1. Identificación de la resolución
- Procedimiento: PS/00223/2025, expediente EXP202316259.
- Fecha de la resolución: no consta fecha de firma en el texto disponible; la resolución está firmada por el Presidente de la Agencia y fue publicada en la web de la AEPD el 8 de octubre de 2026.
- Tipo: procedimiento sancionador, iniciado por acuerdo de 18 de junio de 2025.
- Responsable del tratamiento: MUTUA MADRILEÑA AUTOMOVILISTA SOCIEDAD DE SEGUROS A PRIMA FIJA.
- Sentido: sancionador, por infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD.
- Sanción: multa de 5.000 euros (la propuesta de resolución de 18 de mayo de 2026 proponía 500.000 euros). No consta la aplicación de reducciones por pago voluntario o reconocimiento de responsabilidad del artículo 85 LPACAP.
- Medidas: con base en el artículo 58.2.d) del RGPD, se ordena bloquear los datos personales del reclamante en el plazo máximo de 3 meses desde que la resolución sea firme y ejecutiva.
2. Hechos y objeto del procedimiento
El 15 de febrero de 2021 la aseguradora suscribió telefónicamente una póliza de seguro de vehículo en la que figuraban como tomador y conductor el nombre, apellidos y DNI de la parte reclamante, A.A.A., junto con otros datos (domicilio, teléfono, correo electrónico, fecha de nacimiento, fecha del carné y datos del vehículo) que no le pertenecían. La documentación se remitió al correo indicado por quien llamó y se firmó mediante un SMS enviado al teléfono que esa misma persona facilitó.
Tras un siniestro de 4 de marzo de 2021, la aseguradora ejercitó el derecho de repetición por 4.510,85 euros frente a la conductora y frente al supuesto tomador. En el acto de conciliación de 2 de febrero de 2023 el reclamante negó haber firmado póliza alguna. Constan denuncias penales por suplantación de identidad formuladas tanto por el reclamante como, el 18 de diciembre de 2023, por la propia aseguradora, que se consideró «parte perjudicada». El objeto del procedimiento es determinar si la entidad disponía de base de licitud para tratar los datos del reclamante.
3. Doctrina de la Agencia
La Agencia separa el plano penal y el de protección de datos: no examina si hubo delito, sino si la responsable actuó con la diligencia exigible al verificar la identidad del contratante. Por ello rechaza la suspensión por prejudicialidad penal y afirma que la falta de acreditación judicial de la suplantación no hace lícito el tratamiento; corresponde a la responsable acreditar que tenía implantadas medidas técnicas y organizativas suficientes para evitar un alta fraudulenta.
El cumplimiento de los requisitos formales de la contratación a distancia de la Ley 22/2007 (como la firma por SMS) queda fuera de la competencia de la Agencia y no exime del cumplimiento del RGPD; ambas normas se aplican de forma simultánea. Se apoya en la SAN de 1 de julio de 2024 (recurso 900/2022) y en la sentencia del Tribunal Supremo de 13 de diciembre de 2021 (recurso de casación n.º 6109/2020), según la cual la intervención fraudulenta de un tercero no excluye la infracción de la empresa si no implantó medidas tendentes a asegurar que quien contrata es quien dice ser.
El procedimiento seguido se considera insuficiente: los datos solo se contrastan cuando el contratante ya ha sido cliente, y la firma puede realizarla quien llama sin acreditar identidad ni titularidad de la línea. La Agencia matiza que aportar una imagen del DNI no supone por sí solo tratar datos biométricos y que descartar la firma digital por oportunidad de negocio no responde a la valoración de riesgos para los interesados.
El archivo del expediente E/11426/2021 no genera confianza legítima, al referirse a una fase precontractual y a hechos distintos, y no existir actos concluyentes de la Agencia que validaran el sistema.
4. Fundamentos jurídicos relevantes
La Agencia descarta los artículos 25 y 32 del RGPD como calificación alternativa: lo examinado es la falta de legitimación del tratamiento, que encaja en el artículo 6.1 del RGPD. Rechaza la prescripción al apreciar continuidad en el tratamiento derivada de la póliza, incluido el ejercicio del derecho de repetición, con prescripción de tres años conforme al artículo 72.1.b) de la LOPDGDD.
Para la graduación, partiendo de un volumen de negocio de 2.145.525.000 euros (estimando la alegación de la entidad frente a la cifra inicial), se valoran como elementos de gravedad el artículo 83.2.a) (suplantación producida, daños al reclamante y carácter continuado), el 83.2.b) (negligencia grave, no como agravante sino para cuantificar) y el 83.2.g) (el DNI como dato particularmente sensible, con apoyo en las Directrices 04/2022 del CEPD). Como agravante se aprecia el artículo 76.2.b) de la LOPDGDD. Como atenuantes se aceptan el artículo 83.2.c) (implantación de un servicio de verificación de titularidad de cuenta y DNI) y el 83.2.j) (adhesión al código de conducta del sector asegurador promovido por UNESPA).
La resolución reitera que la contratación a distancia exige al responsable un sistema de verificación de identidad adecuado al riesgo, con independencia del cumplimiento de la normativa sectorial. Afecta a aseguradoras y, en general, a entidades que contratan por teléfono o en línea. Destaca la diferencia entre la multa propuesta y la impuesta, vinculada a la corrección del volumen de negocio y a las atenuantes apreciadas.
Referencias
- Texto íntegro (AEPD): https://www.aepd.es/documento/ps-00223-2025.pdf
- Normativa aplicada: RGPD, artículos 4.1, 4.2, 4.7, 4.11, 4.14, 5.1.a), 5.1.c), 5.2, 6.1, 25, 32, 58.2.d), 83.1, 83.2, 83.5.a); LOPDGDD, artículos 63.2, 64.2, 65, 70.1.a), 71, 72.1.b), 76.2.b); Ley 39/2015 (LPACAP), artículos 22.1.g), 63, 64; Ley 40/2015, artículo 28.1; Ley 22/2007, sobre comercialización a distancia de servicios financieros destinados a los consumidores; Ley 50/1980, de Contrato de Seguro, artículos 6 y 8; Real Decreto 1553/2005; Directrices 04/2022 del CEPD sobre el cálculo de las multas.