| Informe | 2016-0088 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (N/REF: 048952/2016)
El informe analiza la legalidad del tratamiento de datos personales en el contexto de un contrato de seguro mediado por una correduría, donde una asociación actúa como tomadora del seguro y cede los datos de sus asociados (asegurados) a la correduría para su incorporación en la póliza. La AEPD concluye que, en este escenario:
La correduría actúa como encargado del tratamiento*:
Su rol se limita a transmitir los datos de los asegurados a la entidad aseguradora, sin conservarlos ni tratarlos para otras finalidades.
No existe relación directa entre la correduría y los asegurados, por lo que no debe notificarse ningún fichero de datos por parte de la correduría, ya que el único tratamiento relevante lo realiza la asociación (responsable del tratamiento) con sus propios socios.
Base legal del tratamiento:
La asociación puede ceder los datos de sus asociados a la correduría para formalizar el contrato, siempre que cumpla con los principios de la LOPDGDD (Legitimación, información, etc.).
La correduría, en su función de mediadora, no requiere consentimiento adicional de los asegurados, ya que solo actúa como intermediaria entre la asociación (tomadora) y la aseguradora.
Caso alternativo (asegurados como tomadores):
Si los asociados contratasen el seguro por sí mismos (no a través de la asociación), la cesión de sus datos a la correduría implicaría:
Requisito de consentimiento: Necesidad previa del consentimiento de los afectados para la cesión de datos (art. 11 LOPD).
La correduría actuaría como responsable del tratamiento*, debiendo cumplir todas las obligaciones legales (información, seguridad, etc.).
Conclusión:
La AEPD determina que, en el caso planteado (asociación como tomadora), no es necesario que la correduría notifique ningún fichero de datos, ya que su rol es estrictamente el de encargado del tratamiento. Sin embargo, advierte que, si los asegurados fueran tomadores individuales, la cesión de datos requeriría su consentimiento explícito y la correduría asumiría responsabilidad como controladora del tratamiento.
El informe subraya la importancia de distinguir entre encargado y responsable del tratamiento para garantizar el cumplimiento de la normativa de protección de datos.
(Resumen aproximado: 500 palabras).