Algunos agentes de seguros creen que ellos no tienen que hacer nada a efectos de protección de datos de carácter personal, y quién tiene que proceder a cumplir con las medidas de seguridad adecuadas es la Aseguradora para la cuál trabajan. ¿Es así?

La AEPD emitió un informe jurídico sobre el tema: Naturaleza de las actividades de mediación de seguros según la LOPD. Informe 433/2003 (en PDF)

En el caso de un agente de seguros, su figura aparece directamente vinculada a la entidad aseguradora para la cual presta sus servicios de Agencia, no pudiendo prestar los mismos para otras compañías y, en todo caso, nunca en relación con el mismo ramo del seguro.

Por este motivo, cabe concluir que la actividad de los Agentes puede considerarse incardinada en la propia de un encargado del tratamiento, definido por el artículo 3 g) de la Ley Orgánica 15/1999 como “La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”, condición que ostentaría en este caso la entidad aseguradora a la que se preste el servicio de Agencia.

Entre las obligaciones de los Agentes de seguros están:

1. Disponer de un contrato de tratamiento debidamente firmado con las Aseguradora, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas.
2. Cuando el agente deje de trabajar para la aseguradora debe tener en cuenta que: “una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento”.
3. No se permite una subcontratación de este tipo de servicios por parte del encargado del tratamiento, debiendo siempre el responsable ser parte en la relación jurídica, ya que cualquier transmisión de los datos a una terminal que no corresponda al responsable del fichero habrá de ser considerada cesión.
4. Aplicar las mismas medidas de seguridad que la Aseguradora.
5. En cuanto a la obligación de notificación del tratamiento, deberá efectuarse por el responsable del mismo (Aseguradora), indicando expresamente la existencia de una entidad encargada del tratamiento, debiendo además hacerse constar expresamente la ubicación del fichero, en caso de que el servicio prestado consista precisamente en el alojamiento del mismo. Por tanto, todas las Aseguradoras han de comunicar puntualmente los agentes que tiene o se incorporan a la red, al ser éstos sus encargados de tratamiento.

El caso de los corredores de seguros las obligaciones varían; recomiendo mirar el informe si es su caso.