1/53
Expediente N.º: EXP202309453
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
ÍNDICE
ANTECEDENTES..........................................................................................................2
PRIMERO: Reclamación recibida...............................................................................2
SEGUNDO: Traslado de la reclamación.....................................................................3
TERCERO: Admisión a trámite de la reclamación......................................................4
CUARTO: Actuaciones previas de investigación........................................................5
QUINTO: Acuerdo de inicio de procedimiento sancionador......................................13
SEXTO: Alegaciones al acuerdo de inicio................................................................13
SÉPTIMO. Cambio de instructor del procedimiento.................................................13
OCTAVO: Propuesta de resolución..........................................................................13
NOVENO: Volumen de negocio y número de clientes..............................................13
HECHOS PROBADOS................................................................................................14
FUNDAMENTOS DE DERECHO.................................................................................16
I. Competencia......................................................................................................... 16
II. Cuestiones previas...............................................................................................16
III. Alegaciones al acuerdo de inicio y contestación a las mismas............................17
PRIMERA. Posible caducidad de las actuaciones previas de investigación.........17
SEXTA. Posible concurso de infracciones............................................................19
SEGUNDA. Sobre el supuesto de hecho..............................................................21
TERCERA. Infracción del artículo 5.1.f) del RGPD...............................................21
CUARTA. Infracción del artículo 32 del RGPD......................................................24
QUINTA. Rol del responsable del tratamiento.......................................................26
SÉPTIMA. Proporcionalidad de la sanción...........................................................27
IV. Alegaciones a la propuesta de resolución y contestación a las mismas..............33
PRIMERA. – DE LA CADUCIDAD DE LAS ACTUACIONES PREVIAS DE
INVESTIGACIÓN..................................................................................................33
SEGUNDA. – SOBRE EL SUPUESTO DE HECHO.............................................36
TERCERA. – DE LA SUPUESTA INFRACCIÓN DEL ARTÍCULO 5.1 F)..............38
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/53
CUARTA. - SOBRE EL ROL DEL RESPONSABLE DEL TRATAMIENTO Y LA
RESPONSABILIDAD ASOCIADA.........................................................................42
QUINTA. – SOBRE LA DENUNCIA INTERPUESTA CONTRA ***EMPRESA.1....43
SEXTA. – SOBRE EL CRITERIO DE LA AEPD EN PREVIAS RESOLUCIONES
ASIMILABLES......................................................................................................43
SÉPTIMA. – PROPORCIONALIDAD DE LA SANCIÓN.......................................43
V. Obligación incumplida. Artículo 5.1.f) RGPD Integridad y confidencialidad..........44
VI. Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción.............................................................................................................. 48
VII. Sanción por la infracción del artículo 5.1.f) RGPD.............................................49
VIII. Medidas correctivas..........................................................................................51
RESUELVE:................................................................................................................. 52
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Reclamación recibida
Con fecha 28 de mayo de 2023 se interpuso reclamación ante la Agencia Española de
Protección de Datos por una posible infracción imputable a AXA SEGUROS
GENERALES, S.A. DE SEGUROS Y REASEGUROS con NIF A60917978 (en
adelante, AXA o la parte reclamada).
Los hechos que se pone en conocimiento de esta autoridad son los siguientes:
La parte reclamante manifiesta que, en fecha 22 de mayo de 2023, recibió una
llamada de su antiguo gestor de la aseguradora reclamada, en la que ya no trabaja,
puesto que se encuentra trabajando en otra agencia, solicitando que vuelva a confiarle
sus seguros y que le ofertaría el mismo precio.
Ese mismo día recibe dos SMS de la parte reclamada facilitando una clave temporal
para acceder a su área de cliente. Minutos más tarde recibe un mensaje de correo
electrónico del departamento de seguridad de la parte reclamada, indicando que han
cambiado sus datos de acceso y que ya puede acceder a su espacio personal
"MYAXA".
Puesto que la parte reclamante no había realizado ningún acceso, contacta
telefónicamente con la parte reclamada y la empleada que le atendió, de malos
modos, solicitó que le facilitase todos los SMS y mensajes de correo electrónico para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/53
poder bloquear su cuenta, debido a los accesos irregulares en estas, negándose la
parte reclamante a ello.
Con posterioridad, contacta nuevamente con la parte reclamada y recibe un escrito de
respuesta en el que la parte reclamada reconoce la suplantación de su identidad para
acceder a su área personal por parte de antiguos agentes/empleados de dicha
entidad, indicando que se encontraban inmersos en un procedimiento judicial con los
antiguos gestores, solicitando nuevamente la aportación de los mensajes recibidos
para poder bloquear su cuenta.
Junto a la reclamación, se aporta pantallazo de los SMS relativos a la nueva
contraseña de acceso no solicitada, así como copia del mensaje de correo electrónico
de respuesta de la parte reclamada, de fecha 24 de mayo de 2023, en el que se indica
lo siguiente: "Después de la conversación de esta mañana por asunto de referencia,
permítame por favor en primer lugar trasladarle de nuevo mis disculpas por el trato
recibido en nuestras oficinas, producto sin duda de una situación tensionada por
acciones que claramente son, como mínimo, una ilegal manipulación de sus datos por
anteriores gestiones de sus contratos AXA. Agradezco comprenda lo desagradable
que es también para nosotros el tener que administrar estas situaciones, que son
recurrentes desde que AXA ha cesado a los anteriores gestores. La manipulación de
sus datos me temo que no es nueva y, entendemos, que tienen por finalidad el
conocer todas las comunicaciones de AXA con usted al objeto de ofertarle en las otras
compañías donde ahora trabajan aquellos gestores... Reitero lo que le indicaba en
cuanto a que es una situación sumamente grave, teniendo por nuestra parte el mayor
interés en bloquear tales ilegales accesos a su cuenta “MYAXA”, para lo cual
necesitamos de su autorización...".
SEGUNDO: Traslado de la reclamación
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), se dio traslado de dicha reclamación a AXA para que procediese a su
análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a
cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.
Puesto que el plazo otorgado para la presentación de la información requerida le
resultaba insuficiente, se solicita por parte de la reclamada una ampliación del mismo.
Con fecha 27 de julio de 2023 se acuerda la ampliación del plazo concedido hasta un
máximo de 10 días hábiles y, dentro del plazo concedido, AXA presentó alegaciones
en el siguiente sentido:
“Que, AXA, tras haber tenido conocimiento de la reclamación interpuesta, abrió
un proceso de investigación interna de forma inmediata, con la finalidad de
esclarecer los hechos acaecidos con la reclamante y su exagente, constatando
los siguientes hechos:
o Que AXA y ***EMPRESA.1 mantuvieron una relación contractual
durante treinta y ocho (38) años, en la cual ***EMPRESA.1 prestaba
sus servicios como agente a la parte reclamada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/53
o Que el 1 de diciembre de 2021, AXA comunicó a ***EMPRESA.1 la
resolución del contrato a través de un requerimiento notarial por el
grave incumplimiento de sus obligaciones contractuales y legales.
o Como consecuencia de la resolución del contrato de mediación entre
***EMPRESA.1 y AXA Seguros Generales S.A., la ex agencia exclusiva
automáticamente deja de distribuir seguros de AXA Aurora Vida S.A. de
Seguros y Reaseguros.
o Que, desde el día 1 de diciembre de 2021 queda extinguida en su
totalidad la relación mercantil entre ambas partes.
o Que, desde esa fecha, ***EMPRESA.2 (en adelante, ***EMPRESA.2)
asume la gestión de las pólizas de seguro de la reclamante en
sustitución de ***EMPRESA.1.
o Que, el día 22 de mayo de 2023, ***EMPRESA.1 se pone en contacto
con la reclamante para solicitarle, como antiguo Agente de sus pólizas
de seguros, nuevamente la gestión de sus seguros, ofertándole el
mismo precio que estaba pagando en esa fecha. Además, en esa
conversación telefónica el antiguo Agente le comenta a la reclamante
que puede averiguar la prima que paga la reclamante por sus pólizas
en la actualidad. Tal y como expone la reclamante en su escrito ante la
AEPD, ese mismo día recibe dos SMS de AXA facilitándole una clave
temporal en un primer momento y más tarde un email donde se
confirma que sus datos de acceso a su área cliente “MYAXA” han sido
modificados con éxito. Dado que la reclamante no había realizado tal
cambio en sus datos de acceso a MYAXA, se pone en contacto con su
actual agente, ***EMPRESA.2, para comunicarle la situación.
AXA pudo comprobar que el 22 de mayo de 2023 se produjo el cambio de
contraseña en el área cliente de la reclamante. Habida cuenta de que la
reclamante no cambió su contraseña y no accedió a su área cliente con esa
nueva contraseña, cabe afirmar el probable acceso indebido por
***EMPRESA.1, con la finalidad de recabar la información de las pólizas en
curso de la reclamada y de los precios asociados, con el fin de poder ofertarle
pólizas de seguros al mismo precio, tal y como avanzó en la llamada telefónica
que efectuó a la reclamante el 22 de mayo de 2023.
Que AXA, ha revisado de manera exhaustiva el proceso de cambio de
contraseña en la aplicación "MYAXA"
Que, en base a lo anterior, puede afirmarse que ***EMPRESA.1 pudo realizar un
acceso indebido suplantando la identidad de la reclamante, haciendo uso del
conocimiento previo que tenía de la información relativa a la póliza, con la
finalidad de conocer más información sobre las pólizas contratadas y poder así
ofrecerle las pólizas de seguros a un precio competitivo, tal y como se
desprende de la descripción de los hechos objeto de esta reclamación y solicitud
de información.”
TERCERO: Admisión a trámite de la reclamación
Con fecha 28 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/53
CUARTO: Actuaciones previas de investigación
La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.
Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:
PUNTO 1 En el marco del procedimiento de admisión a trámite AT/03557/2023 la
entidad AXA ha informado de lo siguiente:
El hecho que motiva la reclamación es que en fecha 22 de mayo de 2023, la
reclamante recibió una llamada de un exagente de seguros de AXA, ***EMPRESA.1,
solicitándole que volviese a confiarle sus seguros y que le ofertaría el mismo precio
que AXA le estaba ofreciendo en ese momento.
AXA, tras haber tenido conocimiento de la reclamación interpuesta, abrió un proceso
de investigación interna con la finalidad de esclarecer los hechos acaecidos con la
reclamante y su exagente. Durante esta investigación, AXA manifiesta que ha podido
constatar los siguientes hechos:
- Que AXA y ***EMPRESA.1 mantuvieron una relación contractual durante
treinta y ocho (38) años, en la cual ***EMPRESA.1 prestaba sus servicios
como agente a la parte reclamada.
- Que el 1 de diciembre de 2021, AXA comunicó a ***EMPRESA.1 la resolución
del contrato a través de un requerimiento notarial por el grave incumplimiento
de sus obligaciones contractuales y legales, en concreto por colaborar en la
distribución de seguros con una Correduría, lo que contraviene el régimen de
incompatibilidades establecido en el artículo 145 del Real Decreto-ley 3/2020,
de 4 de febrero, de medidas urgentes por el que se incorporan al ordenamiento
jurídico español diversas directivas de la Unión Europea en el ámbito de la
contratación pública en determinados sectores; de seguros privados; de planes
y fondos de pensiones (RD- L 3/2020, de 4 de febrero), que establece que “Los
agentes de seguros no podrán ejercer como corredor de seguros o colaborador
externo de estos [,,,]”. Esta actuación supone un grave incumplimiento de las
obligaciones legales de ***EMPRESA.1, así como de su deber de lealtad y
buena fe, habiendo infringido tanto las normas e instrucciones dadas por la
entidad aseguradora, como la legislación reguladora de la distribución de
seguros privados.
Aportan evidencia del requerimiento notarial en el que consta la comunicación
de resolución el contrato por AXA a ***EMPRESA.1 en fecha 1 de diciembre de
2021.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/53
- Como consecuencia de la resolución del contrato de mediación entre
***EMPRESA.1 y AXA, la ex agencia exclusiva automáticamente deja de
distribuir seguros de AXA Aurora Vida S.A. de Seguros y Reaseguros, con la
cual AXA tiene suscrito un Acuerdo de Cesión de Redes para comercializar sus
productos a través de la red comercial de AXA Seguros Generales conforme al
artículo 148 del RD-L 3/2020 de 4 de febrero.
- Que, desde el día 1 de diciembre de 2021 queda extinguida en su totalidad la
relación mercantil entre ambas partes. Indican que existe en curso un
procedimiento judicial seguido en el Juzgado de Primera Instancia N-1 de La
Coruña donde se está dirimiendo la procedencia de la resolución contractual en
base a los hechos indicados con anterioridad.
- Que, desde esa fecha, ***EMPRESA.2 (en adelante, ***EMPRESA.2) asume la
gestión de las pólizas de seguro de la reclamante en sustitución de
***EMPRESA.1, con quien AXA mantiene actualmente una relación contractual
como agente de seguros exclusivo, tal y como se establece en el Real Decreto-
ley 3/2020, de 4 de febrero, de medidas urgentes por el que se incorporan al
ordenamiento jurídico español diversas directivas de la Unión Europea en el
ámbito de la contratación pública en determinados sectores; de seguros
privados; de planes y fondos de pensiones; del ámbito tributario y de litigios
fiscales.
- Que, actualmente la reclamante tiene contratada una póliza de vida y otra de
auto con entidades del Grupo AXA, ambas contratadas con el mediador
***EMPRESA.1 (póliza de auto de fecha 21/06/2019 y de vida de fecha
12/08/2021). En la actualidad el mediador de estas pólizas es el Agente
***EMPRESA.2.
- Manifiestan que el día 22 de mayo de 2023 ***EMPRESA.1 se pone en
contacto con la reclamante para solicitarle, como antiguo Agente de sus pólizas
de seguros, nuevamente la gestión de sus seguros, ofertándole el mismo
precio que estaba pagando en esa fecha. Además, en esa conversación
telefónica el antiguo Agente le comenta a la reclamante que puede averiguar la
prima que paga la reclamante por sus pólizas en la actualidad.
- Manifiestan que tal y como expone la reclamante en su escrito ante la AEPD,
ese mismo día recibe dos SMS de AXA facilitándole una clave temporal en un
primer momento y más tarde un email donde se confirma que sus datos de
acceso a su área cliente “MYAXA” han sido modificados con éxito, y que dado
que la reclamante no había realizado tal cambio en sus datos de acceso a
"MYAXA", se pone en contacto con su actual agente, ***EMPRESA.2, para
comunicarle la situación.
- Una vez que AXA recibe el requerimiento de información por parte de la AEPD,
pudo comprobar que el 22 de mayo de 2023 se produjo el cambio de
contraseña en el área cliente de la reclamante. Indican que habida cuenta de
que la reclamante no cambió su contraseña y no accedió a su área cliente con
esa nueva contraseña, cabe afirmar el probable acceso indebido por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/53
***EMPRESA.1, con la finalidad de recabar la información de las pólizas en
curso de la reclamada y de los precios asociados, con el fin de poder ofertarle
pólizas de seguros al mismo precio, tal y como avanzó en la llamada telefónica
que efectuó a la reclamante el 22 de mayo de 2023.
- Que, teniendo en cuenta los hechos expuestos, AXA, ha revisado de manera
exhaustiva el proceso de cambio de contraseña en la aplicación MYAXA, el
cual es descrito a continuación al objeto de determinar en qué momento
***EMPRESA.1 pudo lograr el acceso al perfil de la reclamada:
o En la primera pantalla de acceso a MYAXA puede observarse la
necesidad de introducir NIF y contraseña del usuario. En caso de no
recordarla, se da la opción de clicar en “Olvidé mi contraseña”.
o Después de pulsar en “Olvidé mi contraseña” se solicita nuevamente el
NIF y a continuación se indica que se ha enviado una contraseña
temporal al medio facilitado por el cliente. Teniendo en cuenta que
***EMPRESA.1 no tiene acceso a la bandeja de entrada del correo
electrónico de la reclamante, tuvo que pinchar la opción de “No he
recibido mi código de verificación”.
o En ese momento se vuelve a enviar una contraseña temporal al medio
alternativo facilitado en su día por la reclamante (SMS a su teléfono
móvil). Dado que ***EMPRESA.1 tampoco tiene acceso al móvil de la
reclamante, debió pulsar nuevamente la opción “No he recibido mi
código de verificación”.
o La siguiente pantalla que aparece al darle a esa opción son unas
preguntas de seguridad, cuya información en este caso es del todo
probable que sea conocida por ***EMPRESA.1 (Número de póliza y los
últimos 4 dígitos de su forma de pago).
o Es en ese momento cuando una vez introducidos esos datos, se da la
opción de cambiar la contraseña. Aportan impresiones de pantalla del
proceso de cambio de contraseña de MYAXA.
- Que, en base a lo anterior, AXA indica que puede afirmarse que
***EMPRESA.1 pudo realizar un acceso indebido suplantando la identidad de
la reclamante, haciendo uso del conocimiento previo que tenía de la
información relativa a la póliza, con la finalidad de conocer más información
sobre las pólizas contratadas y poder así ofrecerle las pólizas de seguros a un
precio competitivo, tal y como se desprende de la descripción de los hechos
objeto de esta reclamación.
- Que, ***EMPRESA.1 y AXA tenían suscrito un contrato de encargo de
tratamiento con fecha 15 de abril de 2005, el cual fue actualizado en julio de
2018 con motivo de la entrada en vigor del nuevo Reglamento General de
Protección de Datos (RGPD), tal y como se hace constar en el email remitido a
***EMPRESA.1 en fecha 17/07/2018.
Aportan email informativo en el que se traslada al agente la aplicación de las
nuevas condiciones de tratamiento de datos y el nuevo Anexo de contrato de
Encargo del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/53
- Indican que, por lo tanto, ***EMPRESA.1 habría incumplido el contrato de
encargo de tratamiento formalizado con AXA cuando todavía estaba en vigor,
en el cual se exigía que, una vez resuelta la relación entre ambas partes, el
Encargado (el agente) se venía obligado a devolver los datos personales que
hubiese tratado en nombre de la aseguradora, así como a no poder utilizarlos
con ninguna finalidad no autorizada por AXA ni conservar copia alguna de los
mismos, tal y como establece la cláusula tercera subapartado C del mismo que
a continuación se transcribe:
“Tras la finalización o vencimiento del servicio contratado, la Agencia /
Agente Exclusivo o Encargado del Tratamiento se obliga a devolver, o si la
Compañía así se lo indica, a destruir, todo soporte, informático o no, en el
que consten los datos personales que provienen de los ficheros titularidad
de la Compañía como aquellos que haya generado en el desarrollo del
servicio contratado, de conformidad con el método que comunique la
Compañía, llevándolo a cabo de forma segura y confidencial, dentro de los
10 días naturales a partir de la fecha de terminación del servicio, sin
conservar copia alguna de los mismos, de manera que no puedan
recuperarse o reconstruirse, y sin que ninguna persona externa, física o
jurídica, entre en conocimiento de los datos, a no ser que se tenga
autorización expresa de la Compañía”.
- Indican que asimismo, en la cláusula novena del mismo contrato de Encargo
de tratamiento relativa a responsabilidad se regula lo siguiente:
“En el supuesto de incumplimiento por parte de la Agencia / Agente
Exclusivo o Encargado del Tratamiento de las obligaciones contempladas
en el presente documento y demás derivadas de la legislación aplicable en
materia de protección de datos, será considerado Responsable del
tratamiento y, de forma específica, asumirá la total responsabilidad que
pudiera irrogarse a la Compañía como consecuencia de cualquier tipo de
sanción administrativa impuesta por las autoridades correspondientes, así
como de los daños y perjuicios por procedimientos judiciales o
extrajudiciales contra la Compañía, incluidos honorarios de Abogado,
Procurador y cualesquiera otros profesionales aun cuando su intervención
no fuere preceptiva, considerándose así mismo causa de vencimiento
anticipado del contrato.”
Se verifica que el contrato aportado contiene las citadas cláusulas. Manifiestan
que en base a lo anterior, ***EMPRESA.1 debería asumir la total
responsabilidad de las posibles sanciones administrativas que en todo caso
pudieran ser impuestas por la AEPD como consecuencia de los hechos
reclamados por la reclamante.
- En el requerimiento notarial de resolución del contrato de Agencia, entregado
por un notario en nombre de AXA a ***EMPRESA.1 el 01/12/2021 y cuya copia
aportan figura:
“En función de la relación mantenida, donde adoptaba la condición de
Encargado de Tratamiento actuando por cuenta del responsable del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/53
Fichero (la Compañía), se comprometió a tratar los datos conforme a las
instrucciones de la Compañía y para la estricta prestación de los servicios
encargados sin poder utilizarlos con fin distinto al convenido. Por lo tanto,
una vez resuelta la relación mercantil que le unía a esta Aseguradora,
viene obligado a devolver los datos de carácter personal que haya tratado
en nombre de esta entidad, entre los que se encuentran los de los
asegurados o potenciales clientes, así como a no poder utilizarlos con
ninguna finalidad no autorizada por el Titular del Fichero, AXA.
Por ello, en este momento, le requerimos a que proceda a la devolución,
en soporte informático de todos los datos personales que provengan de los
ficheros titularidad de la Compañía, en un plazo de tres días desde la
recepción de la presente comunicación, sin conservar copia alguna de los
mismos y sin que ninguna persona externa, física o jurídica, entre en
conocimiento de los datos.
En este sentido, le informamos que los datos personales a los que ha
accedido como agencia exclusiva, no podrán ser utilizados con fin distinto
al convenido, ni podrán ser comunicarlos o cedidos, ni siquiera para su
conservación, a otras personas físicas o jurídicas. […]”
Se comprueba que figura, en el acta notarial aportada, que el notario se
persona en las dependencias de ***EMPRESA.1 y hace entrega del documento
de resolución de la relación, que incluye el requerimiento de devolución de
datos, según el texto citado en los párrafos anteriores.
Se ha requerido a AXA información sobre si existe un certificado de la
destrucción o devolución de los datos a la finalización de la relación con la
entidad ***EMPRESA.1, solicitando aportar copia del certificado en su caso,
ante lo que los representantes de AXA se remiten al contrato y al acta notarial
ya citadas, cuyas copias constan en las presentes actuaciones de inspección.
- Manifiestan que, teniendo en cuenta los hechos acaecidos, puede afirmarse
que ***EMPRESA.1 contactó con la reclamante, lo que acredita que el agente
conservó y trató los datos personales de antiguos clientes a los que tuvo
acceso cuando todavía era Agente de AXA, y que los ha utilizado con una
finalidad no autorizada por la parte reclamada, lo cual constituye un uso
indebido de los datos personales de la reclamante, efectuando ***EMPRESA.1
un incumplimiento de las obligaciones acordadas y comunicadas por AXA en
relación a los datos personales a los que hubiera podido acceder como
Encargado del tratamiento, una vez resuelto el contrato de Agencia de
Seguros.
- Que, con el fin de evitar que acontezcan situaciones similares a la del objeto de
este requerimiento, AXA ha implementado como medida dentro del proceso de
cambio de contraseñas en "MYAXA", la sustitución del apartado de preguntas
de seguridad por una nueva pantalla en la cual se indica un error del sistema,
derivando al usuario a un teléfono de atención al cliente.
Aportan un pantallazo de lo que se muestra en lugar del apartado de preguntas
de seguridad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/53
Indican que de este modo, si la persona que está intentando entrar en la cuenta
del área cliente no recuerda su contraseña y no ha recibido correctamente los
códigos de verificación en los medios facilitados, deberá ponerse en contacto
con el teléfono de atención al cliente, evitando de esta manera la posible
suplantación de identidad de un tercero que pudiera tener información sobre las
pólizas en vigor del cliente.
- Asimismo, y en aras de evitar posibles accesos no autorizados al área cliente
de la reclamante, indican que han decidido adoptar como medida
complementaria la eliminación del usuario de la reclamante en la aplicación
MYAXA, por lo que, si la reclamante quisiera acceder a su área cliente, deberá
volver a iniciar el proceso de registro en la aplicación con unas nuevas
credenciales.
AXA concluye en su escrito lo siguiente:
o Afirma no haber vulnerado en ningún caso la normativa vigente en
protección de datos personales, ya que las infracciones que han sido
objeto de la reclamación interpuesta por la reclamante se atribuyen a
un ex agente de AXA (***EMPRESA.1), con el cual ya no existe ninguna
relación contractual en vigor, y cuyas actuaciones quedan fuera del
ámbito de control de AXA, y las mismas han contravenido las
obligaciones pactadas por las partes en relación con los datos
personales a los que hubiera podido acceder como Encargado del
tratamiento, una vez resuelto el contrato de Agencia de Seguros.
o Que, a pesar de no tener vínculo alguno con ***EMPRESA.1, la parte
reclamada ha adoptado todas las medidas que le han sido posibles al
objeto de evitar incidencias similares, y está valorando en la actualidad
el inicio de acciones judiciales contra ***EMPRESA.1 y contra aquellas
personas físicas o jurídicas que pudieran estar colaborando por acción
u omisión en la realización de las prácticas objeto de la presente
reclamación.
PUNTO 2. Se ha solicitado a AXA copia de los accesos registrados al área del cliente
de la reclamante desde el día 22 de mayo de 2023 al 28 de mayo de 2023. Se pidió
copia de los datos registrados que muestren la fecha, hora, de los datos accedidos, así
como dirección IP origen del acceso.
AXA ha contestado que, tras realizar las investigaciones oportunas, solo ha logrado del
listado de accesos conocer que el 22 de mayo de 2023 se confirma el cambio de la
clave, y que el 27 de junio de 2023 a las 8:35 horas se produce la última entrada en
“MYAXA”. Sin embargo, no ha resultado posible conocer desde que IP se realizó el
cambio de contraseña ni los accesos ya que se procede al borrado de los logs de
MYAXA a los 30 días.
Se ha solicitado a AXA copia del procedimiento de registro/auditoria de accesos (logs)
para la aplicación MyAXA, así como la motivación existente para la adopción del plazo
de conservación de 30 días. Aportan un documento “Procedimiento de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/53
registro/auditoría de accesos para la aplicación del área de clientes de AXA: MyAXA”
en el que se cita al respecto:
“❖ Registros de auditoria:
Los registros de auditoría contienen información sobre los recursos del
directorio de usuarios, los tokens emitidos y el acceso de los administradores,
fecha y hora de evento. Los eventos de registro de auditoría se conservan
durante siete (7) días.
❖ Registros de inicio de sesión en MyAXA:
Queda registrado por cada usuario todas las veces que inicia sesión, tanto de
forma correcta como incorrecta por haber introducido erróneamente los datos
de inicio de sesión en MyAXA. En este sentido, se registra, entre otros, la
siguiente información relativa a los inicios de sesión:
• el usuario que inicia sesión
• la fecha y la hora
• la IP de acceso
• la ubicación.
Estos eventos de registro de auditoría se conservan durante treinta (30) días, y
su objetivo es disponer de información de conexión al aplicativo por parte de
sus usuarios.”
(…)
PUNTO 3 Se ha requerido a ***EMPRESA.1 para que acredite el origen de los datos
utilizados para contactar con la reclamante, así como para cambiar la clave. Se pide
adicionalmente impresión de los datos que mantengan de la reclamante. Ante ello, la
entidad ha manifestado lo siguiente:
“1.- Esta sociedad fue agente de seguros exclusivo de la Compañía AXA hasta
el día 1 de diciembre de 2021 momento en el que le fue rescindido el contrato
de Agencia por dicho grupo de Aseguradoras con nombre comercial AXA.
2.- En el momento en que AXA rescinde el contrato de Agencia esta sociedad
pierde la capacidad para acceder a cualquier dato de los clientes o seguros
contratados en dicha Compañía a través de esta sociedad, En dicho momento
AXA se apropia de toda la documentación física y digital que había en mi
oficina y corta el acceso a su base de datos a través de la página de la
Aseguradora. ***EMPRESA.1 era encargada del tratamiento de los datos de
los clientes de AXA, siendo la propia Compañía la Responsable del mismo y su
acceso era, exclusivamente, a través la WEB de la Aseguradora.
3.- ***EMPRESA.1 no guardaba, mientras fue agente de AXA y menos aún
después de serlo al tener imposibilitado el acceso a los datos, ningún tipo de
dato personal. No podemos facilitar impresión de datos de esa persona ni de
ninguna otra al no tenerlos.
4.- En cuanto al acceso que mencionan a través de “MYAXA”, dicho acceso era
personal y exclusivo de los clientes, y ni durante ni posteriormente a la relación
mercantil con AXA esta sociedad dispuso de las claves de acceso de ninguno
de los clientes. Hasta el momento en que ***EMPRESA.1 fue agente de AXA
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/53
no era posible acceder a dicha base de datos privada de la forma que se
manifiesta en su escrito (número de póliza y 4 dígitos de la forma de pago), la
única manera era con la clave que AXA remitía al cliente directamente. Si bien
esta parte desconoce si, en la actualidad, se puede acceder de esa manera.
5.- En el momento en que AXA rescinde con esta empresa el contrato de
Agencia, “regala” los clientes y las pólizas de los mismos a otra agencia de
AXA que es la que tiene acceso a los datos.
6.- […La reclamante…] era cliente de AXA, a través de esta sociedad, en el
momento de la rotura de las relaciones mercantiles entre AXA y
***EMPRESA.1. Todos los datos personales estaban guardados por la
Responsable del Tratamiento que era la Aseguradora; esta sociedad no guarda
datos algunos de tal persona (ni de ninguna otra) y, como ya se dijo, perdió la
posibilidad de acceso el 1 de diciembre de 2021.
7.- ***EMPRESA.1 no tiene (ni tenía en mayo de 2023) empleados, las
gestiones las realiza quien suscribe (Administrador de la empresa) y es incierto
que haya contactado telefónicamente con […la reclamante…] en dicha fecha. A
mayor abundamiento se manifiesta que no ha contactado con dicha persona
con posterioridad al cese como agente de AXA (a excepción de comunicarle
dicho cese en su momento).
8.- Desconoce esta parte si la actual Agencia de AXA (salvo error
***EMPRESA.2.) se ha puesto en contacto con dicha persona, también
desconoce esta parte si […la reclamante…] es cliente de AXA en la actualidad,
porque como se dijo no ha vuelto a tener contacto con ella. 9.- Por dichos
motivos no podemos acreditar el origen de los datos personales ni imprimir los
mismos porque no obran datos algunos en poder de ***EMPRESA.1.”
QUINTO: Acuerdo de inicio de procedimiento sancionador
Con fecha 25 de febrero de 2025, la Presidencia de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 32 del RGPD y Artículo 5.1.f) del
RGPD, tipificada en el Artículo 83.4 del RGPD y Artículo 83.5 del RGPD.
SEXTO: Alegaciones al acuerdo de inicio
Notificado el citado acuerdo de inicio conforme a las normas establecidas en la
LPACAP, la parte reclamada presentó escrito de alegaciones, que son reproducidas y
contestadas en el fundamento jurídico tercero de esta resolución.
SÉPTIMO. Cambio de instructor del procedimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/53
Con fecha de 06/08/2025, el presidente de la Agencia Española de Protección de
Datos acordó el cambio de instructor del presente procedimiento sancionador. Dicho
cambio fue notificado a la parte reclamada, constando en el expediente administrativo
el correspondiente acuse de recibo con fecha de 12/08/2025.
OCTAVO: Propuesta de resolución
Con fecha 30 de octubre de 2025 se formuló propuesta de resolución, proponiendo el
archivo de actuaciones en relación con la posible infracción del artículo 32 del RGPD y
la imposición de multa por una infracción del artículo 5.1.f) del RGPD, tipificada en el
artículo 83.5 del RGPD. Asimismo, se proponía la imposición, en virtud del artículo
58.2.d) del RGPD, de la medida de acreditar la aplicación efectiva de las medidas
técnicas y organizativas de seguridad adecuadas, no solo para cumplir con la
normativa, sino para demostrar su cumplimiento antes las autoridades de control e
interesados.
NOVENO: Volumen de negocio y número de clientes
De acuerdo con el informe recogido de la herramienta AXESOR, la entidad AXA
SEGUROS GENERALES, S.A. DE SEGUROS Y REASEGUROS es una empresa con
un volumen de negocios de 553 millones de euros en el año 2023.
Asimismo, la instrucción del procedimiento ha obtenido una diligencia del contenido de
la página de Internet de AXA, en el que consta que, a fecha de abril de 2024, dicha
aseguradora contaba con más de 3,5 millones de clientes.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: La parte reclamante tiene contratada una póliza de vida y otra de automóvil
con entidades del Grupo AXA, (póliza de automóvil de fecha 21/06/2019 y de vida de
fecha 12/08/2021). En el momento de contratación de dichas pólizas, ***EMPRESA.1
actuaba como agente de AXA.
SEGUNDO: Con fecha de 22 de mayo de 2023, a las 15:34 horas, la parte reclamante
recibió dos mensajes SMS, ambos con idéntico texto, provenientes de “AXA
SEGUROS” en los que se le informaba de la generación de una clave temporal para
acceder a su área de cliente en la web. El texto de los citados mensajes es el
siguiente:
“Hola A.A.A., esta es tu clave para entrar en tu área cliente: ***TELÉFONO.1.
Gracias.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/53
TERCERO. Con fecha de 24 de mayo de 2023, la parte reclamante recibe una
contestación, a través de un mensaje de correo electrónico, de AXA SEGUROS, en la
que, en relación con la situación de posible acceso a sus datos personales, le indican
lo siguiente:
“La manipulación de sus datos me temo que no es nueva y, entendemos, que
tienen por finalidad el conocer toda las comunicaciones de AXA con usted al
objeto de ofertarle en las otras compañías donde ahora trabajan aquellos
gestores; es inaceptable lo que están realizando y cuando usted nos autorice,
tomaremos también las oportunas acciones legales.”
CUARTO. En cuanto a la relación contractual entre las empresas AXA SEGUROS y
***EMPRESA.1 consta lo siguiente:
a) AXA y ***EMPRESA.1 mantuvieron una relación contractual, en la cual
***EMPRESA.1 prestaba sus servicios como agente a la parte reclamada. En
virtud de dicha relación, ambas entidades tenían suscrito un contrato de
encargo de tratamiento de datos personales.
a) El día 1 de diciembre de 2021, AXA comunicó a ***EMPRESA.1 la resolución
del contrato a través de un requerimiento notarial por el grave incumplimiento
de sus obligaciones contractuales y legales.
b) Como consecuencia de la resolución del contrato de mediación entre
***EMPRESA.1 y AXA Seguros Generales S.A., la ex agencia exclusiva
automáticamente deja de distribuir seguros de AXA Aurora Vida S.A. de
Seguros y Reaseguros.
c) Desde el día 1 de diciembre de 2021 quedó extinguida en su totalidad la
relación mercantil entre ambas partes.
d) Existe en curso un procedimiento judicial entre ambas empresas, seguido en
Juzgado de Primera Instancia, donde se está dirimiendo la procedencia de la
resolución contractual en base a los hechos indicados con anterioridad.
e) Desde 01/12/2021, ***EMPRESA.2 (en adelante, ***EMPRESA.2) asume la
gestión de las pólizas de seguro de la reclamante en sustitución de
***EMPRESA.1, con quien AXA mantiene actualmente una relación contractual
como agente de seguros exclusivo.
QUINTO. En el momento en que sucedieron los hechos objeto de este expediente
sancionador, AXA tenía establecido el siguiente procedimiento para la recuperación de
la contraseña de acceso al área de cliente (“MYAXA”) de la página web de AXA:
o En la primera pantalla de acceso a MYAXA debe introducirse NIF y
contraseña del usuario. En caso de no recordarla, se da la opción de
pinchar en “Olvidé mi contraseña”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/53
o A continuación, se solicita nuevamente el NIF y seguidamente se
indica que se ha enviado una contraseña temporal al medio facilitado por el
cliente. En el caso que nos ocupa, un SMS a su teléfono móvil.
o Una vez enviado el mensaje anterior, existe la posibilidad de
pinchar la opción de “No he recibido mi código de verificación”.
o En ese momento se vuelve a enviar una contraseña temporal al
medio alternativo facilitado en su día por la reclamante. Nuevamente existe
la opción “No he recibido mi código de verificación”.
o La siguiente pantalla que aparece al darle a esa opción son unas
preguntas de seguridad, consistente en facilitar los siguientes datos del
contratante:
Número de póliza
Últimos 4 dígitos de su forma de pago).
o Una vez introducidos esos datos, se da la opción de cambiar la
contraseña.
SEXTO. AXA ha confirmado que el 22 de mayo de 2023 se produjo el cambio de la
contraseña, y que se produjeron accesos al área de la web de la parte reclamante
desde esa fecha hasta el 27 de junio de 2023 a las 8:35 horas, en que se produce la
última entrada en “MYAXA”. También ha confirmado que se procede al borrado de los
logs de MYAXA a los 30 días.
SÉPTIMO. AXA manifiesta haber implementado, con posterioridad a los hechos, como
medida dentro del proceso de cambio de contraseñas en "MYAXA", la sustitución del
apartado de preguntas de seguridad a que se refiere el hecho probado anterior por
una nueva pantalla en la cual se indica un error del sistema, derivando al usuario a un
teléfono de atención al cliente.
Según afirma AXA, la finalidad de esta modificación es evitar “de esta manera la
posible suplantación de identidad de un tercero que pudiera tener información sobre
las pólizas en vigor del cliente.”
FUNDAMENTOS DE DERECHO
I. Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/53
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
II. Cuestiones previas
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que AXA realiza,
entre otros tratamientos, la recogida y conservación de datos personales de personas
físicas y jurídicas con las que gestiona seguros, así como su protección financiera,
ahorros e inversiones inmobiliarias. Por ejemplo: nombre y apellidos, fecha de
nacimiento, teléfono, correo electrónico, datos financieros y bancarios.
AXA realiza esta actividad en su condición de responsable del tratamiento, dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.
El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de
seguridad de los datos personales” (en adelante brecha de datos personales) como
“todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o
alteración accidental o ilícita de datos personales transmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos.”
En el presente caso, consta una brecha de datos personales en las circunstancias
arriba indicadas, categorizada como una brecha de confidencialidad, al haberse
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/53
producido una pérdida de confidencialidad de los datos personales de la parte
reclamante, exponiéndose sus datos a un tercero.
III. Alegaciones al acuerdo de inicio y contestación a las mismas
La parte reclamada ha presentado, en esencia, las siguientes alegaciones al acuerdo
de inicio de procedimiento sancionador. Se sigue el orden expositivo del escrito de
alegaciones.
PRIMERA. Posible caducidad de las actuaciones previas de
investigación
Considera que se habría producido la caducidad de dichas actuaciones por haber
transcurrido más de 18 meses (plazo previsto en el artículo 67 de la LOPDGDD) desde
el “primer requerimiento” de la AEPD. Aporta una Sentencia de la Audiencia Nacional,
de 29 de marzo de 2019 (rec. 232/2017), que aclara cuáles son los efectos de la
caducidad del trámite de actuaciones previas de investigación.
En relación con esta alegación conviene tratar dos aspectos distintos. En primer lugar,
el plazo de caducidad en sí. La argumentación de AXA es la siguiente:
“La primera notificación realizada por la AEPD con motivo de este expediente fue
recibida por AXA el 17 de julio de 2023, fecha en la que se inició el cómputo del
plazo de dieciocho meses, marcado por el artículo 67 de la LOPDGDD. Por
tanto, dicho plazo venció el 17 de enero de 2025, antes de adopción del Acuerdo
de Inicio del presente procedimiento.”
Es decir, considera que el inicio del cómputo del plazo de 18 meses que prevé el
artículo 67 de la LOPDGDD para la realización de las actuaciones previas se produce
en el momento de lo que denomina la “primera notificación”. Comprobado dicho
trámite, se observa que se corresponde con el traslado de la reclamación, previsto en
el artículo 65 de la LOPDGDD y en consecuencia anterior a las actuaciones previas.
El artículo 67.2 de la LOPDGDD establece lo siguiente:
“Las actuaciones previas de investigación se someterán a lo dispuesto en la
sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una
duración superior a dieciocho meses a contar desde la fecha del acuerdo de
admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación
cuando la Agencia Española de Protección de Datos actúe por propia iniciativa.”
En este expediente la admisión a trámite se produjo, por el transcurso del plazo de tres
meses, desde la presentación de la reclamación, establecido en el artículo 65.5
LOPDGDD. Así consta en el expediente administrativo y se notificó a la parte
reclamante. La admisión a trámite tuvo lugar el 28/08/2023. Esa fecha marca el “dies
ad quem” para el cómputo de la caducidad de las actuaciones previas.
Dado que plazo para la realización de dichas actuaciones previas es de 18 meses, la
finalización del plazo se produciría el 28/02/2025, que sería el “dies a quo”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/53
El período de actuaciones previas de investigación concluye con la notificación de la
decisión que adopte la AEPD una vez realizadas las mismas. Esta podrá consistir bien
en una resolución de archivo de actuaciones, bien en un acuerdo de inicio de
expediente sancionador. Esta última fue la opción adoptada por la Agencia, en virtud
de los claros indicios de infracción obrantes en el expediente.
El acuerdo de inicio de este procedimiento sancionador fue firmado el 25/02/2025 y
resultó notificado por vía electrónica en ese mismo día, conforme al acuse de recibo
que consta en el expediente. Por lo tanto, la notificación se produjo dentro del plazo
otorgado por la ley y no se habría incurrido en caducidad de las actuaciones previas
de investigación.
El segundo aspecto a tratar sería la sentencia aportada por AXA, sobre la caducidad
de las actuaciones previas. Una vez analizada, se observa que no se pronuncia sobre
el cómputo del plazo, sino sobre los efectos de la caducidad en caso de haberse
producido:
“…. La imposición de la correspondiente sanción a la parte actora se ha basado
en las pruebas y actividad investigadora llevadas a cabo en dicha fase de
actuaciones previas, la declaración de caducidad de las mismas conlleva que no
haya existido en el procedimiento prueba de cargo suficiente para imputar la
sanción finalmente impuesta a la parte recurrente, por lo que tal sanción ha de
ser anulada, con estimación del recurso”
Algo en lo que esta Agencia está completamente de acuerdo pero que no resulta de
aplicación a este caso, ya que, como se ha acreditado, no se produjo en ningún
momento la caducidad de las actuaciones previas.
A continuación, se contestan las alegaciones relacionadas con las infracciones
cometidas y su cuantía. Se altera el orden de las alegaciones para analizar, en primer
lugar, la alegación relacionada con el posible concurso de infracciones (alegación
SEXTA), dada la trascendencia que puede tener en la calificación de las mismas y, con
ello, en la contestación del resto de alegaciones
SEXTA. Posible concurso de infracciones
AXA alega que en ambas infracciones imputadas en el acuerdo de inicio (artículos
5.1.f) por vulneración de la confidencialidad de los datos y 32 del RGPD por falta de
medidas de seguridad) se estaría sancionando el mismo presunto ilícito: la adecuación
o no de las medidas implementadas con relación al acceso a la cuenta MY AXA. Así,
afirma que “el Artículo 32 del RGPD viene a concretar cómo cumplir con el principio de
integridad y confidencialidad recogido en el Artículo 5.1.f) del RGPD”
Aporta precedente de un procedimiento sancionador de la AEPD: el de referencia
PS/00259/2021, en que la propia Agencia habría reconocido la existencia de un
concurso medial de infracciones entre los artículos 5.1.f) y 32 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/53
Finalmente alega que la “Guía de multas” (Directrices 04/2022 sobre el cálculo de las
multas bajo el RGPD del EDPB. Adoptadas el 24 de mayo de 2023), también
contemplaría la existencia del concurso medial, si bien AXA no invoca ningún apartado
concreto de dicha Guía, sino que solo realiza la afirmación genérica.
En relación con estos argumentos cabe significar lo siguiente:
En primer lugar, debe rechazarse la afirmación de que “el Artículo 32 del RGPD viene
a concretar cómo cumplir con el principio de integridad y confidencialidad recogido en
el Artículo 5.1.f) del RGPD”. Es cierto que uno de los mecanismos para garantizar el
principio de confidencialidad puede ser el establecimiento de medidas de seguridad.
Pero no es el único: recordemos que el mencionado art 5.1.f) hace referencia a la
adopción de “medidas técnicas u organizativas apropiadas”. Estas medidas,
particularmente las organizativas, no tienen por qué ser medidas de seguridad.
En todo caso, el artículo 5.1.f) señala “que se garantice una seguridad adecuada de
los datos personales”, esto es, un resultado como es esa garantía. Por ello, la
infracción del artículo 5.1.f) se configura como una “obligación de resultado” y, en
sentido inverso, su vulneración también exige la producción de un resultado, cual sería
la pérdida de confidencialidad o integridad.
Por el contrario, el artículo 32 exige la adopción de medidas de seguridad adecuadas
al riesgo (apartado 2 de dicho artículo), sin que se exija la producción de un resultado
para que pueda considerarse vulnerado. En este sentido, esta obligación es configura
como “obligación de medios” (la adopción de las medidas de seguridad) y no de
resultado (no es preciso que haya habido un acceso indebido o una pérdida de
integridad o disponibilidad).
En relación con la alegación de que con ambas infracciones se estaría sancionando el
mismo presunto ilícito, alega AXA lo siguiente:
“En el presente supuesto, el elemento determinante de ambas infracciones es la
adecuación o no de las medidas implementadas con relación al acceso a la
cuenta MY AXA. De lo argumentado por la AEPD en el Acuerdo de Inicio se
extrae que, en relación con los hechos analizados, existe una conexión directa
entre las vulneraciones de ambos artículos apreciadas. De esta forma, la
infracción del Artículo 32 del RGPD, esto es, la consideración de las medidas de
AXA como insuficientes o inadecuadas, es necesario e inevitable para que
tuviera lugar una vulneración del principio de integridad y confidencialidad, es
decir, para que se identifique la infracción del Artículo 5,1 apartado f) del RGPD.”
Para analizar esta cuestión debe partirse del análisis de si la falta de medidas de
seguridad detectada, y conforme a las cuales se realizó la imputación del artículo 32
del RGPD, están todas directamente relacionadas con la pérdida de confidencialidad,
que es lo sancionado conforme al artículo 5.1.f). En caso de que se concluyera que
fuera así, esto es, que no hay ninguna medida de seguridad independiente de la
producción del resultado de pérdida de confidencialidad, podría considerarse que se
está produciendo una coincidencia de infracciones.
Imputación del artículo 5.1.f)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/53
Conforme se detallaba en el acuerdo de inicio de procedimiento sancionador, se
habría producido un acceso por un tercero no autorizado (el anterior agente de
seguros de AXA) a los datos de la parte reclamante. De acuerdo con el relato de los
hechos, dicho tercero habría accedido al área privada de la web de dicha parte,
aprovechando para ello un procedimiento no suficientemente robusto de cambio de
contraseña para el acceso a dicha área. El resultado producido sería dicho acceso no
consentido y con ello la pérdida de confidencialidad de los datos de la parte
reclamante, cuyo responsable es AXA. En este sentido, resultan relevantes los
hechos acreditados durante la instrucción del presente procedimiento y,
especialmente, los mensajes recibidos por la reclamante alertando de un cambio en la
contraseña de acceso a su área privada AXA, la confirmación de que el 22 de mayo de
2023 se produjo el cambio de la contraseña, así como de que se produjeron accesos
al área de la web de la parte reclamante desde esa fecha hasta el 27 de junio de 2023
a las 8:35 horas. Estos accesos implicaron, en consecuencia, una pérdida de
confidencialidad de los datos de la reclamante que estaban siendo objeto de
tratamiento por la reclamada. Una pérdida de confidencialidad que, por otro lado, ha
sido posible por la ausencia de medidas adoptadas por el responsable del tratamiento
tendentes a garantizar la seguridad del mismo. A estos efectos, resulta determinante
que AXA reconociera que todo el proceso para el cambio de contraseña pueda ser
realizado por un tercero no autorizado- como ocurrió en este caso-, circunstancia que
evidencia una falta de medidas adecuadas para garantizar la seguridad del
tratamiento.
Imputación del artículo 32.
En dicha imputación se refleja la falta de medidas de seguridad que da lugar a la
comisión de la infracción. En concreto, se afirma que AXA tenía unas carencias
importantes y no contaba con las garantías de seguridad necesarias en el tratamiento
de los datos personales; ya que, conociendo únicamente el Número de póliza y los
últimos 4 dígitos de su forma de pago (datos fácilmente accesibles a los trabajadores y
encargados del tratamiento) se posibilitaba el cambio de contraseña para el acceso al
área de cliente de la web. Se considera, por lo tanto, que dicho proceso adolecía de
una carencia de medidas de seguridad adecuadas al riesgo
En conclusión, se aprecia que la falta de medidas de seguridad se encuentra
totalmente vinculada con el resultado de pérdida de confidencialidad. Dicho resultado
se produjo como consecuencia de la falta de medidas de seguridad apreciadas.
A continuación, se contesta a las obligaciones sobre la tipificación y cuantía de las
infracciones, con las adaptaciones necesarias al cambio de imputación realizado.
SEGUNDA. Sobre el supuesto de hecho.
En este apartado, AXA realiza únicamente una exposición cronológica de los hechos.
- El reclamante habría recibido una llamada del antiguo agente de AXA
(***EMPRESA.1). A continuación, recibe 2 mensajes SMS y uno de correo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/53
electrónico (este último informa de que los datos de acceso a MYAXA han sido
modificados con éxito
- El reclamante reclama ante AXA y le indican que no sería preciso bloquear la
cuenta
- Previamente, AXA había rescindido el contrato de agente por incumplimiento
de ***EMPRESA.1. Afirma que el incumplimiento ha sido ya declarado por
Sentencia.
- Se deduce por todo ello que ***EMPRESA.1 habría incurrido en un tratamiento
irregular de los datos que de los que inicialmente fue encargado del tratamiento
como agente de AXA. Y luego habría accedido al área privada virtual MYAXA
del reclamante
No realiza ninguna alegación en este sentido, solo relaciona los hechos tal como
entiende la parte reclamada que habrían sucedido
TERCERA. Infracción del artículo 5.1.f) del RGPD
En relación con esta imputación, alega que no estaría constatado el acceso a los datos
por personas no autorizadas. Esta posibilidad solo se contiene en el relato de la parte
reclamante
En todo caso, afirma AXA, no podría sancionarse por la vulneración del art 5.1.f)
únicamente por la mera producción de un resultado. Dicho artículo ordena la
aplicación de medidas técnicas u organizativas apropiadas para garantizar la
integridad y la confidencialidad, pero en ningún caso impone la exigencia de una
“eficacia absoluta” de estas. En relación con esto, opina que “El artículo 5.1, apartado
f) del RGPD, en consonancia con el espíritu de la propia norma, establece una
obligación de medios, y no una obligación absoluta o de resultado.”
De este modo, alega, se está sancionando en este procedimiento solo por la
producción de un resultado. Ello implica que se estaría incurriendo en la imputación de
una responsabilidad objetiva, prohibida en nuestro ordenamiento. Aporta la sentencia
del Tribunal de Justicia de la Unión Europea (relativa al asunto C-683/212 Nacionalinis
visuomenės sveikatos centras), indicando que las autoridades de control no pueden
imponer requisitos no previstos en el RGPD, y este solo prevé responsabilidad por la
comisión de infracciones en que medie intencionalidad o negligencia. De este modo, al
no acreditarse una conducta culpable no podría sancionarse en este supuesto.
Asimismo, invoca la STS nº 543/2022, de 15 de febrero, que declara que:
““La obligación de adoptar las medidas necesarias para garantizar la seguridad
de los datos personales no puede considerarse una obligación de resultado, que
implique que producida una filtración de datos personales a un tercero exista
responsabilidad con independencia de las medidas adoptadas y de la actividad
desplegada por el responsable del fichero o del tratamiento”.
De este modo, para el cumplimiento de una obligación de medios bastaría con
establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una
diligencia razonable.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/53
En relación con esta alegación cabe contestar lo siguiente. Primero, en relación con la
constatación de la pérdida de confidencialidad. A este respecto, es preciso remitirse a
la narración de los hechos que aporta la propia parte reclamada en su contestación al
requerimiento de información realizado por los órganos de inspección de la Agencia:
“Una vez que AXA recibe el requerimiento de información por parte de la AEPD,
pudo comprobar que el 22 de mayo de 2023 se produjo el cambio de contraseña
en el área cliente de la reclamante. Indican que habida cuenta de que la
reclamante no cambió su contraseña y no accedió a su área cliente con esa
nueva contraseña, cabe afirmar el probable acceso indebido por
***EMPRESA.1, con la finalidad de recabar la información de las pólizas en
curso de la reclamada y de los precios asociados, con el fin de poder ofertarle
pólizas de seguros al mismo precio, tal y como avanzó en la llamada telefónica
que efectuó a la reclamante el 22 de mayo de 2023.”
“Que, en base a lo anterior, AXA indica que puede afirmarse que ***EMPRESA.1
pudo realizar un acceso indebido suplantando la identidad de la reclamante,
haciendo uso del conocimiento previo que tenía de la información relativa a la
póliza, con la finalidad de conocer más información sobre las pólizas contratadas
y poder así ofrecerle las pólizas de seguros a un precio competitivo, tal y como
se desprende de la descripción de los hechos objeto de esta reclamación.”
“AXA ha contestado que tras realizar las investigaciones oportunas, solo ha
logrado del listado de accesos conocer que el 22 de mayo de 2023 se confirma
el cambio de la clave, y que el 27 de junio de 2023 a las 8:35 horas se produce
la última entrada en “MYAXA”. Sin embargo, no ha resultado posible conocer
desde que IP se realizó el cambio de contraseña ni los accesos ya que se
procede al borrado de los logs de MYAXA a los 30 días.”
La propia parte reclamada comprobó que se había producido un acceso indebido, por
parte de quien en su momento fue agente de AXA pero que ya había dejado de serlo.
Y los accesos se habrían podido prolongar durante al menos un mes. Asimismo, la
propia reclamada confirma la falta de medidas que permitan conocer la trazabilidad de
los accesos: la reclamante se puso en contacto con AXA tras los mensajes alertando
sobre el cambio de su contraseña y ésta le respondió el 24 de mayo de 2023. A pesar
de ello, no adoptó medidas para la salvaguarda del área privada afectada y,
especialmente, para la conservación de los logs de accesos que se fueron
produciendo y que deberían haber estado disponible al no haber transcurrido aun el
plazo de 30 días de conservación que se menciona por la reclamada.
Alega asimismo la parte reclamada que, en caso de que se considerase afectada la
confidencialidad de los datos, se estaría sancionando únicamente por la producción de
un resultado, prescindiendo del elemento culpabilístico e incurriendo con ello en un
supuesto de responsabilidad objetiva.
Debe descartarse que se esté produciendo tal atribución. En efecto, para que se
considere cometida la infracción (la única que persiste tras descartar la pervivencia de
las dos inicialmente imputadas, es decir, la del artículo 5.1.f), es preciso que concurran
dos elementos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/53
En primer lugar, como ya se ha dicho, la producción de un resultado. Y es que los
datos de la parte reclamante fueron objeto de acceso por quien no tenía legitimación
para ello. Y, en segundo, que dicha vulneración de la confidencialidad fuera propiciada
por la falta de medidas técnicas y organizativas que prevé el artículo 5.1.f) para
procurar su garantía.
Y es que, como hemos indicado y se detalla en el fundamento jurídico relativo a la
imputación del mencionado artículo 5.1.f), el procedimiento de recuperación de
contraseña establecido por AXA adolecía de importantes debilidades. En caso de que
un atacante vaya pulsando sucesivamente las opciones de no haber recibido el SMS
para la recuperación, ni posteriormente el correo electrónico para la comprobación de
la identidad, le bastaba con contestar a preguntas de comprobación respecto a las
cuales no puede descartarse que haya terceros que conozcan sus respuestas. Y
máxime en este caso cuando, según el relato de los hechos que aporta la parte
reclamada, la rescisión contractual con el anterior agente de seguros no fue un
procedimiento amistoso.
Confluyen, por lo tanto, la negligencia en el establecimiento de las medidas técnicas y
organizativas (debilidad del procedimiento de recuperación o cambio de contraseña) y
la producción del resultado de pérdida de confidencialidad de los datos, lo que hace
que concurra plenamente la infracción del artículo 5.1.f) del RGPD.
Cabe traer a colación la Sentencia de la Audiencia Nacional de 9 de febrero de 2023,
que se pronuncia sobre un supuesto sustancialmente idéntico. En la pérdida de
confidencialidad producida, la parte reclamada alegó que se estaba sancionando
únicamente por la producción de un resultado, indicando que se estaba produciendo
un caso de responsabilidad objetiva. La Audiencia Nacional declara que:
“Ahora bien, a mayor abundamiento, resulta claro que el riesgo de suplantación
de identidad está presente de manera permanente en la actividad empresarial
de Xfera. Es un riego real con la finalidad última de hacerse pasar por otra
persona y que procura, en supuestos como el examinado, la contratación de
productos o la obtención de un duplicado de la tarjeta SIM por quien no es
el auténtico titular de la misma, riesgo que la recurrente no puede alegar que le
resultaba desconocido.
Sobre la supuesta responsabilidad objetiva, la resolución recurrida no
considera responsable a Xfera por el resultado, sino por una pérdida de
confidencialidad vinculada a la insuficiencia de las medidas de seguridad
implantadas y, en definitiva, debido a una falta de diligencia de dicha entidad.
Así, se argumenta por la AEPD -página 858 del expediente- “ha quedado
acreditado que las medidas implantadas por Xfera son insuficientes (…) De
una manera no exhaustiva nos fijaremos en la deficiente configuración de las
preguntas formuladas en la política de seguridad para poder obtener el
duplicado de la tarjeta SIM”.
Resta únicamente decir que la sentencia aportada por el interesado para defender sus
tesis (STS nº 543/2022, de 15 de febrero) no resulta aplicable a este supuesto, toda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/53
vez que se refieren a la obligación de establecer medidas de seguridad como una
“obligación de medios”. Y no resulta de aplicación a este supuesto por dos razones: la
primera porque en este procedimiento sancionador se está imputando la comisión de
una infracción del artículo 5.1.f) que, como hemos visto, sí exige la producción de un
resultado. Y la segunda, porque AXA ha esgrimido el contenido de esta sentencia con
ocasión de sus alegaciones en relación con el artículo 5.1.f), esto es, antes de conocer
que, conforme a la alegación anterior, únicamente subsistiría esta última.
CUARTA. Infracción del artículo 32 del RGPD
En este apartado afirma AXA que contaba, en el proceso de recuperación de
contraseña para el área privada de cliente en MYAXA, con medidas de seguridad
adecuadas y eficaces. Así, considera que el procedimiento de cambio de contraseña
sería sólido: si ésta no se recuerda se envía por SMS una de carácter temporal, y si
este no se recibe, se hacen preguntas sobre datos concretos relativos a la póliza y el
medio de pago utilizados por el cliente. Ningún tercero estaría en posesión de la
información solicitada en las preguntas de seguridad que se realizaban para poder
recuperar la contraseña.
Continúa AXA afirmando que el hecho de que los agentes de AXA tuviesen acceso a
los datos vinculados a las pólizas de los agentes no permite calificar de inadecuadas
las medidas.
Considera asimismo que no se proporciona una argumentación técnica por la AEPD
que ampare el razonamiento de falta de medidas de seguridad adoptadas. De este
modo, el área de cliente dispondría de factor de doble autenticación (2FA)
Asimismo, afirma AXA, tras la rescisión del contrato se garantizó la devolución o
destrucción de los datos personales y se estableció la supresión del acceso por el
agente anterior). Asimismo, en el contrato de encargo se incluía que si se vulneraban
las instrucciones se le consideraría responsable del tratamiento. Se imponía también
la obligación de devolver los datos y de no conservar copia alguna. Esta obligación le
habría sido recordada al agente en el documento de comunicación de la rescisión
Concluye afirmando que no existe una imposición de medidas de seguridad concretas
por la normativa. En todo caso AXA asegura estar cumpliendo con lo establecido al
respecto en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el
Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de
protección de datos de carácter personal, sin que, afirma, exista nada adicional
exigible al respecto.
En relación con estas afirmaciones debe significarse lo siguiente:
En primer lugar, dejar claro que la debilidad del procedimiento establecido por AXA
para la recuperación o generación de una nueva contraseña constituye, como se ha
afirmado en los apartados anteriores, una infracción del artículo 5.1.f) del RGPD. La
infracción estuvo propiciada por un procedimiento con debilidades, como se verá, y
además tuvo como resultado la pérdida de confidencialidad de los datos de la parte
reclamante, a la que se accedió de manera no legitimada por el anterior agente de
seguros de AXA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/53
En relación con la afirmación de que dicho procedimiento sería seguro, afirmando que
“Ningún tercero estaría en posesión de la información solicitada en las preguntas de
seguridad que se realizaban para poder recuperar la contraseña”, es preciso recordar
cuáles son los datos solicitados a quien afirma no haber recibido ni el SMS ni el correo
electrónico previos para garantizar la identidad del solicitante.
Y los datos solicitados son: número de póliza y los últimos 4 dígitos de su forma de
pago. Si bien se trata de datos respecto de los cuales no puede afirmarse que
pudieran estar disponibles de manera generalizada, no puede descartarse que
determinados sujetos, en función de su intervención en el tráfico de este sector,
puedan disponer de ellos.
A estos efectos, como ya se ha anunciado en la contestación al apartado anterior, es
completamente relevante la situación existente entre AXA y ***EMPRESA.1 tras la
extinción de su relación mercantil. Como la propia AXA narra entre sus antecedentes,
dicha extinción no fue ni mucho menos amistosa y la cuestión ha acabado ante los
tribunales. Con ello, es claramente un riesgo que debió ser analizado por AXA el
posible acceso no autorizado a datos personales de sus clientes, a los que
***EMPRESA.1 tendría acceso en su condición de anterior agente de la primera.
Ninguna precaución se estableció al respecto, de modo que, ya no solo para el caso
de la parte reclamante, sino para cualquier cliente de AXA en cuya contratación
hubiese intervenido ***EMPRESA.1, existía un riesgo cierto de que, a través de un
procedimiento con debilidades, se pudiese tener acceso a los datos personales de
dichos clientes. Así sucedió, al menos, en el caso denunciado por la parte reclamante.
El procedimiento claramente adolecía de debilidades en este sentido; y, consciente de
ello, AXA en sus alegaciones argumenta que tenía establecido un sistema doble
autenticación para este tipo de gestiones. A esos efectos entre sus alegaciones aporta
una captura de pantalla de la página web. Y analizando esta imagen se observa que
dicha posibilidad está establecida como facultativa para el cliente, es decir, solo si este
lo elige. Con ello, el factor de doble autenticación no existe para todos aquellos
clientes que sencillamente no hagan nada, es decir, no lo activen.
Por otra parte, en sus alegaciones, AXA se esfuerza por acreditar que ***EMPRESA.1
habría devuelto o destruido los datos respecto a los cuales este último era encargado
del tratamiento. En relación con esta cuestión, deben significarse dos aspectos. En
primer lugar, que no aporta documento alguno (certificado de devolución o destrucción
o similar) que acredite que dicha circunstancia tuvo lugar.
Y en segundo lugar, es preciso afirmar que ese aspecto no es el que ha llevado a la
imputación del artículo 5.1.f) en el presente procedimiento, sino sencillamente la
comprobación de que el procedimiento de recuperación o generación de nueva
contraseña adolecía de debilidades. Si hubiese sido robusto (como la inclusión de
preguntas de cuya contestación no pudiese disponer un encargado o la implantación
obligatoria de factor de doble autenticación) la devolución de datos, por más que es
una obligación que debe exigirse al encargado del tratamiento, habría sido irrelevante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/53
En relación con la alegación de que no existe una imposición de medidas de seguridad
concretas por la normativa, no se puede sino estar de acuerdo con dicha afirmación.
Esta Agencia en ningún momento está indicando o sugiriendo cuáles son las medidas
técnicas u organizativas que AXA debió establecer para garantizar la solidez del
procedimiento de contraseñas. Tan solo afirma que queda claro que el procedimiento
que estaba vigente no cumplía con los mínimos de seguridad y robustez para
garantizar la confidencialidad de los datos. Y ello máxime cuando existía un riesgo
claramente previsible para el responsable del tratamiento de que el anterior encargado
dispusiera de información que le permitiera vulnerar esa confidencialidad.
Procede, en consecuencia, desestimar esta alegación
QUINTA. Rol del responsable del tratamiento
AXA como responsable del tratamiento, afirma que habría establecido a su encargado
las obligaciones de tratamiento de datos personales, conforme a sus instrucciones y
además, la de devolver o destruir dichos datos tras la finalización del contrato. En este
sentido, los hechos imputados implicarían que ***EMPRESA.1 ha tratado los datos
para sus propios fines y ello implicaría su propia responsabilidad, tal y como
expresamente prevé el artículo 28.10 del RGPD.
Con ello, los hechos imputados no determinarían una falta de medidas del responsable
del tratamiento; sino que es ***EMPRESA.1, como encargado del tratamiento, quien
habría incumplido las instrucciones del responsable; y con ello sería quien incurre en
un incumplimiento normativo de las obligaciones que recoge el RGPD para los
encargados del tratamiento, en sus artículos 28, 33 y 82.
Para contestar a esta alegación basta con indicar que el objeto de este procedimiento
sancionador no es la posible responsabilidad en que pudiera incurrir ***EMPRESA.1
por un tratamiento no legitimado de datos personales. Por el contrario, se sanciona por
la falta de adopción por parte de AXA de medidas adecuadas de todo tipo que
garanticen la seguridad de los datos personales. Ello se materializa en el
establecimiento por AXA de un procedimiento de recuperación o generación de una
nueva contraseña que no reunía suficientes medidas técnicas y organizativas para
garantizar la confidencialidad de los datos personales, conformes de detalla a lo largo
de esta resolución.
En consecuencia, debe desestimarse la alegación
SÉPTIMA. Proporcionalidad de la sanción
En este apartado AXA incluye alegaciones en relación con las circunstancias tenidas
en cuenta para la determinación de la cuantía de la sanción. En primer lugar, debe
señalarse que alega que discrepa sobre las circunstancias agravantes tenidas en
consideración en este procedimiento para la determinación de la cuantía de las
sanciones.
En relación con esta alegación, cabe apreciar dos aspectos fundamentales. En primer
lugar, la parte reclamada califica la totalidad de circunstancias apreciadas en el
acuerdo de inicio como “agravantes”. Y debe aclarase que ello no es así. De acuerdo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/53
con la Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, de 24 de mayo
de 2023, del Consejo Europeo de Protección de Datos Directrices (en lo sucesivo, la
Guía de multas), de cara a determinar la cuantía de la sanción se siguen fases
sucesivas.
Una primera fase es la determinación de la cuantía inicial de la sanción. Viene
contemplada en el Capítulo 4 “Punto de partida para el cálculo” de la Guía (apartados
46 y siguientes). Para el cálculo de la cuantía inicial se tienen en cuenta determinados
aspectos señalados expresamente en la guía. Y entre ellos se encuentra (aparte, de,
como es obvio del volumen de negocio) la “naturaleza, gravedad y duración de la
infracción” (apartados 53 y siguientes); el “carácter intencional o negligente de la
infracción” (aptdos 55 y sigs), y las “Categorías de datos personales afectados”
(aptdos 57 y sigs). La aplicación de estas circunstancias determina la que sería la
cuantía básica de la multa, sobre la que, ya sí, se aplicarían las circunstancias
agravantes o atenuantes.
En el presente procedimiento, para cada infracción se ha tenido en cuenta, de cara al
cálculo de la cuantía inicial, las circunstancias determinadas en el mencionado capítulo
4 de la guía. En concreto, el volumen de negocio, la gravedad de la infracción y el
grado de intencionalidad o negligencia que se produce y, en su caso, el tipo de datos
personales afectados. Y posteriormente se ha apreciado la concurrencia de
circunstancias agravantes. Entre ellas, la vinculación de la parte reclamada con el
tratamiento de datos personales. Así lo expresó el acuerdo de inicio del procedimiento,
distinguiendo entre circunstancias para la determinación de la cuantía, y,
posteriormente, agravantes o atenuantes.
Circunstancias del artículo 5.1.f) RGPD
En primer lugar, considera que al motivar la “Intencionalidad o negligencia”
(circunstancia artículo 83.2.b) RGPD) el acuerdo de inicio únicamente se referiría a la
producción de un resultado, sin acreditar la concurrencia al menos de negligencia.
Ello no es así. De hecho, en la motivación de la concurrencia de esta circunstancia, en
el acuerdo de inicio se indicaba que “no cabe duda de que, en el caso ahora
examinado, cuando la actividad de la recurrente es de constante y abundante manejo
de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por
ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional
de 17/10/2007 (rec. 63/2006)]”
En todo caso, como ya se ha indicado, en la propuesta de resolución se procedió al
mantenimiento únicamente de la imputación de la infracción del artículo 5.1.f) RGPD. Y
se motiva, en el apartado de cuantificación de la sanción, al que nos remitimos, que
concurre claramente una negligencia en la infracción, al mantener AXA un
procedimiento de generación o recuperación de contraseñas claramente débil al no
tener en cuenta que la información requerida telefónicamente puede estar en posesión
de sujetos distinto del titular y, además, el precedente inmediato de ruptura inamistosa
con el anterior agente de seguros, lo que podía incrementar los riesgos de accesos no
autorizados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/53
En relación con la agravante de vinculación el tratamiento habitual de datos
personales. (artículo 76.2.b) LOPDGDD), considera que esta circunstancia debe estar
relacionada directamente con el supuesto concreto. Y en este caso, afirma AXA, la
infracción habría sido cometida por la actividad de un tercero.
Como es fácilmente entendible, esta agravante prevista en el artículo 76 LOPDGDD se
refiere a la cualidad del sujeto responsable del tratamiento. Y en este caso lo es AXA
como gran empresa de seguros cuyo tráfico jurídico se relaciona clara y directamente
con el tratamiento habitual de datos personales. Ello con objeto de gestionar la
contratación, modificaciones, extinciones y, por ejemplo, reclamaciones relativas a los
contratos que gestiona. Y no cabe duda de que los hechos están también directamente
relacionados con dicho tratamiento habitual, toda vez que se ha producido un acceso
no autorizado a datos personales de un cliente de AXA a través del área de clientes
de la página web.
Así se motiva en el acuerdo de inicio del procedimiento sancionador:
“AXA, en ejercicio de su actividad, gestiona tanto sus seguros como su
protección financiera, ahorros e inversiones inmobiliarias dando servicio a las
necesidades financieras de clientes, particulares y empresas.
En consecuencia y a efectos del cumplimiento de los requisitos legalmente
establecidos, el ejercicio de dicha actividad implica necesariamente el
conocimiento y aplicación de la normativa vigente en materia de protección de
datos personales“
A este respecto cabe traer a colación la Sentencia de la sala de lo contencioso -
administrativo de la Audiencia Nacional de 04/07/2024, que, en relación con esta
circunstancia agravante, declara:
“Como igualmente, [es correcta] la apreciación de la vinculación de la actividad
del infractor con la realización de tratamientos de datos personales (art. 72.2.b)
la Ley Orgánica 3/2018, de 5 de diciembre), debido a que la actividad de la parte
recurrente está vinculada con el tratamiento de datos tanto de clientes como de
terceros; es conocida la citada vinculación ya que la entidad por su actividad
está en permanente contacto con clientes y terceros tratando un gran volumen
de datos, lo que le impone un mayor deber de diligencia.”
En consecuencia, debe desestimarse esta alegación
Circunstancias del artículo 32 RGPD
En relación con la circunstancia de la intencionalidad o negligencia en la infracción
(artículo 83.2.b) RGPD). al igual que para el artículo 5.1.f), considera que la motivación
tiene un enfoque de responsabilidad objetiva.
No puede considerarse que esto sea así, toda vez que el acuerdo de inicio motiva
adecuadamente la consideración de esta circunstancia:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/53
“Y en la valoración del grado de diligencia ha de ponderarse especialmente la
profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora
examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito
cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la
Audiencia Nacional de 17/10/2007 (rec. 63/2006)]”
Con independencia de lo anterior, como ya se ha indicado, desde la propuesta de
resolución se mantiene únicamente la imputación del artículo 5.1.f).
En relación con la circunstancia relativa a las categorías de datos afectadas (artículo
83.2.g) RGPD), AXA alega que el acuerdo de inicio menciona la afectación de datos
personales de “medios de pago”. Sin embargo, su normativa (Real Decreto Ley
19/2018, de 23 de noviembre, de Servicios de pago, indica en su artículo 3.12 que
“Por lo que respecta a las actividades de los proveedores de servicios de
iniciación de pagos y los proveedores de servicios de información sobre cuentas,
el nombre del titular de la cuenta y el número de la misma no constituyen datos
de pago sensibles.”
Como contestación es preciso señalar que la tipología de datos afectados, como ya
se ha explicado, no constituye una circunstancia agravante, sino una que se tiene en
cuenta, es decir, los datos que han resultado afectados, para la determinación inicial
de la cuantía de la sanción, antes de la aplicación, de haberlas, de circunstancias
agravantes o atenuantes. En este sentido, el acuerdo de inicio explicita que se han
visto afectados “datos especialmente relevantes para los afectados, incluidos datos de
naturaleza financiera, como métodos de pago.”. No hace ninguna referencia a datos
de carácter “sensible” como alega AXA. Recordemos también en este punto que las ya
mencionadas Directrices sobre el cálculo de multas disponen en su apartado 57 lo
siguiente:
En cuanto al requisito de tener en cuenta las categorías de los datos personales
afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD destaca claramente
los tipos de datos que merecen una protección especial y, por tanto, una respuesta
más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos
de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito
de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos
al interesado (por ejemplo, datos de localización, datos sobre comunicaciones
privadas, números de identificación nacionales o datos financieros, como resúmenes
de operaciones o números de tarjetas de crédito).En general, cuantas más de estas
categorías de datos estén implicadas o más sensibles sean los datos, más peso podrá
atribuir la autoridad de control a este factor.
En relación con la agravante relativa a la vinculación tratamiento habitual de datos
personales (artículo 76.2.b) LOPDGDD) considera AXA que el mero hecho de la
determinación de cuál es la actividad económica del responsable no puede ser una
agravante aplicable de manera automática. Ello provocaría indefensión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/53
Basta con remitirnos a la contestación a la circunstancia idéntica de la infracción
anterior, cuya doctrina se encuentra refrendada por la también mencionada Sentencia
de la Audiencia Nacional que allí se reproduce.
Atenuante que concurrirían.
En este apartado, AXA alega que existen circunstancias que deberían ser tomadas
como atenuantes de la responsabilidad. Se trataría de las siguientes:
- Procedió la parte reclamada a corregir y adoptar medidas para mitigar las
consecuencias derivadas de la brecha, así como prevenir posibles supuestos
similares (Art. 83.2 c).
En relación con esta posible atenuante, los apartados 75 – 76 de la ya referida Guía
de multas, que establecen lo siguiente:
“ La adopción de medidas adecuadas para paliar los daños y perjuicios sufridos por los
interesados puede considerarse un factor atenuante que reduce la cuantía de la
multa.” (punto 75)
Es más probable que las medidas aplicadas espontáneamente antes de que el
responsable o encargado del tratamiento tenga constancia del inicio de la
investigación de la autoridad de control sean consideradas como un factor atenuante.”
(punto 76)
En relación con esta alegación, es preciso analizar la redacción de la posible
atenuante, tanto en el RGPD como en la Guía de multas. Se hace referencia a la
adopción de medidas para “paliar los daños y perjuicios sufridos por los interesados”.
Debe señalarse que AXA invoca esta circunstancia de manera genérica, sin motivar
qué medidas habría adoptado. En caso de referirse, como parece plausible, al
fortalecimiento del procedimiento de contraseñas, por muy loable que esta actuación
sea, resulta claro que no evita ni palia los daños sufridos por el afectado, toda vez que
la confidencialidad de sus datos ya se había visto vulnerada. La evitación de futuros
incidentes en nada atenúa ni palia los daños que suponen la pérdida del poder de
disposición de sus datos personales.
No resulta posible, en consecuencia, aplicar esta circunstancia atenuante.
- En ningún momento se habrían tratado categorías especiales de datos
(Art.83.2 g).
Como ya se ha indicado, se trata esta circunstancia una de las previstas en la
guía de multas para la determinación de la cuantía básica. En esta resolución
se explicitan cuáles habrían sido los datos personales afectados, a efectos de
ser tenidos en cuenta en la determinación de la cuantía
- El grado de cooperación de AXA con la AEPD con el fin de poner remedio a
una supuesta infracción y mitigar sus posibles efectos adversos: alega, que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/53
ha contestado en tiempo y forma a todos los requerimientos de información
solicitados por esta Agencia, en línea con la práctica habitual de esta mercantil
de total colaboración con la autoridad de protección de datos (Art. 83.2 f)
RGPD).
A este respecto, los apartados 96 y 97 de la Guía de multas imponen un doble
requisito para que esta circunstancia pueda aplicarse como atenuante. En
primer lugar, como la propia parte reclamada indica en sus alegaciones, que la
cooperación vaya más allá del deber ordinario de colaboración con la autoridad
de control. En efecto, la Guía señala que debe considerarse que el deber
ordinario de cooperación es obligatorio y, por lo tanto, debe considerarse
neutral (y no un factor atenuante).
En este caso, todas las actuaciones que podrían ser calificadas como
“cooperación” con la autoridad de control se enmarcan dentro del deber de
colaboración. En este sentido, la información y documentación aportada lo han
sido en contestaciones a requerimientos de esta Agencia.
El segundo requisito consiste en que la colaboración haya tenido como efecto
“limitar o evitar las consecuencias negativas para los derechos de los
particulares que de otro modo podrían haberse producido”. Lo que como
hemos visto no sucede en este caso, toda vez que las actuaciones han tenido
como objetivo restaurar el servicio y evitar futuros incidentes, pero no evitar o
paliar los daños sufridos por los afectados, cuyo poder de disposición sobre sus
datos personales se había ya visto afectado.
Así lo declara la Sentencia de la Audiencia Nacional de 10/02/2023, que afirma:
“Las atenuantes alegadas no son de aplicación al caso; así la pretendida
colaboración con la AEPD se produce casi dos meses después de la
infracción en respuesta a una solicitud de información por la propia
Agencia y resultaba inocua para poner remedio a la infracción o mitigar sus
posibles efectos adversos, como exige el art. 83.2 f) RGPD; en cuanto a la
ausencia de conducta culposa o negligente, ha quedado acreditada la
conducta negligente en el tratamiento de datos, que constituye el elemento
culposo de la infracción, de modo que tampoco puede atenuar sus efectos
de la infracción.”
Tampoco resulta posible, en consecuencia, aplicar esta circunstancia
atenuante.
- La adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42 (Art. 83.2 j). Adicionalmente a
la información que ya consta en el presente con relación a las medidas
adoptadas por AXA, aportando Certificación ISO/IEC 27001:2013
En relación con esta circunstancia, debe aclararse que esta certificación está
relacionada con el cumplimiento de normas sobre seguridad de la información.
Es decir, se elaboran y aplican desde el punto de vista de los riesgos para la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/53
organización, no de los derechos y libertados de los afectados en sus datos
personales.
De hecho, el apartado 105 de la Guía de multas, en relación con esta
circunstancia, se refiere a los códigos de conducta previstos en el artículo 40 y
siguientes del RGPD. Estos se elaboran bajo la óptica de la protección del
derecho fundamental a la protección de datos y (artículo 38.3 LOPDGDD)
serán aprobados por la autoridad de control. Lo que no sucede en el presente
caso.
No puede aplicarse, en consecuencia, esta atenuante sugerida
- El inexistente beneficio obtenido por parte de AXA en el supuesto de hecho que
ocupa este procedimiento. En todo caso, AXA se habría visto perjudicada,
como ya se ha señalado, siendo parte perjudicada de la actuación irregular de
***EMPRESA.1 (Art. 83.2 k).
Debe afirmarse ya de inicio que este precepto sólo puede considerarse como
agravante, en caso de concurrir la obtención. Este criterio de graduación se
establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.k) del
RGPD, según el cual las multas administrativas se impondrán teniendo en
cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias
del caso, como los beneficios financieros obtenidos o las pérdidas evitadas,
directa o indirectamente, a través de la infracción”, entendiéndose que evitar
una pérdida tiene la misma naturaleza a estos efectos que la obtención de
beneficios.
Si a esto añadimos que las sanciones deberán ser “en cada caso individual”
efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo
83.1 del RGPD, admitir la ausencia de beneficios como una atenuante, no solo
es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c),
sino también contrario a lo establecido en el artículo 83.2.k) del RGPD y a los
principios señalados.
Así, valorar la ausencia de beneficios como una atenuante anularía el efecto
disuasorio de la multa, en la medida en que minora el efecto de las
circunstancias que inciden efectivamente en su cuantificación, reportando al
responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja
artificial de la sanción que puede llevar a entender que infringir la norma sin
obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto
negativo proporcional a la gravedad del hecho infractor.
Es pertinente citar la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, que
indica: “Considera, por otro lado, que debe apreciarse como atenuante la no
comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD
establece que debe tenerse en cuenta para la imposición de la multa
administrativa, entre otras, la circunstancia "e) toda infracción anterior cometida
por el responsable o el encargado del tratamiento". Se trata de una
circunstancia agravante, el hecho de que no concurra el presupuesto para su
aplicación conlleva que no pueda ser tomada en consideración, pero no implica
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/53
ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al
supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del
art. 76.2.c) de la LOPDGDD, esto es, obtener beneficios consecuencia de la
infracción, no permite su aplicación como atenuante.
IV. Alegaciones a la propuesta de resolución y contestación a las mismas
A continuación se analizan y contestan las alegaciones que AXA ha presentado sobre
la propuesta de resolución. Se sigue el orden expositivo del escrito de alegaciones.
PRIMERA. – DE LA CADUCIDAD DE LAS ACTUACIONES PREVIAS DE
INVESTIGACIÓN
Reitera en este apartado AXA una de las alegaciones que ya formuló en relación con
el acuerdo de inicio del procedimiento. Insiste en que el plazo para la realización de
actuaciones previas de investigación por parte de esta Agencia habría caducado antes
del inicio del procedimiento sancionador. Y ello porque considera que el inicio del plazo
(“dies a quo”) se produce en el momento en que recibió el “primer requerimiento” por
parte de esta Agencia. Desde ese momento hasta la notificación del acuerdo de inicio
del procedimiento habría transcurrido un período superior a los 18 meses que
prescribe el artículo 67 LOPDGDD.
En la contestación a dicha alegación, en la propuesta de resolución se indicó que lo
que AXA considera como inicio de las actuaciones previas no es sino el escrito de
traslado de la reclamación, un trámite previsto en el artículo 65.4 de la LOPDGDD y
previo al inicio de las actuaciones previas de investigación. Estas se inician en el
momento de la admisión a trámite (art. 67.2 LOPDGDD).
A este argumento, como decimos ya incluido en la propuesta de resolución, AXA ahora
opone el argumento de que, pese al “criterio formal” de la AEPD de considerar que el
plazo para las API comienza con la admisión a trámite, lo que la AEPD denomina
“traslado” tendrían realmente naturaleza de actuaciones previas de investigación “de
facto”, ya que se requería a su entidad para que contestase un importante número de
cuestiones, lo que implicaría una cierta actividad investigadora.
En relación con esta alegación debe contestarse lo siguiente. Los artículos 64 y
siguientes de la LOPDGDD determinan cuál es el procedimiento que la AEPD debe
seguir para la tramitación de las reclamaciones que reciba por presunta vulneración de
la normativa sobre protección de datos personales. Y para ello establece varias fases
claramente diferenciadas:
- En primer lugar, hay un juicio sobre admisibilidad a trámite de la reclamación.
Los apartados 2 y 3 del artículo 65 establecen las causas de inadmisibilidad a
trámite. Y de cara a la adopción de la decisión sobre dicha admisión, el
apartado 4 del mencionado artículo establece un trámite facultativo, cual es el
traslado de la reclamación al responsable del tratamiento, de modo que, en su
contestación, este pueda transmitir información y documentación que
contribuya a la adopción de dicha decisión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/53
- En segundo lugar, tras la admisión a trámite, en caso de que la AEPD
considere que son necesarias gestiones adicionales para adoptar una decisión,
ya sobre el inicio de posible procedimiento sancionador o, por el contrario, el
archivo de actuaciones, la Agencia puede abrir un período de actuaciones
previas de investigación. Este período comienza tras la admisión a trámite y
concluye con la mencionada decisión. Y para ello, el artículo 67 de la
LOPDGDD establece un plazo máximo de 18 meses
- Finalmente, el propio procedimiento sancionador, que, en caso de realizarse
actuaciones previas, comenzará tras estas mediante el acuerdo de inicio y
tiene un plazo máximo de 12 meses (artículo 64.2 LOPDGDD).
Pues bien, todas esas fases procedimentales han sido seguidas en el presente
procedimiento. En primer lugar, una vez recibida la reclamación, con fecha de
17/07/2023 fue trasladada a AXA, con objeto de que aportara información y
documentación de cara a la decisión sobre admisión a trámite.
La reclamación fue admitida a trámite por el transcurso de los tres meses desde su
interposición (artículo 65.5 LOPDGDD). Y dicha admisión fue oportunamente notificada
a la parte reclamante, como dispone ese mismo apartado.
Tras la admisión a trámite se determinó la necesidad de realizar actuaciones previas
de investigación. Y ello dio lugar a dos requerimientos sucesivos de la AEPD a AXA
(fechas 18/01/24 y 21/06/24). Tras ello, se emitió el informe final sobre las actuaciones
previas de investigación (18/07/24) y finalmente se determinó la apertura de
procedimiento sancionador mediante acuerdo de inicio de 25/02/25.
Se han seguido escrupulosamente todas las fases procedimentales. Y como se motivó
en la contestación a las alegaciones al acuerdo de inicio, no se habría producido la
caducidad de las actuaciones previas de investigación, ya que la admisión a trámite
tiene la fecha de 28/08/24 y la notificación del acuerdo de inicio se produjo el 25/02/25.
A esto opone ahora AXA que, si bien formalmente ese sería el procedimiento
establecido y seguido por esta Agencia, se estaría utilizando un criterio “formalista”, ya
que considera que, de hecho, la solicitud de información que la AEPD hizo en el
trámite del traslado verdaderamente podría ser considerada como parte de unas
actuaciones previas de investigación.
Pues bien, ello no es así. El artículo 65.4, respecto al trámite del traslado de la
reclamación indica que:
“4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia
Española de Protección de Datos podrá remitir la misma al delegado de
protección de datos que hubiera, en su caso, designado el responsable o
encargado del tratamiento, al organismo de supervisión establecido para la
aplicación de los códigos de conducta o al organismo que asuma las funciones
de resolución extrajudicial de conflictos a los efectos previstos en los artículos 37
y 38.2 de esta ley orgánica.(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
35/53
Si como consecuencia de dichas actuaciones de remisión, el responsable o
encargado del tratamiento demuestra haber adoptado medidas para el
cumplimiento de la normativa aplicable, la Agencia Española de Protección de
Datos podrá inadmitir a trámite la reclamación.”
Así lo hizo esta Agencia, remitiendo a AXA los datos de la reclamación para que
pudiera argumentar en su defensa. Lo más importante es que en la solicitud dirigida a
AXA se indica:
“De conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre,
de Protección de Datos Personales y Garantía de los Derechos Digitales (en
adelante, LOPDGDD), que ha previsto un mecanismo previo a la admisión a
trámite de las reclamaciones que se formulen ante la Agencia Española de
Protección de Datos, que consiste en dar traslado de las mismas a los
Delegados de Protección de Datos designados por los responsables o
encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada
norma, o a éstos cuando no los hubieren designado, para que procedan al
análisis de dichas reclamaciones y a dar respuesta en el plazo de un mes, se
envía extractada la información relevante contenida en la reclamación formulada
que a continuación se indica.”
El escrito deja claro que esta actuación se inserta dentro del trámite de decisión sobre
la admisión a trámite. Y tras este trámite se decretó tal admisión a trámite. En relación
con el contenido de la solicitud de información, no puede afirmarse que su grado de
exhaustividad y concreción sean tales que “de facto” impliquen la realización de una
investigación, toda vez que se formula en términos muy genéricos:
- Aportación de los informes técnicos o recomendaciones elaborados por el
Delegado de Protección de Datos o por el responsable de seguridad,
cualquiera que fuera su formato, respecto de los tratamientos sobre los que se
solicita información, así como sobre las acciones posteriores adoptadas o su
ausencia, derivadas de los citados informes técnicos o recomendaciones.
- La decisión adoptada a propósito de esta reclamación.
- Informe sobre las causas que han motivado la incidencia que ha originado la
reclamación.
- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias
similares, fechas de implantación y controles efectuados para comprobar su
eficacia.
- Cualquier otra que considere relevante.”
Con posterioridad, también es preciso reseñar que los dos requerimientos realizados
por la AEPD en el seno de las actuaciones previas de investigación también reflejan de
manera clara y precisa el trámite en el que nos encontramos. En ambos documentos
se indica que:
“En el marco de las actuaciones practicadas por la Subdirección General de
Inspección de Datos con objeto de aclarar ciertos hechos de los cuales ha tenido
conocimiento esta Agencia Española de Protección de Datos, y en uso de las
facultades conferidas por el artículo 58.1 del Reglamento (UE) 2016/679 del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
36/53
Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la
protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos y por el que se deroga la
Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante
RGPD), y el art. 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección
de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD) se solicita que en el plazo de diez días hábiles presente la siguiente
información”
Se menciona expresamente el artículo 67 de la LOPDGDD, que regula la fase de
actuaciones previas de investigación. También es importante señalar que los escritos
de requerimiento finalizan con la advertencia siguiente:
“El incumplimiento de esa obligación podría comportar la comisión de la infracción
tipificada en el art. 72.1.ñ) de la LOPDGDD, que se sancionará de acuerdo con el art.
58.2 del RGPD.”
El artículo 72.1.ñ) califica a efectos de prescripción la infracción consistente en
“ ñ) No facilitar el acceso del personal de la autoridad de protección de datos
competente a los datos personales, información, locales, equipos y medios de
tratamiento que sean requeridos por la autoridad de protección de datos para el
ejercicio de sus poderes de investigación.”
Obsérvese que esta advertencia no figura en el escrito de traslado de la reclamación
porque no se encontraba dentro de la fase de investigación, sino la de traslado previo
de cara a la decisión sobre admisión a trámite.
Por todo ello, debe concluirse que el traslado de la reclamación, ni por motivos de
forma ni de fondo constituyen un trámite de “actuaciones previas de investigación”,
sino que, además de un trámite potestativo como señala el art. 65.4 de la LOPDGDD,
su finalidad es aclarar las circunstancias señaladas en la reclamación al objeto de
proceder o no a su admisión a trámite. Y con ello, tal y como preceptúa el artículo 67.2
de dicha ley, el plazo para la realización de dichas actuaciones previas comienza a
contar en el momento de la admisión a trámite.
SEGUNDA. – SOBRE EL SUPUESTO DE HECHO
En relación con el supuesto de hecho que da lugar a la comisión de la infracción, AXA
realiza las siguientes consideraciones:
En cuanto a la duración de la infracción, AXA solo reconoce dos accesos puntuales y
concretos: día 22/05/23 en que se produjo el cambio de contraseña, y día 27/06/23 en
que consta un “último acceso”. Se trataría únicamente de dos accesos concretos, sin
que estos se hayan producido de manera continuada en el tiempo. Con ello, afirma
AXA, no podría considerarse constatada una “duración de la infracción” de un mes.
Posible recurrencia de hechos como los analizados. En este apartado, AXA se refiere
al correo electrónico mediante el cual un agente de dicha empresa contestó a la parte
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
37/53
reclamante. En el mismo se afirmaba que hechos como los que han dado lugar al
presente procedimiento eran recurrentes. Dicha afirmación, indica AXA, no sería cierta.
El agente la habría incluido con el ánimo de “transmitir cierta tranquilidad” al cliente y
en todo caso, dicho agente no estaría en posesión de esa información.
Se refiere asimismo AXA al pleito civil que ha mantenido con ***EMPRESA.1. De
acuerdo con la Sentencia de 16/07/24 (que no ha sido aportada al procedimiento) el
tribunal declara probada “la concurrencia de causa justa que motivó la resolución
contractual”
Todos estos aspectos, alega AXA, deben ser tenidos en consideración, ya que tienen
impacto considerable en su posible responsabilidad. Finaliza indicando que la AEPD
no puede tener en cuenta ningún hecho que no se encuentre acreditado
documentalmente
En relación con esta alegación debe contestarse lo siguiente: en primer lugar, se
desconoce a qué efectos se realiza la alegación de la duración de la infracción. En la
misma, AXA insiste en que no se habrían producido unos accesos continuados a los
datos personales durante el período transcurrido entre el cambio de la contraseña
(22/05/23) y el último acceso registrado (27/06/23). Por el contrario, indica AXA, solo
estarían constatados esos dos accesos concretos.
En esta alegación, AXA no niega que los accesos se produjeran (de hecho, más tarde
reconoce que se produjo la pérdida de confidencialidad de los datos, si bien de
manera puntual). Por otro lado, en la propuesta de resolución no se tomaba en
consideración la duración de la infracción para la determinación de la cuantía. Ni se
hace tampoco en esta resolución.
En todo caso, aun en el caso de que los accesos se produjeran de manera puntual y
concreta, queda claro que concurrieron los dos requisitos para que se produzca una
vulneración del artículo 5.1.f) del RGPD: por una parte se produjo el resultado de
pérdida de confidencialidad y por otro la ausencia de medidas eficaces para
salvaguardarla se prolongó durante todo el tiempo, ya que de lo contrario no habría
sido posible el último acceso de 27/06/23.
Tampoco tiene virtualidad alguna en este expediente la alegación relativa al correo
electrónico que el agente de AXA remitió a la parte reclamante. En el mismo, dicho
agente da a entender que hechos como los que han originado este procedimiento son
recurrentes. En todo caso, como decimos, este factor no tiene trascendencia en el
procedimiento, toda vez que se están tomando en consideración solo la pérdida de
confidencialidad asociada a los datos de la parte reclamante y la falta de medidas
técnicas u organizativas que dicha pérdida ha puesto de manifiesto. Y no la posible
recurrencia de los hechos.
Finalmente, el hecho de haber obtenido un pronunciamiento judicial favorable en
relación con la rescisión del contrato con su exagente ***EMPRESA.1 no incide
tampoco en la responsabilidad de AXA. Y ello porque el objeto de los dos
procedimientos (el judicial del orden civil y este sancionador por la vulneración de la
normativa de protección de datos) tienen objetos diferentes. En el presente
procedimiento sancionador se reprocha a AXA la inexistencia de un procedimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
38/53
eficaz y seguro para el cambio de contraseña para el acceso al área de clientes
“MYAXA”. Por su parte, el objeto del pleito civil era la procedencia, o no, de la rescisión
del contrato de agencia entre AXA y ***EMPRESA.1.
Debe rechazarse, por lo tanto, esta alegación
TERCERA. – DE LA SUPUESTA INFRACCIÓN DEL ARTÍCULO 5.1 F)
En general, a lo largo de este extenso apartado, AXA realiza un despliegue argumental
para acreditar que no le puede ser imputada una falta de medidas técnicas u
organizativas para garantizar la integridad y confidencialidad de los datos personales
respecto de los cuales ostenta la condición de responsable del tratamiento.
Comienza indicando que, en relación con la presunta falta de medidas, sus sistemas
de información están diseñados de modo que los agentes de AXA solo tienen acceso a
los datos de pólizas concretas que gestionan. Con ello, los únicos que pueden conocer
los datos necesarios para cumplimentar el procedimiento de cambio de contraseña
son el titular de la póliza y el agente que intervino, mientras esta se encuentra vigente
En la propuesta de resolución, se afirma que AXA debió tener en cuenta el riesgo de
acceso no autorizado que podía producirse por el contexto de la ruptura inamistosa del
contrato. Sin embargo, opina AXA, este hecho nunca puede legitimar un uso ilícito ni
una suplantación dolosa. En relación con dicho riesgo, no cabe presumir que se vaya
a producir una actuación de mala fe del exagente por el mero hecho de que se
produzca la resolución del contrato. De este modo, no se puede afirmar que exista un
riesgo apreciable en que los agentes de AXA pretendan suplantar la identidad de sus
clientes para acceder a su área privada MY AXA
Hace referencia AXA a la Sentencia de la Sección 1º de la Sala de lo Contencioso de
la Audiencia Nacional 1066/2023, de 9 de febrero de 2023, que considera que, en ese
supuesto, concurría culpabilidad de un operador de telecomunicaciones, ya que para
verificar la identidad del cliente solo exigía el dato del nombre y número de teléfono. La
sentencia considera que son datos muy básicos y que debieron exigirse datos
adicionales, si bien no enumera cuáles. Esta sentencia es interpretada por AXA como
como una validación del procedimiento seguido por ella, de exigir el número de póliza
y los 4 últimos dígitos de la cuenta corriente.
Añade AXA que la propia AEPD, en diversas resoluciones y publicaciones, califica los
datos de medios de pago y el nombre de una persona como datos sensibles o con
especial relevancia. Y sin embargo, ahora no los consideraría suficientes para evitar
una suplantación.
Por otra parte, se alega que la AEPD insiste en la propuesta de resolución en que
sería necesario que AXA hubiera aportado un documento que acreditara que por parte
del encargado del tratamiento se procedió a la destrucción y /o devolución de los datos
tratados. A este respecto, afirma que consta en el expediente la declaración de
***EMPRESA.1 de no disponer de los datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
39/53
Continúa alegando que, tras la resolución del contrato, AXA habría dado de baja las
credenciales del exagente. Y en todo caso, la AEPD no aclara qué otras medidas
habría debido adoptar al respecto. En el contrato de encargo se obligaba al encargado
a la devolución o destrucción de los datos. De este modo, habría sido ***EMPRESA.1
quien incumplió las instrucciones al continuar con el tratamiento tras la rescisión
AXA reconoce la pérdida de confidencialidad de los datos personales del reclamante,
pero afirma las medidas eran adecuadas y suficientes. Cuando se tuvo conocimiento
de dicha pérdida se eliminó el usuario del reclamante de MYAXA
Adicionalmente afirma que la web dispone de un sistema de doble autenticación.
Reconoce (como ya se afirmaba en la propuesta de resolución) que es un sistema
voluntario para el cliente, pero si el usuario decide no activarlo, esto no podría derivar
en una responsabilidad sancionadora para AXA por incumplir la normativa
Finalmente indica que se produce una inexistencia de nexo causal entre la
suplantación de identidad de la parte reclamante y el posible despliegue de medidas
que pueda efectuar AXA. Sería teóricamente posible, afirma, que el exagente hubiese
obtenido la información relativa a las credenciales de la reclamante por otros medios,
como a través de ella misma, cuando la contactó telefónicamente. Concluye que no se
habría desplegado ninguna actividad probatoria en este sentido.
En relación con estas alegaciones hay que significar lo siguiente que esta AEPD valora
positivamente la medida relativa a que cada agente concreto solo pueda tener acceso
a las pólizas en las que él mismo haya intervenido. Lo mismo cabe indicar en relación
con la retirada de credenciales tras la resolución del contrato y con la eliminación del
propio usuario de la parte reclamante. Son medidas que, si bien fueron adoptadas con
posterioridad a los hechos objeto de este expediente, son acogidas de forma favorable
y tenidas en cuenta a la hora de imponer la correspondiente sanción en la presente
resolución.
Considera AXA que una ruptura previa inamistosa con su exagente no constituía un
riesgo previsible de mal uso de los datos personales conservados. En efecto, dicho
uso es un riesgo más que previsible a la vista de los antecedentes de rescisión
unilateral del contrato con ***EMPRESA.1 pero ninguna medida se arbitró al respecto.
No obstante, se tiene en cuenta el argumento aportado por AXA según el cual los
datos personales tratados por ***EMPRESA.1 han sido destruidos o devueltos tras la
rescisión del contrato.
Hace referencia AXA a la sentencia de la Audiencia Nacional de 09/02/2023, que
consideró insuficiente la medida de exigir únicamente nombre y número de teléfono.
Dado que en el procedimiento que nos ocupa se exigían datos adicionales (número de
póliza y 4 últimos dígitos de la cuenta corriente), AXA considera que el mismo
“incorpora los requisitos identificados por la Audiencia Nacional como acreditativos de
un despliegue de diligencia suficiente del responsable del tratamiento.”
Realmente la sentencia aludida se limita a establecer que la exigencia de datos tan
básicos para la identificación no cumple con las exigencias de seguridad para la
misma, ya que razonablemente pueden estar en posesión de terceros. Pero no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
40/53
determina qué datos adicionales deberían exigirse. Y lo que es claro es que los datos
exigidos en este supuesto podían estar en poder de un tercero, máxime a la vista de la
ruptura inamistosa previa del contrato y los temores expresados por AXA en sus
alegaciones de desvío de clientes a otras aseguradoras. El procedimiento debió
reforzarse y esto AXA no lo hizo.
Argumenta AXA que esta Agencia considera que datos personales como los relativos a
los medios de pago serían especialmente sensibles, mientras que ahora, siendo
utilizados por ella como medio de autenticación, no los considera suficientes a estos
efectos. En relación con este argumento, debe aclararse que, efectivamente, los
medios de pago pueden propiciar suplantaciones de identidad con efectos de pérdidas
patrimoniales para sus titulares, pero ello en modo alguno significa que un dato como
el número de cuenta corriente sea, per se, suficiente para identificar a un usuario (o en
conjunción con el número de póliza). Es precisa la utilización de datos que garanticen
que estén únicamente en posesión de quien pretende identificarse. Y en este caso,
como hemos visto, existía un riesgo real de que los datos precisos para ello estuvieran
en poder de quien hasta hacía escasas fechas había sido encargado del tratamiento,
seguido de una ruptura inamistosa.
En cuanto al establecimiento de un sistema de doble autenticación como el
establecido por AXA para la identificación en el área web, si bien en el supuesto
analizado no estaba activado, ha de valorarse de forma positiva.
En relación con la actuación dolosa del exagente a la hora de acceder de manera
ilegítima a los datos de la parte reclamante, no constituye este un factor que pueda
tenerse en cuenta para eximir o atenuar la responsabilidad. Se enjuicia cuáles eran las
medidas establecidas para garantizar que el procedimiento de cambio de contraseña
era seguro. Y ello precisamente para evitar que los intentos de accesos ilegítimos a los
datos personales fructifiquen.
Alega AXA que no se habría desplegado una actividad probatoria suficiente para
demostrar que el acceso a los datos de parte reclamante se debiera a la posible falta
de medidas. Esto no es así, sino que constan en el expediente indicios más que
suficientes para acreditar este nexo causal:
- La parte reclamante recibió una llamada telefónica del exagente de AXA
- El mismo día dicha parte reclamante recibió dos SMS de la parte reclamada
facilitando una clave temporal para acceder a su área de cliente. Minutos más
tarde recibe un mensaje de correo electrónico del departamento de seguridad
de la parte reclamada, indicando que han cambiado sus datos de acceso y que
ya puede acceder a su espacio personal
- Estos hechos son incompatibles con la premisa aporta por AXA de que “sería
teóricamente posible que el exagente hubiese obtenido la información relativa
a las credenciales de la reclamante por otros medios, como a través de ella
misma, cuando la contactó telefónicamente”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
41/53
- AXA ha reconocido expresamente que tras realizar las investigaciones
oportunas, el 22 de mayo de 2023 se confirma el cambio de la clave, y que el
27 de junio de 2023 a las 8:35 horas se produce la última entrada en “MYAXA”.
- Asimismo, en el correo electrónico que AXA remite a la parte reclamante se
reconoce literalmente que “Después de la conversación de esta mañana por
asunto de referencia, permítame por favor en primer lugar trasladarle de nuevo
mis disculpas por el trato recibido en nuestras oficinas, producto sin duda de
una situación tensionada por acciones que claramente son, como mínimo, una
ilegal manipulación de sus datos por anteriores gestiones de sus contratos
AXA.”
- Todo ello acompañado de los hechos relativos a la ruptura inamistosa del
contrato de AXA con ***EMPRESA.1 y la inexistencia de un certificado
acreditativo de que por parte de esta última se hubiera procedido a la
destrucción o devolución de los datos personales objeto de tratamiento como
encargado.
Por todos los argumentos aportados, debe rechazarse esta alegación.
CUARTA. - SOBRE EL ROL DEL RESPONSABLE DEL TRATAMIENTO Y LA
RESPONSABILIDAD ASOCIADA
Si bien AXA reconoce que con carácter general las obligaciones del RGPD recaen
sobre el responsable del tratamiento, afirma que también el encargado puede ser
objeto de responsabilidad de acuerdo con el artículo 28.10 del Reglamento, que
establece dicha responsabilidad cuando trate los datos para sus propios fines,
apartándose de las instrucciones del responsable.
En relación con este aspecto, señala que ***EMPRESA.1 habría incumplido el contrato
y conservado los datos. De este modo, reitera AXA, la quiebra de la confidencialidad
no estaría relacionada con una posible falta de medidas, sino por actuación ilícita del
responsable
Concluye AXA afirmando que, en virtud de lo alegado, se estaría imponiendo una
responsabilidad solo por un resultado, ya que se estarían exigiendo “medidas
infalibles”.
En relación con esta alegación, solo cabe insistir en que el objeto de enjuiciamiento en
el presente procedimiento es la falta de medidas técnicas y organizativas para
garantizar un adecuado y seguro procedimiento de cambio de contraseña para el
acceso al área web de clientes MYAXA, responsabilidad de AXA. Como se ha indicado
en la contestación a la alegación anterior, el hecho de que haya habido una actuación
dolosa de un tercero dirigida a conseguir un acceso a los datos personales de
responsabilidad de AXA en modo alguno atenúa, ni mucho menos exime, a dicha
entidad de su responsabilidad en el diseño del procedimiento. Todo lo contrario, de
haber estado dotado este de suficientes medidas protectoras, el acceso no habría
podido producirse.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
42/53
En modo alguno se están exigiendo unas “medidas infalibles” para garantizar la
seguridad de los datos personales. El sistema establecido por el RGPD se basa en la
necesidad de que por parte del responsable del tratamiento se analicen, previamente a
este, los riesgos que pueden concurrir para los derechos y libertades de los titulares
de dichos datos. Y uno de los riesgos más evidentes es el de intento de acceso
externo no autorizado a los mismos. Situación que se materializó de acuerdo con los
hechos probados del presente procedimiento.
Por todo ello, debe desestimarse esta alegación.
QUINTA. – SOBRE LA DENUNCIA INTERPUESTA CONTRA ***EMPRESA.1
Afirma AXA que el 10/07/25 interpuso una denuncia penal contra ***EMPRESA.1. Ello
por detectar que presuntamente se estaba produciendo el desvío sistemático de la
cartera de clientes que gestionaba hacia otra entidad, ***EMPRESA.3.
Esto no haría sino demostrar, según AXA que la actuación de ***EMPRESA.1 fue
deliberada, ilícita y dolosa. Todo ello ratificado, además, por la sentencia del Orden
civil ya producida y que dio la razón a AXA en relación con la rescisión del contrato.
Nada nuevo aporta esta alegación sobre las anteriores, ya que se limita a intentar
desplazar la responsabilidad al exagente, lo cual ha quedado ya rebatido en apartados
anteriores.
SEXTA. – SOBRE EL CRITERIO DE LA AEPD EN PREVIAS RESOLUCIONES
ASIMILABLES
En este apartado, AXA menciona un precedente (sin detallar referencias, ni fechas ni
dato alguno que permita su localización) en que la AEPD habría archivado una
reclamación contra la propia AXA, debido, según afirma, a que medió actuación dolosa
por parte de un exagente.
A falta de mayor concreción en relación con los hechos o la identificación del
procedimiento, no resulta posible pronunciarse sobre esta alegación. En todo caso, en
la presente resolución se motiva sobradamente la atribución de responsabilidad a
AXA, en función de los factores y documentación concurren en el procedimiento.
SÉPTIMA. – PROPORCIONALIDAD DE LA SANCIÓN
En relación con la cuantía de la sanción, alega lo siguiente, en primer lugar, discrepa
sobre ciertas circunstancias que, a juicio de AXA, habrían sido tomadas en
consideración como agravantes. Y en segundo, propone algunas otras que debieran
ser tenidas en cuenta como atenuantes.
Se observa que la práctica totalidad de alegaciones a este respecto son mera
repetición de las ya efectuadas en el escrito de alegaciones al acuerdo de inicio.
Únicamente una de las circunstancias resulta novedosa y pasa a contestarse a
continuación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
43/53
En relación con la circunstancia de la gravedad de la infracción (artículo 83.2.a)
RGPD), AXA afirma que, en relación con el número de afectados, no puede utilizarse
el criterio de los clientes “potenciales afectados”, sino que solo debería tenerse en
cuenta al único cliente realmente afectado.
A este respecto, si bien una falta de medidas técnicas y organizativas para garantizar
la confidencialidad e integridad de los datos personales afectaría a la totalidad de
datos tratados, acogemos el argumento presentado de contrario en el sentido de que
sólo ha quedado acreditada la afectación a un único interesado.
En consecuencia, debe estimarse parcialmente la alegación
V. Obligación incumplida. Artículo 5.1.f) RGPD Integridad y confidencialidad
La letra f) del artículo 5.1 del RGPD propugna:
"1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»)."
En relación con este principio, el Considerando 39 del referido RGPD señala que:
“[…]Los datos personales deben tratarse de un modo que garantice una seguridad y
confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso
o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”.
En el presente caso, al no gestionar adecuadamente el proceso de cambio o
modificación del cambio de contraseña de acceso en el área cliente de la reclamante,
AXA asignó nueva contraseña a un tercero. Esta información permitió al tercero
acceder al área cliente “MYAXA” de la parte reclamante, tomando el control de la
misma.
En el presente caso, consta que el 22 de mayo de 2023 la parte reclamante recibe dos
SMS de AXA facilitándole una clave temporal en un primer momento y, más tarde, un
email donde se confirma que sus datos de acceso a su área cliente “MYAXA” han sido
modificados con éxito. La reclamante se puso en contacto con AXA para advertir de
esta situación.
AXA comprueba que ese mismo día se produjo el cambio de contraseña en el área
cliente de la reclamante y así consta en el expediente.
Puesto que la reclamante no cambió su contraseña y no accedió a su área cliente con
esa nueva contraseña, AXA manifiesta que cabe afirmar el probable acceso indebido
por ***EMPRESA.1, con la finalidad de recabar la información de las pólizas en curso
de la reclamada y de los precios asociados, con el fin de poder ofertarle pólizas de
seguros al mismo precio, tal y como avanzó en la llamada telefónica que efectuó a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
44/53
reclamante el 22 de mayo de 2023. Cabe señalar que esta llamada se produce el
mismo día en que se realiza el cambio de contraseña no autorizado ni consentido.
***EMPRESA.1 del mismo modo que habría contactado con la reclamante, podría
haber cambiado la clave de acceso de la afectada para acceder a su área de cliente
en AXA al ser conocedor, como antiguo gestor de sus seguros con AXA, de los datos
de la afectada necesarios para ello (incluidos el número de póliza y últimos cuatro
dígitos de la cuenta bancaria para el cambio de clave).
En consecuencia, es evidente que ha habido un tratamiento no autorizado de los datos
de la reclamante, consistente en una pérdida de confidencialidad de los mismos,
mediante el acceso de un tercero a su área cliente “MYAXA” y así lo reconoce AXA.
Con ello se ha constatado la pérdida de confidencialidad de los datos personales de la
parte reclamante.
En relación con las medidas necesarias para garantizar dicha confidencialidad, resulta
necesario señalar que el citado precepto no establece un listado de medidas de
seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que
establece la obligación de que el responsable aplique medidas técnicas y
organizativas que sean adecuadas al riesgo que conlleve dicho tratamiento, teniendo
en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance,
contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los
derechos y libertades de las personas interesadas.
Asimismo, las medidas deben resultar adecuadas y proporcionadas al riesgo
detectado, determinando aquellas medidas técnicas y organizativas adecuadas
teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la
confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la
disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no
auditoría), evaluación y valoración de la eficacia de las medidas.
En todo caso, al evaluar la adecuación del nivel de protección se debe tener
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.
Por su parte, el considerando 83 del RGPD señala que “(83) A fin de mantener la
seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento,
el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y
aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un
nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el
estado de la técnica y el coste de su aplicación con respecto a los riesgos y la
naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en
relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se
derivan del tratamiento de los datos personales, como la destrucción, pérdida o
alteración accidental o ilícita de datos personales transmitidos, conservados o tratados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
45/53
de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles
en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”.
En el presente caso, consta que AXA contaba con el siguiente proceso de cambio de
contraseña en la aplicación MYAXA, en el momento de los hechos:
• En la primera pantalla de acceso a MYAXA puede observarse la necesidad de
introducir NIF y contraseña del usuario. En caso de no recordarla, se da la opción de
clicar en “Olvidé mi contraseña”.
• Después de pulsar en “Olvidé mi contraseña” se solicita nuevamente el NIF y a
continuación se indica que se ha enviado una contraseña temporal al medio facilitado
por el cliente. Teniendo en cuenta que ***EMPRESA.1 no tiene acceso a la bandeja de
entrada del correo electrónico de la reclamante, tuvo que pinchar la opción de “No he
recibido mi código de verificación”.
• En ese momento se vuelve a enviar una contraseña temporal al medio alternativo
facilitado en su día por la reclamante (SMS a su teléfono móvil). Dado que
***EMPRESA.1 tampoco tiene acceso al móvil de la reclamante, debió pulsar
nuevamente la opción “No he recibido mi código de verificación”.
• La siguiente pantalla que aparece al darle a esa opción son unas preguntas de
seguridad, cuya información en este caso es del todo probable que sea conocida por
***EMPRESA.1 (Número de póliza y los últimos 4 dígitos de su forma de pago).
• Es en ese momento cuando una vez introducidos esos datos, se da la opción de
cambiar la contraseña.
Es evidente que, AXA tenía unas carencias importantes y no contaba con las garantías
necesarias para garantizar la seguridad en el tratamiento de los datos personales; ya
que, conociendo únicamente el Número de póliza y los últimos 4 dígitos de su forma
de pago (datos fácilmente accesibles a los trabajadores y encargados del tratamiento)
era posible suplantar la identidad de los clientes.
Carencia que queda evidenciada en el hecho de que, AXA ha implementado como
medida dentro del proceso de cambio de contraseñas en MYAXA, la sustitución del
apartado de preguntas de seguridad por una nueva pantalla en la cual se indica un
error del sistema, derivando al usuario a un teléfono de atención al cliente.
AXA manifiesta que de este modo, si la persona que está intentando entrar en la
cuenta del área cliente no recuerda su contraseña y no ha recibido correctamente los
códigos de verificación en los medios facilitados, deberá ponerse en contacto con el
teléfono de atención al cliente, evitando de esta manera la posible suplantación de
identidad de un tercero que pudiera tener información sobre las pólizas en vigor del
cliente. Una medida cuya solvencia, no obstante, no quedaría garantizada si la
verificación posterior a cargo del servicio de atención al cliente no se fundamenta en
medidas que garanticen la protección de los datos personales.
También indica que han decidido adoptar como medida complementaria la eliminación
del usuario de la reclamante en la aplicación “MYAXA”, por lo que, si la reclamante
quisiera acceder a su área cliente, deberá volver a iniciar el proceso de registro en la
aplicación con unas nuevas credenciales.
En este punto resulta relevante lo indicado en la Sentencia de la Audiencia Nacional
dictada el 11 de abril de 2025 en el recurso 793/2022, en el siguiente sentido:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
46/53
Constituyendo en definitiva otra prueba de que las medidas de seguridad en el
momento en que se produjeron los hechos no eran las adecuadas, la prueba de que
se produjo un cambio en dichas medidas, tal y como se resalta en la misma
declaración de hechos probados de la resolución impugnada (…)
Así, puede afirmarse que las carencias detectadas constituyen un error sistémico o de
procedimiento que denota la falta de diligencia de la reclamada en el establecimiento
de garantías en el tratamiento de los datos personales de sus clientes que se realiza,
de tal manera que los principios que deben preservarse en dicho tratamiento-
especialmente en este caso el de confidencialidad de los datos- sean garantizados. De
conformidad con las evidencias de las que se dispone se considera que los hechos
conocidos son constitutivos de una infracción, imputable a AXA, por vulneración del
artículo 5.1.f) del RGPD.
Debe tenerse en cuenta especialmente el contexto de ruptura previa inamistosa de
AXA con su exagente. Esta circunstancia constituía un es un riesgo más que previsible
a la vista de los antecedentes de rescisión unilateral del contrato con ***EMPRESA.1.
Y ninguna medida se arbitró al respecto. Bastaría con haber introducido algún factor
identificativo adicional (a modo de ejemplo, un dato que solo se encuentre en posesión
del cliente y no del exagente) para eliminar ese riesgo. Ello además reforzado por el
hecho de que AXA no ha aportado ningún certificado ni acreditación documental de
que los datos personales tratados por ***EMPRESA.1 hubieran sido destruidos o
devueltos tras la rescisión del contrato.
El mencionado riesgo era previsible hasta el extremo que en sus propias alegaciones
a la propuesta de resolución, AXA afirma que constató el desvío de clientes que se
estaba produciendo desde AXA hacia una correduría de seguros. Al referirse a la
rescisión del contrato con ***EMPRESA.1 afirma:
“Esta resolución se hizo inevitable al haberse constatado que el exagente había
decidido —y, de hecho, ejecutado— el desvío sistemático de la cartera de
clientes que gestionaba hacia la entidad ***EMPRESA.3., infringiendo de forma
flagrante el pacto de exclusividad que rige la figura del agente exclusivo.
Asimismo, tras la resolución contractual, todos los empleados de la agencia
pasaron a trabajar para COSNOR, lo que fue acompañado de una ola de
cancelaciones de pólizas vinculadas a AXA, gestionadas anteriormente por
***EMPRESA.1.”
Por todo ello, la posibilidad de tratamiento no autorizado de datos personales por parte
del exagente no solo era un riesgo previsible, sino realmente previsto por AXA. A pesar
de lo cual no adoptó medidas para evitar que se llevara a la práctica, dejando un
procedimiento de identificación que posibilitaba accesos no autorizados a quien
dispusiese, como el exagente, de datos asociados a las pólizas de clientes.
VI. Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción
El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
47/53
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;
c) las transferencias de datos personales a un destinatario en un tercer país o una
organización internacional a tenor de los artículos 44 a 49;
d) toda obligación en virtud del Derecho de los Estados miembros que se adopte con
arreglo al capítulo IX;
e) el incumplimiento de una resolución o de una limitación temporal o definitiva del
tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control
con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del
artículo 58, apartado 1."
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:
"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679."
VII. Sanción por la infracción del artículo 5.1.f) RGPD
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
48/53
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. h) El
sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de multa, además de la adopción de medidas, si
procede.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
49/53
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de AXA de
553 millones de euros en el año 2024. El importe máximo de la multa podría ascender
a 22.120.000 euros.
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se
considera que procede graduar la sanción a imponer de acuerdo con las
circunstancias siguientes, contempladas en los preceptos antes citados.
Con carácter previo, se estima que concurren las circunstancias siguientes:
La naturaleza y gravedad de la infracción, teniendo en cuenta el número de
interesados (artículo 83.2, letra a). En este caso, si bien la falta de medidas
podría afectar a todos los clientes de AXA, en el caso que nos ocupa ha
quedado acreditada la afectación a un único interesado.
Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD):
En este mismo sentido, el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración
del grado de diligencia ha de ponderarse especialmente la profesionalidad o no
del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la
actividad de la recurrente es de constante y abundante manejo de datos de
carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse
a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de
17/10/2007 (rec. 63/2006)]
Las categorías de datos de carácter personal afectados por la infracción
(artículo 83.2 g).
La falta de medidas técnicas y organizativas de seguridad apropiadas afecta a
datos especialmente relevantes para los afectados, incluidos datos de
naturaleza financiera, como métodos de pago.
Así, de acuerdo con el apartado 57 de las Directrices 4/2022 del Comité
Europeo de Protección de Datos sobre el cálculo de multas:
En cuanto al requisito de tener en cuenta las categorías de los datos
personales afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD
destaca claramente los tipos de datos que merecen una protección especial y,
por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se
refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10
del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya
difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo,
datos de localización, datos sobre comunicaciones privadas, números de
identificación nacionales o datos financieros, como resúmenes de operaciones
o números de tarjetas de crédito).En general, cuantas más de estas categorías
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
50/53
de datos estén implicadas o más sensibles sean los datos, más peso podrá
atribuir la autoridad de control a este factor.
Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:
La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD.
AXA, en ejercicio de su actividad, gestiona tanto sus seguros como su
protección financiera, ahorros e inversiones inmobiliarias dando servicio a las
necesidades financieras de clientes, particulares y empresas. Es por ello por
lo que la adopción de medidas de seguridad de carácter técnico y
organizativo deviene indispensable para la garantía del tratamiento de datos
personales que realiza.
En consecuencia y a efectos del cumplimiento de los requisitos legalmente
establecidos, el ejercicio de dicha actividad implica necesariamente el
conocimiento y aplicación de la normativa vigente en materia de protección de
datos personales.
Además, se consideran el siguiente factor de graduación en calidad de atenuante
según el artículo 83.2 del RGPD:
Cualquier otro factor agravante o atenuante aplicable a las
circunstancias del caso, como los beneficios financieros obtenidos o las
pérdidas evitadas, directa o indirectamente, a través de la infracción” (artículo
83.2.k) del RGPD: La valoración del comportamiento de AXA, en este caso,
exige considerar las acciones llevadas a cabo por dicha entidad dirigidas al
cumplimiento de lo establecido en el RGPD y LOPDGDD, en consideración al
principio de mejora continua.
Sin obviar que esa mejora continua es una obligación exigible a los
responsables del tratamiento, se estima oportuno considerar la actitud
mostrada por AXA que, a lo largo de las actuaciones, ha informado de la
implantación de diversas medidas destinadas al cumplimiento de la normativa
de protección de datos.
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se
considera que el balance de las circunstancias contempladas en el artículo 83.2 del
RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 5.1.f) del RGPD, permite fijar una sanción de multa
administrativa de DOSCIENTOS MIL EUROS (200.000€).
VIII. Medidas correctivas
La resolución que se dicte podrá establecer las medidas correctivas que la entidad
infractora deberá adoptar para poner fin al incumplimiento de la legislación de
protección de datos personales, en este caso de los artículos 5 y 25 del RGPD, de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
51/53
acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el cual cada
autoridad de control podrá “ordenar al responsable o encargado del tratamiento que
las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…”
Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.
En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.
No obstante, en este caso, con independencia de lo anterior, en la resolución que se
adopte se podrá requerir a AXA para que, en el plazo máximo de seis meses, a contar
desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento,
adopte las medidas siguientes:
Acreditar la aplicación efectiva de las medidas técnicas y organizativas de
seguridad adecuadas, no solo para cumplir con la normativa, sino para
demostrar su cumplimiento antes las autoridades de control e interesados.
La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos
RESUELVE:
PRIMERO: IMPONER a AXA SEGUROS GENERALES, S.A. DE SEGUROS Y
REASEGUROS, con NIF A60917978, por una infracción del artículo 5.1.f) del RGPD,
tipificada en el Artículo 83.5 del RGPD, una multa de 200.000,00 euros (doscientos mil
euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
52/53
SEGUNDO. Archivar las actuaciones en relación con la posible infracción del artículo
32 del RGPD, tipificada en el artículo 83.4 del mismo.
TERCERO: ORDENAR a AXA SEGUROS GENERALES, S.A. DE SEGUROS Y
REASEGUROS, que en virtud del artículo 58.2.d) del RGPD, en el plazo máximo de
SEIS MESES desde que la presente resolución sea firme y ejecutiva, acredite haber
procedido al cumplimiento de la medida siguiente:
Aplicación efectiva de las medidas técnicas y organizativas de seguridad adecuadas,
no solo para cumplir con la normativa, sino para demostrar su cumplimiento antes las
autoridades de control e interesados.
CUARTO: NOTIFICAR la presente resolución a AXA SEGUROS GENERALES, S.A.
DE SEGUROS Y REASEGUROS.
QUINTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
53/53
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es