manual aportado y en los cursos formativos y, precisamente, por su
incumplimiento fue sancionado el trabajador.”

La reclamada reproduce a continuación estos fragmentos de la propuesta de
resolución:

“[…] formuló al reclamante la pregunta de si aceptaba que consultara su saldo
de puntos. LÍNEA DIRECTA ha aportado con sus alegaciones al acuerdo de
inicio diversos documentos que acreditan que existían instrucciones
documentadas relativas a que, en relación con la llamada campaña 15 puntos de
ventas motor era preceptivo solicitar al cliente su consentimiento para consultar
su saldo de puntos e informarle que la consulta se hace a la DGT. Pero olvida
LÍNEA DIRECTA que la operación de tratamiento que podían hacer los
empleados de MAJOREL, consistente en la consulta del saldo de los puntos en
el fichero de la DGT, debía contar con una base de legitimación de las recogidas
de modo exhaustivo en el artículo 6 del RGPD y que para que pudiera fundarse
en el consentimiento del interesado resultaba necesario que concurrieran los
elementos recogidos en el artículo 4.11 del RGPD, es decir que el
consentimiento consista en una manifestación de voluntad libre, específica,
informada e inequívoca (…)”

Tras lo cual, concluye que se ha vulnerado el derecho fundamental a hacer uso de los
medios de prueba (ex artículo 24 de la Constitución Española):

“Por todo lo expuesto, y debido a que, en el fondo, el instructor no está persuadido de
la existencia y transmisión de las instrucciones dadas al mantener la sanción del art.
28 RGPD, se considera que la prueba propuesta arrojaría luz acerca de la realidad de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/73

la recepción de las instrucciones que hemos aportado documentadas por Línea
Directa, en particular en los cursos formativos que el trabajador ha debido realizar.

[…] el legislador solo permite, y por medio de resolución motivada, denegar prueba
“manifiestamente” improcedente o innecesaria, o lo que es lo mismo, solo cabe la no
práctica en supuestos en que sea absolutamente evidente tal innecesaridad o
improcedencia, lo que no es apreciable en casos como el presente en los que, párrafo
seguido a la denegación de la prueba, la Propuesta de Resolución termina
sancionando por no acreditar la existencia de las instrucciones dadas.”

La resolución supone en sí vulneración de derecho fundamental a utilizar medios de
prueba ex. Art. 24 CE y, en este sentido citamos por todas la STC 35/2006, de 13 de
Febrero en la que se valora la vulneración de derechos fundamentales en la
tramitación del procedimiento administrativo sancionador señalando “…tal vulneración
no podría ser sanada en la vía contencioso administrativa, pues como señala la STC
59/2004 de 19 de Abril FJ 4, “el posterior proceso contencioso administrativo no puede
servir nunca para remediar las posibles lesiones de garantías constitucionales
causadas por la Administración en el ejercicio de su potestad sancionadora. Ello es
así, entre otras razone porque el objeto del proceso contencioso administrativo lo
constituye la revisión de un acto administrativo de imposición de una sanción.”

Menciona también la STS 1599/2023, de 29 de noviembre de 2023 y la STSJ de
Madrid, Sala de lo Contencioso, sentencia número 527/2024 (Roj: STSJ M 11243/2024
- ECLI:ES:TSJM:2024:11243) de 25 de octubre de 2024, que recuerda que la
aplicación de la denegación de prueba en vía administrativa ha de ser necesariamente
restrictiva:

Finalmente añade que “la prueba propuesta, en la medida en que afecta a datos de un
tercero (MAJOREL y empleados de MAJOREL), solo podría ser aportada por petición
de la administración sancionadora.”

3. La alegación segunda lleva como título “Sobre el cumplimiento del art. 28 RGPD”.

LÍNEA DIRECTA comienza diciendo:

La propuesta de resolución afirma que el tratamiento “no está contemplado en el
contrato de Agencia (en el que tiene que recogerse el acuerdo de encargo de
tratamiento); ni en el contrato principal ni en ninguno de sus anexos” y si bien se
reconoce la existencia de las instrucciones dadas y el registro documentado de las
mismas, se indica que estos documentos no son actos jurídicos propiamente dichos.”

A continuación, la reclamada reproduce dos párrafos del escrito de propuesta de
resolución que no son correlativos, ya que el primer párrafo reproducido va seguido de
otros varios en idéntico sentido que se han omitido. Transcribimos a continuación los
dos párrafos de la propuesta que la reclamada ha reproducido:

“Todos los argumentos que aduce y los documentos que aporta en el trámite de
alegaciones al acuerdo de apertura están relacionados con las indicaciones a las
que el encargado tenía que ajustar su actuación, completando con ello la
documentación aportada con la respuesta al traslado. Los documentos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/73

aportados con las alegaciones al acuerdo de inicio consisten en capturas de
pantalla que acreditan que la reclamada cuenta con una aplicación informática
en la que se registran las instrucciones facilitadas a los encargados y a sus
empleados y que permite acceder al histórico de esas indicaciones, hasta el
punto que ha podido acceder al mensaje electrónico enviado 18/02/2020.17:12
con copia, entre otras, a la dirección del dominio “majorel” ***EMAIL.2 referente
a la “Operativa pautas generales ventas”.”

“En cualquier caso, es necesario destacar que ninguno de esos documentos
tiene la naturaleza de acto o contrato que vincule jurídicamente a las partes,
como exige el artículo 28.3 del RGPD en relación con el encargo de tratamiento.
En definitiva, el contrato de Agencia que obra en el expediente, aportado como
contrato de encargo de tratamiento entre LÍNEA DIRECTA y MAJOREL, no
incluye ninguna de las indicaciones que integran su contenido obligatorio, a las
que se refiere el artículo 28.3 del RGPD”.

LÍNEA DIRECTA objeta que tal conclusión de la propuesta de resolución difiere de la
recomendación del Comité Europeo de Protección de Datos (CEPD en adelante) en el
epígrafe 118 de las Directrices 7/2020, “que refiere que estas instrucciones pueden
constar por escrito, de manera alternativa a ser incluidas en un contrato o en un
anexo, por ejemplo, en un correo electrónico. Señala el CEPD en el epígrafe 118 de
las Directrices 7/2020: “Las instrucciones proporcionadas por el responsable del
tratamiento deben estar documentadas. A tal efecto, se recomienda incluir un
procedimiento y una plantilla para proporcionar instrucciones futuras en un anexo al
contrato u otro acto jurídico. De manera alternativa, las instrucciones se pueden dar en
cualquier forma escrita (p. ej., por correo electrónico) y en cualquier otra forma
documental, siempre que resulte posible conservar un registro de dichas
instrucciones”.”

Añade que “lo esencial que refleja el art. 28 RGPD, como antes exigía el art. 12 LO
15/1999, de 13 de diciembre, es que el encargado del tratamiento esté vinculado por
las instrucciones que le suministra el responsable, es decir, que tengan efecto jurídico
para el encargado. En nuestro caso, esta vinculación es tal que incluso Línea Directa
aplica penalizaciones a MAJOREL por incumplir estas instrucciones que se
materializan en un Manual, como hemos alegado y justificado.”

“Por ello, nótese que obra aportado certificado expedido por el encargado de
tratamiento MAJOREL que atestigua que (i) existe y existía al tiempo de los hechos
este manual, (ii) que se recibieron las instrucciones en la dirección de correo
electrónico indicada para tal fin por MAJOREL, así como que, obviamente, (iii) tales
instrucciones son las generadas por y para Línea Directa. Se aportó este certificado
con diversos anexos como DOCUMENTO NÚMERO 8 de nuestras anteriores
alegaciones. Se reproduce parte del mismo:

4. Invoca la aplicación del artículo 10 de la Ley 50/80 de la Ley de Contrato de seguro
y la normativa sectorial de seguros. La vulneración del principio de proporcionalidad y
del principio non bis in idem y que la mención a la STJUE es una aplicación
extensiva in malam parten de normativa sancionadora.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/73

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: En fecha 14/01/2022 la parte reclamante presenta una reclamación en la
que expone que el día 13/01/2022 solicitó a LÍNEA DIRECTA precio del seguro del
coche y recibió posteriormente una llamada telefónica del mediador MAJOREL “quien
ha consultado sin mi consentimiento mi saldo de puntos del carnet de conducir, a
través de la Web de la DGT, sin certificado.”

Explica que “Han introducido en la Web de la DGT mi DNI, mi fecha de expedición del
carnet de conducir, y han insertado un email que no es de mi propiedad, sin mi
consentimiento, para que la DGT le enviase una clave de acceso para conocer mi
saldo de puntos del carnet de conducir.” “[…] he comprobado el email que han
utilizado accediendo a la Web de la DGT y solicitando la recuperación de clave por
email. El email que me aparece es ***EMAIL.1”. (El subrayado es nuestro)

SEGUNDO: La parte reclamante a
porta una captura de pantalla en cuyo encabezamiento figura: “Gobierno de España”,
“Ministerio del Interior”, “Dirección General de Tráfico”. A continuación, incluye esta
información:

-“Solicitud de clave de acceso. Paso 2 de 2- Verificación de datos personales.”
- Debajo, en un recuadro, el nombre, apellido 1, apellido 2, NIF y fecha de expedición
del carné de conducir de la parte reclamante.
-Debajo, en dos recuadros con las rúbricas “E-mail” y “Comprobación de E-mail”, la
dirección electrónica: ***EMAIL.1.
-Por último, precedida del símbolo de información, la leyenda “La dirección de correo
electrónico que nos indique será donde recibirá su clave de acceso”.

TERCERO Obra en el expediente, aportada por LÍNEA DIRECTA (documentos 4 y 5
anexos a la respuesta al traslado), la grabación de la conversación telefónica que
mantuvieron el reclamante y el empleado de MAJOREL. La transcripción parcial de
esa grabación dice:
“• Operador: “yo tengo un precio inicial de 501 euros, vale, es inicial, ¿usted
tiene los 15 puntos de carnet de conducir?”
• Cliente: “Sí”
• Operador: “vale, ¿me dice por favor la fecha de expedición de su carnet?’”
• Cliente: “sí, 31/05/2007”
(…)
• Operador: “disculpe, ¿me repite la fecha de expedición de su carnet?”
• Cliente: “31/05/2007”
• Operador: “un segundito que hago la consulta”
• Cliente: “sí”
• Operador: “le pongo en espera y vuelvo con usted en seguida, ¿vale?”
• Cliente: “claro”
[silencio]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/73

• Operador:” Gracias por la espera A.A.A., actualmente tiene 11 puntos de
carnet de conducir”
• Cliente: “no lo sé, yo tengo los 15”
• Operador: “no, tiene 11 porque lo acabo de consultar a la D.G.T., no sé si le
han quitado recientemente 4 puntos…” (El subrayado es nuestro)

CUARTO: LÍNEA DIRECTA afirma (respuesta al traslado de la reclamación) que “La
contratación de la póliza, cuyo precio depende, entre otros, de que se tengan o no los
15 puntos, implica corroborar esta información con la DGT.” (El subrayado es nuestro)

QUINTO: LÍNEA DIRECTA aporta ( respuesta al traslado de la reclamación) la plantilla
del texto del “correo electrónico explicativo” que afirma haber enviado a la parte
reclamante informándole de que efectuó una consulta de sus puntos ante la DGT el
13/01/2022. La plantilla (documento 8 anexo al traslado) dice:

“Estimado {nombresaludo}
Nos ponemos en contacto con usted, de acuerdo con la conversación
mantenida, para informarle de que hemos realizado la consulta de puntos a la
Dirección General de Tráfico con su autorización y consentimiento.
Nuestra única finalidad es poder ofrecerle el mejor precio para su Seguro.
El saldo actual de puntos facilitado por la Dirección General de Tráfico para
{nombre completo} con DNI {NIF} es de {puntos}
Le informamos que hemos creado de manera automática una dirección de
correo electrónico aleatoria y de un solo uso, que podrá ser modificada por usted
si lo desea, al acceder la web de tráfico www.dgt.es.” (El subrayado es nuestro)

Aporta en prueba del envío del correo la captura de pantalla de una aplicación
informática con los detalles del realizado a las 18:11:07 horas del 13/01/2022 desde
[email protected] a la dirección electrónica del reclamante con el asunto “Línea
Directa Aseguradora: Resultado consulta de puntos DGT”, número de mensaje (…).
(Documentos 9 y 10 anexos a la respuesta al traslado)

SEXTO: LÍNEA DIRECTA manifiesta (respuesta al traslado) que “el saldo de los
puntos asociados a la licencia de conducción puede obtenerse de dos modos: (i)
mediante un certificado expedido por la D.G.T. o (ii) mediante una consulta del saldo
“on line”, es decir a través de la web de la D.G.T.

La obtención de un certificado por el usuario implica que el usuario ha de abonar tasas
número 4.1, por importe de 8,67 euros, presentar justificante de compra de dichas
tasas, rellenar formularios, presentar los mismos presencialmente o por internet con
firma, etc. lo que constituye un trámite complejísimo. […].” “Dado que el sistema de
certificado no es ágil, y además implica que el particular debe abonar 8,67 euros, la
D.G.T. tiene implementado un sistema de acceso en línea al saldo de puntos,
mediante un proceso en el que se introduce el NIF o el NIE del interesado y la fecha
de expedición del carnet de conducir, como dato adicional de validación.”

“Como medida adicional de seguridad, para evitar usos indiscriminados por terceros,
la D.G.T. incluye la introducción […] de un correo electrónico para la obtención del
saldo en ese momento. […].” (El subrayado es nuestro)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/73

SÉPTIMO: Obran en el expediente las capturas de pantalla obtenidas en fecha
15/03/2023 desde la página web sede.dgt.gob.es/es/permisos-de-conducir/consulta-
tus-puntos/, incorporadas mediante Diligencia del órgano instructor firmada el
13/11/2024, que acreditan que en la fecha en la que se obtuvieron se informaba, bajo
el título “Consulta de saldo de puntos”, de cinco vías para acceder a los puntos: Clave;
usuario y contraseña; presencial; teléfono y App miDGT.
-Bajo el título “¿Qué debes saber?” consta:

“Puedes consultar tu saldo actual de puntos siempre que tu permiso se encuentre en
vigor. Podrás obtener información de tu historial de recuperación y pérdida de tus
puntos en el que se detalla la fecha, los puntos penalizados o ganados, aclarando
siempre los posibles tipos de infracciones en la que incurriste o los cursos de
sensibilización que realizaste.
Si necesitases un certificado oficial de puntos para un tercero, puedes obtenerlo en
cualquier Jefatura u Oficina de Tráfico acudiendo con cita previa o solicitarlo por
internet. […].

-Bajo el título “¿Quién puede realizarlo?”, se indica:
“La propia persona interesada, si se realiza la consulta por internet. Si se
realiza por otro medio, cualquier persona autorizada en su nombre.
Para realizar la autorización a otra persona que actúe bajo tu representación,
puedes designar una persona representante a través de nuestro Registro de
apoderamientos.
También puede personarse siempre que disponga de un documento firmado por
la persona interesada donde le autorice a realizar la solicitud, y donde exprese
su carácter gratuito. Para ello descarga y rellena el modelo de autorización de la
DGT Otorgamiento de representación.

Si el trámite lo va a realizar otra persona en su nombre, en el momento de
solicitar la cita previa en el 060, se debe indicar el DNI de la persona interesada
y también el de la persona autorizada.”

-Bajo el título “¿Qué medios tienes para consultar tus puntos?”, se ofrece esta
información:
“1. Por internet, accediendo con tu certificado, sistema Cl@ve o con usuario y
contraseña.”

(El énfasis en negrita es de la DGT. El subrayado es nuestro)

OCTAVO: LÍNEA DIRECTA ha alegado (respuesta al traslado) que el tratamiento de
los datos del reclamante estaba amparado en las circunstancias a) y b) del artículo
6.1.RGPD. Manifestó:

-Que, “teniendo en cuenta la conversación, creemos que no solo concurre un mandato
tácito para efectuar la consulta, sino un consentimiento derivado de la conducta del
propio reclamante.” (Página 9 del escrito de respuesta al traslado)

-Que, “aunque no implique incumplimiento de normativa en materia de protección de
datos, se considera que ha existido incumplimiento de la política de calidad por parte
del operador, respecto a ser más explícito, o haber insistido más en autorización
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/73

expresa y consentimiento para efectuar la consulta a la D.G.T.” Añade que “se ha
informado por parte del encargado de tratamiento que el operador ha sido sancionado
por falta muy grave y que será apartado del servicio a Línea Directa” (Páginas 14 y 15
del escrito de traslado)

NOVENO: LÍNEA DIRECTA ha aportado (respuesta al traslado, documento anexo 6) el
condicionado particular de la póliza de seguro de automóvil suscrita por el reclamante -
“póliza nº ***REFERENCIA.5- emitida el 13/01/2022. En el apartado dedicado a la
“Prima” del seguro figura:
- “Prima anual”: “Total anual:...530,79€”.
- Debajo: “Descuento Campañas:..-265.39€”.
- Y a continuación: “TOTAL A PAGAR: …265,40€”.

DÉCIMO :LÍNEA DIRECTA ha alegado (alegaciones al acuerdo de inicio)

Que “el empleado de MAJOREL que atendió telefónicamente al denunciante no
solicitó ni el certificado de sus puntos, ni tampoco solicitó consentimiento para su
obtención, incumpliendo así las instrucciones dadas por LÍNEA DIRECTA, y siendo por
ello sancionado por infracción laboral.” (El subrayado es nuestro)

UNDÉCIMO: MAJOREL, en su respuesta al traslado:

1.Declara que: El empleado que atendió al reclamante en la contratación del seguro
“no solicita el consentimiento expreso de manera estricta al interesado, incumpliendo
la normativa interna (órdenes y manuales) del servicio establecidas por nuestro cliente
(LÍNEA DIRECTA) al realizar la consulta de los puntos del carnet de conducir en la
DGT, aunque en todo momento [el reclamante] es informado y autoriza dicha consulta
en la propia llamada (en varias ocasiones) y, además, recibe en su correo electrónico
un email de LÍNEA DIRECTA tras la consulta de sus puntos de carnet (se genera un
email automático remitido desde el sistema Galgo de LÍNEA DI-RECTA).”

Ha “tomado medidas disciplinarias respecto al teleoperador especialista en el servicio
de LÍNEA DIRECTA que realizó la llamada al reclamante” “al incumplir ordenes,
instrucciones, procedimientos y operativa del servicio donde trabajaba y que eran
suficientemente conocidas por el empleado tanto en su formación inicial como en las
sucesivas formaciones de reciclaje.” (El subrayado es nuestro)

2.Aporta: el “Anexo al Contrato de Agencia exclusiva celebrado entre Línea Directa
Aseguradora S.A. y Majorel SP Solutions, S.A.U. de 14 de abril de 2021”, denominado
Anexo 01/2022 de la Campaña Ventas Motor”, de fecha 01/01/2022. Ese anexo no
incorpora ninguna mención a la “campaña 15 puntos”.

DUODÉCIMO: LÍNEA DIRECTA y MAJOREL han aportado el contrato de Agencia de
seguros exclusiva suscrito el 14/04/2021 así como cuatro anexos (Anexo I, “de
Protección de Datos Personales”; Anexo II, “Requisitos de seguridad a implementar
por el encargado”; Anexo III “Complementario al Anexo RGPD. Indicadores del plan de
calidad”, y Anexo IV, “Código Ético”).

Además, MAJOREL aportó el “Anexo 01/2022 de la Campaña Ventas Motor” (Hecho
Probado undécimo punto 2)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/73

No se han aportado más anexos al contrato de Agencia. La estipulación cuarta del
contrato, “Productos y coberturas”, establece que “La Agencia realizará la actividad de
distribución y comercialización de los productos de seguro de LÍNEA DIRECTA que se
detallan en el Anexo I al presente contrato. Mediante anexo se determinarán asimismo
las campañas y las condiciones de comercialización de los diversos productos
aseguradores de LÍNEA DIRECTA.” (El subrayado es nuestro)

DECIMOTERCERO: Examinado el contenido del contrato de Agencia y sus Anexos no
consta en ellos ninguna mención de un tratamiento que el encargado deba realizar en
nombre de la entidad aseguradora que verse sobre los datos de fecha de expedición
del permiso de conducir junto con el NIF del solicitante del seguro de automóvil y cuya
finalidad sea obtener vía online, a través de la página web de la DGT, información que
custodia la DGT relativa al saldo de puntos asociado al permiso de conducir del
solicitante de un seguro de automóvil, con lo que verifica la certeza de la información
suministrada sobre sus puntos por el solicitante de seguro, para el uso del dato con el
objeto de aplicar un descuento en la prima.

DECIMOCUARTO: Cláusulas más relevantes del contrato de Agencia.

-Primera. “Objeto”. “El presente Contrato tiene como objeto, la designación de la
Agencia por parte de la Aseguradora como agencia exclusiva y la regulación de las
condiciones en las que la Agencia llevará cabo en territorio español la distribución y
comercialización de los productos de seguro de la Aseguradora, y a tal efecto, la
realización en su caso de la actividad de propuesta o realización de trabajos previos a
la celebración de contratos de seguro, de celebración de dichos contratos, así como la
asistencia en la gestión y ejecución de dichos contratos de seguro de LINEA
DIRECTA, incluyendo en caso de siniestro, en los términos previstos en este Contrato.

La actividad de distribución a realizar por la Agencia se realizará en relación con los
productos de seguro de la Aseguradora que se especifican en el Anexo I al presente
Contrato.[…]”

-Tercera. “Canales de venta”. “La Agencia comercializará los seguros de LÍNEA
DIRECTA especificados en el Anexo 1, a través de su plataforma telefónica mediante
la emisión y recepción de llamadas”

-Cuarta: “Productos y coberturas”. “La Agencia realizará la actividad de distribución y
comercialización de los productos de seguro de LÍNEA DIRECTA que se detallan en el
Anexo I al presente contrato.

Mediante anexo se determinarán asimismo las campañas y las condiciones de
comercialización de los diversos productos aseguradores de LÍNEA DIRECTA.

Adicionalmente la Agencia podrá, en su caso, ofrecer una serie de servicios que se
pueden combinar con los productos descritos en el punto anterior, y que se
determinarán en el mismo anexo. [...].

-Quinta: “Obligaciones de las partes” “5.1. Obligaciones de la Agencia […]

b) La comercialización y promoción de los productos de seguro de LINEA DIRECTA
descritos en el Anexo 1 de este Contrato, en estricto cumplimiento de las instrucciones

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/73

recibidas de la Aseguradora y ateniéndose a las tarifas de prima que ésta establezca
en cada momento.

-Séptima: “Información y protección de la clientela. Comercialización a distancia”.

“[…] Por tanto, la Agencia deberá identificarse como tal, en todas las llamadas y
cumplir con las restantes previsiones a tal efecto establecidas bajo las referenciadas
normativas.

Asimismo, la Agencia manifiesta su capacidad para obtener el consentimiento expreso
y jurídicamente válido de los clientes para la realización de las actuaciones previas a
la contratación del producto de seguro mediado conforme a las previsiones contenidas
en el RGPD y en la LOPDPGDD e incluidas en el Anexo Complementario RGPD
adjunto al presente contrato, de acuerdo con las instrucciones que al respecto le
indique LINEA DIRECTA.[…].” (El subrayado es nuestro)

-Vigesimoprimera: “Notificaciones”. “Toda comunicación entre las Partes relativa a este
Contrato deberá hacerse por escrito, bien por correo ordinario, fax o correo
electrónico. Se considerará que han sido debidamente entregadas y recibidas las
comunicaciones y/o notificaciones efectuadas por correo ordinario, fax o correo
electrónico siempre que sea confirmada su recepción por el destinatario o medie
acuse de recibo en caso de documento certificado y hayan sido enviadas a los
domicilios respectivos de las Partes que se indican a continuación.

LÍNEA DIRECTA ASEGURADORA S.A. […] La Agencia […] ***EMAIL.5”.

La “Agencia” es el término con el que el contrato de Agencia se refiere a MAJOREL.

(El subrayado es nuestro)

DECIMOQUINTO: Anexo I al contrato de Agencia, “de Protección de Datos
Personales”.

Determina las categorías de datos personales y los datos que MAJOREL debe tratar,
pero no incluye ninguna mención a la operación de tratamiento que ha dado origen a
la reclamación ni al dato de la fecha de expedición del carné de conducir del solicitante
del seguro de automóvil ni a los puntos asociados al carné de conducir de un
solicitante de seguro de automóvil.

Las cláusulas más relevantes del Anexo I al contrato de Agencia son las siguientes:

- 2: “Objeto del encargo de tratamiento”. :

“2.1. Mediante las presentes condiciones, se habilita al Encargado del Tratamiento
para tratar, por cuenta del Responsable del Tratamiento, los datos de carácter
personal necesarios para prestar el servicio objeto del Contrato de prestación de
servicios suscrito entre las Partes (en adelante, el “Contrato Principal” o el “Contrato”).
Este Contrato Principal contiene la descripción detallada de los servicios prestados.

2.2. Los tratamientos que concretamente llevará a cabo el Encargado del Tratamiento
serán únicamente los estrictamente necesarios para cumplir con el objeto del Contrato
Principal. De acuerdo con la naturaleza de tales tareas, el Encargado del Tratamiento
podrá realizar las actividades de tratamiento que se indican a continuación:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/73

x Recogida
x Registro
x Estructuración
□ Modificación
x Conservación
x Extracción
x Consulta
□ Difusión
x Interconexión
□ Cotejo
□ Limitación
□ Supresión
□ Destrucción
x Comunicación

2.3 Las categorías de datos personales y datos personales que el Encargado del
Tratamiento debe tratar para la ejecución de las obligaciones derivadas del
cumplimiento del objeto del Contrato son los siguientes:
o Datos de clientes (nombre, apellidos, NIF, sexo y teléfono.).
o Datos de posibles clientes (nombre, apellidos, NIF, sexo y teléfono.

- 3, “Identificación de la información afectada”:

"3.1. El Encargado del Tratamiento tendrá acceso únicamente a los datos personales,
referentes a las siguientes categorías de interesados:
- Datos de clientes (nombre, apellidos, NIF, sexo y teléfono.).
- Datos de posibles clientes (nombre, apellidos, NIF, sexo y teléfono). “

- 5. “Obligaciones del Encargado de tratamiento”.
“El encargado de tratamiento y todo su personal se obliga a:
[…]
5.2.Tratar datos de acuerdo con las instrucciones del responsable del tratamiento.”

DECIMOSEXTO: LÍNEA DIRECTA (respuesta al traslado) expone que la cláusula
séptima del contrato de Agencia incorpora “la necesidad de recabar la autorización
para llevar a cabo cualquier actividad como” la que constituye el objeto de la
reclamación y menciona en ese sentido los “recordatorios al respecto, como se
justifica con los planes de calidad para operadores de ventas externos. Se aporta el
mismo como” documento número 3.

El documento 3 aportado consiste en la transcripción en Word de parte del contenido
de uno correo electrónico. En su extremo izquierdo figura: “Motor_calidad”. “Enviado
por Motor_calidad” “18/02/2020.17:12”. En el extremo derecho, los apartados “Para” y
“cc” están en blanco. En el apartado “cco” se incluyen varias direcciones de correo
electrónico entre ellas, la única que pertenece al dominio “majorel” es “***EMAIL.2”.
Como “Asunto”, “Operativa pautas generales ventas”. Se incluye a continuación un
texto, sin indicar su procedencia o el documento del que se ha extraído:

<<CAMPAÑA 15 PUNTOS:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/73

- Como cualquier campaña, se puede aplicar si nuestro precio es superior o hay queja
del cliente.
- Hay que preguntar si tiene los 15 puntos.
- Hay que solicitar el justificante de los 15 puntos o pedir autorización al cliente para
realizar la consulta online.
>> se considera incidencia media.
>> en cotización y/o cierre.>>

DECIMOSÉPTIMO: LÍNEA DIRECTA (alegaciones al acuerdo de inicio) manifiesta que
cuenta con un contrato de encargo con sus anexos y que existieron instrucciones
documentadas cuyo incumplimiento genera penalizaciones.

Aporta un Certificado expedido por MAJOREL en el que afirma que el correo
electrónico remitido el 18/02/2020 por LÍNEA DIRECTA a la dirección ***EMAIL.4 fue
recibido correctamente y que esa dirección electrónica fue la que facilitó a LÍNEA
DIRECTA “como válida para recibir la información de campañas como la de “15
puntos” entre otra”.

Afirma también que las instrucciones que recibe de LÍNEA DIRECTA se documentan
en órdenes y manuales que se complementan con sesiones formativas y aporta el
“Manual LDA Emisión Motor” (versión 13/07/2021) que corresponde con las órdenes y
manuales vigentes en enero de 2022.

DECIMOCTAVO: El documento “Manual LDA Emisión Motor” contiene, entre otra,
estas indicaciones:

-La consulta de puntos precisa tener el consentimiento y autorización para realizarla,
que tendrá una validez de tres meses y se arrastrará en cualquier presupuesto
realizado en ese período de tiempo. En el momento de la consulta el cliente recibirá un
email informativo con el resultado de la misma.

-Para los clientes que no deseen que desde LÍNEA DIRECTA se realice la consulta “se
podrá utilizar la campaña antigua que luego veremos”.

-Se detallan los pasos del procedimiento a seguir, en líneas generales, los siguientes:

1.Antes de consultar los puntos DGT hay que terminar la cotización para informar de
precio inicial y ver si es necesario aplicar la campaña.

2.(…)

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/73

LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la
Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina: "Los procedimientos tramitados
por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el
Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

1.Sobre la operación de tratamiento realizada por LÍNEA DIRECTA y sobre los datos
personales tratados.

A tenor de lo establecido en los artículos 4.1 y 4.2 del RGPD en el supuesto de hecho
que nos ocupa consta que la parte reclamada ha llevado a cabo un tratamiento de
datos de la parte reclamante con la finalidad específica de acceder a la información del
saldo de puntos asociados a su carné de conducir que obra en poder de la DGT y en
recoger y utilizar ese dato para, en consideración a él, aplicar un descuento en el
precio de la prima del seguro.

El artículo 4.2. del RGPD define el tratamiento como “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.

Como se ha indicado, el tratamiento efectuado por LÍNEA DIRECTA sobre el que versa
este procedimiento sancionador tenía como finalidad específica que esa entidad
reclamada accediera a la información de los puntos asociada al carné del solicitante
del seguro, información que custodia la DGT. Lo expresa con claridad la parte
reclamada en su respuesta al traslado de la SGID (Hecho Probado Cuarto) cuando
dice: “La contratación de la póliza, cuyo precio depende, entre otros, de que se tenga
o no los 15 puntos, implica corroborar esta información con la DGT”.( El subrayado es
nuestro)

La finalidad del tratamiento efectuado -que la aseguradora acceda a la información
que tiene la DGT sobre los puntos del solicitante de seguro y verifique así la certeza
de la información proporcionada- es manifiesta a la luz de los hechos acreditados:

El empleado de MAJOREL recaba del reclamante el dato de la fecha de expedición de
su carné y utiliza también para esa finalidad específica el dato de su NIF, dato que ya
obraba en poder de la reclamada al haberlo proporcionado el interesado previamente
con el fin de obtener información sobre el seguro de automóvil. El empleado de
MAJOREL introduce en la página web de la DGT ambos datos -con los que se
identifica ante el sistema informático como si fuera el reclamante- e incluye una
dirección de correo electrónico creada ad hoc, a la que el titular de los datos es ajeno
(esto es, ni la conoce, ni es su titular, ni tampoco es el usuario de ese email) De ese
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/73

modo MAJOREL recibe en la dirección de correo que proporcionó al sistema de la
DGT un mensaje con una clave que le permite acceder a la información del saldo de
puntos del reclamante. Posteriormente, utiliza ese dato, en consideración al cual
ofrece una rebaja en la prima del seguro.

Los siguientes documentos que obran en el expediente aportan más información sobre
la operación de tratamiento controvertida.

El reclamante manifestó que había comprobado que MAJOREL utilizó la dirección
email ***EMAIL.1 vinculada a su NIF y a la fecha de su carné de conducir para recibir
a través de la web de la DGT una clave de acceso a su saldo de puntos. Aportó con su
reclamación (Hecho Probado segundo) una captura de pantalla de la web www.dgt.es
correspondiente a la página “Solicitud de clave de acceso” en la que consta: “Paso 2
de 2. Verificación de datos personales.” En un recuadro, en la primera línea, aparecen
cumplimentados con los datos del reclamante los espacios destinados al nombre,
apellido 1 y apellido 2. En la línea inferior están cumplimentados los espacios del “NIF
o NIE” y “Fecha de expedición de la licencia o permiso” del reclamante. A continuación,
consta “E-mail” -seguido de un asterisco que informa de que ese dato es de
cumplimentación obligatoria- y “Comprobación E-mail”, y en ambas casillas la
dirección de correo ***EMAIL.1.

LÍNEA DIRECTA como documento número 8 anexo a su respuesta al traslado aportó
una “plantilla” de la información que envía mediante un correo electrónico a los
solicitantes del seguro de automóvil después de haber consultado su saldo de puntos
a través de web de la DGT utilizando los datos del NIF y la fecha de expedición del
carné para autenticarse y obtener una clave (Hecho Probado quinto). En palabras de
LÍNEA DIRECTA es un “correo electrónico informativo del proceso de consulta seguido
ante la DGT” que “culmina” este “modelo de consulta”.

El documento representa una evidencia más de que LÍNEA DIRECTA fue quien diseñó
los fines y los medios de la operación de tratamiento -conocida con el nombre de
“campaña 15 puntos”- sobre la que versa la reclamación. El documento en cuestión
lleva el anagrama de la reclamada y el siguiente texto:

“Estimado {nombresaludo}
Nos ponemos en contacto con usted, de acuerdo con la conversación
mantenida, para informarle de que hemos realizado la consulta de puntos a la
Dirección General de Tráfico con su autorización y consentimiento.
Nuestra única finalidad es poder ofrecerle el mejor precio para su Seguro.
El saldo actual de puntos facilitado por la Dirección General de Tráfico para
{nombre completo} con DNI {NIF} es de {puntos}
Le informamos que hemos creado de manera automática una dirección de
correo electrónico aleatoria y de un solo uso, que podrá ser modificada por usted
si lo desea, al acceder la web de tráfico www.dgt.es.” (El subrayado es nuestro)

El artículo 4.1. del RGPD define los datos personales como “toda información sobre
una persona física identificada o identificable («el interesado»); se considerará
persona física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/73

varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

LÍNEA DIRECTA, para la finalidad del tratamiento que lleva a cabo, recaba del
interesado el dato de la fecha de expedición de su carné de conducir y, además, utiliza
el dato del NIF para una finalidad distinta de aquella para la cual su titular lo había
proporcionado -la solicitud de seguro-. Con estos datos obtiene una clave que recibe
en la dirección electrónica que solo ella conoce y con la que accede a la información
que consta en los registros de la DGT sobe el saldo de puntos del solicitante del
seguro. Recoge y utiliza este dato.

En la operación de tratamiento realizada por LÍNEA DIRECTA los datos personales
objeto de tratamiento son, además del NIF, el dato de la fecha de expedición del carné
de conducir del solicitante del seguro y el dato de su saldo de puntos. Saldo de puntos
que puede ser cualquiera pues, incluso aceptando como hipótesis la afirmación que
LÍNEA DIRECTA ha hecho en sus alegaciones a la propuesta a tenor de la cual sólo
son considerados a efectos de aplicar un descuento en el precio del seguro los “15
puntos”, la finalidad de la consulta es precisamente conocer cuántos son los puntos
que tiene el conductor registrados ante la DGT.

Llegados a este punto se subraya la relevancia jurídica de la operación de tratamiento
a la que nos venimos refiriendo, diseñada por LÍNEA DIRECTA con el fin de conocer el
saldo de puntos del reclamante que obraba en los sistemas de la DGT. Esta relevancia
es patente por las razones siguientes:

a) La relevancia de la operación de tratamiento analizada se evidencia también a la luz
de las características que presentaba en la fecha de los hechos la página web de la
DGT que la parte reclamada utilizó y que esa Dirección General puso a disposición de
los ciudadanos para consultar el dato del saldo de puntos que les concernía.

En fecha 15/03/2023 -fecha en la que esta Agencia obtiene diversas capturas de
pantalla de la web www.dgt.es, que obran en el expediente- la página web precitada
informaba de que la consulta de puntos podía hacerse a través de estos medios: i.
“Cl@ve”, ii. “Usuario y contraseña”, iii. “Presencial”, iv “Teléfono” y v. “App miDGT”.

A la pregunta “¿Qué necesitas?” la página web responde: “Para consultar tus puntos
puedes acceder con tu certificado digital, DNI electrónico, tus credenciales de Cl@ve o
bien solicitando usuario y contraseña”.

A la pregunta “¿Quién puede realizarlo?” la página web responde: “La propia persona
interesada [esta frase se encuentra destacada en negrita en la web], si se realiza la
consulta por internet. Si se realiza por otro medio, también podrá realizarla otra
persona autorizada en su nombre.” (El subrayado es nuestro)

Y continúa diciendo: “Para realizar la autorización a otra persona que actúe en tu
representación, puedes designar una persona representante a través de nuestro
Registro de Apoderamientos” “También puede personarse siempre que disponga de
un documento firmado por la persona interesada donde le autorice a realizar la
solicitud, y donde exprese su carácter gratuito. Para ello descarga el modelo de
autorización de la DGT “Otorgamiento de representación”.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/73

Se infiere de la información que la página de la DGT ofrecía que esa Dirección
General, a quien compete la custodia de los puntos asociados al carné de conducir,
restringía la consulta del saldo de puntos a través de su página web -recordemos que
por esta vía podía hacerse por medio de certificado digital, DNI electrónico, las
credenciales de Cl@ve o solicitando usuario y contraseña- a la persona física titular de
los puntos (se refiere literalmente a “La propia persona interesada” y destaca en
negrita esa mención).

Y, es más, no admitía la posibilidad de que la consulta a través de su página web la
pudiera hacer un tercero distinto del interesado actuando en su nombre. A ese
respecto subrayamos que la página web advierte de que si la consulta no se hace por
internet -dice textualmente, “si se realiza por otro medio”- puede hacerse por un
tercero en nombre del interesado, debidamente autorizado.

Reproducimos este fragmento de la respuesta de la parte reclamada al traslado
(alegación sexta de su escrito, “Consulta de puntos en la DGT informada por la propia
Línea Directa”) relativo a la consulta a través de la página web de la DGT:

“Es preciso partir de que el saldo de los puntos asociados a la licencia de
conducción puede obtenerse de dos modos: (i) mediante un certificado expedido
por la D.G.T. o (ii) mediante una consulta del saldo “on line”, es decir a través de
la web de la D.G.T.

La obtención de un certificado por el usuario implica que el usuario ha de abonar
tasas número 4.1, por importe de 8,67 euros, presentar justificante de compra de
dichas tasas, rellenar formularios, presentar los mismos presencialmente o por
internet con firma, etc. lo que constituye un trámite complejísimo. Se aportan
pantallas de información al respecto del referido “certificado” tomadas de la
propia D.G.T.
[…]
Dado que el sistema de certificado no es ágil, y además implica que el particular
debe abonar 8,67 euros, la D.G.T. tiene implementado un sistema de acceso en
línea al saldo de puntos, mediante un proceso en el que se introduce el NIF o el
NIE del interesado y la fecha de expedición del carnet de conducir, como dato
adicional de validación.

Como medida adicional de seguridad, para evitar usos indiscriminados por
terceros, la D.G.T. incluye la introducción de CAPTCHA, y de un correo
electrónico para la obtención del saldo en ese momento. Este correo puede ser,
de un solo uso, pues el sistema permite cambiar tal correo con el siguiente
acceso. Con el proceso no se puede acceder a más información que la
estrictamente referida al saldo de puntos existente en ese momento, de manera
que no es accesible o realizable cualquier otra operativa ante la Administración,
o cualquier otra información del propio interesado.

Pues bien, cuando el interesado no tiene generado su acceso on line a su saldo,
o para agilidad y comodidad del mismo, quien así no se ve obligado a tener que
dar sus datos de acceso (ya que basta cambiar el correo electrónico en siguiente
acceso), o ante lo inviable de contar con un certificado de saldo de puntos, se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/73

puede usar este modelo de consulta, que culmina con el envío al interesado de
correo electrónico informativo del proceso de consulta seguido ante la D.G.T.”
(El subrayado es nuestro)

b) La STJUE de 22/06/2021, asunto C-439/19

El razonamiento que lleva al TJUE a concluir que “el artículo 10 del RGPD debe
interpretarse en el sentido de que se aplica al tratamiento de datos personales
relativos a puntos impuestos a conductores por infracciones de tráfico” es el siguiente:

“(87)Según la jurisprudencia del Tribunal de Justicia, tres criterios son pertinentes para
apreciar el carácter penal de una infracción. El primero de ellos es la calificación
jurídica de la infracción en Derecho interno, el segundo la propia naturaleza de la
infracción y el tercero la gravedad de la sanción que puede imponerse al interesado
(véanse, en este sentido, las sentencias de 5 de junio de 2012, Bonda, C 489/10,
EU:C:2012:319, apartado 37; de 20 de marzo de 2018, Garlsson Real Estate y otros,
C 537/16, EU:C:2018:193, apartado 28, y de 2 de febrero de 2021, Consob, C 481/19,
EU:C:2021:84, apartado 42).

(88) Incluso en el caso de infracciones que el Derecho nacional no califique de
«penales», tal carácter puede derivarse, no obstante, de la propia naturaleza de la
infracción de que se trate y del grado de severidad de las sanciones que esta pueda
implicar (véase, a este respecto, la sentencia de 20 de marzo de 2018, Garlsson Real
Estate y otros, C 537/16, EU:C:2018:193, apartados 28 y 32).22/06/2021

(89) En cuanto al criterio relativo a la propia naturaleza de la infracción, este implica
comprobar si la sanción de que se trata tiene concretamente una finalidad represiva,
sin que la mera circunstancia de que persiga igualmente una finalidad preventiva
pueda privarla de la calificación de sanción penal. En efecto, es propio de las
sanciones penales tener por objeto tanto la represión como la prevención de
conductas ilícitas. En cambio, una medida que se limite a reparar el perjuicio causado
por la infracción de que se trate no reviste carácter penal (véanse, en este sentido, las
sentencias de 5 de junio de 2012, Bonda, C 489/10,EU:C:2012:319, apartado 39, y de
20 de marzo de 2018, Garlsson Real Estate y otros, C 537/16, EU:C:2018:193,
apartado 33). Pues bien, consta que la atribución de puntos por infracciones de tráfico,
al igual que las multas u otras sanciones que puede implicar la comisión de dichas
infracciones, no solo tienen por objeto reparar los perjuicios eventualmente causados
por dichas infracciones, sino que también tienen una finalidad represiva.

(90) Por lo que respecta al criterio relativo al grado de severidad de las sanciones que
la comisión de esas mismas infracciones puede implicar, es conveniente señalar, para
comenzar, que solo infracciones de tráfico de cierta gravedad suponen la atribución de
puntos y que, por tanto, tales infracciones pueden dar implicar sanciones de cierta
severidad. A continuación, la imposición de puntos se suma generalmente a la sanción
que recae en caso de comisión de tal infracción, como por cierto ocurre, según se ha
señalado en el apartado 58 de la presente sentencia, con la normativa controvertida
en el litigio principal. Por último, la acumulación de dichos puntos implica, en sí misma,
consecuencias jurídicas, como la obligación de hacer un examen o incluso una
prohibición de conducir.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/73

(91) Este análisis se ve corroborado por la jurisprudencia del Tribunal Europeo de
Derechos Humanos (TEDH) según la cual, a pesar de la tendencia a la
despenalización de las infracciones de tráfico en algunos Estados, estas infracciones
deben considerarse por lo general de naturaleza penal, habida cuenta de la finalidad
tanto preventiva como represiva de las sanciones que recaen y del grado de severidad
que estas pueden alcanzar (véanse, en este sentido, TEDH, 21 de febrero de 1984,
Öztürk c. Alemania, CE:ECHR:1984:0221JUD000854479, §§ 49 a 53; 29 de junio de
2007, O’Halloran y Francis c. Reino Unido, CE:ECHR:2007:0629JUD001580902, §§
33 a 36, y 4 de octubre de 2016, Rivard c. Suiza,
CE:ECHR:2016:1004JUD002156312, §§ 23 y 24).
[…]
(93) De ello se deriva que las infracciones de tráfico que pueden implicar la atribución
de puntos están comprendidas en el concepto de «infracciones» contemplado en el
artículo 10 del RGPD.
(94) Habida cuenta de todas las consideraciones anteriores, procede responder a la
primera cuestión prejudicial planteada que el artículo 10 del RGPD debe interpretarse
en el sentido de que se aplica al tratamiento de datos personales relativos a puntos
impuestos a conductores por infracciones de tráfico.”

Se pone de relieve que, como la reclamada ha manifestado en las alegaciones al
acuerdo de inicio, en la actualidad ha puesto fin a estos tratamientos, aunque la causa
no ha sido la voluntad de cumplir la normativa de protección de datos sino
consecuencia de los cambios que la DGT ha ido introduciendo en su sistema
informático para garantizar la seguridad de los datos que custodia y garantizar que las
vías de acceso a la información estén diseñadas de manera que exclusivamente
permitan el acceso de los propios interesados, lo que se ha traducido en la
imposibilidad fáctica de la aseguradora reclamada de continuar con los tratamientos
que venía realizando. Así, en sus alegaciones al acuerdo de inicio dice:

“Con carácter previo es preciso indicar que esta parte ya no lleva a cabo el tratamiento
al que se refiere el acuerdo de inicio del procedimiento sancionador, en particular
porque, las condiciones de acceso a la información de consulta a los puntos han ido
variando a lo largo del tiempo, como consta incluso en la comprobación efectuada en
fecha de 15 de marzo de 2023 según se expone en la página 22 del Acuerdo de Inicio.
En todo caso, a fecha de enero de 2022 era posible la consulta en los términos
referidos en el requerimiento de información EXP202202567 que se presentó en su
día y que damos por reproducido, siempre que se informara al interesado y se
solicitara su consentimiento, entre otros puntos que posteriormente detallaremos,
todos ellos debidamente documentados.”

2. Sobre la condición de responsable del tratamiento de LÍNEA DIRECTA

2.1.El artículo 4.7 del RGPD define al responsable como “la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/73

determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros”.

Corresponde a LÍNEA DIRECTA la condición de responsable del tratamiento de datos
sobre el que versa este procedimiento sancionador pues es quien ha determinado los
fines y los medios de la operación de tratamiento. Y ,por tanto, estaba obligada, en la
medida que encargó a MAJOREL llevar a cabo un tratamiento por su cuenta, a cumplir
las obligaciones que le impone el artículo 28.3 RGPD.

MAJOREL tiene en relación con el tratamiento efectuado la condición de encargada de
tratamiento de LÍNEA DIRECTA. El artículo 4.8 del RGPD entiende por “encargado de
tratamiento” “la persona física o jurídica, autoridad pública, servicio u otro organismo
que trate datos personales por cuenta del responsable del tratamiento”.

Conforme al Real Decreto-ley 3/2020, de 4 de febrero, de medidas urgentes por el que
se incorporan al ordenamiento jurídico español diversas Directivas de la Unión
Europea (en adelante, RDL 3/2020), artículo 203.1.a) “Los agentes de seguros y los
operadores de banca-seguros tendrán la condición de encargados del tratamiento de
la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de
agencia, en los términos previstos en el título I.”

Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones
fundamentales: ser un ente independiente del responsable del tratamiento y tratar
datos personales por cuenta de este.

El encargado del tratamiento debe tratar los datos siguiendo exclusivamente las
instrucciones del responsable. Aun así, las instrucciones del responsable del
tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de servir
mejor a los intereses de este, de modo que permitan al encargado elegir los medios
técnicos y organizativos más adecuados. No obstante, si el encargado del tratamiento
no se ciñe a las instrucciones del responsable y comienza a determinar sus propios
fines y medios del tratamiento, estará infringiendo el RGPD . En estos casos, el
encargado del tratamiento se considerará responsable en relación con dicho
tratamiento y podrá ser sancionado por no haberse adherido a las instrucciones del
responsable.

2.2.LÍNEA DIRECTA en sus alegaciones tanto al acuerdo de inicio como a la propuesta
de resolución, en las que reitera lo alegado en su anterior escrito y expone
nuevamente el contenido de los documentos aportados de los que resulta acreditado
que facilitó a MAJOEREL instrucciones documentadas sobre la operación de
tratamiento, niega que ella sea la responsable del tratamiento y atribuye esta
condición a MAJOREL.

En este sentido invoca el artículo 28.10 del RGPD –“Sin perjuicio de lo dispuesto en
los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente
Reglamento al determinar los fines y medios del tratamiento, será considerado
responsable del tratamiento con respecto a dicho tratamiento”- y el hecho de que el
empleado de MAJOREL que intervino en la contratación del seguro de automóvil del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/73

reclamante no cumpliera las órdenes e instrucciones documentadas que la reclamada
le había proporcionado. En particular, que no le formuló al reclamante la pregunta de si
aceptaba que consultara su saldo de puntos. LÍNEA DIRECTA ha aportado con sus
alegaciones al acuerdo de inicio diversos documentos que acreditan que existían
instrucciones documentadas relativas a que, en relación con la llamada campaña 15
puntos de ventas motor, era preceptivo solicitar al cliente su consentimiento para
consultar su saldo de puntos e informarle que la consulta se hace a la DGT.

Ahora bien, en contra de la posición de LÍNEA DIRECTA, la circunstancia de que el
empleado de MAJOREL que intervino en la contratación no hubiera cumplido las
órdenes e instrucciones que la reclamada proporcionó, no le dispensa de su
responsabilidad en el tratamiento ni traslada la condición de responsable al encargado
MAJOREL. El desvío de los fines y los medios del tratamiento al que se refiere el
artículo 28.10 del RGPD, que es el presupuesto fáctico para aplicar la consecuencia
jurídica que contempla la norma -la consideración del encargado como responsable
del tratamiento- está conectado con la finalidad de la operación de tratamiento y con el
medio previsto: en este caso la consulta a través de la página web de la DGT del saldo
de puntos de un solicitante de seguro mediante la obtención de una contraseña
autenticándose el empleado de MAJOREL con los datos del reclamante (NIF y fecha
de expedición de su carné) y facilitando una dirección de correo electrónico que el
interesado no conoce en la que recibe la clave de acceso a la información. No consta
que MAJOREL, a través de su empleado, hubiera tratado los datos del reclamante con
una finalidad diferente de la fijada por LÍNEA DIRECTA o a través de otros medios. De
tal manera que la circunstancia de que el empleado no hubiera solicitado la
autorización del reclamante para la consulta, tal y como se le indicó, no supone tratar
los datos recogidos en nombre de LÍNEA DIRECTA para una finalidad diferente de la
prevista. Ese y no otro es el sentido correcto del artículo 28.10 del RGPD, por lo que
los comentarios equivocados que sobre la materia se hayan recogido en el acuerdo de
inicio no podrían alterar, por más que se quiera, el verdadero sentido de la norma.

Es esclarecedor y evidencia además el error en el que incurre LÍNEA DIRECTA en sus
alegaciones a la propuesta cuando se refiere al epígrafe 118 el texto de las Directrices
del CEPD 7/2020 que reproducimos:

<<100. Todo tratamiento de datos personales por un encargado debe regirse por un
contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados
miembros celebrado entre el responsable y el encargado, tal como se estipula en el
artículo 28, apartado 3, del RGPD.

101. Este acto jurídico debe constar por escrito, permitiéndose el formato electrónico.
Por tanto, los acuerdos no formalizados por escrito (con independencia de su
exhaustividad o su eficacia) no pueden considerarse suficientes para el cumplimiento
de los requisitos establecidos en el artículo 28 del RGPD.

A fin de evitar cualquier dificultad a la hora de probar la eficacia del contrato u otro
acto jurídico, el CEPD recomienda asegurarse de que se hayan incluido las firmas
necesarias en el acto jurídico siguiendo lo dispuesto en el Derecho aplicable (p. ej., el
Derecho contractual).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/73

102. Además, el contrato u otro acto jurídico con arreglo al Derecho de la Unión o de
los Estados miembros debe vincular al encargado frente al responsable; esto es, debe
imponer al encargado obligaciones vinculantes en virtud del Derecho de la Unión o de
los Estados miembros. También debe establecer las obligaciones del encargado. En la
mayor parte de los casos, existirá un contrato, pero el Reglamento también hace
referencia a «otro acto jurídico», como una norma nacional (de Derecho primario o
derivado) u otro instrumento jurídico. Si el acto jurídico no incluye todo el contenido
mínimo requerido, debe complementarse con un contrato u otro acto jurídico que
incluya los elementos que falten.

103. Puesto que el Reglamento establece una clara obligación de celebrar un contrato
por escrito, cuando no exista ningún otro acto jurídico pertinente en vigor, la ausencia
del contrato constituirá una vulneración del RGPD.42 Al respecto, tanto el responsable
como el encargado del tratamiento son responsables de garantizar que el tratamiento
se rija por un contrato u otro acto jurídico. En virtud de lo dispuesto en el artículo 83
del RGPD, la autoridad de control competente podrá imponer una multa administrativa
al responsable y al encargado del tratamiento, teniendo en cuenta las circunstancias
de cada caso concreto. Los contratos que se hubieran celebrado con anterioridad a la
fecha de entrada en vigor del RGPD deben haberse actualizado al amparo del artículo
28, apartado 3.>>

En relación con el contenido del contrato u otro acto jurídico dice:

<<111. Antes de centrar la exposición en cada uno de los requisitos establecidos en el
RGPD en relación con el contenido del contrato u otro acto jurídico, deben realizarse
algunas observaciones generales.

112. Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su
contenido esencial, el contrato debe servir para que el responsable y el encargado
aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos
elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a
reproducir las disposiciones del RGPD, sino que debe incluir una información más
específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de
seguridad que se precisará para el tratamiento de los datos personales objeto del
contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y
estipulación de las condiciones del contrato sirven para especificar los detalles del
tratamiento.49 De hecho, la «protección de los derechos y libertades de los
interesados, así como la responsabilidad de los responsables y encargados del
tratamiento [...] requieren una atribución clara de las responsabilidades» en virtud del
RGPD.

113. [...]

114. Por lo que respecta al contenido obligatorio del contrato u otro acto jurídico, el
CEPD interpreta el artículo 28, apartado 3, en el sentido de que prescribe la inclusión
de lo siguiente:
 El objeto del tratamiento (por ejemplo, las grabaciones realizadas por sistemas de
videovigilancia de las personas que entran y salen de unas instalaciones de alta
seguridad).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/73

Aunque el objeto del tratamiento es un concepto amplio, debe formularse de un modo
suficientemente detallado como para que quede claro cuál es el principal objetivo del
tratamiento.
 La duración del tratamiento: deben especificarse el período de tiempo exacto o los
criterios empleados para determinarlo. Por ejemplo, podría hacerse referencia a la
duración del acuerdo de tratamiento.
 La naturaleza del tratamiento, es decir, el tipo de operaciones realizadas como parte
del tratamiento (por ejemplo, grabación en vídeo, grabación sonora, archivo de
imágenes, etc.); y la finalidad del tratamiento (por ejemplo, detectar una entrada
ilegal). Esta descripción debe ser lo más exhaustiva posible, en función de la actividad
de tratamiento concreta, para que las partes ajenas al contrato (por ejemplo, las
autoridades de control) puedan comprender el contenido y los riesgos del tratamiento
encomendado al encargado.
 El tipo de datos personales: este elemento debe especificarse con el mayor grado
de detalle posible (por ejemplo, imágenes de vídeo de personas cuando entran y salen
de las instalaciones). No bastaría meramente con indicar que se trata de «datos
personales con arreglo al artículo 4, apartado 1, del RGDP» o de «categorías
especiales de datos personales con arreglo al especificar al menos los tipos de datos
de que se trata; por ejemplo, información sobre la historia clínica o información sobre
la afiliación o no del interesado a una organización sindical.
 Las categorías de interesados: esto también debe especificarse con bastante grado
de detalle (por ejemplo, visitantes, empleados, servicios de reparto, etc.).
 Las obligaciones y derechos del responsable: los derechos del responsable del
tratamiento se abordan de un modo más exhaustivo en las secciones siguientes (por
ejemplo, el derecho del responsable a llevar a cabo inspecciones y auditorías). Por lo
que respecta a las obligaciones del responsable, algunos ejemplos son la obligación
de proporcionar al encargado los datos mencionados en el contrato; la obligación de
proporcionar al encargado instrucciones relativas al tratamiento de datos y
documentarlas; la obligación de garantizar, antes del tratamiento y durante este, el
cumplimiento de las obligaciones impuestas al encargado en el RGPD; y la obligación
de supervisar el tratamiento, incluida la realización de auditorías e inspecciones del
encargado.

115. Aunque el RGPD estipula los elementos que deben incluirse en todo caso en el
acuerdo, dependiendo del contexto y de los riesgos del tratamiento, así como de
cualquier otro requisito adicional que resulte aplicable, es posible que deba incluirse
otra información pertinente.
1.3.1 El encargado tratará los datos personales únicamente siguiendo1.3.1 El
encargado tratará los datos personales únicamente siguiendo instrucciones
documentadas del responsable [artículo 28, apartado 3, letra a), del RGPD] 1.3.1 El
encargado tratará los datos personales únicamente siguiendo instrucciones
documentadas del responsable [artículo 28, apartado 3, letra a), del RGPD]

116. La necesidad de especificar esta obligación deriva del hecho de que el encargado
trata datos por cuenta del responsable. Los responsables deben dar instrucciones a
los encargados en relación con cada actividad de tratamiento. Estas instrucciones
pueden determinar qué tratamientos de datos personales se consideran permisibles y
cuáles inaceptables, e incluir procedimientos más detallados, formas de proteger los
datos, etc. La actuación del encargado deberá ajustarse a las instrucciones del

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/73

responsable, sin extralimitarse. No obstante, el encargado puede realizar sugerencias
que, si son aceptadas por el responsable, pasen a formar parte de las instrucciones.

117. Cuando un encargado trate datos sin ajustarse a las instrucciones del
responsable y ello equivalga a una decisión por la que se determinen los fines y
los medios del tratamiento, se entenderá que el encargado ha incumplido sus
obligaciones e incluso será considerado responsable de dicho tratamiento con
arreglo al artículo 28, apartado 10 (véase el punto 1.5 infra53).>>

El CEPD se refiere a las instrucciones documentadas diferenciándolas del contenido
mínimo del contrato:

<<118. Las instrucciones proporcionadas por el responsable del tratamiento deben
estar documentadas. A tal efecto, se recomienda incluir un procedimiento y una
plantilla para proporcionar instrucciones futuras en un anexo al contrato u otro acto
jurídico. De manera alternativa, las instrucciones se pueden dar en cualquier forma
escrita (p. ej., por correo electrónico) y en cualquier otra forma documental, siempre
que resulte posible conservar un registro de dichas instrucciones. En cualquier caso, a
fin de evitar dificultades a la hora de probar que las instrucciones del responsable del
tratamiento se han documentado debidamente, el CEPD recomienda guardar dichas
instrucciones junto con el contrato u otro acto jurídico.>>

Resulta, por tanto, que frente a lo que alega LÍNEA DIRECTA, es ella y no MAJOREL
la responsable del tratamiento por cuanto no existe en el contrato aportado como
contrato de encargo de tratamiento ni en sus anexos ninguna referencia al objeto del
encargo, a su finalidad, ni a los datos personales tratados (fecha expedición del carné
y saldo de puntos). Las instrucciones documentadas sobre cómo debe de desarrollar
MAJOREL su encargo no son el contenido que debía constar en el documento de
encargo. Cuestión distinta y que no se discute de que existiera una relación
responsable-encargado pues lo que se exige por el RGPD es que conste
documentado en un contrato o acto jurídico vinculante con el contenido mínimo que
menciona el artículo 28.3.

IV
Infracción del artículo 6.1 del RGPD

1. Se responsabiliza a LÍNEA DIRECTA en la presente resolución de una infracción del
artículo 6.1. del RGPD, precepto que dispone:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/73

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.
[…]” (El subrayado es nuestro)

Todo tratamiento de datos personales tiene que estar basado en alguno de los motivos
de licitud que taxativamente establece el artículo 6.1. del RGPD.

La vulneración del artículo 6.1 del RGPD atribuida a la aseguradora reclamada se
materializa en el tratamiento sin una base jurídica adecuada de los datos del NIF y de
la fecha de expedición del carné de conducir de la parte reclamante con la finalidad
específica de consultar a través de la página web de la DGT su saldo de puntos y
utilizar este dato para aplicar, en consideración a él, una rebaja en el precio de la
prima del seguro.

La operación de tratamiento que lleva a cabo la reclamada se explica en el
Fundamento precedente al que nos remitimos.

El tratamiento ilícito de los datos del reclamante del que se responsabiliza a LÍNEA
DIRECTA se efectúa el 13/01/2022, fecha en la que un empleado de MAJOREL, en el
curso de la conversación telefónica mantenida con el reclamante sobre la póliza de
seguro de automóvil en la que estaba interesado, le preguntó por la fecha de
expedición de su carné de conducir sin informarle previamente de cuál era la finalidad
para la que recogía este dato y lo utilizó, junto con su NIF - tratado ahora con una
finalidad distinta de aquella para la que se recabó del reclamante- para consultar su
saldo de puntos en la DGT.

En el Hecho Probado Tercero de esta resolución se transcribe la conversación
mantenida entre el empleado de MAJOREL y el reclamante, pudiendo comprobarse
que le solicita el dato de la fecha de expedición del carné de conducir sin
proporcionarle previamente la información que es preceptiva de acuerdo con el artículo
13 del RGPD, entre ella, la finalidad del tratamiento y el plazo de conservación.

2.Todo tratamiento de datos personales tiene que estar basado en alguno de los
motivos de licitud que taxativamente establece el artículo 6.1. del RGPD.

Se examinan seguidamente las posiciones de la parte reclamada acerca del
fundamento de licitud del tratamiento efectuado mantenida en sus escritos de (i)
respuesta al traslado (ii) alegaciones al acuerdo de inicio y alegaciones a la propuesta
de resolución.

(i) En la respuesta al traslado de la reclamación LÍNEA DIRECTA alegó que el
tratamiento fue respetuoso con el RGPD e invocó como fundamentos de su pretendida
licitud dos bases jurídicas: los apartados a) y b) del artículo 6.1 RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/73

(ii)En las alegaciones al acuerdo de inicio “admite” que la parte reclamante no llegó a
prestar el consentimiento al tratamiento de sus datos para hacer la consulta del saldo
de puntos a la DGT pero no reconoce su responsabilidad en la infracción que se le
imputa. La admisión de falta de consentimiento se vincula en sus alegaciones a que la
Agencia reconozca como responsable del tratamiento, y por consiguiente responsable
también de la infracción del artículo 6.1 RGPD, a MAJOREL, su encargado de
tratamiento, en lugar de a esa entidad aseguradora.

Apoya tal pretensión en el artículo 28.10. del RGPD y en una consideración errónea
que incorporó el acuerdo de inicio del expediente. Así LÍNEA DIRECTA dice lo
siguiente:

“Sea como fuere, a efectos de Línea Directa es relevante recordar que, conforme al
art. 28.10 RGPD el responsable de estos incumplimientos sería MAJOREL, y no Línea
Directa. Así se concluye en la página 19 del Acuerdo de Inicio del Procedimiento
Sancionador cuando se afirma que “De ser cierto que MAJOREL, a través de su
empleado, actuó al margen de las indicaciones supuestamente recibidas de LÍNEA
DIRECTA, sería ella, en virtud del artículo 28.10 del RGPD, la responsable del
tratamiento de datos del reclamante sobre el que versa este acuerdo de inicio .” De ahí
que sus alegaciones al acuerdo de inicio estén centradas en aportar la documentación
que prueba que proporcionó a MAJOREL indicaciones documentadas sobre el
tratamiento.

Sin perjuicio de que tal cuestión sea examinada con detalle en otro Fundamento de
esta resolución, se llama la atención sobre el hecho de que en el escrito de propuesta
de resolución se subrayó en múltiples ocasiones (Antecedente Noveno, último párrafo;
Fundamento de Derecho II, último párrafo; en el Fundamento de Derecho III, punto 4,
segundo y tercer párrafo) que se trataba de una consideración errónea contraria al
sentido del precepto por lo que los comentarios equivocados que sobre la materia se
hubieran incluido en el acuerdo de inicio no podían alterar el verdadero sentido de la
norma.

3. Pasamos por tanto a examinar si el tratamiento que LÍNEA DIRECTA llevó a cabo
de los datos personales de la parte reclamante puede estar basado en alguno de las
motivos de licitud que establece el artículo 6.1 RGPD.

Se reitera lo manifestado en el acuerdo de inicio y en la propuesta de resolución en el
sentido de que el tratamiento de datos diseñado por LÍNEA DIRECTA no puede
ampararse en ninguna de las bases legales que se invocaron (apartados a, y b, del
artículo 6.1 del RGPD)

3.1.Por lo que se refiere al consentimiento (artículo 6.1.a RGPD) como posible base
jurídica cabe indicar, en primer término, que el reclamante ha negado que hubiera
prestado su consentimiento a que sus datos personales se trataran con la finalidad a la
que se han destinado.

Así pues, corresponde a LÍNEA DIRECTA, en virtud del principio de responsabilidad
proactiva recogido en el artículo 5.2.del RGPD, la carga de acreditar que el tratamiento

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/73

estaba basado en el consentimiento o en alguna otra de las circunstancias que detalla
el artículo 6.1 del RGPD.

La reclamada declaró entonces que el consentimiento de la parte reclamante para
tratar sus datos con la finalidad de hacer una consulta ante la DGT se manifestó
mediante una clara acción afirmativa que consistió en decir “vale”, en el curso de la
conversación telefónica, al comentario del empleado “un momentito que hago la
consulta”.

Pues bien, el consentimiento se define en el artículo 4.11 del RGPD como “toda
manifestación de voluntad libre, específica, informada e inequívoca por la que el
interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen”.

El considerando 32 el RGPD dice: “El consentimiento debe darse mediante un acto
afirmativo claro que refleje una manifestación de voluntad libre, específica, informada,
e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal
que le conciernen, como una declaración por escrito, inclusive por medios
electrónicos, o una declaración verbal. Esto podría incluir […]cualquier otra
declaración o conducta que indique claramente en este contexto que el interesado
acepta la propuesta de tratamiento de sus datos personales […]” (El subrayado es
nuestro)

El consentimiento debe de ser “informado” y el considerando 42 aclara sobre este
extremo: “Para que el consentimiento sea informado, el interesado debe conocer
como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a
los cuales están destinados los datos personales” (Considerando 42) (El subrayado es
nuestro)

En el Hecho Probado Tercero de esta resolución se transcribe la conversación
telefónica mantenida entre el empleado de MAJOREL y el reclamante, pudiendo
comprobarse que le solicita el dato de la fecha de expedición del carné de conducir sin
proporcionarle previamente la información que es preceptiva de acuerdo con el artículo
13 del RGPD, entre ella, la finalidad del tratamiento y el plazo de conservación.
Tampoco de la nueva finalidad para la que trataría el dato de su NIF: identificarle al
objeto de poder obtener de la web de la DGT información sobre su saldo de puntos.

La parte reclamada es consciente de la falta de información sobre la finalidad del
tratamiento facilitada a la parte reclamante, lo que viciaría el consentimiento en caso
de que éste se hubiera llegado a prestar. Tal es así que se refiere al “correo
electrónico explicativo de haber efectuado la consulta” a la web de la DGT que envió al
reclamante una vez terminada la operación de tratamiento y manifiesta: “Este correo
suple la falta de información explícita que se pueda haber omitido por el operador.”

Sin embargo, para que el consentimiento sea válido la información tiene que facilitarse
antes de que el consentimiento se preste. No se puede pretender que la información
necesaria para integrar un consentimiento válido se proporcione con posterioridad a su
otorgamiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/73

Tampoco es posible admitir que el consentimiento para tratar los datos con la finalidad
a la que se han destinado esté implícito en el consentimiento prestado a la
contratación del seguro, ya que son dos operaciones de tratamiento distintas, y el
consentimiento a la contratación fue posterior en el tiempo al consentimiento que se
invoca de contrario como base de licitud.

Lo expresan con claridad las “Directrices 05/2020 sobre el consentimiento con arreglo
al Reglamento 2016/679”, versión 1.1. Adoptado el 4 de mayo de 2020”:

“(90) En cualquier caso, el consentimiento debe obtenerse siempre antes de que el
responsable del tratamiento comience a procesar los datos personales para los que
sea necesario el consentimiento. El WP29 ha sostenido sistemáticamente en sus
dictámenes que el consentimiento debe darse antes de la actividad de procesamiento.
[…], esto está claramente implicado. El título del apartado 1 del artículo 6 y el texto
«ha dado» en la letra a) del apartado 1 del artículo 6 apoyan esta interpretación.
Lógicamente, del artículo 6 y del considerando 40 se desprende que debe existir una
base legal válida antes de iniciar un tratamiento de datos.” (El subrayado es nuestro)

LÍNEA DIRECTA sostiene en su respuesta al traslado de la reclamación que “existió un
consentimiento derivado de la conducta del propio reclamante” y dice que:

“[…] del contexto de la conversación, está claro que cuando el operador indica “un
segundito que hago la consulta (…) ¿vale?” y el reclamante responde “sí”, o “claro”, es
porque dicho reclamante estaba consintiendo y autorizando tal consulta, como así se
desprende de haberle dejado en espera por más de dos minutos, y que el reclamante
esperara pacientemente, y acto seguido el operador retomara la conversación
informando de los puntos que se tiene “tras consulta a la D.G.T.” (El subrayado es
nuestro)

Sin embargo, con el comentario que el reclamante hace - “vale”- lo que parece es
asentir al que previamente hace el empleado del encargado MAJOREL: “un segundito
que hago la consulta (…)”. Asiente a esperar a que haga una consulta, pero sin que se
identifique dónde se pretende realizar la consulta y a qué información. El reclamante
no consiente de madera inequívoca e informada a que sus datos se traten con la
finalidad a la que se han destinado, pues quien hace la consulta no informa de las
condiciones en las que la web de la DGT permite hacerla.

Por las razones expuestas no puede estimarse que concurra como base jurídica del
tratamiento realizado el consentimiento de la parte reclamante.

Finalmente, se reitera lo dicho en el acuerdo de inicio respecto a las consideraciones
que la reclamada hizo en su respuesta al traslado, relativas a la distinción entre
“autorización” y “consentimiento” y a las disposiciones del Código Civil que consideró
aplicables al caso, en las que buscaba fundar la licitud del tratamiento bien en la
existencia de un mandato tácito del reclamante a favor de la reclamada para consultar
la base de datos de la DGT (ex artículo 1710 C. Civil) o bien en la ratificación posterior
del dueño del negocio prevista para el cuasicontrato de gestión de negocios ajeno (ex
artículo 1892 del C. Civil). Se insiste de nuevo en que la normativa aplicable es el
RGPD y la LOPDGDD y las circunstancias que determinan la licitud del tratamiento,
que es la cuestión que nos ocupa, son exclusivamente las previstas en el artículo 6.1
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/73

del RGPD. Si las disposiciones civiles invocadas no se conectan con alguna de las
bases jurídicas que recoge el artículo 6.1 del RGPD, las remisiones a los preceptos del
Código Civil son irrelevantes a los efectos que nos ocupan.

3.2. Apartado b) del artículo 6.1 del RGPD, como base de legitimación del tratamiento.
La parte reclamada adujo esta circunstancia en su respuesta al traslado de la
reclamación.

Hizo entonces, entre otras, las siguientes afirmaciones:

-“[...]no estamos ante la necesidad de consentir el tratamiento del saldo de los puntos,
pues la base jurídica para el tratamiento de esta información, necesaria para la
ejecución o celebración del contrato, sería el art. 6.1.b) RGPD, en la medida en que
con el saldo se aplicaba la medida precontractual que requería necesariamente tal
tratamiento (campaña descuento por los 15 puntos).” (El subrayado es nuestro)

-“En todo caso, no se considera necesario obtener el consentimiento para el
tratamiento de saldo de puntos cuando esta información es claramente necesaria para
aplicar un descuento de una campaña en concreto (art. 6.1.b) RGPD) -descuento
aplicable por tener un saldo de puntos en la medida en que esto refleja ser buen
conductor-, sino la mera autorización (mandato o representación) para efectuar la
consulta en nombre del reclamante, autorización que puede ser tácita, o que, incluso
de no existir, queda subsanada por su ratificación ulterior (art. 1892 Cc).” (El
subrayado es nuestro)

El motivo de licitud del apartado b) del artículo 6.1 del RGPD dice: “el tratamiento es
necesario para la ejecución de un contrato en el que el interesado es parte o para la
aplicación a petición de este de medidas precontractuales”.

El artículo 6.1.b) del RGPD se refiere a un tratamiento que es “necesario” para el
desenvolvimiento y ejecución de un contrato o para la aplicación de medidas
precontractuales y el término “necesidad” tiene en el Derecho comunitario un
significado propio e independiente. El Tribunal de Justicia de la Unión Europea
considera que es un “concepto autónomo del Derecho Comunitario” (STJUE de
16/12/2008, asunto C-524/2006, apartado 52) y el Tribunal Europeo de Derechos
Humanos afirma que el “adjetivo necesario no es sinónimo de “indispensable” ni tiene
la flexibilidad de las expresiones “admisible, “ordinario”, “útil”, “razonable” o
“deseable”” (apartado 97 de la STEDH 25/03/1983)

Debemos afirmar que en el presente caso la consulta del saldo de puntos de la parte
reclamante efectuada por el encargado de LÍNEA DIRECTA a través de la página web
de la DGT no era en ningún modo necesaria -en el sentido que el término tiene en el
Derecho Comunitario- para la adopción de medidas precontractuales ni para la
ejecución del contrato de seguro que finalmente suscribió el reclamante con esa
aseguradora.

La consulta no era necesaria pues, en contra de lo que se pretende, el precio del
contrato estaba fijado desde el inicio y el empleado de MAJOREL informó de él al
reclamante en la conversación telefónica: <<Operador: “yo tengo un precio inicial de
501 euros, vale, es inicial, ¿usted tiene los 15 puntos de carnet de conducir?”>>.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/73

También en las condiciones particulares de la póliza de seguro suscrita por la parte
reclamante se recogen por separado el precio de la prima del seguro y el precio
después de aplicar el descuento: En el condicionado particular, en el apartado
referente a la “Prima” del seguro, consta: “Prima anual” “Total anual...530,79€”.
Debajo, “Descuento campaña...-265.39€”. Y a continuación: “A pagar …265,40€”.

LÍNEA DIRECTA efectuó dos operaciones de tratamiento diferenciadas y con sus
respectivas finalidades específicas: la contratación de la póliza de seguro, que
conlleva el tratamiento de los datos del tomador del seguro que son necesarios para
una determinada finalidad: la ejecución del contrato o la adopción de medidas
precontractuales, de una parte. Este tratamiento sí está amparado en la base legal del
artículo 6.1.b) del RGPD. Por otra parte, un tratamiento de datos cuya finalidad es
consultar el saldo de puntos del interesado que consta en la DGT a través de su
página web. Operación de tratamiento que no es necesaria para la ejecución del
contrato ni para aplicar medidas precontractuales y que no está cubierta por el motivo
de licitud del artículo 6.1.b)

4.Tesis invocada por la parte reclamada en sus alegaciones al acuerdo de inicio y a la
propuesta de resolución respecto a la infracción del artículo 6.1. RGPD de la que se le
responsabiliza.

En ambos trámites de alegaciones la reclamada ha centrado sus argumentos
exclusivamente en defender la condición de MAJOREL como responsable del
tratamiento de datos efectuado y, por consiguiente, de la vulneración del artículo 6.1.
del RGPD. Tesis que basa, como se ha indicado anteriormente, en el comentario
erróneo incluido en el acuerdo de inicio sobre el alcance que tendría en este caso el
artículo 28.10 del RGPD.

Si bien tal alegato podría ser comprensible en el marco de sus alegaciones al acuerdo
de inicio no lo es en las alegaciones a la propuesta de resolución. Esto, por dos
razones:

Una, que la propuesta de resolución expuso con reiteración (exactamente en tres
ocasiones) que el comentario recogido en el acuerdo de inicio respecto al artículo
28.10 RGPD era contrario al texto de la disposición y al sentido de la norma e incluyó
el siguiente párrafo:

El desvío de los fines y los medios del tratamiento al que se refiere el artículo
28.10 del RGPD, que es el presupuesto fáctico para aplicar la consecuencia
jurídica que contempla la norma -la consideración del encargado como
responsable del tratamiento- está conectado con la finalidad de la operación de
tratamiento y con el medio previsto: en este caso la consulta a través de la
página web de la DGT del saldo de puntos de un solicitante de seguro mediante
la obtención de una contraseña autenticándose el empleado de MAJOREL con
los datos del reclamante (NIF y fecha de expedición de su carné) y facilitando
una dirección de correo electrónico que el interesado no conoce en la que recibe
la clave de acceso a la información. No consta que MAJOREL, a través de su
empleado, hubiera tratado los datos del reclamante con una finalidad diferente
de la fijada por LÍNEA DIRECTA o a través de otros medios. De tal manera que
la circunstancia de que el empleado no hubiera solicitado el consentimiento para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/73

la consulta, tal y como asegura LÍNEA DIRECTA que se le había indicado, no
supone que se hayan tratado los datos recogidos en nombre de LÍNEA DIRECTA
para una finalidad diferente de la prevista. Ese y no otro es el sentido correcto
del artículo 28.10 del RGPD, por lo que los comentarios equivocados que sobre
la materia se hayan recogido en el acuerdo de inicio no podrían alterar, por más
que se quisiera, el verdadero sentido de la norma.

Otra, porque LÍNEA DIRECTA ha basado su posición, centrada exclusivamente en
defender que la responsable del tratamiento era MAJOREL y no ella, en aquellos
fragmentos del acuerdo de inicio que le permitían mantener esa postura y ha obviado
interesadamente aquellas afirmaciones del acuerdo de inicio que no estaban en
consonancia con el citado comentario. Reproducimos los siguientes fragmentos del
acuerdo de inicio, Fundamento III, Consideraciones Previas, en los que se dijo:

“El artículo 28 del RGPD establece en el punto 3 que el tratamiento que efectúe
el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho
de la Unión o de los Estados miembros que vincule al encargado respecto del
responsable y establezca el objeto, la duración, la naturaleza y la finalidad del
tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable, y que incluya las estipulaciones a las
que se refieren las letras a) a g) de la disposición precitada. En particular, el
apartado a) del artículo 28.3 del RGPD se refiere a que el encargado tratará los
datos personales únicamente siguiendo instrucciones documentadas del
responsable.
[…]
Recordemos que ha sido esa aseguradora quien ha definido los fines y los
medios del tratamiento, por lo que aquí interesa la campaña “15 puntos”. Un
ejemplo lo constituye el documento prediseñado que se envió al reclamante por
correo electrónico, y que, según ha informado esa parte reclamada, se envía a
los solicitantes de una póliza de seguro de automóvil después de haber
consultado su saldo de puntos a través de web de la DGT. En ese documento,
que lleva el nombre y el anagrama de LÍNEA DIRECTA, del que la parte
reclamada aporta una copia -número 8 de los anexos a su escrito de respuesta-
consta”.

Y más adelante, en otro Fundamento, indica:

“Así pues, podemos afirmar que falta en el contrato de Agencia suscrito entre
LÍNEA DIRECTA y MAJOREL –en el que, por imperativo del artículo 203.2 del
RDL 3/2020 deben de incluirse todos los extremos relativos al encargo de
tratamiento a los que se refiere el artículo 28.3. del RGPD- una referencia a la
operación de tratamiento (de su objeto, finalidad, naturaleza y datos tratados)
que consiste en consultar el saldo de puntos del solicitante del seguro de
automóvil a través de la página web de la DGT. Por otra parte, tampoco se han
aportado documentos anexos al contrato de Agencia en los que consten las
indicaciones que el artículo 28.3 del RGPD exige que el responsable facilite a su
encargado acerca de la operación de tratamiento que le encomienda.”

Cabe considerar que LÍNEA DIRECTA ha sido en todo momento perfectamente
consciente de que ella y no MAJOREL es quien fijó los fines y los medios del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/73

tratamiento y, por consiguiente, quien tiene la condición de responsable del
tratamiento. Tal es así que en sus alegaciones al acuerdo de inicio ha acreditado
cumplidamente las instrucciones que ella dio a MAJOREL relativas al tratamiento de
los datos del NIF, fecha de expedición del carné de conducir y saldo de puntos con una
finalidad específica, la consulta del saldo de puntos a través de la web de la DGT. Y en
sus alegaciones a la propuesta de resolución no ha hecho sino reiterar esas
consideraciones sobre las pruebas aportadas con su escrito de alegaciones al acuerdo
de inicio. Documentos que no hacen sino evidenciar quién ha sido siempre la
responsable del tratamiento. No podemos olvidar, tampoco, que LÍNEA DIRECTA ha
invocado insistentemente la formación en materia de protección de datos que tiene el
personal empleado por su encargado de tratamiento, por lo que cabe suponer que
también esa aseguradora conoce el sentido, alcance y condiciones del encargo de
tratamiento al que se refieren los artículos 203.1 y 203.2 del RDL 3/2020.

5. Sobre la referencia que la propueste de resolución hizo a la STJUE de 22/06/2021,
asunto C-439/2019.

Resulta imprescindible recordar, habida cuenta de las alegaciones de la parte
reclamada sobre la presunta aplicación extensiva de una norma sancionadora por
parte de la Agencia, que la propuesta de resolución dejó claramente indicada la
acreditación de la vulneración del artículo 6.1 RGPD de la que se responsabilizaba a
esa entidad reclamada y que tal infracción era absolutamente independiente de los
efectos que pudieran derivarse de la eventual aplicación que pudiera hacerse de la
precitada STJUE. Esto, porque la propuesta de resolución, tras haber constatado la
vulneración del artículo 6.1.RGPD por parte de la reclamada y haber expuesto los
fundamentos de la infracción, adicionalmente, añadió: que aunque el cliente hubiera
otorgado el consentimiento -extremo que como recoge la propuesta de resolución la
reclamada no había acreditado- tal consentimiento “no podía suplir la falta de
habilitación para el tratamiento que tiene LÍNEA DIRECTA derivada de la disposición
del articulo 10 de la LOPDGDD que resulta aplicable a los puntos del carné de
conducir en virtud de la STJUE de 22/06/2021, asunto C-439/2019.”

Queda así aclarado que en ningún momento la infracción del artículo 6.1. RGPD, que
se constató en la propuesta de resolución, se vinculó en ese trámite a la precitada
STJUE.

En consideración a lo expuesto, estimamos acreditado que el tratamiento que LÍNEA
DIRECTA hizo de los datos personales del reclamante con la finalidad expuesta no
estaba amparado en ninguna de las bases jurídicas previstas en el artículo 6.1 del
RGPD.

V
Tipificación de la infracción del artículo 6.1 del RGPD y plazo de prescripción

La infracción del artículo 6.1 del RGPD de la que se responsabiliza a la parte
reclamada en esta resolución, concretada en el tratamiento que ha efectuado de los
datos del reclamante con la finalidad específica de acceder a la información sobre su
saldo de puntos que obra en poder de la DGT y de utilizar el dato así obtenido, se
encuentra tipificada en el artículo 83.5.a) del RGPD, precepto que establece:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/73

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000000EUR como máximo
o, tratándose de una empresa de una cuantía equivalente al 4% como máximo
del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6, 7 y 9;
[...]”

A los solos efectos de determinar el plazo de prescripción de la infracción, la
LOPDGDD la califica de muy grave. En su artículo 72, “Infracciones consideradas muy
graves", dispone:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las
infracciones que supongan una vulneración sustancial de los artículos
mencionados en aquel y, en particular, las siguientes:
[...]
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679.”

VI
Infracción del artículo 28 del RGPD

1.Se atribuye a LÍNEA DIRECTA en esta resolución una infracción del artículo 28 del
RGPD -en particular de sus apartados 3 y 9- precepto que dispone:

“1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes
para aplicar medidas técnicas y organizativas apropiados, de manera que el
tratamiento sea conforme con los requisitos del presente Reglamento y garantice la
protección de los derechos del interesado.
2.[…]
3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con
arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado
respecto del responsable y establezca el objeto, la duración, la naturaleza y la
finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en
particular, que el encargado:
a) tratará los datos personales únicamente siguiendo instrucciones documentadas del
responsable, inclusive con respecto a las transferencias de datos personales a un
tercer país o una organización internacional, salvo que esté obligado a ello en virtud
del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en
tal caso, el encargado informará al responsable de esa exigencia legal previa al
tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés
público;
b) garantizará que las personas autorizadas para tratar datos personales se hayan
comprometido a respetar la confidencialidad o estén sujetas a una obligación de
confidencialidad de naturaleza estatutaria;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/73

c) tomará todas las medidas necesarias de conformidad con el artículo 32;
d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro
encargado del tratamiento;
e) asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de
medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este
pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto
el ejercicio de los derechos de los interesados establecidos en el capítulo III;
f) ayudará al responsable a garantizar el cumplimiento de las obligaciones
establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento
y la información a disposición del encargado;
g) a elección del responsable, suprimirá o devolverá todos los datos personales una
vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias
existentes a menos que se requiera la conservación de los datos personales en virtud
del Derecho de la Unión o de los Estados miembros;
h) pondrá a disposición del responsable toda la información necesaria para demostrar
el cumplimiento de las obligaciones establecidas en el presente artículo, así como
para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por
parte del responsable o de otro auditor autorizado por dicho responsable.
En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará
inmediatamente al responsable si, en su opinión, una instrucción infringe el presente
Reglamento u otras disposiciones en materia de protección de datos de la Unión o de
los Estados miembros.
4.[…]
5.[…].
6.Sin perjuicio de que el responsable y el encargado del tratamiento celebren un
contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4
del presente artículo podrá basarse, total o parcialmente, en las cláusulas
contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive
cuando formen parte de una certificación concedida al responsable o encargado de
conformidad con los artículos 42 y 43.
7.[…].
8.[...]
9.El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por
escrito, inclusive en formato electrónico.
10.Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del
tratamiento infringe el presente Reglamento al determinar los fines y medios del
tratamiento, será considerado responsable del tratamiento con respecto a dicho
tratamiento.”
(El subrayado es nuestro)

El artículo 28 del RGPD establece en el apartado 3 que el encargo de tratamiento
debe regirse por un contrato u otro acto jurídico que vincule al encargado respecto del
responsable y establezca el objeto, la duración, la naturaleza y la finalidad del
tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones
y derechos del responsable. Y añade que dicho contrato o acto jurídico estipulará en
particular (apartado a) que el encargado tratará los datos “únicamente siguiendo
instrucciones documentadas del responsable.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/73

Además, el punto 9 del artículo 28 del RGPD exige que “El contrato u otro acto jurídico
a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato
electrónico.”
(El subrayado es nuestro)

La normativa sectorial de seguros, el RDL 3/2020, incide sobre alguno de esos
extremos. Así, en su artículo 203.2, refiriéndose a los agentes de seguros regulados
en el apartado 1 letra a) de ese mismo artículo, establece:

“En el supuesto previsto en la letra a) del apartado 1, en el contrato de agencia
deberán hacerse constar los extremos previstos en el artículo 28.3 del Reglamento
(UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.”

Y el artículo 204.2 del mismo R.D.-ley dice: “Los agentes de seguros […] únicamente
podrán tratar los datos de los interesados en los términos y con el alcance que se
desprenda del contrato de agencia de seguros y siempre en nombre y por cuenta de la
entidad aseguradora con la que hubieran celebrado el contrato.”

2.Tanto LÍNEA DIRECTA como MAJOREL han aportado a la AEPD en su respuesta al
traslado, como contrato que documenta el encargo entre ambas, el contrato de
Agencia de seguros exclusiva que suscribieron el 14/04/2021, contrato que sustituyó al
anterior, celebrado en 2010.

Han aportado también los mismos anexos al contrato de Agencia: el Anexo I, “de
Protección de Datos Personales”, el Anexo II, “Requisitos de seguridad a implementar
por el encargado”, el Anexo III “Complementario al Anexo RGPD. Indicadores del plan
de calidad”, y el Anexo IV, “Código Ético”.

Además, MAJOREL ha remitido el “Anexo 01/2022 de la Campaña Ventas Motor”, de
fecha 01/01/2022, en el que, según dice, “se detalla la campaña “ventas motor”
relativa a los hechos reflejados por el reclamante”.

El examen de las cláusulas del contrato de Agencia evidencian que no hay en él
ninguna alusión o cita, directa o indirecta, al tratamiento que nos ocupa, ni a la
finalidad de esa operación de tratamiento ,ni a los datos objeto de tratamiento: la fecha
de expedición del carné de conducir; el saldo de puntos y el NIF con esta nueva
finalidad.

Para mayor claridad expositiva, aun a riesgo de ser reiterativos, se transcriben algunas
de las estipulaciones del contrato de encargo de tratamiento aportado que corroboran
la afirmación procedente:

-Primera, “Objeto”. “El presente Contrato tiene como objeto, la designación de la
Agencia por parte de la Aseguradora como agencia exclusiva y la regulación de las
condiciones en las que la Agencia llevará cabo en territorio español la distribución y
comercialización de los productos de seguro de la Aseguradora, y a tal efecto, la
realización en su caso de la actividad de propuesta o realización de trabajos previos a
la celebración de contratos de seguro, de celebración de dichos contratos, así como la
asistencia en la gestión y ejecución de dichos contratos de seguro de LINEA
DIRECTA, incluyendo en caso de siniestro, en los términos previstos en este Contrato.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/73

La actividad de distribución a realizar por la Agencia se realizará en relación con los
productos de seguro de la Aseguradora que se especifican en el Anexo I al presente
Contrato.[…]”

- Tercera: “Canales de venta”. “La Agencia comercializará los seguros de LÍNEA
DIRECTA especificados en el Anexo 1, a través de su plataforma telefónica mediante
la emisión y recepción de llamadas”

- Cuarta: “Productos y coberturas”. “La Agencia realizará la actividad de distribución y
comercialización de los productos de seguro de LÍNEA DIRECTA que se detallan en el
Anexo I al presente contrato.

Mediante anexo se determinarán asimismo las campañas y las condiciones de
comercialización de los diversos productos aseguradores de LÍNEA DIRECTA.

Adicionalmente la Agencia podrá, en su caso, ofrecer una serie de servicios que se
pueden combinar con los productos descritos en el punto anterior, y que se
determinarán en el mismo anexo. [...].

- Quinta: “Obligaciones de las partes”: “5.1. Obligaciones de la Agencia […]

b) La comercialización y promoción de los productos de seguro de LINEA DIRECTA
descritos en el Anexo 1 de este Contrato, en estricto cumplimiento de las instrucciones
recibidas de la Aseguradora y ateniéndose a las tarifas de prima que ésta establezca
en cada momento.

-Séptima: Información y protección de la clientela comercialización a distancia”

“Además de las obligaciones generales en materia de información referidas en
cláusulas anteriores, en la realización de comercialización a distancia, la Agencia
queda obligada de forma previa a la celebración de los productos objeto de
intermediación bajo este Contrato, a cumplir con las obligaciones previas exigidas en
la normativa específica y en concreto en la LSSICE y en la LCD en todo aquello que le
fuera de aplicación.

Por tanto, la Agencia deberá identificarse como tal, en todas las llamadas y cumplir
con las restantes previsiones a tal efecto establecidas bajo las referenciadas
normativas.

Asimismo, la Agencia manifiesta su capacidad para obtener el consentimiento expreso
y jurídicamente válido de los clientes para la realización de las actuaciones previas a
la contratación del producto de seguro mediado conforme a las previsiones contenidas
en el RGPD y en la LOPDPGDD e incluidas en el Anexo Complementario RGPD
adjunto al presente contrato, de acuerdo con las instrucciones que al respecto le
indique LINEA DIRECTA.[…].” (El subrayado es nuestro)

En el Anexo I al contrato de Agencia, “de Protección de Datos Personales”, falta
también toda referencia a la operación de tratamiento que ha dado origen a la
reclamación, al dato de la fecha de expedición del carné de conducir del solicitante del
seguro de automóvil y a los puntos asociados al carné de conducir.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/73

Es más, el citado Anexo I no incluye siquiera la relación de los productos de seguro de
LÍNEA DIRECTA respecto de los que el encargado MAJOREL desarrollará la actividad
de distribución y comercialización, a pesar de la remisión expresa al Anexo I que se
hace en las cláusulas primera, párrafo segundo; tercera; cuarta y quinta, apartado
5.1.b) del contrato de Agencia.

Respecto al contenido del Anexo I, por razones de economía procesal, nos remitimos
a las siguientes estipulaciones de este Anexo I -“de Protección de Datos Personales”-:
las cláusulas 2, “Objeto del encargo de tratamiento”; 3, “Identificación de la
información afectada” y 5, “Obligaciones del Encargado de tratamiento” que se
transcriben en el Hecho Probado Decimoquinto.

Resulta por tanto que la documentación aportada al procedimiento (el contrato de
Agencia y los Anexos que lo integran) no contiene ninguna referencia a una operación
de tratamiento cuya finalidad sea consultar el saldo de puntos asociados al carné de
conducir del solicitante de un seguro de vehículos a motor a través de la página web
de la DGT y recoger y utilizar ese dato.

Ni siquiera el Anexo I al contrato de Agencia - “Protección de Datos Personales”-, en el
que se detallan cuáles son las categorías de datos personales y cuáles los datos que
el encargado de tratamiento MAJOREL deberá tratar, hace referencia al dato de la
fecha de expedición del carné de conducir o el saldo de puntos.

3. Las Directrices 7/2020, sobre los conceptos de responsable del tratamiento y
encargado del tratamiento en el RGPD, versión 2.0, adoptada el 07/07/2021 por el
Comité Europeo de Protección de Datos (CEPD), indican que “todo tratamiento de
datos personales por un encargado debe regirse por un contrato u otro acto jurídico
con arreglo al Derecho de la Unión o de los Estados miembros celebrado entre el
responsable y el encargado, tal como se estipula en el artículo 28, apartado 3, del
RGPD”. Y añaden:

“Este acto jurídico debe constar por escrito, permitiéndose el formato electrónico. Por
tanto, los acuerdos no formalizados por escrito (con independencia de su
exhaustividad o su eficacia) no pueden considerarse suficientes para el cumplimiento
de los requisitos establecidos en el artículo 28 del RGPD.” Dicen también que, “A fin
de evitar cualquier dificultad a la hora de probar la eficacia del contrato u otro acto
jurídico, el CEPD recomienda asegurarse de que se hayan incluido las firmas
necesarias en el acto jurídico siguiendo lo dispuesto en el Derecho aplicable (p. ej., el
Derecho contractual).” (El subrayado es nuestro)

Indican también (epígrafe 103) que “Un contrato por escrito en virtud del artículo 28,
apartado 3, del RGPD puede estar integrado en un contrato más amplio, como un
acuerdo de nivel de servicio. A fin de facilitar la prueba de la conformidad con el
RGPD, el CEPD recomienda identificar claramente en un mismo lugar (p. ej., en un
anexo) los elementos del contrato con los que se pretenda aplicar el artículo 28 del
RGPD.”

Por lo que respecta al contenido del contrato o acto jurídico de encargo de tratamiento
las Directrices dicen lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/73

-Epígrafe 112: “el contrato debe servir para que el responsable y el encargado aclaren,
mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos elementos
fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a reproducir las
disposiciones del RGPD, sino que debe incluir una información más específica y
concreta sobre el modo en que se satisfarán los requisitos y el grado de tratamiento.
[…]”.

-Epígrafe 114: “Por lo que respecta al contenido obligatorio del contrato u otro acto
jurídico, el CEPD interpreta el artículo 28, apartado 3, en el sentido de que prescribe la
inclusión de lo siguiente:

 El objeto del tratamiento […] Aunque el objeto del tratamiento es un concepto
amplio, debe formularse de un modo suficientemente detallado como para que quede
claro cuál es el principal objetivo del tratamiento.
 La duración del tratamiento: deben especificarse el período de tiempo exacto o los
criterios empleados para determinarlo. Por ejemplo, podría hacerse referencia a la
duración del acuerdo
de tratamiento.
 La naturaleza del tratamiento, es decir, el tipo de operaciones realizadas como parte
del tratamiento (por ejemplo, grabación en vídeo, grabación sonora, archivo de
imágenes, etc.); y la finalidad del tratamiento (por ejemplo, detectar una entrada
ilegal). Esta descripción debe ser lo más exhaustiva posible, en función de la actividad
de tratamiento concreta, para que las partes ajenas al contrato (por ejemplo, las
autoridades de control) puedan comprender el contenido y los riesgos del tratamiento
encomendado al encargado.
 El tipo de datos personales: este elemento debe especificarse con el mayor grado
de detalle posible (por ejemplo, imágenes de vídeo de personas cuando entran y salen
de las instalaciones).”
(El subrayado es nuestro)

4. En la respuesta al traslado la reclamada obvió mencionar la omisión de que adolece
el contrato de encargo de tratamiento, en el que falta el contenido que
preceptivamente debe incluirse.

En las alegaciones al acuerdo de inicio la reclamada no alega nada para desvirtuar el
incumplimiento de la obligación del artículo 28 del RGPD que se le imputa derivado de
haber omitido en el documento aportado como contrato de encargo de tratamiento el
contenido obligatorio al que se refiere el artículo 28.3 en su primer inciso.

Todos los argumentos que aduce y los documentos que aporta en el trámite de
alegaciones al acuerdo de apertura están relacionados con las indicaciones a las que
el encargado tenía que ajustar su actuación, completando con ello la documentación
aportada con la respuesta al traslado.

Los documentos aportados con las alegaciones al acuerdo de inicio consisten en
capturas de pantalla que acreditan que la reclamada cuenta con una aplicación
informática en la que se registran las instrucciones facilitadas a los encargados y a sus
empleados y que permite acceder al histórico de esas indicaciones, hasta el punto que
ha podido acceder al mensaje electrónico enviado 18/02/2020., a las 17:12 horas, con

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/73

copia, entre otras, a la dirección del dominio “majorel” ***EMAIL.2 referente a la
“Operativa pautas generales ventas”.

En las alegaciones a la propuesta de resolución LÍNEA DIRECTA reitera lo expuesto
en sus anteriores alegaciones y explica nuevamente el contenido de la documentación
aportada que acredita la existencia de instrucciones documentadas.

Discute que se hiciera mención en la propuesta a la falta de un documento que
contenga el contenido del artículo 28.3 que esté incorporado a un contrato u acto
vinculante jurídicamente pues afirma que lo son las instrucciones documentadas que
aporta. Considera que la prueba denegada, relativa a la sanción impuesta al empleado
que incumplió las instrucciones de MAJOREL ha impedido acreditar ese extremo.

Sin embargo, el contrato de encargo de tratamiento fue aportado por la entidad junto
con sus anexos. A lo que se añade que en el citado documento se indicaba que
cualquier modificación sería comunicada para tenerse como tal a una determinada
dirección de correo. Pues bien, en el contrato de encargo aportado no hay ninguna
mención al contenido mínimo exigido. Por otra parte, como resulta de las
consideraciones de las Directrices 7/2020 del CEPD, las instrucciones, a las que se
refiere el artículo 28.3 en la letra a) no son lo mismo que el objeto, la duracicóin ,
naturaleza, finalidad y tipo de datos.

En definitiva, el contrato de Agencia que obra en el expediente, aportado como
contrato de encargo de tratamiento entre LÍNEA DIRECTA y MAJOREL, no incluye
ninguna de las indicaciones que constituyen su contenido obligatorio, a las que se
refiere el artículo 28.3 del RGPD.

4. Además del contenido obligatorio del encargo de tratamiento mencionado en el
artículo 28.3, en su primer inciso, el apartado a) de esta disposición viene a indicar que
es preceptivo que conste en el contrato que el encargado tratará los datos
“únicamente” siguiendo las instrucciones documentadas del responsable.

Se subraya que el contrato de encargo sí incorpora en su contenido esta obligación del
encargado: Nos remitimos a la estipulación 5.1.b) del contrato de Agencia y al Anexo I,
cláusula 5.

No obstante, el que sí se recoja la obligación de tratar los datos siguiendo las
instrucciones documentadas del responsable, no es óbice para apreciar un
incumplimiento de la obligación impuesta por el artículo 28.3 RGPD, ya que falta el
“contenido obligatorio”, como lo califican las Directrices 7/2020 en el epígrafe 114.

Las instrucciones documentadas a las que se refiere el apartado a), no coinciden con
el contenido obligatorio del contrato de encargo según se desprende de ese epígrafe
de las citadas Directrices.

En su respuesta al traslado LÍNEA DIRECTA centró sus argumentos en exponer que sí
existían indicaciones de cómo debía realizar su encargado el tratamiento de los datos.
En ese sentido mencionó los planes de calidad y en prueba de su existencia se limitó a
aportar entonces (documento 3 anexo) un documento de Word en el que se transcribía
parte de un correo electrónico: en “cco” figuraban varias direcciones de correo, entre
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/73

ellas una que pertenecía al dominio “majorel”, ***EMAIL.2,. Como “Asunto” “Operativa
pautas generales ventas”. Incluía esta información: <<CAMPAÑA 15 PUNTOS:
- Como cualquier campaña, se puede aplicar si nuestro precio es superior o hay queja
del cliente.
- Hay que preguntar si tiene los 15 puntos.
- Hay que solicitar el justificante de los 15 puntos o pedir autorización al cliente para
realizar la consulta online.
>> se considera incidencia media.
>> en cotización y/o cierre.>>

El acuerdo de inicio consideró que el referido documento -dadas sus características y
la transcripción parcial de un mensaje electrónico con una información de la que se
desconocía su procedencia- no acreditaba, frente a lo alegado por la reclamada, que
hubiera proporcionado las instrucciones documentadas a las que, conforme al
apartado a) del artículo 28.3, el encargado debía ajustar su actuación; independientes
de lo que constituye el contenido mínimo obligatorio del contrato de encargo que debe
constar por escrito en un acto o contrato vinculante para las partes.

Por ello el acuerdo de apertura indicó:

“Así pues, podemos afirmar que falta en el contrato de Agencia suscrito entre LÍNEA
DIRECTA y MAJOREL –en el que, por imperativo del artículo 203.2 del RDL 3/2020
deben de incluirse todos los extremos relativos al encargo de tratamiento a los que se
refiere el artículo 28.3. del RGPD- una referencia a la operación de tratamiento (de su
objeto, finalidad, naturaleza y datos tratados) que consiste en consultar el saldo de
puntos del solicitante del seguro de automóvil a través de la página web de la DGT.
Por otra parte, tampoco se han aportado documentos anexos al contrato de Agencia
en los que consten las indicaciones que el artículo 28.3 del RGPD exige que el
responsable facilite a su encargado acerca de la operación de tratamiento que le
encomienda.”

Cabe citar en tal sentido la SAN DE 07/03/02024, Rec. 2282/2021, ECLI: ES:
AN:2024:1076.En el recurso contencioso administrativo interpuesto por VODAFONE
contra la resolución sancionadora de la AEPD adujo en su defensa que el responsable
del tratamiento no fue ella sino la entidad Cablanol, S.L., con quien la entidad V, S.L.,
había subcontratado el encargo de tratamiento acordado con Vodafone para la
comercialización de sus servicios para microempresas.

“Se pone de manifiesto que la sociedad recurrente suscribió un contrato de agencia,
entre otros agentes, con la entidad Vesaleads, S.L., […] para la comercialización de
servicios ofrecidos por Vodafone para microempresas. Y dicha sociedad Vesaleads,
S.L., a su vez, subcontrató a la entidad Cablanol, S.L. para que realizase, como
subagente de Vesaleads, dicha promoción y comercialización.
Se señala que en el supuesto que nos ocupa, Cablanol, S.L., remitió las
comunicaciones comerciales que traen causa del presente contencioso a la dirección
de correo electrónico profesional […] gestionada por el denunciante.
CUARTO.- En segundo lugar, se aduce por la parte actora que Clabanol, S.L., actuó
en todo momento como responsable del tratamiento y prestador de servicios
independiente de la parte actora.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/73

Se señala que Cablanol, S.L. actuó, a todas luces, como responsable del tratamiento
al enviar las comunicaciones al reclamante, determinando por su propia cuenta los
fines y medios de dicha actividad de tratamiento de datos personales, contraviniendo
directamente los términos de la relación contractual que lo vinculaba con Vodafone.
[…]
Se añade que la parte actora no puede ser responsabilizada sobre el envío de las
comunicaciones controvertidas por parte de Cablanol. S.L. […]
Con carácter subsidiario, se aduce que aún de entenderse como existe una relación
de encargo de tratamiento de datos, Cablanol S.L., actuó fuera del ámbito de a la
relación contratada, convirtiéndose en responsable del tratamiento en virtud del art.
28.10 del RGPD.

Así las cosas, como anteriormente hemos reseñado, la entidad Cablanol, S.L. es una
entidad subcontratada por la mercantil Vesaleads, S.L. (perteneciente al Grupo
Solivesa), con la que la parte actora firmó un contrato para la comercialización y
promoción de servicios que esta operadora realiza en el segmento de las
microempresas.
[…]
Por otro lado, el art. 33.2 de la LOPDGDD, establece; " Tendrá la consideración de
responsable del tratamiento y no la de encargado quien en su propio nombre y sin que
conste que actúa por cuenta de otro, establezca relaciones con los afectados aun
cuando exista un contrato o acto jurídico con el contenido fijado en el artículo28.3 del
Reglamento (UE) 2016/679 .
[…]
Por su parte, el art. 28.3 del RGPD puntualiza lo siguiente: "el tratamiento por el
encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la
Unión o de los Estados miembros, que vincule al encargado respecto del responsable
y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo
de datos personales y categorías de interesados, y las obligaciones y derechos del
responsable".

Así las cosas, en el contrato de 1 de octubre de 2019 firmado entre la parte actora y
Vesaleads SL, establece:[…]

Por tanto, de conformidad con el citado el art. 28.10 del RGPD, Cablanol S.L. podría
considerarse responsable del tratamiento si hubiera actuado, "(...) al margen o en
contra de las instrucciones legales del responsable(...)". Por el contrario, ha quedado
acreditado que Cablanol S.L. envió varios correos electrónicos publicitarios haciendo
referencia a determinadas ofertas de la operadora VODAFONE, con frases
publicitarias como: "ACTUALIZA LAS COMUNICACIONES DE TU EMPRESA CON
VODAFONE" o "(...) Vente a VODAFONE. Ahora tus líneas y centralita con grandes
descuentos (...)", Por tanto, Cablanol S.L. realizó el envío de los correos electrónicos
publicitarios de acuerdo con las directrices encomendadas por la operadora Vodafone,
estableciendo relaciones con los destinatarios de los correos electrónicos, por
mandato de la operadora y promocionando servicios de ésta. Por tanto, queda
acreditado que, el responsable último de los hechos acaecidos es la operadora
Vodafone.”

VII
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/73

Tipificación de la infracción del artículo 28.3. del RGPD y plazo de prescripción

El incumplimiento de la obligación impuesta por el artículo 28.3 y 9 del RGPD que se
atribuye a LÍNEA DIRECTA en esta resolución, relativa al contenido del contrato de
encargo de tratamiento y a la exigencia de que conste por escrito, entraña una
infracción tipificada en el artículo 83.4 del RGPD, precepto que dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a
39, 42 y 43; […]”

A los solos efectos de determinar el plazo de prescripción de la infracción del artículo
28 del RGPD de la que se responsabiliza a la parte reclamada, el artículo 73 de la
LOPDGDD, “Infracciones consideradas graves”, dispone:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
[…]
k) Encargar el tratamiento de datos a un tercero sin la previa formalización de un
contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del
Reglamento (UE) 2016/679.”

VIII
Sanciones impuestas

A tenor de los hechos expuestos, se considera que corresponde sancionar a la parte
reclamada por la vulneración de los artículos 6.1 RGPD, infracción tipificada en su
artículo 83.5.a), y del artículo 28 del RGPD, infracción tipificada en su artículo 83.4 del
RGPD. La sanción que corresponde imponer es de multa administrativa.

Los poderes correctivos atribuidos a la AEPD como autoridad de control se relacionan
en el artículo 58.2 del RGPD, apartados a) a j). Entre ellos, en la letra i) el precepto
menciona la potestad de la autoridad supervisora de sancionar con multa
administrativa conforme al artículo 83 del RGPD.

El artículo 83 del RGPD, “Condiciones generales para la imposición de multas
administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la
imposición de multas por las infracciones del presente Reglamento indicadas en los
apartados 4,5 y 6 cumpla en cada caso individual los principios de efectividad,
proporcionalidad y carácter disuasorio.

El principio de proporcionalidad alude a la adecuación de la sanción a la gravedad de
la infracción, con interdicción de medidas innecesarias o excesivas, de manera que la
sanción sea apta para alcanzar los fines que la justifican. El artículo 83.2. del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/73

ofrece la técnica a seguir para lograr esa correlación entre la gravedad de la infracción
cometida y la sanción: una relación de criterios o factores cuya concurrencia o
ausencia se valora para graduar el importe de la multa. El apartado 2 del artículo 83
del RGPD establece:

“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

A propósito del apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/73

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

El volumen de negocio de LÍNEA DIRECTA durante el ejercicio 2022 superó los
***CANTIDAD.3 de euros (***CANTIDAD.1).

Infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) RGPD.

En consideración a los hechos acreditados, en relación con la infracción del artículo
6.1. del RGPD, se aprecian las siguientes circunstancias que actúan como agravantes
a efectos de determinar el importe de la sanción de multa ya que entrañan una mayor
culpabilidad de la entidad responsable y/o antijuridicidad de la conducta infractora:

-Circunstancia del artículo 83.2.a): la gravedad y duración de la infracción teniendo en
cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate.

El tratamiento de los datos personales de la parte reclamante que se materializa en la
infracción del artículo 6.1. RGPD se enmarca en una operación que LÍNEA DIRECTA
lleva a cabo con el fin de conocer el dato real del saldo de puntos del interesado
durante la negociación previa a la contratación de un seguro de automóvil y que
entraña una especial gravedad desde el punto de vista de su naturaleza y su
propósito. En este sentido indicamos:

 La reclamada articuló un mecanismo de acceso a un registro que custodia un
organismo público, la DGT, aprovechando una debilidad de la aplicación
informática en la autenticación de la identidad del titular de los datos, único
habilitado para hacer la consulta online a tenor de la información ofrecida por la
propia página web de la DGT (ver Hecho Probado séptimo)

 La reclamada diseñó una vía de acceso al dato de los puntos de los
interesados que eludía el sistema que la DGT tenía configurado, a tenor del
cual exclusivamente los titulares de los datos accedían vía online a los que les
conciernen. Si bien admitía la consulta a través de representante en ningún
caso a través de su web que, como hemos indicado, quedaba restringida “(…)”.

Además, incide en la gravedad de la conducta que la operación de tratamiento se haya
llevado a cabo en el marco de lo que son las actividades básicas de LÍNEA DIRECTA -
la distribución de sus pólizas de seguro- y que se haya presentado a los clientes como
un trámite más del proceso de contratación del seguro. También, el número de los
potenciales afectados teniendo en cuenta el periodo de tiempo en el que este
tratamiento se ha venido realizando, al menos durante 12 meses.

-Circunstancia del artículo 83.2.b): “la intencionalidad o negligencia en la infracción”.

En el tratamiento de datos efectuado la parte reclamada actuó con una falta de
diligencia muy grave que representa un “plus” de culpabilidad y excede de la que es
necesaria para integrar el elemento subjetivo de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/73

La razón es que el tratamiento realizado por LÍNEA DIRECTA -la consulta del saldo de
puntos de la parte reclamante a través de la web de la DGT- se lleva a cabo con plena
conciencia y a sabiendas de que no podía acceder a la información de los puntos
registrada en la DGT por la vía utilizada ya que estaba reservada para la propia
persona interesada.

Ese extremo, que LÍNEA DIRECTA para realizar ese tratamiento -la consulta de los
puntos a través de la página web de la DGT- eludía el control diseñado por esa
Dirección General, por muy débil que éste fuera, es patente. Mencionamos a tal fin, la
explicación ofrecida por la parte reclamada sobre los motivos por los que puso fin a
estos tratamientos (alegación primera del escrito de alegaciones al acuerdo de inicio)
También se infiere de algunas de las indicaciones que se recogen en el Manual LDA
Emisión Motor aportado con sus alegaciones al acuerdo de inicio. En particular, en los
pasos generales que ha de seguir el operador para hacer la consulta a través de la
web de la DGT (Hecho Probado decimoctavo) punto 6 , que dice:

“6. En la siguiente pantalla, incluiremos el correo electrónico que se ha generado
automáticamente (@ reflejado en la cabecera).Si el cliente hubiese realizado la
consulta previamente, aparecerá cargada su dirección de correo electrónico. Debemos
eliminarla e incluir la que hemos generado nosotros de manera automática para que el
proceso se complete correctamente.” (El subrayado es nuestro)

- Circunstancia del artículo 83.2.k) RGPD conectada con el artículo 76.2.b) LOPDGDD:

La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento
de datos personales. Para su actividad aseguradora LÍNEA DIRECTA necesita tratar
datos de carácter personal, lo que repercute en el nivel de riesgo que entrañan los
tratamientos que lleva a cabo.

Puede citarse en este sentido la SAN de 17/10/2007 (Rec. 63/2006), dictada durante la
vigencia de la Ley Orgánica 15/1999, pero cuyo pronunciamiento resulta aplicable en
la actualidad, que, a propósito del grado de diligencia que el responsable está obligado
a desplegar en el cumplimiento de las obligaciones que le imponía la citada Ley
Orgánica, la Audiencia Nacional, después de referirse a que las entidades en las que
el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y
terceros han de observar un adecuado nivel de diligencia declara que “[...].el Tribunal
Supremo viene entendiendo que existe imprudencia siempre que se desatiende un
deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia
exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la
profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado,
cuando la actividad de la recurrente es de constante y abundante manejo de datos de
carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
prevenciones legales al respecto”.

-Circunstancia del artículos 83.2.g) las categorías de los datos de carácter personal
afectados por la infracción.

A este respecto se tiene en cuenta que los datos objetos de tratamiento en el supuesto
analizado han sido el NIF, dato que se trató con una finalidad distinta de aquella para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/73

la que fue recogido del interesado; la fecha de expedición del carné de conducir y el
dato de los 11 puntos que el solicitante del seguro tenía en ese momento según la
información que le suministra el empleado de MAJOREL tras la consulta y, en
consideración al cual, le aplican un descuento en la prima del seguro que casi alcanza
el 50%.

Sobre el dato de los puntos del carné de conducir, prescindiendo de las referencias a
la STJUE precitada y a la aplicación al caso del artículo 10 del RGPD, debe
subrayarse que el hecho de que la campaña de LÍNEA DIRECTA se denomine “15
puntos” y de que la reclamada afirme en sus alegaciones a la propuesta de resolución
que solo aplica un descuento en caso de que se tengan los 15 puntos (lo que no ha
sucedido en el supuesto analizado), desde el punto de vista que nos atañe lo relevante
es que la consulta se hace para conocer el saldo en cuestión, para saber si es o no de
15 puntos, y con esa ocasión se conoce el saldo real, esto es, como aquí ha sucedido
de 11 puntos. Debe tenerse en cuenta que, dado el sistema de puntos implantado en
España, salvo un conductor novel, el saldo del que se parte es de 12 puntos y que la
pérdida de puntos, como dice expresamente la normativa reguladora, se produce
como consecuencia de una infracción grave o muy grave del código de circulación. Lo
que significa que se está accediendo a información especialmente sensible para el
interesado.

No se aprecia ninguna circunstancia atenuante.

Considerando los criterios de los artículos 83.1. y 83.2 del RGPD, se acuerda
sancionar la infracción del artículo 6.1 del RGPD atribuida a la parte reclamada con
una multa administrativa de 100.000€ (cien mil euros)

Infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 del RGPD.

Concurren como circunstancias agravantes estos factores del artículo 83.2 del RGPD
que reflejan una mayor antijuridicidad de la conducta presuntamente infractora o/y de
la culpabilidad de la parte reclamada:

-Artículo 83.2.a): la gravedad y duración de la infracción teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate.

En el incumplimiento por LÍNEA DIRECTA de la obligación del artículo 28.3 del RGPD
concurren determinadas circunstancias que evidencian la gravedad de este
incumplimiento.

 Esta obligación no solo le viene impuesta a la reclamada por el RGPD, sino
también por su normativa sectorial, artículo 203 del RDL 3/2020.
 Por las características, la finalidad y los medios de la operación del tratamiento
que constituye el objeto del encargo que LÍNEA DIRECTA le hace a MAJOREL:
consultar el saldo de puntos del solicitante del seguro a través de la web de la
DGT utilizando el dato del NIF para una finalidad diferente de aquella para la
que fue facilitada y eludiendo las instrucciones de la DGT sobre quién está
legitimado para acceder a su página web a efectuar esa consulta.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/73

 Por los numerosísimos tratamientos que se han realizado por el encargado en
nombre de LÍNEA DIRECTA. La ausencia de contrato o de otro instrumento
jurídico vinculante afecta a todos los titulares de los datos personales que
fueron objeto de tratamiento por su encargado.

Al evaluar la gravedad de la infracción se tiene en cuenta también el “propósito” de la
operación de tratamiento y que ese tratamiento se efectúa en el marco de su actividad
empresarial, la comercialización de pólizas de seguro de automóvil.

-Circunstancia del artículo 83.2.b): “la intencionalidad o negligencia en la infracción”.

La falta de diligencia demostrada por la parte reclamada en la conducta que vulnera el
artículo 28 del RGPD se califica de muy grave y excede de la necesaria para integrar
el elemento subjetivo de la infracción. La ausencia de contrato o de otro instrumento
jurídico vinculante afecta a todos los solicitantes de seguro cuyo saldo de puntos se
consultó por MAJOREL por cuenta de LÍNEA DIRECTA, lo que evidencia una grave
falta de diligencia que representa un “plus” de culpabilidad y excede de la que es
indispensable para integrar el elemento subjetivo de la infracción. No se pueden
ignorar las obligaciones que le impone a la parte reclamada en relación con el artículo
28.3 del RGPD su normativa sectorial de seguros: artículo 203 y 204 del R.D.L. 3/2020

- Circunstancia del artículo 83.2.k) RGPD conectada con el artículo 76.2.b) LOPDGDD:

La vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos
personales es evidente: LÍNEA DIRECTA se desenvuelve su actividad en el ámbito de
los seguros.

No se aprecian circunstancias atenuantes.

En atención los criterios de los artículos 83.1. y 83.2 del RGPD, se acuerda sancionar
por la infracción del artículo 28 del RGPD atribuida a LINEA DIRECTA con multa por
importe de 200.000€ (doscientos mil euros).

IX
Medidas correctivas

De acuerdo con lo establecido en el artículo 58.2 d) del RGPD, según el cual cada
autoridad de control podrá “ordenar al responsable o encargado del tratamiento que
las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…”, se acuerda ordenar a LÍNEA DIRECTA que adopte las medidas
necesarias para ajustar su actuación a lo dispuesto en el artículo 28 del RGPD. En
particular que adecúe los contratos de encargo de tratamiento que tenga suscritos con
agentes de seguros a las exigencias del artículo 28 del RGPD. El plazo en el que
debería adoptar las medidas sería de tres meses computado desde que la resolución
sancionadora fuera ejecutiva.

La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el artículo 83.2 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/73

Se advierte que, no atender a los requerimientos de este organismo, puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a LÍNEA DIRECTA ASEGURADORA, S.A., COMPAÑÍA DE
SEGUROS Y REASEGUROS, con NIF A80871031:

1. Por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del
RGPD, una multa administrativa (artículo 58.2.,i) por importe de 100.000€
(cien mil euros)

2. Por una infracción del artículo 28 del RGPD, tipificada en el artículo 83.4.a) del
RGPDP, una multa administrativa (artículo 58.2.i) por importe de 200.000€
(doscientos mil euros)

SEGUNDO: ORDENAR a LÍNEA DIRECTA ASEGURADORA, S.A., COMPAÑÍA DE
SEGUROS Y REASEGUROS, con NIF A80871031, que en virtud del artículo 58.2.d)
del RGPD, en el plazo de tres meses desde que la presente resolución sea firme y
ejecutiva, acredite haber procedido al cumplimiento de las medidas necesarias para
ajustar su actuación a lo dispuesto en los artículos 6 y 28 del RGPD en los términos
indicados en esta resolución.

TERCERO: NOTIFICAR la presente resolución a LÍNEA DIRECTA ASEGURADORA,
S.A., COMPAÑÍA DE SEGUROS Y REASEGUROS, con NIF A80871031.

TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo
98.1.b) de la LPACAP, en el plazo de pago voluntario establecido en el artículo 68 del
Reglamento General de Recaudación, aprobado por el Real Decreto 939/2005, de 29
de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante
su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura
en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-
0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre
de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK,
S.A. En caso contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/73

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6
de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que, conforme a lo previsto en el artículo 90.3 a) de la LPACAP,
se podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la
citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite
la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no
tuviese conocimiento de la interposición del recurso contencioso-administrativo en el
plazo de dos meses desde el día siguiente a la notificación de la presente resolución,
daría por finalizada la suspensión cautelar.

938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es