Iustel
El tratamiento de datos se materializó en el cargo en cuenta corriente de la cantidad correspondiente a la póliza de seguro, primero en la de titularidad del denunciante y después en la de una sociedad -que tenía otro vehículo asegurado con la misma entidad recurrente- y de la que el denunciante era administrador. Considera la Sala que los datos personales del denunciante fueron tratados sin su consentimiento por la Aseguradora, pues había manifestado la voluntad de no renovar la póliza por lo que a partir de ese momento cualquier tratamiento de datos derivados de tal póliza del seguro, no renovada, carecía del consentimiento de su titular.
AUDIENCIA NACIONAL
Sala de lo Contencioso-Administrativo
Sección 1.ª
Sentencia de 19 de junio de 2018
RECURSO Núm: 936/2016
Ponente Excmo. Sr. MARIA NIEVES BUISAN GARCIA
Madrid, a diecinueve de junio de dos mil dieciocho.
Vistos por la Sala, constituida por los Sres. Magistrados reseñados al margen, los autos del recurso contencioso-administrativo número 936/2016, interpuesto por la Procuradora de los Tribunales doña Alicia Casado Deleito, en nombre y representación de MAPFRE ESPAÑA, COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A., contra la Resolución de la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS de 11 de octubre de 2016 (PS/00195/2016) que acuerda imponer a dicha entidad una sanción. Ha sido parte demandada LA ADMINISTRACIÓN DEL ESTADO, representada por el Abogado del Estado. La cuantía del recurso se fijó en 40.001 euros.
ANTECEDENTES DE HECHO
PRIMERO.- Por la entidad recurrente se interpuso recurso contencioso administrativo ante esta Sala, mediante escrito presentado el 16 de diciembre de 2016, del que se acordó su tramitación de conformidad con las normas establecidas en la Ley 29/1998, y la reclamación del expediente administrativo.
SEGUNDO.- En el momento procesal oportuno tal entidad actora formalizó la demanda mediante escrito presentado el 25 de mayo de 2018 en el que, tras alegar los hechos y fundamentos de derecho que estimó procedentes, terminó suplicando se dictara sentencia en la que, con estimación del recurso, declare la disconformidad a derecho de la resolución administrativa de la Agencia Española de Protección de Datos, revocando la sanción de 40.001 euros impuesta a Mapfre España, anulándola y dejándola sin efecto alguno y declarando la nulidad del acto recurrido por no ser ajustado a derecho o, subsidiariamente, se acuerde la aplicación de las reglas de proporcionalidad y ponderación establecidas en la LOPD, reduciendo el importe de la sanción impuesta en los términos expuestos en la demanda, con expresa imposición de costas a la parte demandada.
TERCERO.- El Sr. Abogado del Estado contestó la demanda mediante escrito presentado el 6 de julio de 2017 en el que, tras alegar los hechos y los fundamentos jurídicos que estimó aplicables, terminó suplicando se dictara sentencia en la que se desestimara el recurso confirmando íntegramente la resolución impugnada por ser ajustada a Derecho, con expresa condena en costas a la parte recurrente.
CUARTO.- Habiéndose acordado el recibimiento a prueba, se practicó la prueba documental propuesta y admitida, con el resultado que figura en autos, y no considerándose necesaria la celebración de vista pública, se dio trámite de conclusiones a las partes, trámite que evacuaron por su orden, primero la defensa de la entidad actora y después el Abogado del Estado, mediante escritos en los que concretaron y reiteraron sus respectivos pedimentos.
QUINTO.- Co nclusas las actuaciones, quedaron pendientes de señalamiento para votación y fallo, fijándose al efecto el día 5 de junio de 2018, fecha en que ha tenido lugar la deliberación y votación, habiendo sido ponente la Ilma. Magistrada doña NIEVES BUISAN GARCÍA, quien expresa el parecer de la Sala.
FUNDAMENTOS DE DERECHO
PRIMERO. Se impugna en el presente recurso contencioso-administrativo por Compañía de Seguros y Reaseguros SA, la resolución de la Agencia Española de Protección de Datos de 11 de octubre de 2016 (PS/0195/2016) en la que se condena a dicha entidad, por una infracción del artículo 6.1 LOPD, tipificada como grave en el artículo 44.3.b) de dicha norma, a una multa de 40.001 € (cuarenta mil un euros)de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica.
Resolución que declara como principales hechos probados, los que a continuación se exponen:
1.º. D. Maximo suscribió con Mapfre un seguro del vehículo matricula....KQN abonando las cuotas del mismo en una cuanta del Banco Espíritu Santo (Novo Banco).
2.º. Moraga Consulting SL suscribió un seguro del vehículo matrícula.... PMR el 23/02/2008, abonando las cuotas en una cuenta de La Caixa.
3.º. El 9/06/2014 el denunciante se dirige a Mapfre solicitando "no renovar la póliza del vehículo matricula....KQN, rellenando en la casilla de detalle del motivo: vendido el coche.
4.º. El 9/06/2014 el Área de clientes de Mapfre envía un correo electrónico al denunciante acusando recibo de su comunicación e informándole de que se trasladaba su petición a su Agente/Mediador.
5.º. El siguiente mes de agosto de 2014 Mapfre pasó al cobro la cantidad de 314,62 €, a la cuenta del denunciante, en concepto de pago de su póliza de seguro.
6.º. En el mes de septiembre de 2014 Mapfre pasó al cobro la cantidad de 314,62 €, a la cuenta de Moraga Consulting SL, en concepto de pago de su póliza de seguro.
7.º. Con fechas de 3 de octubre, 25 de noviembre y 30 de diciembre de 2014 la abogada del denunciante se dirige a Mapfre, mediante carta, burofax y correo electrónico. La carta argumenta que al pasar la aseguradora al cobro el recibo anual de agosto a la cuenta de dicho Maximo y ser devuelto el pago del recibo, Mapfre gira el cobro a la cuenta de la entidad Moraga, de la que aquel es Administrador, recibo que también es devuelto, pero que ello obligó al denunciante a dar explicaciones a dicha sociedad (...)
13.º. En fecha 24 de marzo de 2015 Mapfre se dirigió a la abogada del denunciante disculpándose en primer lugar y señalando que: se ha procedido al estudio del asunto por parte del departamento correspondiente de Mapfre Familiar, que nos indica que el motivo por el cual se pasa el recibo de la póliza de referencia por una cuenta bancaria no asociada a la misma es debido a un error humano. La cuenta bancaria no estaba asociada a la póliza pero si al tomador de la misma, por lo que al venir el recibo devuelto y enviarlo de nuevo a cobro desde la oficina, se marca manualmente la cuenta bancaria equivocada.
SEGUNDO. Se imputa a Mapfre España, Compañía de Seguros y Reaseguros SA, una infracción del artículo 44.3.b) de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, que tipifica como grave: "Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo".
Precepto que ha de relacionarse con el artículo 6.1 de dicha LOPD, que requiere el consentimiento inequívoco del afectado para tratar sus datos de carácter personal "salvo que la ley disponga otra cosa." Consentimiento que se define en la letra h) del Art. 3 LOPD como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le concierne".
Constituye doctrina reiterada y consolidada de esta Sala que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito ( SSAN 25/06/2009 Rec. 638/2008 y 15/10/2013, Rec. 398/2012, entre otras muchas), dado que tal consentimiento se puede producir de forma expresa, oral o escrita, o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos. En el mismo sentido, incidiendo en la exigencia de que el consentimiento sea inequívoco, hemos mantenido con reiteración que "cualquiera que sea la forma que revista el procedimiento -expreso, presunto o tácito- éste ha de aparecer como evidente, inequívoco (que no admite duda o equivocación) pues éste, y no otro, es el significado del adjetivo utilizado para calificar el consentimiento". Habiéndose asimismo declarado en múltiples ocasiones ( SAN 23/04/2015, Rec. 97/2014, por todas), que la concurrencia del consentimiento inequívoco del afectado exigido en dicho artículo 6.1 LOPD para el tratamiento de los datos personales por parte de un tercero, en el caso de que el titular de los datos niegue haberlo otorgado, se ha de acreditar o corresponde su acreditación a quien realiza el tratamiento de dichos datos.
TERCERO. En el presente supuesto se trata de resolver si el Sr. Maximo había prestado o no su válido consentimiento para el tratamiento de sus datos personales por parte de Mapfre, con posterioridad a que solicitara la no renovación de su póliza de seguro (por venta del vehículo). Tratamiento de datos que se materializó en el cargo en cuenta corriente de la cantidad de 314, 62 euros, en concepto de pago de su póliza de seguro. Cobro que se intentó (fue en ambos casos devuelto) primero en la cuenta corriente titularidad del denunciante y después en la cuenta corriente de la sociedad Moraga Consulting SL (que tenía otro vehículo asegurado en la misma entidad actora) y de la que dicho denunciante era Administrador.
Argumenta Mapfre, en la demanda, que se desprende de la póliza de Moraga Consulting SL, concretamente de su página 5 (folio 39 del expediente) que el tomador, es decir, el Sr. Maximo, es quien autoriza el tratamiento de los datos personales suministrados y de los que se obtengan de la gestión de otras solicitudes o contratos de entidades del sistema Mapfre, siendo dicho denunciante quien suscribió la indicada póliza, facilitó la cuenta de La Caixa y quien autorizó su uso con las finalidades indicadas. Desprendiéndose de la página 7 de tal póliza (folio 137) que el repetido Sr. Maximo otorga su consentimiento para dichas finalidades, también una vez finalizada la relación precontractual o contractual. Demanda que añade que de conformidad con el articulo 22 y concordantes de la Ley de Contrato del Seguro, Mapfre, sin rechazar la solicitud de cancelación del denunciante, contactó con él en varias ocasiones para tramitar su petición (folios 123 a 140 del expediente), siendo la negativa del Sr. Maximo a remitir a tal aseguradora la documentación acreditativa de la venta del vehículo, lo que provocó que quedase paralizado el procedimiento de anulación de la póliza, hasta tanto se aclarasen los términos de la solicitud de dicho tomador.
Considera sin embargo esta Sala, según se desprende de la documental incorporada al expediente, que los datos personales del denunciante fueron tratados sin su consentimiento por Mapfre, al cargar primero en la cuenta corriente de su titularidad y después en la cuenta corriente de la sociedad de la que tal denunciante era Administrador, el pago de una póliza de seguro de vehículo cuya previa voluntad de no renovar había sido manifestada por él. Así, examinada tal solicitud de "no renovación" efectuada por tal sr. Maximo ( folio 98) en la misma constan con claridad los datos identificativos del vehículo, de la póliza y del tomador del seguro, cumpliéndose, en cuanto a su fecha, el plazo de dos meses previsto en el artículo 22 de la Ley de Contrato de Seguro. A partir de eses momento, cualquier tratamiento de datos derivados de tal póliza de seguro, no renovada, carecía del consentimiento de su titular, tal y como así aconteció.
En definitiva, y como se razona el fundamentos jurídico anterior es necesario que la persona titular de los datos permita su tratamiento de forma inequívoca y en este caso no se ha acreditado el consentimiento del denunciante respecto del tratamiento descrito. Hechos que revisten entidad suficiente para ser encuadrables en la infracción grave contemplada en el artículo 44.3.b) de la LOPD, y ello con pleno respeto al principio de tipicidad, puesto que se trataron los datos personales del afectada sin contar con su consentimiento, como ya se ha razonado.
CUARTO. Se plantea con carácter subsidiario en la demanda la infracción del principio de proporcionalidad (plasmado en el ámbito específico de la protección de datos en el apartado 5 del artículo 45 LOPD, en relación con el apartado 4 del mismo) que exige la existencia de una "debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada", tal y como con carácter general resulta del artículo 131.3 de la Ley 30/1992.
A tal efecto se argumenta que concurren las siguientes circunstancias atenuantes del mencionado precepto de la LOPD: han sido nulos los beneficios obtenidos como consecuencia de la supuesta infracción, el grado de intencionalidad es inexistente y no se ha causado perjuicio alguno al denunciante.
Entiende la Sala, al igual que aprecia la Resolución impugnada, que a tenor de los hechos descritos no procede una minoración mayor de la sanción, tomando en consideración que se trata de una conducta culposa o al menos carente de la necesaria diligencia ( artículo 131 y siguientes de la Ley 30/1992 ), que sí han existido perjuicios para el denunciante y especialmente que, conforme a reiteradísima doctrina de esta Sala (SSAN de 12/11/2007 Rec. 351/2006 y de 4/03/2010 Rec. 698/2009 por todas) es exigible a las entidades que habitualmente operan en el mercado de datos de carácter personal una especial diligencia y conocimiento de la normativa de aplicación, a la hora de llevar a cabo el uso o tratamiento de tales datos, o su cesión a terceros. Y ello porque, siendo el de la protección de los datos personales un derecho fundamental ( STC 292/2000, de 30 de noviembre ), los depositarios de esos datos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por tal LOPD.
QUINTO. Razones, las anteriores, que conducen a la desestimación del presente recurso, siendo procedente la imposición de las costas causadas a la entidad recurrente, de conformidad con el Art. 139 de la LJCA en su redacción actual.
F A L L A M O S
Que desestimando el recurso contencioso administrativo interpuesto por la representación procesal de Mapfre España, Compañía de Seguros y Reaseguros SA, frente a la Resolución de la Agencia Española de Protección de Datos de 11 de octubre de 2016 (PS/00195/2016) que acuerda imponer a dicha entidad una sanción de 40.100 euros, confirmamos dicha resolución y sanción, con imposición de costas a tal parte recurrente.
Hágase saber a las partes que contra esta Sentencia no cabe recurso de casación.
Así por esta nuestra Sentencia, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.- Dada, leída y publicada fue la anterior Sentencia en Audiencia Pública. Doy fe.
Madrid a
LA LETRADA DE LA ADMINISTRACIÓN DE JUSTICIA
