1/23
Expediente N.º: EXP202303754
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 31 de mayo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a MAPFRE
INVERSIÓN SOCIEDAD DE VALORES, S.A (en adelante, la parte reclamada),
mediante el Acuerdo que se transcribe:
<<
Expediente N.º: EXP202303754
Procedimiento Sancionador N.º: PS/00236/2024
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 4 de julio de 2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra MAPFRE INVERSIÓN SOCIEDAD DE VALORES, S.A
con NIF A79227021 (en adelante, la parte reclamada/MAPRE INVERSIONES). Los
motivos en que basa la reclamación son los siguientes:
- Que es cliente, junto con su esposa (B.B.B.), de la entidad MAPFRE
INVERSIONES, con la que se suscribió un contrato de gestión patrimonial que
habilitaba a la entidad reclamada para gestionar los fondos que habían sido
depositados, y realizar operaciones de inversión con los mismos, siempre previa
autorización expresa de ambos, mediante firma manuscrita o electrónica.
- Manifiesta que, no obstante, en fecha 2 de junio de 2021, la parte reclamada
ejecutó varias órdenes de traspaso del capital depositado adquiriendo seis fondos
de inversión, sin su autorización, desconociendo el método que se empleó para
suplantar su firma y consentimiento.
- Que fue el reclamante el que se percató de las 6 operaciones de inversión al
consultar de forma casual la APP de MAPFRE INVERSIONES que se utiliza para
la gestión de inversiones contratada.
- A la vista de lo ocurrido, el reclamante contactó con la parte reclamada y manifiesta
que ésta reconoció su actuación irregular, remitiendo a la parte reclamante
resguardos de los traspasos controvertidos, y manifestando en un correo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/23
electrónico de 26-11-21 que había existido una "mala praxis por parte del
representante de la parte reclamada”, ofreciéndose a "rehacer la situación original
antes de ejecutar las operaciones controvertidas, compensando el posible perjuicio
económico de valoración".
- Que sigue la reclamada sin contestar acerca de las cuestiones formuladas por el
reclamante respecto a los medios conforme a los cuales se ejecutaron esas
instrucciones, desconociendo si se suplantaron sus firmas, o se produjo un uso
fraudulento del certificado de Logalty (mecanismo utilizado para la firma electrónica
de dichas operaciones), puesto que hasta el momento no le ha aportado los
documentos de firma y consentimiento de dichas operaciones.
Junto a la reclamación aporta:
- Documento 1. Capturas de pantalla de 12 órdenes de traspaso entre las que se
encuentran las 6 órdenes de inversión controvertidas.
- Documento 2. Los resguardos de dichos traspasos que le aportó la reclamada.
- Documento 3. Listado de movimientos de la cartera de la cuenta obtenido a fecha
de 15-6-21.
- Documento 4. Información fiscal correspondiente al ejercicio 2021 de la cartera que
obra en la APP de MAPFRE.
- Documento 5. Copia de los mensajes de correo electrónico intercambiados entre la
parte reclamante y reclamada, en los que aquella solicita explicaciones y esta
contesta que han remitido el asunto al departamento correspondiente y que se
encuentra pendientes de resolución. En concreto, se aportan correos de 17 de
junio, 18 de junio, 23 de junio, 25 de junio, 3 de septiembre, y 6 de septiembre de
2021, intercambiados entre el reclamante y el director de Mapfre Gestión
Patrimonial.
- Documento 6. Escrito presentado por la letrada del reclamante ante MAPFRE el 15
de noviembre de 2021.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 4 de abril de 2023, como
consta en el acuse de recibo que obra en el expediente.
CUARTO: Con fecha de 4 de mayo de 2023 se recibe en esta Agencia escrito de
respuesta de la reclamada indicando que:
- La reclamada suscribió con el reclamante y la señora B.B.B. un Contrato marco de
productos y servicios financieros con fecha de 28 de enero de 2018.
- El 2-6-21 el agente que actuaba como representante de MAPFRE INVERSIONES
(C.C.C., en adelante, el representante de Mapfre) recibió varias órdenes de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/23
operaciones de inversión formuladas por el reclamante, y “siguiendo el
procedimiento de ejecución de órdenes que a fecha de 2-6-21 estaba implantado
en la entidad, el representante de MAPFRE INVERSIÓN optó por utilizar el
sistema de firma en papel. En este contexto, el representante introdujo en el
aplicativo de Mapfre Inversión su teléfono móvil profesional en el que recibió el
código PIN, que le permitió firmar a través de LOGALTY las órdenes dadas por D.
A.A.A., para que fueran ratificadas por el cliente a través de su firma manuscrita
en papel”.
- Manifiesta la reclamada que, por razones que se desconocen, pese a haber
ordenado dichas operaciones, el reclamante se negó después a ratificar las
operaciones que había ordenado mediante su firma manuscrita.
- Tras varios intentos de solución, la reclamada remitió una comunicación al
reclamante el 26-11-21 en la que se le ofreció la posibilidad de revocar las órdenes
y compensarle por los perjuicios, sin que el reclamante contestase al respecto.
- Que ha tenido conocimiento de que el reclamante ha procedido al reembolso de
los fondos adquiridos entre los días 11 y 15 de junio de 2021, “ de modo que el
resultado de las operaciones fue asumido por el reclamante, privando a Mapfre de
la posibilidad de actuar en cualquier sentido con respecto a las mismas”.
- Con el fin de mitigar las discrepancias que surjan en los procedimientos de firma
en papel, la reclamada ha adoptado las medidas correctivas que han sido
recomendadas por su Delegado de Protección de Datos Personales, con fecha de
15 de julio de 2021.
- Que la controversia versa sobre las discrepancias existentes respecto a la forma y
cumplimiento del contrato marco suscrito con los recurrentes, para cuya resolución
existen otras vías, no concurriendo ningún incumplimiento en el tratamiento de la
protección de datos personales de los recurrentes que sea competencia de esta
Agencia.
Se acompaña la siguiente documentación:
- Documento 1. Contrato marco de productos y servicios financieros suscrito entre el
reclamante y la entidad reclamada y documento de aceptación y firmas de 28 de
enero de 2018.
- Documento 2. Correo electrónico remitido por la reclamada al reclamante de 26 de
noviembre de 2021, donde hace referencia a la “mala praxis” del representante
que ejecutó las 6 órdenes de inversión.
- Documento 3. Informe medidas correctivas implementadas por la reclamada.
TERCERO: En fecha 31 de mayo de 2023 tras analizarse la documentación que
obraba en el expediente, se dictó resolución por la Directora de la Agencia Española
de Protección de Datos, acordando el archivo de la reclamación por no concurrir en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/23
dicho momento elementos probatorios suficientes de la concurrencia de una infracción
que pudieran enervar el principio de presunción de inocencia. La resolución fue
notificada a la parte recurrente, en fecha 9 de junio de 2023, según consta acreditado
en el expediente.
QUINTO: En fecha 4 de julio de 2023 el reclamante y la cotitular del mencionado
contrato del que trae causa la relación entre reclamada y reclamante interponen un
recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra
la resolución recaída en el expediente EXP202303754, en el que muestra su
disconformidad con la resolución impugnada y solicita que continúe la tramitación de la
reclamación inicial presentada.
En fecha 16 de febrero de 2024 se remitió el recurso interpuesto a la parte reclamada
en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los
documentos y justificantes que estimase procedentes.
Tras la solicitud y concesión de ampliación de plazo para realizar alegaciones frente al
recurso interpuesto, la reclamada presentó escrito de respuesta de fecha 1 de marzo
de 2024, en el que:
- Da por reproducidas las alegaciones contenidas en su anterior escrito, insistiendo
en que la controversia planteada debe resolverse por otras instancias o medios,
por no ser competencia material de esta Agencia.
- Aclara que para ordenar las inversiones no se utilizaron en ningún caso las claves
y Pin de los recurrentes ni la firma que consta para éstos el certificado Logalty, sino
que el agente que las realizó utilizó su propia cuenta y claves de usuario.
- Añade que se celebró una reunión con el recurrente el 21-6-21 en la que este se
negó a firmar la ratificación o la revocación de las órdenes de inversión, pese a que
se le ofreció esta alternativa, por lo que no se dispone de ningún documento de
ratificación de firma de estas operaciones por los recurrentes.
- Se acompaña contrato de representación suscrito por Mapfre Inversiones con el
agente que se encargó de ejecutar estas operaciones de inversión como
Documento 1.
A la vista de las alegaciones y documentación aportadas por partes recurrente y
recurrida, con fecha de 10 de mayo de 2024 se dicta Resolución por parte de la
Directora de la Agencia Española de Protección de Datos, en la que se estima el
recurso y se acuerda la admisión a trámite de la reclamación, puesto que al no
haberse acreditado la ratificación de las operaciones de inversión por los recurrentes,
concurren indicios de una posible falta de legitimación de la entidad reclamada para
tratar los datos personales de los reclamantes al realizar las 6 operaciones de
inversión controvertidas.
CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
MAPFRE INVERSIÓN SOCIEDAD DE VALORES, S.A de 27 de mayo de 2024, es una
gran empresa constituida en el año 1989, y con un volumen de negocios de
52.959.024 € en el año 2022.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/23
FUNDAMENTOS DE DERECHO
I
Competencia y procedimiento
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
El nombre, apellidos, NIF y los números de cuenta del reclamante y su esposa, que
aparecen en las 6 órdenes de traspaso de capital y adquisición de fondos de inversión
que fueron realizadas por la reclamada con cargo a la cuenta contratada por ambos ,
se consideran datos personales, cuyo tratamiento se somete al régimen previsto en el
RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el
artículo 4. 1, y 4.2 del RGPD, que dispone lo siguiente:
“Artículo 4 Definiciones
A efectos del presente Reglamento se entenderá por:
1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en
particular mediante un identificador, como por ejemplo un nombre, un número de
identificación, datos de localización, un identificador en línea o uno o varios
elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona;
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/23
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
que la entidad reclamada ha realizado un tratamiento de datos personales al ejecutar
en nombre del reclamante y su esposa 6 operaciones de traspaso de fondos para
adquisición de capital obtenidas del fondo de inversión “LOW DURAT EURO COVER
BC AC EUR” (en adelante, fondos de inversión) con fecha de 2 de junio de 2021, con
cargo a la cuenta de efectivo que estos contrataron con MAPFRE INVERSIONES en el
año 2018.
Órdenes de traspaso de fondos que han sido aportadas como Documento 2 de la
reclamación, y que han sido realizadas por el agente/representante (C.C.C.) de la
entidad reclamada.
La parte reclamada aporta dos contratos:
- Contrato Marco de servicios y productos financieros de 28 de enero de 2018
suscrito entre MAPFRE INVERSIONE (la entidad) y el reclamante y su esposa
(CLIENTES), que fue aportado como Documento 1 del escrito de respuesta al
traslado (en adelante, Contrato Marco).
- Contrato de Representación suscrito entre MAPFRE INVERSIONES y el
representante C.C.C. (denominado Agente, o C.C.C.) con fecha de 28 de junio de
2019 (en adelante, Contrato de Representación).
A la vista de la documentación aportada por ambas partes, no cabe lugar a dudas de
que las mencionadas órdenes de traspaso o inversión realizadas por el agente de la
reclamada fueron operaciones de tratamiento de datos personales, en el sentido
previsto en el artículo 4. 2 del RGPD, toda vez que implicaron el acceso a las cuentas
del reclamante y su esposa y la utilización de los datos personales que éstas
contenían.
Así pues, tal y como la parte reclamante acredita al aportar los resguardos de traspaso
de fondos realizados por el agente de la reclamada para adquirir estas 6 inversiones,
se puede apreciar que aparecen en los mismos: dos números de cuenta que son
titularidad del reclamante y su esposa, que aparecen con su nombre, apellidos y NIF.
Plantea la reclamada en los escritos presentados con fechas de 4 de mayo de 2023 y
1 de marzo de 2024 la existencia de una posible falta de competencia material de esta
Agencia para conocer de los hechos enjuiciados, que, según la reclamada, versan
sobre las discrepancias existentes entre las partes sobre ejecución del contrato
suscrito que corresponde resolver a otras instancias u órganos, y no sobre el
incumplimiento de la normativa de protección de datos personales.
No obstante, cabe aclarar que las referidas órdenes de traspaso/inversión - cuya
validez y efectos jurídicos corresponde determinar a otros órganos o instancias, como
señala la reclamada- conllevaron necesariamente para su realización la ejecución de
operaciones de tratamiento de datos personales a las que se ha hecho referencia, que
están sometidas a determinados requisitos previstos en la normativa de protección de
datos por parte del responsable del tratamiento, cuyo incumplimiento podría derivar en
una infracción administrativa tipificada en la misma, cuya potestad sancionadora es
competencia de esta Agencia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/23
En este sentido, es aplicable a este supuesto la doctrina sentada por la Sala de lo
Contencioso-Administrativo de la Audiencia Nacional, se refleja, entre otras, en la SAN
de 17 de octubre de 2007, o en la SAN de 3 de julio de 2007 (rec.232/2005), cuyo
Fundamento de Derecho segundo dice:
“Comienza el recurrente la defensa de su pretensión alegando la incompetencia
de la Agencia de Protección de Datos ya que la controversia versa sobre la
existencia o no de un determinado contrato y esta cuestión es de naturaleza
esencialmente civil y, por consiguiente, sustraída a su competencia, según
dispone el art. 37 de la LOPD. En realidad el Director de la Agencia de Protección
de Datos no ha resuelto sobre la procedencia o improcedencia de la deuda, sino
que su resolución se centra en considerar infringidos determinados preceptos de
la LOPD, anudando como consecuencia a dichas infracciones la imposición de
una sanción. Basta leer la parte dispositiva de la resolución impugnada para
constatar lo que se acaba de afirmar. Y sin duda es plenamente competente para
dictar esta resolución. Otra cosa es que para ejercer su competencia haya de
realizar valoraciones fácticas o jurídicas cuya naturaleza podríamos calificar de
prejudicial, y sobre las que no podría adoptar una decisión definitiva con efectos
frente a terceros. Si el principio de calidad del dato recogido en la LOPD exige
que los datos tratados por un tercero referidos a una persona sean exactos y
veraces, la Administración encargada específicamente de hacer cumplir esta
normativa, a los solos efectos de considerar cumplido o infringido este principio
puede hacer una valoración de exactitud y veracidad de un determinado dato, en
este caso de la certeza de una deuda, sin que ello signifique un apartamiento de
sus normas de competencia. Este motivo de impugnación debe ser rechazado”.
La entidad reclamada es la responsable del tratamiento de los datos personales
realizado en el supuesto presente, de acuerdo con lo previsto en el artículo 4. 7 del
RGPD, que dispone lo siguiente:
7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine
los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados
miembros determina los fines y medios del tratamiento, el responsable del
tratamiento o los criterios específicos para su nombramiento podrá establecerlos
el Derecho de la Unión o de los Estados miembros (…)”
En el presente supuesto, la reclamada manifiesta que contrató un representante o
agente que se encargó de realizar en su nombre las mencionadas operaciones. Del
contenido del Contrato de Representación suscrito con el reclamante se deduce sin
lugar a dudas que la responsable del tratamiento de los datos personales gestionados
por su agente es MAPFRE INVERSIONES.
Así pues, del “Anexo para tratamiento de los datos de carácter personal” adjunto al
Contrato de Representación, se deduce que es la entidad (MAPFRE INVERSIONES)
la fija los medios y fines del tratamiento de los datos personales gestionados por el
agente. Y en la Cláusula 10.5 del mismo, se indica que la entidad será responsable de
la actuación del representante sin perjuicio de su derecho a iniciar acciones frente a
este en caso de desviarse de lo pactado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/23
En consecuencia, en caso de confirmarse durante la instrucción que concurrió un
tratamiento indebido (ilícito de acuerdo con lo previsto por el artículo 6.1 del RGPD) de
los datos personales contenidos en la cuenta contratada por el reclamante y su
esposa, será MAPFRE INVERSIONES, la presunta responsable a la que cabrá exigir
responsabilidad administrativa por los presuntos incumplimientos cometidos, de
acuerdo con lo previsto en el artículo 70. 1 a) de la Ley Orgánica 3/2018, de 5 de
diciembre, de protección de datos personales y garantía de derechos digitales (en
adelante, LOPPDD):
“Artículo 70. Sujetos responsables.
1. Están sujetos al régimen sancionador establecido en el Reglamento (UE)
2016/679 y en la presente ley orgánica: a) Los responsables de los
tratamientos. b) Los encargados de los tratamientos. c) Los representantes de
los responsables o encargados de los tratamientos no establecidos en el
territorio de la Unión Europea. d) Las entidades de certificación. e) Las
entidades acreditadas de supervisión de los códigos de conducta. (…)”.
III.
Conducta infractora: falta de base de licitud del tratamiento.
El tratamiento de los datos personales de las personas físicas por sus responsables
debe estar presidido por los principios que relaciona el artículo 5 del RGPD, entre los
que se encuentra el Principio de licitud y transparencia previsto en el apartado primero
del mismo, que dispone:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»); [...]”
Además, el artículo 5.2 del RGPD indica que: “El responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de
demostrarlo”.
En desarrollo de este principio, el artículo 6 del RGPD relativo a la “Licitud del
tratamiento” determina en su apartado 1 los supuestos en los que la normativa permite
realizar el tratamiento de datos personales de un tercero, que se denominan como
“bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el
tratamiento no será legítimo, o considerado lícito por el RGPD:
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/23
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de
otra persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales, en
particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
Ello significa que es requisito obligatorio en materia de protección de datos que la
entidad reclamada disponga de una de estas bases de licitud para poder realizar las
operaciones de tratamiento de datos personales que se derivasen de las 6
operaciones de traspaso de fondos e inversión a las que se refiere el presente
expediente.
En principio, dada la existencia de una relación contractual entre reclamante y
reclamada a través de la suscripción del Contrato Marco al que se ha hecho referencia
en el Fundamento de Derecho anterior, cabe analizar si tales operaciones de
tratamiento de datos personales podrían tener su base de licitud en la causa prevista
en el artículo 6.1.b) del RGPD: “b) el tratamiento es necesario para la ejecución de un
contrato en el que el interesado es parte o para la aplicación a petición de este de
medidas precontractuales”.
Al respecto de si el tratamiento enjuiciado era necesario para la ejecución del Contrato
Marco suscrito por la reclamada y reclamante, la parte reclamante mantiene, en
síntesis, que:
- De acuerdo con lo contratado, las operaciones de traspaso de fondos (operaciones
de inversión) precisan de su previo consentimiento (y no la ratificación posterior)
expresado a través de una firma electrónica o manuscrita, y que desde que
contrató en el año 2018 con la reclamada siempre ha firmado electrónicamente
todas las órdenes de traspaso para inversión a través de la APP de la misma,
utilizando sus claves y firma electrónica.
- Que al consultar la citada APP, se percató de que el agente de la reclamada había
ejecutado las 6 órdenes de traspaso sin recabar previamente su firma.
- Niega que, como dice la entidad, el reclamante o su esposa solicitasen la ejecución
de estas inversiones previamente a la ejecución de las ordenes de traspaso.
- Que la reclamada le propuso ratificar dichas órdenes, a lo que se negó.
- Que en un correo electrónico de 26 de noviembre de 2021 la reclamada le
reconoció que había habido una mala praxis del agente, y le ofreció ratificar las
órdenes de traspaso o revocarlas a su opción, pero no le indicó cómo era posible
que éste hubiera accedido a su cuenta sin disponer de sus claves, usuario y
contraseña. Correo electrónico que se ha aportado al presente procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/23
Por su parte, la reclamada señala, en esencia, los siguientes argumentos relevantes
para determinar si concurría base de licitud en el presente supuesto:
- Respecto al proceso de ejecución de las órdenes: ““El 2-6-21 el agente que
actuaba como representante de MAPFRE INVERSIONES (C.C.C.) recibió varias
órdenes de operaciones de inversión formuladas por el reclamante”, y “siguiendo
el procedimiento de ejecución de órdenes que a fecha de 2-6-21 estaba
implantado en la entidad, el representante de MAPFRE INVERSIÓN optó por
utilizar el sistema de firma en papel. En este contexto, el representante introdujo
en el aplicativo de Mapfre Inversión su teléfono móvil profesional en el que recibió
el código PIN, que le permitió firmar a través de LOGALTY las órdenes dadas por
D. A.A.A., para que fueran ratificadas por el cliente a través de su firma manuscrita
en papel.”
- Que el procedimiento llevado a cabo en el marco de la relación contractual no
comprometía y garantizaba plenamente sus derechos y voluntad, al requerir que la
parte recurrente ratificara o revocara, mediante su firma, las ordenes que en su
nombre y bajo sus instrucciones se hubieran ejecutado por el agente.
- Para evitarle cualquier perjuicio en caso de que dichas operaciones no
respondieran satisfactoriamente a sus instrucciones o estrategia de inversión
pactada, se permite, y así se le ofreció en varias ocasiones, no sólo su revocación
sino también ser restituido en la situación de balance y productos anteriormente
constituida. Tanto en una reunión celebrada el 21-6-21, como en el correo
electrónico antes mencionado de 26-11-21 se le ofreció tal solución sin que el
reclamante se haya manifestado.
- Señala que el agente no se apartó del procedimiento de emisión y firma de
operaciones implementado en ese momento en la entidad, y que el sistema se ha
modificado con posterioridad, precisamente para evitar este tipo de situaciones
controvertidas.
- Tras los hechos objeto de controversia, en fecha 15 de julio de 2021, se
implementaron modificaciones en el procedimiento de firma de órdenes de
operaciones en papel, tales como: establecer en 70 años la edad mínima del
cliente para que pueda realizar la firma en papel en vez de vía LOGALTY, limitar
los usuarios que pueden autorizar la impresión en papel, establecer un proceso de
autorización previo a la gestión de la firma en papel, y limitar a un máximo de 24
horas la posibilidad de impresión una vez autorizado.
En consecuencia, de los argumentos expuestos se deduce que no es cuestión
controvertida, por haberse reconocido por ambas partes, la referida al hecho de que el
representante contratado por MAPFRE INVERSIONES ejecutó el 2 de junio de 2021
un total de 6 operaciones de traspaso de fondos con cargo a la cartera de inversión y
cuenta asociada del reclamante y su esposa. Tampoco es controvertido el hecho de
que el representante de la entidad reclamada no recabó su autorización previa ni
comunicó este hecho a los titulares de la cuenta, y que la reclamada le ofreció al
reclamante ratificar o revocar posteriormente estas órdenes de traspaso, sin que el
reclamante aceptase expresamente ninguna de estas dos opciones, interponiendo
reclamación y pidiendo explicaciones sobre la custodia de los datos personales que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/23
reclamada estaba realizando, al haber permitido que su representante ordene dichas
operaciones sin disponer de su firma electrónica o manuscrita.
La cuestión controvertida principal del presente procedimiento se centra en determinar
si de acuerdo con el contrato suscrito, era necesario obtener la autorización previa de
los titulares de la cuenta para poder ejecutar las órdenes de traspaso/inversión que
dieron lugar al tratamiento de datos personales contenidos en su cuenta, sobre el que
versa el presente procedimiento. O si como plantea la reclamada, el agente estaba
legitimado para ordenar electrónicamente el traspaso de fondos con sus propias
claves y firma electrónica, y recabar posteriormente la ratificación de la firma
manuscrita de los titulares de la cuenta, en papel.
Pues bien, del análisis de la documentación obrante se desprenden varias evidencias
que llevan a posicionarse a favor de la versión ofrecida por el reclamante. Las
evidencias más significativas son las siguientes:
- En primer lugar, la reclamada no niega expresamente que sea necesario recabar el
consentimiento de los clientes, y pese a que manifiesta que el agente siguió el
procedimiento establecido en dicho momento (que permitía al agente firmar las
operaciones electrónicamente con sus claves y firma propia, y, tras haber
ejecutado las mismas, recabar la firma manuscrita de los clientes en papel), incurre
en diversas contradicciones que llevan a la conclusión contraria.
Así pues, de acuerdo con sus propias manifestaciones y antecedentes
documentados en el procedimiento, consta que la reclamada se disculpó ante el
reclamante por la “mala praxis” del agente en el correo electrónico remitido al
reclamante el 26 de noviembre de 2021, y mantuvo diversos contactos e incluso
una reunión con el mismo el 21 de junio de 2021 con el reclamante al objeto de
ofrecerle la opción de ratificar o revocar tales operaciones. Y por otro lado, señala
que ha adoptado nuevas medidas para rectificar el citado procedimiento de
ratificación posterior en papel, lo que implica un reconocimiento implícito de que
éste estaba generando irregularidades.
- El Contrato Marco establece la obligación de obtener el consentimiento o firma
previa del cliente para autorizar operaciones de pago o realizar cualquier tipo de
operación financiera con cargo a las mismas:
Así pues, según la Estipulación Décima de las ESTIPULACIONES GENERALES
del Contrato Marco, referida a “10.1.- AUTORIZACIÓN DE OPERACIONES DE
PAGO se hace constar que: “Las operaciones de pago se considerarán
autorizadas cuando el CLIENTE haya dado su consentimiento a las mismas, de
conformidad con lo establecido en las presentes Estipulaciones Generales, así
como en las respectivas Estipulaciones Particulares, para cada una de las
operaciones de pago que el CLIENTE y la ENTIDAD hayan pactado.”
Y por otra parte, en la Estipulación Séptima de las ESTIPULACIONES
PARTICULARES SOBRE CUSTODIA Y ADMINISTRACIÓN DE LA CARTERA DE
INVERSIÓN, se precisaba, así mismo: “Para que la ENTIDAD pueda utilizar por
cuenta propia o por cuenta de otro cliente los instrumentos financieros que le haya
confiado el CLIENTE o establecer acuerdos para operaciones de financiación de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/23
valores sobre dichos instrumentos, el cliente debe dar su autorización expresa, por
escrito y formalizado mediante su firma o mecanismo equivalente, por la que
autorice a la ENTIDAD a utilizar sus instrumentos financieros en custodia con la
finalidad prevista y expresamente aceptada en las condiciones particulares que se
establezcan, en las que constarán: obligaciones y responsabilidad de la ENTIDAD
(incluyendo la retribución a favor del CLIENTE por prestar sus valores), las
condiciones de restitución y los riesgos inherentes. El uso de dichos instrumentos
se restringirá a las condiciones previamente aceptadas por el CLIENTE.”
- La reclamada señala que fue el reclamante el que inició el servicio, formulando las
órdenes de inversión que fueron ejecutadas por el agente, lo que niega el
reclamante, que dice haber sido conocedor de las mismas cuando ya estaban
ejecutadas, al visualizarlas en la APP “Portal financiero MAPFRE”.
Al respecto de esta cuestión controvertida, cabe señalar que la reclamada no ha
aportado documentación que acredite que la orden de inversión partiera del
reclamante, activándose el denominado “servicio de recepción, transmisión y
ejecución de órdenes de inversión” que está previsto en el contrato marco. Sin que
se refleje esta previa solicitud en los resguardos de traspaso de fondos, capturas
de pantalla de las órdenes de inversión realizadas, y/o listados de movimientos que
fueron aportados por el reclamante.
- El procedimiento seguido por el agente para ordenar el traspaso no fue elegido por
el cliente, tal y como se indica en el Contrato Marco:
De acuerdo con la Estipulación Séptima de las Estipulaciones Generales del
Contrato Marco, la prestación del consentimiento o autorización previa del cliente
se podía obtener a través de dos posibles canales, que serán siempre a elección
del cliente: canal presencial (firma manuscrita en la oficina), o a través de internet
(con claves, usuario y firma electrónica en la APP “Portal financiero de Mapfre”):
“(…) El proceso de alta del CLIENTE en la ENTIDAD y la firma del presente
CONTRATO MARCO se llevará a cabo necesariamente a través del canal presencial,
es decir, en la oficina MAPFRE de su representante. El presente CONTRATO MARCO
no podrá ser firmado mientras el CLIENTE no haya presentado toda la documentación
requerida por la ENTIDAD.
No obstante lo anterior, una vez firmado el CONTRATO MARCO, la gestión posterior
de cualquier operación relativa a los productos y/o servicios contratados, así como la
contratación de nuevos productos o servicios financieros podrá realizarse, a elección
del CLIENTE, bien a través del canal presencial (Oficina MAPFRE del representante)
o bien, a través de INTERNET, de conformidad con lo establecido en la siguiente
Estipulación relativa al acceso y uso de los canales a distancia”
El acceso y utilización de los canales a distancia se podría realizar únicamente por
el cliente, a través de clave, usuario y firma electrónica propias, que eran
personales de cada usuario e intransferibles. Este aspecto queda señalado en la
Estipulación Octava de las Estipulaciones Generales del Contrato Marco, que
regula el “8. ACCESO Y UTILIZACIÓN DE CANALES A DISTANCIA”, señalando
que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/23
“Asimismo, la ENTIDAD asignará inicialmente de forma automática a cada
CLIENTE una Contraseña y una Firma Electrónica, que deberán ser
modificadas por el CLIENTE inmediatamente después del primer acceso,
ateniéndose a los criterios alfanuméricos definidos por la ENTIDAD en cada
momento. No obstante lo anterior, la ENTIDAD se reserva el derecho de
aceptar o no a un interesado como USUARIO. (…) Estos elementos
(Identificador de Usuario, Password y Firma Electrónica), en adelante las
“claves”, serán personales de cada USUARIO e intransferibles, permitiéndole
el acceso a la operativa en todos aquellos productos y servicios en los que
dicho USUARIO figure como Titular (único o en cotitularidad con terceras
personas) o como Autorizado por cuenta de los Titulares. (…) A partir de este
momento, y una vez validadas las claves por los sistemas de la ENTIDAD, se
entenderá que las órdenes transmitidas a la ENTIDAD son instrucciones en
firme, con el consentimiento expreso del CLIENTE y, por tanto, con plena
eficacia jurídica. Las Partes otorgan a las órdenes transmitidas por vía
telemática, mediante el uso de las claves, idéntico valor al consentimiento
prestado por escrito con firma manuscrita.
En conclusión, de estas cláusulas se desprende que la elección entre ambos
canales para ordenar las inversiones le correspondía al cliente, y no al agente, que
optó por el procedimiento presencial, ordenando con sus claves y firma las
inversiones, sin que se haya acreditado que fuera el cliente (reclamante y su
esposa) quienes hubieran solicitado que la inversión se realizase por esta vía. En
este caso, además, el reclamante manifiesta que desde el año 2018 había optado
siempre por el canal electrónico, y autorizado con sus claves y firma electrónica
cada operación de inversión. Por lo que en este caso, con más razón, debió el
agente consultar al cliente y obtener su consentimiento previo para cambiar al canal
presencial.
Ello, unido a que la entidad tenía también obligación de requerir su consentimiento
previo para poder ordenar un pago a la que se refiere la estipulación general 10.1,
implica sin lugar a dudas que el agente omitió el requisito de consultar y recabar el
consentimiento previo del cliente, tanto para optar por el canal presencial, como
para ordenar las operaciones de pago e inversión.
Práctica que, además de implicar un tratamiento ilícito de los datos personales del
reclamante y su esposa, infringiría lo dispuesto en el “Anexo sobre limitación de la
actividad y servicios de representación” del Contrato de Representación, que señala
expresamente que el representante: “No asumirá en ningún caso facultad o poder
de gestión alguno sobre los instrumentos financieros titularidad del cliente,
limitando su actividad a la recepción y transmisión de órdenes por cuenta de
clientes en relación con uno o más instrumentos financieros del grupo Mapfre o de
terceros”.
En conclusión, de lo expuesto se deduce que según el contrato suscrito por las partes
era necesario que el reclamante y su esposa autorizasen previamente la utilización del
canal presencial o electrónico, y las operaciones de traspaso de fondos para adquirir
inversiones que se realizaron por el agente de la entidad reclamada. Y consta en el
expediente que el agente actuó conforme a una “mala praxis”, ordenando 6
operaciones de pago e inversión sin recabar previamente las autorizaciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/23
necesarias, lo que supuso una utilización de los datos personales de los titulares de la
cuenta para la que carecía de legitimación.
Por tanto, se entiende las operaciones de tratamiento de datos personales realizadas
por el agente de la reclamada de traspaso carecían de una base de licitud del artículo
6.1.b) del RGPD, al no ser necesario el tratamiento para la ejecución del contrato
marco.
Los mismos argumentos esgrimidos servirían para descartar la concurrencia de una
base de licitud del artículo 6.1.a) del RGPD, dada la falta de consentimiento del
reclamante, y su esposa, reconocida por ambas partes. Y no consta que la reclamada
haya acreditado la concurrencia de cualquier otra base de licitud de las previstas en el
mencionado artículo 6.1 del RGPD.
En consecuencia, de confirmarse las evidencias aportadas por las partes a este
procedimiento durante la fase de instrucción, ello implicaría que la entidad reclamada
realizó un tratamiento de los datos personales contenidos en la cuenta del reclamante
y su esposa al ordenar los traspasos de fondos a los que se refiere el presente
procedimiento, sin estar amparada en ninguna base jurídica que justificase la licitud
del tratamiento, lo que podría entrañar una infracción del artículo 6.1. del RGPD.
IV. Tipificación y calificación de la infracción.
La conducta de la reclamada podría ser constitutiva de una infracción del artículo 6.1
del RGPD. Infracción tipificada en el artículo 83.5. del RGPD que establece:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose
por la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
A efectos de determinar el plazo de prescripción de la infracción, la LOPDGDD califica
en su artículo 72 esta vulneración del RGPD de infracción muy grave. El precepto
dispone:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
[...]
b) El tratamiento de datos personales sin que concurra alguna de las condiciones
de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)
2016/679.”
V
Sanción: Multa administrativa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/23
El artículo 58.2 del RGPD relaciona los poderes correctivos atribuidos a la AEPD como
autoridad de control entre los que incluye la potestad de imponer una multa
administrativa (apartado i).
Sin perjuicio de lo que resulte de la instrucción del procedimiento, en esta fase
acuerdo de inicio se considera procedente la imposición a la parte reclamada de una
sanción de multa administrativa por la presunta infracción del artículo 6.1 del RGPD
cuya responsabilidad se le atribuye.
El artículo 83 del RGPD, “Condiciones generales para la imposición de multas
administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la
imposición de multas por las infracciones del presente Reglamento indicadas en los
apartados 4,5 y 6, cumpla en cada caso individual los principios de efectividad,
proporcionalidad y carácter disuasorio.
El principio de proporcionalidad implica una correlación o adecuación entre la
infracción cometida y la sanción impuesta, con interdicción de medidas innecesarias o
excesivas, de manera que la sanción sea apta para alcanzar los fines que la justifican.
El artículo 83.2. del RGPD, mediante una relación de criterios o factores para su
graduación, establece la técnica para lograr la adecuación entre la infracción y la
sanción. El precepto dispone:
“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en
cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a
la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en
qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/23
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
El apartado k) del artículo 83.2 del RGPD conecta con el artículo 76 de la LOPDGDD,
“Sanciones y medidas correctivas”, que señala:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario,
a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los
que existan controversias entre aquellos y cualquier interesado.”
De acuerdo con los preceptos transcritos y la información que consta en el expediente
administrativo, se toman en consideración para fijar el importe de la multa con la que
correspondería sancionar al reclamado por la infracción del artículo 6.1 del RGPD, los
siguientes factores que evidencian una mayor antijuridicidad o culpabilidad de su
conducta:
- Artículo 83.2.a) del RGPD: “la naturaleza, gravedad y duración de la
infracción”.
La conducta en la que se concreta la naturaleza de infracción atribuida al
reclamado afecta a un principio básico en materia de protección de datos, la
licitud del tratamiento, sancionado como se ha dicho, con multa de hasta 20
millones de euros o el 4% del volumen de negocios de la reclamada.
La gravedad de la conducta se basa en que la entidad financiera actuó sin
legitimación, tratando ilícitamente los datos personales de los dos titulares de la
cuenta (nombre, apellidos, NIF y números de cuenta que aparecían en las
mismas).
Se considera asimismo que, de acuerdo con lo que consta en las órdenes de
traspaso de fondos aportadas como Documento 2 de la reclamación, la
reclamada ejecutó 6 operaciones de tratamiento de estos datos personales sin
base de licitud, por un importe de 4.215 euros cada una, por lo que la inversión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/23
no autorizad ascendió a un total de 25.290 euros en la cuenta correspondiente al
fondo de inversión con cargo al cual se descontaron dichas cantidades.
Respecto a la duración de la infracción de la que se responsabiliza a la entidad
reclamada, se considera que la infracción se consumó el día que se realizaron
las operaciones de traspaso de fondos, el 2-6-21.
- Artículo 83.2.b) La intencionalidad o negligencia de la infracción:
Si bien no se aprecia intencionalidad de actuar sin base de licitud por parte del
agente que ordenó los traspasos, si se aprecia una grave negligencia en la
actuación de éste y de la entidad reclamada, que dice haber estado aplicando un
procedimiento para ordenar operaciones que no está previsto en el Contrato
Marco suscrito con el reclamante, permitiendo que sus agentes pudieran ejecutar
ordenes sin recabar la autorización previa de los clientes cuando se escogía el
canal presencial por el agente.
Tomando en consideración que en el desenvolvimiento de su actividad
empresarial se dedica a la gestión de inversiones, que presentan con relativa
frecuencia estas operaciones de traspaso de fondos, forma parte de la diligencia
mínima que es exigible a una entidad financiera como MAPFRE INVERSIONES
que se asegure de adoptar las medidas técnicas y organizativas necesarias que
impidan que los agentes o empleados que actúen en nombre de la entidad
puedan adoptar estas decisiones sin contar con la firma manuscrita o electrónica
previa de los clientes.
A propósito del grado de diligencia que el responsable del tratamiento está
obligado a desplegar en el cumplimiento de las obligaciones que le impone la
normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec.
63/2006), extrapolable al supuesto que nos ocupa, que indica que: “el Tribunal
Supremo viene entendiendo que existe imprudencia siempre que se desatiende
un deber legal de cuidado, es decir, cuando el infractor no se comporta con la
diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el
caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto”.
- La evidente vinculación entre la actividad empresarial del reclamado y el
tratamiento de datos personales (artículo 83.2.k, del RGPD en relación con el
artículo 76.2.b, de la LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/23
Dado que en la actividad empresarial del reclamado resulta imprescindible el
tratamiento de numerosos datos de carácter personal de sus clientes por lo que,
habida cuenta del importantísimo volumen de negocio de la entidad financiera
reclamada cuando acontecen los hechos la transcendencia de la conducta
infractora objeto de la presente reclamación es innegable.
Así las cosas, sin perjuicio de lo que resulte de la instrucción del procedimiento, se
entiende que a la luz de las circunstancias de graduación antedichas, se fija
inicialmente una sanción de multa de 300.000 € (TRESCIENTOS MIL EUROS) por la
presunta vulneración de lo previsto en el artículo 6.1 del RGPD.
VI
Imposición de medidas correctivas
De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del artículo 6.1 del
RGPD, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, conforme a lo prevenido en el artículo 83.2 del RGPD.
Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.
En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.
No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a
MAPFRE INVERSIONES para que, en el plazo de 3 meses, a contar desde la fecha
de ejecutividad de la resolución finalizadora de este procedimiento, imparta
instrucciones a sus agentes para que se abstengan de utilizar los datos personales de
sus clientes disponiendo inversiones que incumplan las autorizaciones pactadas en los
contratos marco de productos y servicios financieros o de gestión patrimonial suscritos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/23
por los mismos y establezca los medios técnicos que resulten adecuados para
imposibilitar la formalización de dichas operaciones de inversión mediante firma
electrónica por persona distinta al cliente o persona autorizada por éste
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos, SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a MAPFRE INVERSIÓN
SOCIEDAD DE VALORES, S.A, con NIF A79227021, por la presunta infracción del
artículo 6.1 del RGPD, tipificada en el artículo 83.5 del mismo RGPD.
SEGUNDO: NOMBRAR como instructora a R.R.R. y, como secretario/a, a S.S.S.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).
TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por la parte reclamante y reclamada, junto con su
documentación, así como los documentos obtenidos en las actuaciones previas al
inicio del presente procedimiento sancionador y durante la fase de recurso.
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería de 300.000 € (TRECIENTOS MIL EUROS),
sin perjuicio de lo que resulte de la instrucción.
QUINTO: NOTIFICAR el presente acuerdo a MAPFRE INVERSIÓN SOCIEDAD DE
VALORES, S.A, con NIF A79227021, otorgándole un plazo de audiencia de diez días
hábiles para que formule las alegaciones y presente las pruebas que considere
convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de
expediente que figura en el encabezamiento de este documento.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/23
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 240.000 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 240.000 euros y su pago implicará la terminación
del procedimiento, sin perjuicio de la imposición de las medidas correspondientes.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 180.000 euros.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (240.000 euros o 180.000 euros), deberá hacerlo efectivo
mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo
sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma
electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y
que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por
efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede
identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso
de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no
impedirá que la notificación sea considerada plenamente válida.
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese
plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de
conformidad con lo establecido en el artículo 64 de la LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/23
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
935-18032024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 20 de junio de 2024, la parte reclamada ha procedido al pago de
la sanción en la cuantía de 180000 euros haciendo uso de las dos reducciones
previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el Acuerdo de inicio.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/23
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202303754, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: ORDENAR a MAPFRE INVERSIÓN SOCIEDAD DE VALORES, S.A para
que en el plazo de 90 días desde que la presente resolución sea firme y ejecutiva,
notifique a la Agencia la adopción de las medidas que se describen en los
fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución.
TERCERO: NOTIFICAR la presente resolución a MAPFRE INVERSIÓN SOCIEDAD
DE VALORES, S.A.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/23
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
1259-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es