AEPD | AI/00311/2025 — Seguro incluido en la compra de entradas y cesión de datos a la aseguradora: archivo por subsanación conforme a la STJUE C-768/21
Identificación de la resolución
Agencia Española de Protección de Datos. Resolución de archivo de actuaciones AI/00311/2025, expediente EXP202501778, firmada por su Presidente, Lorenzo Cotino Hueso. Entidades reclamadas: Giglon, S.L., plataforma de venta de entradas, y Reale Seguros Generales, S.A. Pone fin a la vía administrativa.
Objeto de las actuaciones
El 13 de diciembre de 2024 una persona reclamó porque, al comprar entradas para un evento en la web de Giglon, era obligatorio adquirir también un seguro de Reale, a la que se cedían los datos del comprador. Añadía que no funcionaba el enlace para consultar la información del producto ni sus condiciones generales.
En el traslado de la reclamación y en las actuaciones previas de investigación se constató lo siguiente:
- ambas entidades tenían un acuerdo de colaboración con dos modalidades: seguro opcional y seguro de no asistencia incluido, sin coste adicional, en la compra de la entrada;
- en la modalidad de seguro incluido, ambas actuaban como responsables del tratamiento del cliente final; durante la compra se informaba de la cesión de datos a Reale y se enlazaba su política de privacidad;
- Reale trataba los datos para formalizar, gestionar y ejecutar la póliza, con base en el artículo 6.1.b) RGPD;
- Giglon alegó que actúa como plataforma intermediaria y que era el promotor del evento quien había configurado el seguro obligatorio;
- el 30 de enero de 2025, los enlaces a la información del producto y a las condiciones generales remitían a un documento no encontrado; en una comprobación posterior de la Inspección de Datos, los tres enlaces funcionaban;
- las entidades acreditaron que ya no existe ningún evento ni modalidad de venta en la plataforma en que el seguro sea obligatorio, y que se revisó y eliminó cualquier configuración que pudiera inducir a pensar lo contrario.
Doctrina establecida
La AEPD ciñe su análisis al tratamiento de datos personales y deja fuera las demás cuestiones planteadas. Constata que la vinculación obligatoria entre entrada y seguro, con la consiguiente cesión de datos a la aseguradora, se desprende del propio acuerdo de colaboración, pero que la situación ya ha sido corregida.
Para no ejercer sus poderes correctivos se apoya en la STJUE de 26 de septiembre de 2024 (C-768/21), de la que extrae estos criterios:
- el artículo 58.2 RGPD deja a la autoridad de control un margen de apreciación para elegir la medida adecuada a las circunstancias del caso, limitado por la exigencia de un nivel coherente y elevado de protección;
- ni el artículo 58.2 ni el artículo 83 RGPD obligan a adoptar en todos los casos una medida correctora, y el reclamante no tiene un derecho subjetivo a que se imponga una multa;
- excepcionalmente, la autoridad puede abstenerse cuando la infracción ya se ha subsanado y el responsable garantiza la conformidad del tratamiento con el RGPD.
La AEPD añade que este criterio de proporcionalidad ya estaba recogido en los artículos 65.4 y 65.6 LOPDGDD, que le permiten inadmitir o archivar reclamaciones cuando el responsable acredita haber adoptado medidas de cumplimiento tras el traslado. En consecuencia, acuerda el archivo, sin perjuicio de actuaciones posteriores.
Fundamentos jurídicos relevantes
Normativa: artículos 6.1, 57.1, 58.1 y 58.2 RGPD; artículos 47, 48.1, 50, 63.2, 65, 65.4 y 65.6 LOPDGDD; artículo 130 del Real Decreto-ley 3/2020 (información en la distribución del seguro, citado en el acuerdo de colaboración). Jurisprudencia: STJUE de 26 de septiembre de 2024 (C-768/21), que a su vez remite a las SSTJUE de 16 de julio de 2020 (C-311/18, Facebook Ireland y Schrems) y de 14 de marzo de 2024 (C-46/23, Újpesti Polgármesteri Hivatal). Recursos: reposición potestativa en el plazo de un mes (artículos 112, 114.1.c) y 123 de la Ley 39/2015) o recurso contencioso-administrativo ante la Audiencia Nacional en dos meses (artículos 25, 46.1 y disposición adicional cuarta, apartado 5, de la Ley 29/1998).
Referencias
- Texto completo: AEPD — AI/00311/2025 (PDF)
- Normativa aplicada: RGPD (arts. 6.1, 58.2); LOPDGDD (arts. 65.4, 65.6); STJUE C-768/21