La empresa infractora subcontrató servicios sin autorización y a un país fuera del EEC
La Agencia Española de Protección de Datos (AEPD) tuvo conocimiento de que la aseguradora LÍNEA DIRECTA S.A. (Línea Directa) realizó un contrato de reaseguros con la compañía reclamada para la prestación de determinadas garantías a sus clientes.
La AEPD verificó que en el contrato firmado entre ambas compañías, la empresa encargada del tratamiento de datos personales (reclamada) debía informar a Línea Directa de las posibles transferencias de datos personales realizadas.
Así, la entidad reclamada comunicó a Línea Directa que los datos tratados siempre habían permanecido ubicados en el Espacio Económico Europeo (EEC), pero que algunas llamadas pudieron a ver sido atendidas desde operadores ubicados en una de sus empresas filiales en Colombia. En total, la filial colombiana atendió un total de 53.886 llamadas, lo que corresponde a unos 31.051 asegurados en Línea Directa.
Por otro lado, los datos personales afectados fueron datos identificativos del usuario (nombre y apellidos, DNI, dirección, correo electrónico). Datos económicos, financieros y de seguros (cuenta bancaria, numero de póliza, numero de contrato).
Seguidamente, la AEPD en su resolución se centró en explicar el concepto de tratamiento de datos, así como de responsable y encargado del tratamiento.
Por los hechos acontecidos, la AEPD consideró que la empresa reclamada vulneró el artículo 28 del Reglamento General de Protección de Datos (RGPD) al externalizar parte del servicio de Línea Directa con una empresa filial, incumpliendo el contrato de encargado en lo referente al tratamiento de datos personales de los asegurados.
En calidad de agravantes la AEPD consideró el número de interesados afectados (alrededor de 31.000 asegurados), así como la evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales de clientes o de terceros.
Puedes consultar la resolución completa haciendo clic aquí.
- Meta condenada a pagar 479 millones a la prensa digital española
- Deepfakes de menores y responsabilidad legal: análisis jurídico y sanciones
- Fallo de seguridad del Louvre revela vulnerabilidades en la gestión digital
- Meta se enfrenta a una demanda por uso indebido de datos biométricos
- Bruselas aprueba la adopción de un marco seguro para el flujo de datos personales entre la UE y Brasil
- La AEPD y el Reglamento Europeo de IA: ya puede actuar ante sistemas de IA que traten datos personales
Comentarios recientes