← España

AI-00005-2024

1/13  Expediente N.º: EXP202317812 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 3 de julio de 2023, se presentó reclamación ante la Autoriteit Persoonsgegevens (en adelante, SA Países Bajos), autoridad de control de protección de datos de Países Bajos, contra OK MOBILITY ESPAÑA, S.L. (en adelante, OK MOBILITY), con NIF B57334609. Los motivos en que basa la reclamación son los siguientes: El reclamante ejercitó el derecho de acceso a sus datos personales ante OK MOBILITY el 26 de abril de 2023. OK MOBILITY contestó indicando que no era posible suprimir sus datos. Junto a la notificación se aporta: - Transcripción de correo electrónico, de fecha 26 de abril de 2023, remitido desde ***EMAIL.1 (en adelante, email del reclamante) a ***EMAIL.2 con el siguiente contenido: “Dear Sir or Madam, My name is A.A.A. and I am a ok mobility customer at the address ***DIRECCIÓN.1. This is a subject access request in accordance with the EU General Data Protection Regulation (GDPR) - Art. 15. Please provide me with a copy of, or access to, my personal data that you have or are processing, especially related to booking ***REFERENCIA.1 from/to ***LOCALIDAD.1 Airport. This includes especially any picture related to any car damage that you impute to my reservation as well as associated metadata. Please do provide all the data in an accessible electronic format. I would like to have access to any personal related information that is available to ok mobility or any of its subsidiaries or contractors. I would like you to be aware at the outset, that I anticipate reply to my request within one month as required under Article 12 GDPR. Additionally please advise me in which countries my personal data is stored, or accessible from. In case you make use of cloud services to store or process my data, please include the countries in which the servers are located where my data are or were (in the past 12 months) stored. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 If you are additionally collecting personal data about me from any source other than me, please provide me with all information about their source, as referred to in Article 14 of the GDPR. Thank you and best regards” [Traducción no oficial: “Muy señor mío: Mi nombre es A.A.A. y soy un cliente de OK MOBILITY en la dirección ***DIRECCIÓN.1. Esta es una solicitud de acceso a datos personales de acuerdo con el Reglamento General de Protección de Datos de la UE (RGPD) - Art. 15. Proporcione una copia o acceso a mis datos personales que tiene o está procesando, especialmente en relación con la reserva ***REFERENCIA.1 desde / hacia el aeropuerto de ***LOCALIDAD.1. Esto incluye especialmente cualquier imagen relacionada con cualquier daño al automóvil que usted impute a mi reserva, así como los metadatos asociados. Sírvase facilitar todos los datos en un formato electrónico accesible. Me gustaría tener acceso a cualquier información personal relacionada que esté disponible para OK MOBILITY o cualquiera de sus subsidiarias o contratistas. Me gustaría que tuviera en cuenta desde el principio que preveo que responda a mi solicitud en el plazo de un mes, tal como exige el artículo 12 del RGPD. Además, por favor, avíseme en qué países se almacenan o se puede acceder a mis datos personales. En caso de que utilice servicios en la nube para almacenar o procesar mis datos, incluya los países en los que se encuentran los servidores donde se almacenan o se almacenaron mis datos (en los últimos 12 meses). Si además está recopilando datos personales sobre mí de cualquier fuente que no sea yo, proporcione toda la información sobre su fuente, tal como se menciona en el artículo 14 del RGPD. Gracias y saludos cordiales”] - Transcripción de correo electrónico, de fecha 16 de mayo de 2023, remitido desde ***EMAIL.2 al reclamante con el siguiente contenido en idiomas español e inglés: “Apreciado/a Cliente, Por la presente y tras contactar con Usted, nos complace responder a su solicitud de supresión de los datos personales que sobre su persona obran en los ficheros de los que ***EMPRESA.1 es responsable: En respuesta al derecho de supresión ejercitado ante nosotros y de acuerdo con el artículo 17 del Reglamento General de Protección de datos (UE) y al Artículo 32 de la LOPDGDD, le informamos que no podemos atender su solicitud de supresión a los datos de carácter personal referentes a su persona, porque existe en el artículo 29.2 letra

  1. d)de la Ley General Tributaria la obligación de conservar libros de contabilidad y registros, así como los programas, ficheros y archivos informáticos que sirvan de soporte y los sistemas de codificación utilizados que permitan la interpretación de los datos cuando la obligación se cumpla con utilización de sistemas informáticos. No obstante, y una vez extinguido el contrato mercantil, en relación a los datos relativos a su persona cuya conservación esté sujeta a previsión legal, le informamos que dichos datos serán objeto de bloqueo según lo establecido en el artículo 17.2 de la RGPD. Sus datos no serán utilizados con finalidades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 comerciales y/o publicitarias, y no contactaremos por ningún medio, incluidos los electrónicos, para remitirle información sobre nuestros productos. Asimismo, transmitirle que, si ha recibido alguna comunicación electrónica o postal de nuestra entidad, le agradeceríamos nos la remita con la finalidad de comprobar que se ha realizado en nombre de ***EMPRESA.1 o en nombre de una tercera entidad perteneciente a nuestro grupo. Finalmente, le informamos que puede recabar la tutela de sus derechos por parte de la Agencia Española de Protección de Datos, al amparo de la normativa vigente en protección de datos. Sin otro particular, reciba un cordial saludo.” - Transcripción de correo electrónico, de fecha 16 de mayo de 2023, remitido desde el email del reclamante con el siguiente contenido: “This is definitely not an answer to my request. My request does not concern ‘the deletion’ of my personal data but is an access request to this data in its entirety. Please provide me with the requested information. Absent a prompt answer, legal steps in front of the Spanish data protection authority may follow. Best regards”. [Traducción no oficial: “Esto definitivamente no es una respuesta a mi petición. Mi solicitud no se refiere a la «supresión» de mis datos personales, sino que es una solicitud de acceso a estos datos en su totalidad. Sírvase facilitarme la información solicitada. En ausencia de una respuesta rápida, pueden seguirse los pasos legales ante la autoridad española de protección de datos. Saludos cordiales”] - Transcripción de correo electrónico, de fecha 18 de mayo de 2023, remitido desde el email del reclamante con el siguiente contenido: “Please be informed that absent an answer, even preliminary, to my subject access request before next Wednesday, I will file a formal complaint in front of the Dutch data protection authority as provided for in Art 77 GDPR since my usual place of residence is the Netherlands. Best Regards” [Traducción no oficial: “Por favor, tenga en cuenta que, en ausencia de una respuesta, incluso preliminar, a mi solicitud de acceso antes del próximo miércoles, presentaré una queja formal ante la autoridad neerlandesa de protección de datos según lo dispuesto en el artículo 77 del RGPD, ya que mi lugar de residencia habitual es los Países Bajos. Saludos cordiales”] SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación, el día 7 de diciembre de 2023, a la Agencia Española de Protección de Datos (AEPD) y se le dio fecha de registro de entrada el 11 de diciembre de 2023. El traslado de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y considerar que la AEPD era la competente para actuar como autoridad de control principal, dado que OK MOBILITY tiene un establecimiento en España. TERCERO: Con fecha 4 de enero de 2024, de conformidad con el artículo 64.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se admitió a trámite la reclamación presentada. CUATRO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El día 18 de octubre de 2024, se presenta un escrito ante la AEPD en nombre y representación de OK MOBILITY como respuesta a requerimiento de información, en que se aporta, entre otra, la siguiente información: 1. Declaración de que OK MOBILITY no ha recibido la solicitud realizada por el reclamante debido a que “el reclamante dirigió su solicitud a la compañía ***EMPRESA.1 a través del correo electrónico ***EMAIL.2, no a la Compañía OK Mobility España, S.L., a la que va dirigido el requerimiento de información. OK Mobility España, S.L., asimismo, pone a disposición de sus clientes el correo electrónico ***EMAIL.3 para el ejercicio de derechos y cualquier consulta relacionada con el ámbito de la protección de datos. Ambas compañías son independientes, no teniendo acceso la una a las comunicaciones recibidas en los buzones de correo electrónico, ni por cualquier otro medio, de la otra, incluido el relativo a la temática de protección de datos personales.” E indican que el reclamante recibió una contestación de ***EMPRESA.1 y que, a raíz de la recepción del requerimiento de información de la AEPD, “Aun no habiéndose dirigido el afectado directamente a la compañía OK Mobility España, S.L., el equipo RGPD de esta compañía se pondrá en contacto con el afectado, por si este quiere ejercer sus derechos en relación con los datos personales que pudieran estar recogidos, en su caso, en el sistema de gestión informática de esta compañía.” 2. Copia de la política de privacidad (“Privacy Policy”) publicada por OK MOBILITY en su página web en el momento en que el reclamante envió su solicitud de ejercicio de derecho de acceso a sus datos personales. Dentro del apartado “6. Protección de datos y tus derechos” de esta política de privacidad, respecto a la forma de ejercitar los derechos, se indica lo siguiente: “Puede ejercitar sus derechos mediante correo postal a la dirección: ***EMPRESA.1. con dirección social: ***DIRECCIÓN.2, al correo electrónico: ***EMAIL.2 indicando el derecho a ejercitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 y acompañando la documentación requerida. En la página web de la AEPD puede encontrar una serie de modelos que le ayudarán en el ejercicio de sus derechos. Para consultar toda la información en materia de Protección de Datos relativa a OK MOBILITY y las empresas que componen esta sociedad puede dirigirse a: PROTECCIÓN DE DATOS”. 3. Declaración de que “hemos accedido a nuestro sistema informático de gestión, para ver si pudiera constar recogido en el mismo un contrato relacionado con el afectado bajo el número que este comunica, esto es, el ***REFERENCIA.1. Hemos constatado que el contrato con el número que indica el afectado, núm. ***REFERENCIA.1, se formalizó con una cliente cuyos datos no se corresponden con los del afectado, no constando este tampoco como conductor adicional, siendo, asimismo, la recogida y devolución del vehículo en Ibiza, no en ***LOCALIDAD.1.” Y se aporta contrato con número de contrato ***REFERENCIA.1 en el que se han ocultado los datos del cliente a excepción de las tres primeras letras del nombre, que son XXX y la letra inicial el apellido, que es (...); y en el que aparece como único conductor del que también se han ocultado los datos a excepción de las tres primeras letras del nombre, que son XXX y la letra inicial el apellido, que es (...) El día 7 de noviembre de 2024, se presenta un escrito ante la AEPD en nombre y representación de ***EMPRESA.1 (en adelante, ***EMPRESA.1) como respuesta a requerimiento de información 4. Respecto al responsable del tratamiento de los datos objeto de esta reclamación, se realiza la siguiente declaración: “***EMPRESA.1 es la matriz de una serie de entidades entre las que se encuentra el Grupo de movilidad conocido comercialmente como OK MOBILITY dedicado al alquiler de vehículos. En relación con este requerimiento de información, ***EMPRESA.1 quiere manifestar que, tras revisar en profundidad los hechos objeto del presente procedimiento, ***EMPRESA.1 no es responsable del tratamiento de datos personales del Reclamante y, en particular, no ha participado en la prestación de servicios al Reclamante. En este sentido, de manera voluntaria y con el fin de demostrar la cooperación por parte de ***EMPRESA.1, esta entidad se ha puesto en contacto ***EMPRESA.2 (en adelante, “***EMPRESA.2”), (…), al constatar que en el correo electrónico remitido por el Reclamante y aportado en el requerimiento de información, el Reclamante hace referencia a un alquiler en ***LOCALIDAD.1. De esta forma se ha podido comprobar que el Reclamante suscribió dos contratos de prestación de servicios con (…) ***EMPRESA.2., con domicilio social (...), siendo esta empresa (…) la Responsable del tratamiento de los datos personales del Reclamante” Y aportan copia de dos contratos suscritos por el reclamante con “***EMPRESA.2” en ***LOCALIDAD.1 (***PAÍS.1) con números de contrato ***REFERENCIA.2 y ***REFERENCIA.4. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 Y, a este respecto, alegan la aplicación del artículo 55 del RGPD de la siguiente manera: “En consecuencia, ***EMPRESA.1 no ha suscrito ningún contrato con el Reclamante ni ha participado en la prestación de los servicios al Reclamante, por lo que tampoco es responsable del tratamiento de los datos del Reclamante. Por lo tanto, dado que el responsable del tratamiento (es decir, ***EMPRESA.2) no se encuentra en España, ni tampoco hay involucrado en el tratamiento de los datos personales del Reclamante un responsable del tratamiento español, esta parte considera, respetuosamente, que la AEPD no es la autoridad de control competente en relación con el tratamiento de datos del Reclamante de acuerdo con el artículo 55 del Reglamento General de Protección de Datos.” 5. Respecto a la contestación a ejercicio de derecho de acceso del reclamante, realizan la siguiente declaración: “al objeto de facilitar la respuesta a la consulta del Reclamante y como parte del compromiso que todas las empresas relacionadas con ***EMPRESA.1 tienen respecto del cumplimiento de la normativa de protección de datos, de manera voluntaria, ***EMPRESA.1 ha podido verificar cómo ***EMPRESA.2, como parte de OK MOBILITY GROUP, ha dado respuesta a la petición del Reclamante. Por lo que se adjunta a este escrito como DOCUMENTO NÚM. CUATRO la respuesta que ha proporcionado ***EMPRESA.2 al Reclamante, en respuesta a la solicitud de su ejercicio de derecho de acceso. Esta información se aporta de manera voluntaria y sin intención de reconocer la competencia de la AEPD como autoridad de control en relación con el tratamiento de los datos personales del Reclamante.” Y se aporta un documento con el título “REQUEST FOR DATA ACCESS” [Traducción no oficial: “SOLICITUD DE ACCESO A DATOS”] y dirigido al reclamante, en el que se identifica como responsable del tratamiento a “***EMPRESA.2 (…)” [Traducción no oficial: “***EMPRESA.2 (…)”], con domicilio en ***LOCALIDAD.1, y con e-mail ***EMAIL.3. En este documento, se ofrece la siguiente información dentro su apartado “4. Response to the request” [Traducción no oficial: “4. Respuesta a la solicitud”]: “In accordance with Article 15 of the GDPR, we acknowledge the request to exercise the right of access, providing the following data on the processing: (
  2. i)Data access: Attached you will find the documentation relating to your personal data processed and recorded by OK MOBILITY in the computerised management system: 1.- Rental agreement num. ***REFERENCIA.2 and its Reservation num. ***REFERENCIA.3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/13 2.- Rental agreement num. ***REFERENCIA.4. and its Reservation num. ***REFERENCIA.5. 3.- Data recorded in computerised management system. (
  3. ii)Purposes of the processing: The processing is carried out for the provision of the vehicle rental service and any other service or management associated with this one, e.g. complaints management and customer service, as well as any other services contracted by you with OK MOBILITY. (iii) Categories of data processed and recorded: Contact data and identity data have been processed and recorded. Regarding the images of the damages, please be confirmed that there is no longer a retention of them in our systems. Financial data has been processed, but not recorded on the system. (
  4. iv)Terms or criteria for data storage: We inform you that the personal data processed by OK MOBILITY will be kept for as long as they are necessary for the purpose for which they were collected, as detailed below. We also inform you that, once this period has elapsed, OK MOBILITY will keep the personal data you provide in order to comply with all of OK MOBILITY's legal obligations. In this sense, the books and documentation to be deposited in the Commercial Register will be kept for 6 years and the documentation related to the compensation of taxable bases for 10 years. In the event that, once they are no longer necessary for the purpose for which they were collected, if you decide to request their deletion, the data will be blocked in accordance with data protection regulations, being available only at the request of Judges and Courts, the Public Prosecutor's Office or the competent Public Administrations during the period of limitation of any actions that may arise. In any case, if at the end of the contractual relationship there are pending lawsuits arising from the exercise of actions challenging the invoice or aimed at achieving the collection of the same, the data may be kept during the processing of the same, until a final decision is reached - at which time they will be blocked and subsequently deleted - although they may only be used for evidentiary purposes. (
  5. v)Data collection: The data has been collected from the data subject. In case of images of damages, those are taken by our mobility advisers at the return of the vehicle. (
  6. vi)Recipients: Intermediaries in order to comply with our agreement with you when you book a rental vehicle using their services, e.g. through the platform from the company ***EMPRESA.4, that you used in order to make the reservation. (vii) International data transfer: Your data is stored in our own IT management systems and hosted in Ireland via ***EMPRESA.3. (viii) Automated decisions and profiling: Data processing at OK MOBILITY does not include automated decision-making in accordance with art. 22 of the GDPR. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 OK MOBILITY procesess your data on certain occasions in an automated way, analysing certain personal aspects in order to improve its websites and the relationship with customers, and may also offer specific information about products. You are informed that at any time you may exercise the right of rectification, portability or cancellation of your data, as well as limitation or objection to processing. If you consider that the processing of your personal data does not comply with the provisions of the General Data Protection Regulations, you may submit a claim to the regulatory authority, in ***PAÍS.1 the ***PAÍS.1 Personal Data Ageny (…), with postal adress in (...)***LOCALIDAD.1.” [Traducción no oficial: “De conformidad con el artículo 15 del RGPD, reconocemos la solicitud de ejercer el derecho de acceso, facilitando los siguientes datos sobre el tratamiento: I) Acceso a los datos: Adjunto encontrará la documentación relativa a su persona datos procesados y registrados por OK MOBILITY en la gestión informatizada sistema: 1.- contrato de alquiler número ***REFERENCIA.2 y su reserva número ***REFERENCIA.3. 2.- contrato de alquiler número ***REFERENCIA.4. y su reserva número ***REFERENCIA.5. 3.- datos registrados en el sistema de gestión informatizado. II) Finalidad del tratamiento: El tratamiento se lleva a cabo para la prestación del servicio de alquiler de vehículos y cualquier otro servicio o gestión asociado al mismo, por ejemplo, la gestión de reclamaciones y el servicio al cliente, así como cualquier otro servicio contratado por usted con OK MOBILITY. III) Categorías de datos tratados y registrados: Se han tratado y registrado los datos de contacto y los datos de identidad. Por lo que se refiere a las imágenes de los daños, le informamos de que ya no existe una retención de los mismos en nuestros sistemas. Los datos financieros se han tratado, pero no se han registrado en el sistema. IV) Términos o criterios para el almacenamiento de datos: Le informamos de que los datos personales tratados por OK MOBILITY se conservarán durante el tiempo que sea necesario para el fin para el que fueron recogidos, tal como se detalla a continuación. Asimismo, le informamos de que, una vez transcurrido este plazo, OK MOBILITY conservará los datos personales que usted facilita para cumplir con todas las obligaciones legales de OK MOBILITY. En este sentido, los libros y la documentación a depositar en el Registro Mercantil se conservarán durante 6 años y la documentación relativa a la compensación de bases imponibles durante 10 años. En caso de que, una vez que ya no sean necesarios para el fin para el que fueron recogidos, si usted decide solicitar su supresión, los datos quedarán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/13 bloqueados de conformidad con la normativa de protección de datos, estando disponibles únicamente a petición de los Jueces y Tribunales, del Ministerio Fiscal o de las Administraciones Públicas competentes durante el plazo de prescripción de las acciones que pudieran surgir. En cualquier caso, si al final de la relación contractual existen procedimientos pendientes como consecuencia del ejercicio de acciones de impugnación de la factura o destinadas a lograr la recogida de la misma, los datos podrán conservarse durante el tratamiento de la misma, hasta que se dicte una resolución definitiva, momento en el que serán bloqueados y posteriormente suprimidos, aunque solo puedan utilizarse con fines probatorios. V) Recogida de datos: Los datos se han recogido del interesado. En el caso de las imágenes de daños, estas son tomadas por nuestros asesores de movilidad a la vuelta del vehículo. VI) Receptores: Intermediarios para cumplir nuestro acuerdo con usted al reservar un vehículo de alquiler utilizando sus servicios, por ejemplo, a través de la plataforma de la empresa ***EMPRESA.4, que utilizó para realizar la reserva. VII) Transferencia internacional de datos: Sus datos se almacenan en nuestros propios sistemas de gestión informática y se alojan en Irlanda a través de ***EMPRESA.3. VIII) Decisiones automatizadas y elaboración de perfiles: El tratamiento de datos en OK MOBILITY no incluye las decisiones automatizadas de conformidad con el artículo 22 del RGPD. OK MOBILITY procesa tus datos en determinadas ocasiones de forma automatizada, analizando determinados aspectos personales para mejorar sus sitios web y la relación con los clientes, y también puede ofrecer información específica sobre los productos. Se le informa de que en cualquier momento puede ejercer el derecho de rectificación, portabilidad o cancelación de sus datos, así como la limitación u oposición al tratamiento. Si considera que el tratamiento de sus datos personales no cumple lo dispuesto en el Reglamento General de Protección de Datos, puede presentar una reclamación ante la autoridad reguladora, en ***PAÍS.1, la Agencia de Datos Personales de ***PAÍS.1 (…), con dirección postal en (…) ***LOCALIDAD.1.”] El 25 de abril de 2025, se realiza una navegación en el sitio web https://okmobility.com y se obtiene información de la política de privacidad del sitio web en idiomas español (https://okmobility.com/es/politica-privacidad) e inglés (https://okmobility.com/en/privacy-policy), entre la que se encuentra la siguiente información: 6. Se indica que esta política fue actualizada en octubre de 2024. 7. En la sección sobre el responsable del tratamiento se indica que hay diferentes responsables del tratamiento de los datos en cada país, y se ofrece un listado en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/13 que se identifica que, en España están las compañías OK Mobility Group, S.A.U., OK Mobility España, S.L.U. y OK Mobility Islas Canarias, S.L.; mientras que, en ***PAÍS.1, está la compañía ***EMPRESA.2 El 25 de abril de 2025, se realiza una navegación en el sitio web https://web.archive.org y se obtiene el contenido histórico de la política de privacidad del sitio web https://okmobility.com en idiomas español (https://okmobility.com/es/politica-privacidad) e inglés (https://okmobility.com/en/privacy-policy) en las fechas del 29 de mayo de 2023 y del 10 de diciembre de 2023. Dentro del contenido de estas políticas de privacidad se encuentra, entre otra, la siguiente información: 8. El 29 de mayo de 2023, respecto al modo de ejercitar los derechos de protección de datos, en el último párrafo de la política de privacidad se indicaba que “Puede ejercitar sus derechos mediante correo postal a la dirección: ***EMPRESA.1, con dirección social: (...), al correo electrónico: ***EMAIL.2 indicando el derecho a ejercitar y acompañando la documentación requerida. En la página web de la AEPD puede encontrar una serie de modelos que le ayudarán en el ejercicio de sus derechos. Para consultar toda la información en materia de Protección de Datos relativa a OK MOBILITY y las empresas que componen esta sociedad puede dirigirse a: PROTECCIÓN DE DATOS” 9. El 10 de diciembre de 2023, al inicio de la política de privacidad, en la sección “INTRODUCCIÓN” se indicaba que existían varias compañías dentro del grupo OK MOBILITY GROUP y se daba un enlace para acceder a la información de estas compañías como “Responsables del tratamiento y datos de contacto por país”. 10. El 10 de diciembre de 2023, respecto al modo de ejercitar los derechos de protección de datos, en el último párrafo de la política de privacidad se indicaba que “Puede ejercitar sus derechos mediante correo postal a la dirección: ***EMPRESA.1, con dirección social: (...), al correo electrónico: ***EMAIL.3 indicando el derecho a ejercitar y acompañando la documentación requerida. En la página web de la AEPD puede encontrar una serie de modelos que le ayudarán en el ejercicio de sus derechos. Para consultar toda la información en materia de Protección de Datos relativa a OK MOBILITY y las empresas que componen esta sociedad puede dirigirse a: PROTECCIÓN DE DATOS”. QUINTO: Siguiendo lo dispuesto en el artículo 61 del RGPD, el 25 de junio de 2025 desde esta Agencia se realizó una consulta a la autoridad de protección de datos de ***PAÍS.1 sobre si consideraba que era la autoridad competente para actuar en calidad de autoridad principal en el presente caso, la cual se dio por finalizada el 27 de agosto de 2025. De acuerdo con lo establecido en el artículo 64.5 LOPDGDD, los plazos de tramitación quedaron automáticamente suspendidos durante este tiempo. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/13 De acuerdo con las funciones que el artículo 57.1 a),
  7. f)y
  8. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Derecho de acceso del interesado El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  9. a)los fines del tratamiento;
  10. b)las categorías de datos personales de que se trate;
  11. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  12. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  13. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  14. f)el derecho a presentar una reclamación ante una autoridad de control;
  15. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  16. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/13 que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." El reclamante solicitó el acceso a sus datos sobre un alquiler de un vehículo que había realizado en ***LOCALIDAD.1 (***PAÍS.1) mediante un email dirigido a ***EMAIL.2, correo electrónico de ***EMPRESA.1, el 26 de abril de 2023. El 16 de mayo de 2023, recibió una contestación, pero no se referían a su ejercicio de acceso, sino que le contestaban dando respuesta a una supuesta solicitud de derecho de supresión. El 16 y 18 de mayo de 2023, el reclamante indica que volvió a solicitar el acceso a sus datos (aporta una transcripción de los correos electrónicos), sin embargo, en el momento de presentar la reclamación ante la SA Países Bajos el 3 de julio de 2023, aún no había recibido respuesta. OK Mobility España, S.L. ha indicado que el responsable del tratamiento en el caso de los alquileres de vehículos es la filial que se dedica al alquiler de vehículos en cada país. De este modo, como el alquiler se realizó en ***PAÍS.1, el responsable del tratamiento es ***EMPRESA.2, con sede en ***PAÍS.1. Asimismo, en el encabezado del contrato de alquiler del reclamante en ***PAÍS.1, aparece “***EMPRESA.2”, con sede en ***PAÍS.1, cuyas siglas coinciden con “***EMPRESA.2”. Así, correspondería a ***EMPRESA.2 y no a OK Mobility España, S.L. dar respuesta al derecho de acceso ejercitado por el reclamante. En consecuencia, se acuerda archivar las actuaciones respecto de OK Mobility España, S.L., que en un principio parecía ser la entidad responsable del tratamiento, y por lo que se había considerado a la AEPD como la autoridad competente. Sin embargo, se constata que la entidad que ostenta dicha condición de responsable del tratamiento de los datos personales del reclamante se encuentra establecida en ***PAÍS.1, por lo que la AEPD no es la autoridad competente para actuar contra dicha entidad. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la competencia de la Agencia Española de Protección de Datos para actuar en calidad de autoridad de control principal. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/13 SEGUNDO: NOTIFICAR la presente resolución a OK MOBILITY ESPAÑA, S.L y al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  17. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.