1/18
Expediente Nº: EXP202203956
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 9 de septiembre de 2022, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a MAPFRE
ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (en adelante la parte
reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas,
con fecha 25 de noviembre de 2022 se emitió la propuesta de resolución que a
continuación se transcribe:
<<
Expediente N.º: EXP202203956
PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 28 de febrero de
2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra Mapfre España Compañía de Seguros y Reaseguros,
S.A. con NIF A28141935 (en adelante, la parte reclamada o Mapfre). Los motivos en
que basa la reclamación son los siguientes:
La parte reclamante manifiesta que, en el mes de junio del año 2021, solicitó a la
compañía Mapfre que le facilitarán los datos que sobre su persona tenían, en sus
bases de datos.
Posteriormente, transcurridos más de dos meses sin recibir respuesta, contactó con la
reclamada vía correo electrónico y le informaron que habían contestado a su solicitud,
facilitándole una copia, la cual fue enviada a una dirección que no era la suya.
Añade que aparece como titular de nueve pólizas y como responsable de tres
siniestros, cuando nunca ha formalizado ningún contrato con Mapfre, ningún seguro, ni
ha dado ningún parte de accidente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/18
Por otra parte, señala que comunicó dichos hechos a la reclamada y solicitó el bloqueo
de sus datos. Además, requirió que le facilitaran los documentos que supuestamente
habría firmado para contratar dichas pólizas, para dar los partes, y para autorizar el
tratamiento de sus datos.
Así las cosas, Mapfre le manifiesta que sus datos habían sido bloqueados y
posteriormente le envían una carta en la que le comunican que sus datos fueron
facilitados por él o generados como consecuencia de la gestión o desarrollo de su
relación con Mapfre.
Y, aporta entre otra la siguiente documentación:
1. Escrito dirigido a la reclamada de fecha 2 de junio de 2021, solicitando el
derecho de acceso.
2. Contestación de la reclamada de fecha 18 de junio de 2021 a un domicilio
distinto al suyo, informándole de los datos que constan en sus aplicaciones y
son objeto de tratamiento, apareciendo como titular de nueve pólizas y como
responsable de tres siniestros.
3. Carta de fecha 13 de septiembre de 2021 solicitando a Mapfre el bloqueo de
sus datos personales, y además solicita: copia de los documentos de contratación,
de autorización, consentimiento para el uso de sus datos y copia de los partes
de accidente que se hayan dado a su nombre y cancelación de sus datos.
4. Correo electrónico de Mapfre de fecha 8 de octubre de 2021, que le informan
que se ha procedido a la supresión de sus datos en Mapfre.
5. Contestación de Mapfre de fecha 10 de diciembre de 2021, donde se le
informan que los datos comunicados fueron facilitados por el reclamante
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 31 de marzo de 2022 como
consta en el acuse de recibo que obra en el expediente.
Con fecha 4 de mayo de 2022 se recibe en esta Agencia escrito de respuesta
indicando:
<<De las investigaciones realizadas se deduce que el reclamante constaba en
nuestros sistemas como tomador de una única póliza de automóviles, y cómo
conductor habitual de diversas pólizas de la empresa FURCORENT.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/18
A efector aclaratorios, conviene precisar que, por la información que hemos podido
conocer, el reclamante prestaba sus servicios profesionales como gestor o
colaborador de la empresa FURCORENT, S.L., tomadora de dichas pólizas, e
intervino en su representación y para las gestiones de las pólizas contratadas con mi
representada en múltiples ocasiones.
Teniendo en cuenta lo anterior, procede indicar que tal y como mi representada ha
tratado de aclarar al reclamante una de las pólizas -en concreto, la nº ***PÓLIZA.1-
fue suscrita por el reclamante en calidad de tomador, circunstancia que el interesado
no puede desconocer dado que, aunque la solicitud de cotización fue promovida por la
empresa FURCORENT, S.L., fue el propio reclamante quien remitió directamente
copia de su DNI, permiso de conducir y demás documentación necesaria para
formalizar la póliza a mi representada.
Adjuntamos como documento nº 7 copia del correo electrónico remitido por D. A.A.A.
al mediador de la póliza acompañando copia de su DNI y permiso de conducción.
Las pólizas restantes fueron suscritas por FURCORENT, S.L., quien incluyó al
reclamante como conductor habitual de los vehículos asegurados, hecho que tampoco
puede desconocer el reclamante dado que, por lo que se nos declaró en su momento
y confirmado posteriormente por el mediador de las pólizas, había intervenido en el
proceso de suscripción y desenvolvimiento de dichos contratos como gestor de dicha
empresa a la que prestaba sus servicios.
En este sentido, del análisis de los antecedentes relacionados con los hechos a los
que la reclamación se refiere, se ha comprobado que todos los datos personales
relativos al reclamante fueron obtenidos por mi representada directamente del
reclamante o a través de la empresa FURCORENT, S.L. a la que venía prestando sus
servicios como gestor, y tratados en el marco de las relaciones contractuales en las
que figuraba el reclamante, bien como tomador, bien como conductor habitual,
respetando en todo momento la normativa sobre el tratamiento de datos personales y
sin perjudicar sus derechos y libertades en esta materia.
En cualquier caso, una vez recibida por mi representada la solicitud de supresión
efectuada por el reclamante, se han adoptado las medidas oportunas dirigidas al
borrado y bloqueo de sus datos personales, atendiendo en todo momento sus
derechos y sin causar perjuicio alguno al interesado>>.
TERCERO: De conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(LOPDGDD), cuando se presentase ante la Agencia Española de Protección de Datos
(en adelante, AEPD) una reclamación, ésta deberá evaluar su admisibilidad a trámite,
debiendo notificar a la parte reclamante la decisión sobre la admisión o inadmisión a
trámite, en el plazo de tres meses desde que la reclamación tuvo entrada en esta
Agencia. Si, transcurrido este plazo, no se produjera dicha notificación, se entenderá
que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en el Título
VIII de la Ley. Dicha disposición también resulta de aplicación a los procedimientos
que la AEPD hubiera de tramitar en ejercicio de las competencias que le fueran
atribuidas por otras leyes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/18
En este caso, teniendo en cuenta lo anteriormente expuesto y que la reclamación se
presentó en esta Agencia, en fecha 28 de febrero de 2022, se comunica que su
reclamación ha sido admitida a trámite el 28 de mayo de 2022 al haber transcurrido
tres meses desde que la misma tuvo entrada en la AEPD.
CUARTO: Con fecha 9 de septiembre de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD.
QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que, en síntesis, manifiesta que: “Primero, MAPFRE ESPAÑA
dispone de base de licitud suficiente para el tratamiento de los datos personales del
reclamante. Esta base de licitud se sustenta en la relación contractual establecida con
el tomador de las pólizas, empresa FURCORENT, y en consecuencia con todas las
figuras intervinientes en esta, tal y como se indica en el artículo 99 de la Ley 20/2015,
de ordenación, supervisión y solvencia de las entidades aseguradoras y
reaseguradoras (LOSSEAR), donde se manifiesta: “las entidades aseguradoras
podrán tratar datos de los tomadores, asegurados, beneficiarios o terceros
perjudicados, así como de sus derechohabientes sin necesidad de contar con su
consentimiento a los solos efectos de garantizar el pleno desenvolvimiento del
contrato de seguro y el cumplimiento de las obligaciones establecidas en esta Ley y
en las disposiciones de desarrollo”. La relación contractual se establece con la
empresa FURCORENT mediante la emisión de las diferentes pólizas y el
perfeccionamiento del contrato a través del pago de la primera prima de estas
conforme el artículo. 15 de la Ley 50/1980, de 8 de octubre, de Contrato de Seguro
(LCS).
MAPFRE ESPAÑA según le requirieren los artículos 10, 11, 12, 93 y 94 de la LCS,
previamente a la celebración del contrato con FURCONRENT, debe solicitar
determinada información del tomador del seguro que le permita valorar el riesgo
(declaración del riesgo). Esta declaración tiene efectos durante toda la vida del
contrato (agravaciones, disminución del riesgo, exclusiones, declaraciones inexactas,
falsedad, etc.). En este punto el tomador FURCONRENT era consciente de su
obligación de declarar datos ciertos conociendo que los factores relacionados con el
tomador, propietario, los conductores y el vehículo se tienen en cuenta para la
valoración del riesgo y cálculo de la prima. En consecuencia, en el supuesto de
reserva o inexactitud en su declaración la prestación de la aseguradora se reducirá
proporcionalmente a la diferencia entre la prima convenida y la que se hubiese
aplicado de haberse conocido la verdadera entidad del riesgo. que se hayan omitido
por mala fe MAPFRE ESPAÑA quedará liberada del pago de la prestación.
Documento 1 Esta información incluye, sin limitarse, a la declaración de las siguientes
figuras, que la empresa FURCORENT identifica de la siguiente manera: • Tomador de
la póliza: la empresa FURCORENT. • Propietario del bien a asegurar: la empresa
FURCORENT. • Pagador de la póliza: la empresa FURCORENT. • Conductor habitual
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/18
el reclamante. identificando como empleado. MAPFRE ESPAÑA acredita mediante
Documento 2 la fecha en que consta el alta en nuestros sistemas de los datos del
reclamante, precisamente un día antes de la emisión de las pólizas solicitadas por la
empresa FURCORENT. Por tanto, su alta obedece única y exclusivamente a la
comunicación de sus datos por la empresa FURCORENT como conductor habitual. Se
adjunta como Documento 3 el correo electrónico de la empresa FURCORENT al
mediador solicitando la cotización (determinación de prima), y las conversaciones de
WhatsApp en las que solicita diversas emisiones. La relación de pólizas emitidas a
petición de la empresa FURCORENT son las siguientes contenidas en el Documento
4 enumeradas en el siguiente orden: - ***PÓLIZA.2. Se adjunta como documento PN1
- ***PÓLIZA.3. Se adjunta como documento PN2 - ***PÓLIZA.4. Se adjunta como
documento PN3 - ***PÓLIZA.5. Se adjunta como documento PN4 - ***PÓLIZA.6. Se
adjunta como documento PN5 - ***PÓLIZA.7. Se adjunta como documento PN6 -
***PÓLIZA.8. Se adjunta como documento PN7 - ***PÓLIZA.9. Se adjunta como
documento PN8 Igualmente se acredita el pago de los correspondientes recibos,
mediante Documento 5. Segundo: En las cláusulas particulares de cada una de las
pólizas emitidas (Documento 4), consta de manera expresa: “En caso que los datos
facilitados se refieran a terceras personas físicas distintas del
Tomador/Asegurado/Afectado, éste garantiza haber recabado y contar con el
consentimiento previo de los mismos para la comunicación de sus datos y haberles
informado con carácter previo a su inclusión en el presente documento, de las
finalidades del tratamiento, comunicaciones y demás términos previstos en el mismo y
en la Información Adicional de Protección de Datos.” Se puede concluir, por tanto, que
es en el TOMADOR de la póliza en el que recae la obligación de informar y obtener el
consentimiento para ceder sus datos a MAPFRE ESPAÑA de las figuras de la póliza
que comunica a la aseguradora. La secuencia por la que se produce la comunicación
a MAPFRE ESPAÑA de los datos del conductor habitual es la siguiente: El gerente de
FURCORENT utiliza el canal de WhatsApp, a través del número de teléfono
***TELÉFONO.1 incluido en todas las pólizas para dirigirse al mediador de MAPFRE
ESPAÑA y facilitar la información necesaria en la elaboración del presupuesto y la
emisión de póliza. En estas conversaciones se pone de manifiesto que el gerente de
la empresa FURCORENT solicita la emisión de estas e identifica como conductor
habitual al empleado de su empresa el reclamante. Se adjunta como Documento 6
conversación en la que el Gerente de la empresa identifica de manera inequívoca al
reclamante como conductor. Así mismo, es FURCORENT, a través del correo
electrónico ***EMAIL.1, el que remite el DNI y el permiso de conducir del reclamante.
El gerente manifiesta que es el propio reclamante el que envía este correo. al tratarse
de un empleado o colaborador. Documento 7. Se presume, por tanto, el origen lícito
de los datos comunicados, y de los documentos aportados. A modo se observación,
se quiere hacer constar, que en el hipotético supuesto de relación laboral o de
colaboración, cualquier empresa podría disponer de una copia del DNI (formato
documento), pero habitualmente no dispone del carnet de conducir, salvo que lo
solicite a su empleado o colaborador, de forma expresa, para una finalidad
determinada, y la persona lo entregue libremente para responder a esa necesidad. El
Documento 7 evidencia, que en el caso que no fuese el reclamante quién aportase
directamente esta documentación a la reclamada, la empresa sí disponía de ambos
documentos. A mayor abundamiento, es la empresa FURCORENT la que debe
acreditar el origen de los datos y documentos que remite a MAPFRE ESPAÑA y la
base de licitud que tiene para comunicarlos. Tercero, en el ejercicio del derecho de
acceso que efectúa el reclamante, el día 2 de junio del 2021, y posteriormente el 9 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/18
agosto, no sólo solicita una información general de los datos que constan en MAPFRE
ESPAÑA (con la que manifiesta no haber tenido, ni tener ninguna relación), declara en
su primera comunicación tener un especial interés en conocer si “ se ha dado algún
parte con sus datos o cualquier información que pudiera perjudicar su reputación
como conductor a efectos del seguro”. En su segunda solicitud manifiesta además
requerir: - aquellas pólizas en las que consta como conductor - los partes de accidente
que se hayan comunicado con sus datos - datos relativos a su índice de siniestralidad
y si ha habido algún cambio en su valoración como conductor. Se adjunta como
Documentos 8 y 9, las solicitudes mencionadas, de las que se puede deducir que la
terminología utilizada por el reclamante respecto a las figuras de la póliza, (no
mencionada en la atención de su derecho de acceso), en lo que se refiere a su
condición de conductor habitual, que en el supuesto que la empresa FURCORENT
haya utilizado los datos del reclamante sin la correspondiente autorización, éste al
menos era conocedor de la situación. Cuarto, como excepción a los casos
anteriormente mencionados, cuya base de licitud se fundamente en la relación
contractual entre la empresa FURCORENT y MAPFRE ESPAÑA, es la póliza
0***PÓLIZA.101 en la que el reclamante no sólo consta como conductor habitual,
también como tomador de la póliza y que se adjunta como Documento 10
En este caso el gerente de la empresa FURCONET envía por WhatsApp la ficha
técnica del vehículo a asegurar indicando que nuevamente se incluya como conductor
habitual al reclamante Documento 11. De las investigaciones realizadas se concluye
que el mediador (que, al amparo de la Ley de Mediación, tiene con MAPFRE ESPAÑA
un contrato de encargado del tratamiento) en este caso, ha incumplido las
instrucciones técnicas de emisión y contratación (Documento 12) establecidas por
MAFPRE. Del mismo modo ha incumplido las obligaciones como encargado de
tratamiento, con la finalidad, entendemos, de ofrecer un precio diferente al que
obtendría si cumpliera las normas de Documento 13 encargo de tratamiento. No
encontramos evidencias, de un posible error operacional. Se aporta como información
adicional el Documento 14 que pone de manifiesto las comunicaciones entre el
mediador y el Gerente de la empresa, para cotizar y emitir diferentes pólizas Medidas
adoptadas para evitar que se produzcan situaciones similares - En el supuesto que la
emisión de la última póliza responda al incumplimiento por parte del mediador, y no a
un error operativo, se adoptarán medidas disciplinarias frente al mediador que ha
incumplido sus obligaciones como encargado de tratamiento de MAPFRE ESPAÑA.
Se instrumentalizará a través de una auditoria que ponga de manifiesto la realidad de
lo sucedido. - Analizar la suficiencia de los controles operacionales existentes. -
Reforzar la concienciación y formación de los mediadores Por todo lo expuesto,
SOLICITA que tenga por presentado este escrito junto con la documentación que se
acompaña, se sirva admitirlo, tramitarlo, y por consiguiente y de conformidad con las
previsiones de la Ley Orgánica 3/2018, de 3 de diciembre de Protección de Datos
Personales y garantía de los derechos digitales, se proceda por esa Agencia Española
de Protección de Datos a resolver declarando la ausencia de responsabilidad de
MAPFRE en los hechos de los que la misma trae causa”.
SEXTO: Con fecha 3 de octubre de 2022, el instructor del procedimiento acordó
practicar las siguientes pruebas:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/18
1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por D.
A.A.A. y su documentación, los documentos obtenidos y generados durante la fase
de admisión a trámite de la reclamación.
2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo
de inicio del procedimiento sancionador referenciado, presentadas por Mapfre
España Compañía de Seguros y Reaseguros, S.A., y la documentación que a ellas
acompaña.
SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el
procedimiento.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: El reclamante manifiesta que aparece como titular de nueve pólizas de
seguros y como responsable de tres siniestros, cuando nunca ha formalizado ningún
contrato con Mapfre, ningún seguro, ni ha dado ningún parte de accidente.
SEGUNDO: La entidad reclamada, manifiesta que en las pólizas ***PÓLIZA.2;
***PÓLIZA.3; 2***PÓLIZA.4; ***PÓLIZA.5; ***PÓLIZA.6; ***PÓLIZA.7; ***PÓLIZA.8;
***PÓLIZA.9 el tomador de las pólizas es la empresa FURCORENT y el conductor
habitual de las mismas es el reclamante identificando como empleado, excepto en la
póliza 0***PÓLIZA.101 en la que el reclamante no sólo consta como conductor
habitual, también como tomador de la póliza.
TERCERO: Consta en el expediente el Contrato de Agente de Seguros Exclusivo
formalizado con Mapfre por el Agente el 25 de marzo de 2015.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/18
En relación con las alegaciones formuladas por la parte reclamada, que el mediador
tiene con Mapfre un contrato de encargado del tratamiento y que en este caso, ha
incumplido las instrucciones técnicas de emisión y contratación establecidas por
Mapfre, en relación con la póliza 0***PÓLIZA.101, en la que el reclamante no sólo
consta como conductor habitual, sino también como tomador de la póliza, hay que
manifestar que el Real Decreto-ley 3/2020, de 4 de febrero, de medidas urgentes por
el que se incorporan al ordenamiento jurídico español diversas directivas de la Unión
Europea en el ámbito de la contratación pública en determinados sectores; de seguros
privados; de planes y fondos de pensiones; del ámbito tributario y de litigios fiscales,
establece en su artículo 203 la Condición de responsable o encargado del tratamiento.
1. A los efectos previstos en la Ley Orgánica 3/2018, de 5 de diciembre, así como en
el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril
de 2016, relativo a la protección de las personas físicas en lo que respecta al
tratamiento de datos personales y a la libre circulación de estos datos: a) Los agentes
de seguros y los operadores de banca-seguros tendrán la condición de encargados
del tratamiento de la entidad aseguradora con la que hubieran celebrado el
correspondiente contrato de agencia, en los términos previstos en el título I. b) Los
corredores de seguros y los corredores de reaseguros tendrán la condición de
responsables del tratamiento respecto de los datos de las personas que acudan a
ellos. c) Los colaboradores externos a los que se refiere el artículo 137 tendrán la
condición de encargados del tratamiento de los agentes o corredores de seguros con
los que hubieran celebrado el correspondiente contrato mercantil. En este caso, solo
podrán tratar los datos para los fines previstos en el artículo 137.1. 2. En el supuesto
previsto en la letra a) del apartado 1, en el contrato de agencia deberán hacerse
constar los extremos previstos en el artículo 28.3 del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de abril de 2016. Del mismo modo, en el
supuesto previsto en el apartado 1.c) deberán incluirse en el contrato mercantil
celebrado con los colaboradores externos los extremos previstos en el artículo 28.3
del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril
de 2016. 3. Las entidades aseguradoras no podrán conservar los datos que les
faciliten los mediadores de seguros, y que no deriven en la celebración de un contrato
de seguro, estando obligadas a eliminarlos salvo que exista otra base jurídica que
permita un tratamiento legítimo de los datos conforme al Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo, de 27 de abril de 2016.
Por lo tanto, el agente de seguro tendrá la condición de encargado del tratamiento
ante la entidad aseguradora con la que hubiera celebrado el correspondiente
contrato de agencia.
En el supuesto examinado, de la normativa expuesta y de las manifestaciones
realizadas por la parte reclamada cabe inferir que ésta actúa como responsable del
tratamiento.
En el artículo 4.8, del RGPD, se define al encargado del tratamiento como la persona
física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.
Todo tratamiento de datos personales realizado por un encargado debe regirse por un
contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/18
miembros celebrado entre el responsable y el encargado, tal como se estipula en el
artículo 28, apartado 3, del RGPD.
Sobre este particular, las Directrices 07/2020 sobre los conceptos de «responsable del
tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas por el CEPD, el 7
de julio de 2021, detallan lo siguiente:
“Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su
contenido esencial, el contrato debe servir para que el responsable y el encargado
aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos
elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a
reproducir las disposiciones del RGPD, sino que debe incluir una información más
específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de
seguridad que se precisará para el tratamiento de los datos personales objeto del
contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y
estipulación de las condiciones del contrato sirven para especificar los detalles del
tratamiento.”
Añaden que “Por lo general, el contrato de tratamiento establece quién es la parte
determinante (el responsable del tratamiento) y quién, la parte que sigue las
instrucciones (el encargado del tratamiento)”. Ahora bien “Si una parte decide en la
práctica cómo y por qué se tratan los datos personales, dicha parte será el
responsable del tratamiento, aunque el contrato estipule que se trata del encargado”
Para determinar la responsabilidad de la parte reclamada hay que tener en cuenta
que, si un encargado del tratamiento infringe el Reglamento al determinar los fines y
medios del tratamiento, será considerado responsable del tratamiento con respecto a
dicho tratamiento (artículo 28, apartado 10, del RGPD).
Sobre los «Los fines y medios» las citadas directrices recogen las siguientes
consideraciones:
“(…)
Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue
o que guía la actuación prevista» y la palabra medio como la «manera en que se
obtiene un resultado o se alcanza un objetivo»
(…)
La determinación de los fines y los medios equivale a decidir, respectivamente, el
porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el
responsable del tratamiento es la parte que determina por qué tiene lugar el
tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo
(es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que
influye de este modo en el tratamiento de datos personales participa, por tanto, en la
determinación de los fines y los medios de dicho tratamiento de conformidad con la
definición prevista en el artículo 4, punto 7, del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/18
El responsable del tratamiento debe decidir tanto sobre el fin como sobre los medios
del tratamiento, tal como se describe más adelante. En consecuencia, no puede
limitarse a determinar el fin: también debe adoptar decisiones sobre los medios del
tratamiento. En cambio, la parte que actúe como encargado nunca puede determinar
el fin del tratamiento. En la práctica, si un responsable del tratamiento recurre a un
encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado
normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El
CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de
maniobra para tomar algunas decisiones sobre el tratamiento. En este sentido, es
necesario aclarar qué grado de influencia en el «porqué» y en el «cómo» conlleva que
un ente se considere responsable del tratamiento y en qué medida puede el
encargado del tratamiento tomar decisiones propias.
(…)”
En este caso, teniendo en cuenta lo anteriormente expuesto, cabe concluir que el
mero hecho de incumplir el encargado del tratamiento las instrucciones de Mapfre no
eximen de responsabilidad a la parte reclamada. Ésta no ha acreditado que el
encargado del tratamiento estuviera actuando como responsable, toda vez que el
tratamiento se ha realizado siguiendo las instrucciones del responsable.
Así pues, la parte reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el
tratamiento, sin que haya acreditado que hubiese contratado legítimamente, dispusiera
de su consentimiento para la recogida y el tratamiento posterior de sus datos
personales, o existiese alguna otra causa que hiciese licito el tratamiento efectuado.
En consecuencia, ha efectuado un tratamiento de los datos personales de la parte
reclamante sin que haya acreditado que cuente con la habilitación legal para ello.
El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la
ejecución de un contrato en el que el interesado es parte”.
Resultaba por ello esencial que la parte reclamada acreditara ante esta Agencia que el
reclamante había contratado la citada póliza.
La parte reclamada ha aportado a esta Agencia las pólizas emitidas: ***PÓLIZA.2;
***PÓLIZA.3; 2***PÓLIZA.4; ***PÓLIZA.5; ***PÓLIZA.6; ***PÓLIZA.7; ***PÓLIZA.8;
***PÓLIZA.9, en las que aparece en todas ellas como tomador de las pólizas la
empresa FURCORENT y como conductor habitual de las mismas el reclamante
identificando como empleado.
Sin embargo, Mapfre acredita que en la póliza 0***PÓLIZA.101 consta la parte
reclamante como tomador.
En su defensa, la entidad reclamada ha manifestado que el mediador tiene con Mapfre
un contrato de encargado de tratamiento y que, en este caso, ha incumplido las
instrucciones técnicas de emisión y contratación establecidas por Mapfre, aportando el
contrato de encargo de tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/18
Pues bien, la responsabilidad recae sobre el responsable del tratamiento (Mapfre), no
sobre el encargado (el agente) salvo que se diera el supuesto del artículo 28.3 del
RGPD en el que el encargado estuviera actuando como responsable
Por ello, se considera que la entidad reclamada ha vulnerado el artículo 6 del RGPD,
por llevar a cabo un tratamiento de datos personales sin legitimación.
III
El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales.
«1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.»
Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40
del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los
datos personales deben ser tratados con el consentimiento del interesado o sobre
alguna otra base legítima establecida conforme a Derecho, ya sea en el presente
Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que
se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal
aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con
el que sea parte el interesado o con objeto de tomar medidas a instancia del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/18
interesado con anterioridad a la conclusión de un contrato.»
Hay que destacar que en uno de los contratos de seguro, tal como reconoce la parte
reclamada, figura como tomador la parte reclamante, y no consintió en la contratación
del mismo, por lo tanto, no existe base legitimadora de las recogidas en el artículo 6
del RGPD.
El RGPD se aplica a los datos personales, que se definen como «datos personales»:
toda información sobre una persona física identificada o identificable («el interesado»);
se considerará persona física identificable toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona.
De aquí, que los datos del reclamante fueron tratados sin base legitimadora.
IV
De conformidad con las evidencias de las que se dispone en el presente momento de
acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que los hechos expuestos incumplen lo establecido en el
artículo 6.1. del RGPD, por lo que podría suponer la comisión de una infracción
tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente:
«Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22; […].»
La LOPDGDD, a efectos de la prescripción de la infracción, califica en su artículo 72.1
de infracción muy grave, siendo en este caso el plazo de prescripción de tres años,
<<b) el tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidos en el artículo 6 del Reglamento (UE) 2016/679>>
V
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/18
indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas,
proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/18
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier interesado.”
De la documentación aportada se desprende, que sólo es imputable a Mapfre una
única póliza en la que aparece el reclamante como tomador del seguro. En las demás,
en virtud de la normativa sectorial cabe eximirle de responsabilidad porque aparece el
reclamante como conductor habitual de vehículos de la empresa tomadora del seguro
y ésta aportó su DNI y carné de conducir, es por lo que procede aminorar la sanción a
imponer a la reclamada.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el artículo 83.2 del RGPD:
Como atenuante:
El grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción. Se han
adoptado las medidas oportunas dirigidas al borrado y bloqueo de sus datos
personales. (artículo 83.2 c) del RGPD)
Como agravantes:
Que se trata de una empresa cuya actividad principal está vincula con el
tratamiento de datos personales, conforme a lo establecido en el artículo
76.2.b) de la LOPDGDD. El desarrollo de la actividad empresarial que
desempeña la reclamada requiere un tratamiento continuo de los datos
personales de los clientes, al dedicarse a la venta y gestión de seguros.
VI
Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 30.000
€ por la infracción del artículo 83.5 a) RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/18
A la vista de lo expuesto se procede a emitir la siguiente
PROPUESTA DE RESOLUCIÓN
Que por la Directora de la Agencia Española de Protección de Datos se sancione a
MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., con NIF
A28141935, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5
del RGPD, con una multa de 30.000 euros (treinta mil euros).
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 24.000 euros y su pago implicará la
terminación del procedimiento. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000
0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad
bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del
procedimiento que figura en el encabezamiento de este documento y la causa, por
pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el
justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar
el expediente.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.
C.C.C.
INSPECTOR/INSTRUCTOR
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/18
ANEXO
Índice del expediente EXP202203956
28/02/2022 Reclamación de A.A.A.
31/03/2022 Traslado reclamación a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y
REASEGUROS, S.A.
03/05/2022 Contestación requerimiento de A.A.A.
04/05/2022 Alegaciones de MAFRE ESPAÑA COMPAÑIA DE SEGUROS Y REASE-
GUROS S.A.
04/05/2022 Alegaciones de MAPFRE ESPAÑA, COMPAÑÍA DE SEGUROS Y RE-
ASEGUROS, S.A.
28/05/2022 Comunicación a A.A.A.
09/09/2022 A. apertura a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASE-
GUROS, S.A.
12/09/2022 Info. Reclamante a A.A.A.
23/09/2022 Escrito de MAPFRE ESPAÑA COMPAÑIA DE SEGUROS Y REASEGU-
ROS S.A.
23/09/2022 Escrito de A.A.A.
03/10/2022 Notif. p. pruebas a MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y RE-
ASEGUROS, S.A.
>>
SEGUNDO: En fecha 13 de diciembre de 2022, la parte reclamada ha procedido al
pago de la sanción en la cuantía de 24000 euros haciendo uso de la reducción
prevista en la propuesta de resolución transcrita anteriormente.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere la
propuesta de resolución.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/18
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202203956, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a MAPFRE ESPAÑA COMPAÑÍA DE
SEGUROS Y REASEGUROS, S.A..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/18
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
968-171022
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es