AI-00397-2023

1/8  Expediente N.º: EXP202313405 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de agosto de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00053406347 ante la Agencia Española de Protección de Datos contra GESTORÍA A.A.A., S.L. con NIF ***NIF.1 (en adelante, GESTORÍA)., PRETTYPRIMECARS, S.L. con NIF B06729552 (en adelante, PRIMECARS) y RENTASOL RED, S.L. con NIF B93692812 (en adelante, RENTASOL). Los motivos en que basa la reclamación son los siguientes: El 19/05/2022, afirma que la GESTORÍA hizo una solicitud de matriculación de un vehículo, haciendo uso de sus datos personales, incluyendo DNI y dirección actualizada, sin su conocimiento, ni consentimiento y sin tener relación alguna con esta GESTORÍA. Según averiguaciones de la parte reclamante sobre el expediente de matriculación fue la empresa PRETTYPRIMECARS quien encargó la matriculación del vehículo con sus datos personales, sin su conocimiento, ni consentimiento, aunque no aporta en este momento documentación acreditativa al respecto. Desconoce la parte cómo han obtenido sus datos y cuando recibe una notificación de la Agencia Tributaria que le reclama un importe superior al inicialmente liquidado, para el pago del impuesto de matriculación de un coche del que no es titular, es cuando tiene conocimiento de la utilización fraudulenta de sus datos. El reclamante aporta, junto al escrito de reclamación la siguiente documentación que, según manifiesta, forma parte del expediente de matriculación de la DGT: 1. Copia de la solicitud de matriculación del vehículo de la marca BMW con número de bastidor ***REFERENCIA.1 de fecha 19/5/2022. En el documento constan los datos personales del reclamante como titular (nombre y apellidos, DNI, fecha de nacimiento y domicilio) y constan los datos de una persona física como representante (nombre y apellidos y DNI) de la GESTORÍA. 2. Copia del formulario de autoliquidación del impuesto especial de determinados vehículos de la Agencia Tributaria de fecha 19/5/2022 en el que consta los datos personales de la parte reclamante (nombre, apellidos y DNI) como identidad de la persona que ha introducido en España el vehículo y consta como presentador la misma persona representante de GESTORÍA 3. Copia del documento de autoliquidación del impuesto de vehículos de tracción de mecánica de fecha 19/5/2022 del Organismo de Gestión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 Tributaria de la Diputación de Barcelona, en el que constan los datos del reclamante como sujeto pasivo. 4. Copia de una factura de venta fechada el 18/5/2022 emitida por CIRCUITO FAUSTOSO UNIPESSOAL LDA en Portugal, a nombre de la parte reclamante (nombre y apellidos, DNI y dirección postal) en concepto de “BMW M2 ***REFERENCIA.1”. 5. Copia de la documentación técnica de ITV del vehículo del Gobierno Vasco emitida el 29/12/2021. 6. Copia de la documentación del vehículo en lengua alemana. 7. También aporta copia de mensajes del hilo de WhatsApp y correos electrónicos con GESTORIA Y PRIMECARS, intentando aclarar el asunto. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la GESTORÍA para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido el 02/10/2023 como consta en el acuse de recibo que obra en el expediente. El 16 y 18/10/2023, de conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), se dio traslado de la reclamación a PRETTYPRIMECARS, para que proceda al análisis de esta y a dar respuesta en el plazo de un mes, sin que haya obtenido respuesta alguna al respecto. Dicho traslado se efectuó mediante notificaciones postales dirigidas a la calle Elche,2, Bajo C de Alcorcón (Madrid) siendo devueltas por el servicio de correo anotando como motivo de la devolución “desconocido”. El 30/10/2023 tuvo entrada en esta Agencia un escrito de respuesta del representante de GESTORÍA en respuesta al traslado de la reclamación, e informa de que las afirmaciones de la parte reclamante son falsas y aporta en anexo un mandato de fecha de 19/05/2022 de representación por la parte reclamante, en favor de B.B.B., Gestora de la GESTORÍA A.A.A., S.L. con DNI ***NIF.2 y número de colegiada ***REFERENCIA.2. GESTORIA indica que el mandato consta firmado por la parte reclamante y que la autoriza a que promueva, solicite y realice todos los trámites necesarios para su actuación ante todos los órganos y entidades de la Administración del Estado, Autonómica, Provincial y Local, y específicamente ante la Dirección General de Tráfico del Ministerio de Interior del Gobierno de España. Como consecuencia de este mandato procedió GESTORIA a solicitar la matriculación del vehículo por cuenta de su cliente. Se adjunta el mandato de representación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 firmado por la parte reclamante y custodiado por GESTORIA y la fotocopia del DNI de D.D.D. incorporada a este con el mandato de representación. Asimismo, GESTORÍA niega conocer a PRIMECARS, citada por la parte reclamante en su reclamación presentada, y declara que PRIMECARS no ha encomendado gestión alguna a GESTORIA en relación con el vehículo en cuestión. TERCERO: Con fecha 6 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Durante las presentes actuaciones se han investigado a GESTORÍA, PRIMECARS y RENTASOL y tienen lugar las siguientes acciones para la averiguación de los hechos: - El 19/1/2024 se solicitó por la Subdirección General de Inspección de Datos (en lo sucesivo SG Inspección) información y documentación a PRIMECARS, mediante notificación electrónica y postal, resultando en el primer caso expirada y en el segundo devuelto por ausente. - En fecha 19/01/2024 se solicitó también al reclamante copia, en su caso, de la sentencia que hubiera dictado el Juzgado de Instrucción en el procedimiento penal al que hubiera dado lugar la denuncia presentada ante los Mossos d’Esquadra el día 2 de agosto de 2023 y copia de la documentación de la que disponga en relación con las diligencias realizadas en relación con la citada denuncia. - En fecha 24/01/2024 la parte reclamante aporta copia del Auto de Inhibición del Juzgado de Instrucción número 5 de Arenys de Mar a favor del Juzgado Decano de Alcorcón. - En fecha 14/03/2024 se solicitó nuevamente por SG Inspección información y documentación a PRIMECARS, mediante notificación electrónica y postal dirigida resultando en el primer caso expirada y en el segundo devuelto por el servicio de correos anotando como motivo de la devolución “desconocido” - Contesta GESTORIA a nuevos requerimientos de la SG Inspección y se reitera en lo dicho sobre la autorización firmada de la parte reclamante, así como en no tener, ni haber tenido relación comercial con PRIMECARS en lo que respecta a este trámite y que fue RENTA SOL, como cliente habitual, y como el resto de clientes, quien encargó el trámite de la matriculación a nombre del reclamante, por el procedimiento legal y habitual para todos los clientes y todas las gestorías. Para la matriculación de un vehículo, el contratante envía: 1. Factura de venta original 2. Documentación original del país europeo de procedencia. 3. Documentación española original, con justificante de superación previa de la ITV española. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 4. Impuesto de matriculación (modelo 576) cumplimentado y abonado. 5. Impuesto municipal de vehículos de tracción mecánica del año en curso. 6. Mandato de representación del destinatario de la matriculación (comprador) previamente cumplimentado. GESTORÍA manifiesta que el encargo fue realizado de manera verbal, siendo remitida la documentación descrita y obrante en el expediente a través de mensajería para su presentación en la Jefatura de Tráfico de León. Los datos de contacto de RENTASOL. en el fichero de clientes son: C.C.C., ***NIF.3 y ***TELÉFONO.1. Como acreditación del mandato genérico de RENTASOL a GESTORIA, esta última facilita la siguiente documentación: 1. Mandato Genérico (ilegible, en cuanto al nombre y NIF de quien encarga) 2. Documento de Representación 3. Copia del CIF de RENTASOL RED SL remitido por la empresa 4. Copia del DNI del administrador de RENTASOL RED SL 5. Factura de la prestación de servicios del caso concreto (que hace referencia a la compra específica atribuida al “reclamante”). En fecha 10/4/2024 y 19/4/2024 solicitó por SG Inspección información y documentación a RENTASOL, mediante notificación electrónica y postal, resultando en el primer caso expirada y en el segundo devuelto por el servicio de correos anotando, como motivo de la devolución, “desconocido”. El día 3/6/2024 se envía nuevamente el requerimiento vía postal, obteniendo el mismo resultado “desconocido”. - El 18/10/2024 la parte reclamante adjuntó el expediente de compraventa facilitado por la DGT que incluye fotocopia del DNI de la parte reclamante, con un documento de compraventa con una presunta falsificación de su firma, así como información de todos los implicados en este uso presuntamente fraudulento de sus datos. Reitera que nunca ha sido sabedor, ni se le ha informado de este procedimiento y que en todo momento se usó toda su información sin su consentimiento y que no conoce a ninguno de los implicados en estas transacciones. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " El documento de representación para GESTORIA es la prueba del consentimiento de la parte reclamante autoriza a GESTORIA para el tratamiento de sus datos. Pero la parte reclamante denuncia que la autorización (entre otros documentos) está falsificada y que se ha producido una suplantación de su personalidad, hasta el punto de que está cuestión es objeto de investigación ante los Tribunales Penales. La autenticidad de este documento de representación en favor de GESTORIA es básico para determinar si la parte reclamante ha dado su consentimiento o no; a simple vista se observa que la autorización parece estar manuscrita con tres tintas azules y tres caligrafías diferentes, lo que podría indicar que han participado 3 personas diferentes en su confección. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 Para que esta Agencia pueda apreciar la existencia de una infracción del Reglamento General de Protección de Datos (RGPD), es imprescindible que concurran dos elementos esenciales: por un lado, que se haya producido un tratamiento de datos personales; y, por otro, que dicho tratamiento resulte ilícito por carecer de base jurídica, infringir principios del RGPD o vulnerar derechos del interesado, entre otras obligaciones del responsable del tratamiento. Además, la responsabilidad debe ser atribuible a una persona física o jurídica identificada que actúe como responsable o encargado del tratamiento. En el presente caso, el reclamante afirma que se ha producido un uso no consentido de sus datos personales —incluyendo nombre, DNI y domicilio— en el marco de una solicitud de matriculación de un vehículo que, según manifiesta, no adquirió, ni encargó matricular, y con la que no guarda relación alguna. Imputa esta actuación inicialmente a la GESTORÍA que figura en la documentación, si bien, tras averiguaciones personales, sostiene que la verdadera responsable sería la empresa PRETTYPRIMECARS. No obstante, al presentar la reclamación, no aportó inicialmente prueba documental que acreditara dicha vinculación entre PRETTYPRIMECARS y el uso de sus datos. Durante la tramitación de las actuaciones previas, esta Agencia dio traslado de la reclamación a ambas entidades. En el caso de GESTORÍA, esta respondió aportando un mandato de representación fechado el 19/05/2022, firmado por el propio reclamante, en el que se autoriza expresamente a una profesional colegiada a realizar en su nombre los trámites necesarios ante organismos públicos, incluyendo la matriculación del vehículo. Dicho mandato se acompaña de una copia del documento nacional de identidad del reclamante y coincide con la fecha y trámite cuestionados. Esta documentación ha sido reiteradamente confirmada por la entidad como base de su actuación y no se ha acreditado que haya sido falsificada, ni que la firma sea falsa. Asimismo, GESTORÍA niega haber tenido relación alguna con la empresa PRETTYPRIMECARS, señalando que actuó a instancia de un tercero —RENTASOL— que, como cliente habitual, encargó la matriculación de vehículos proporcionando toda la documentación necesaria, incluyendo el mandato de representación firmado por el supuesto comprador. Por su parte, PRETTYPRIMECARS no ha llegado a responder a ninguno de los requerimientos de información realizados por esta Agencia, siendo devueltas las notificaciones tanto electrónicas como postales por imposibilidad de entrega. No ha sido, por tanto, posible confirmar su participación directa en los hechos ni atribuirle responsabilidad alguna con base en elementos objetivos. De igual forma, aunque el reclamante ha afirmado haber interpuesto denuncia penal por suplantación de identidad, la documentación judicial aportada a este procedimiento únicamente acredita un auto de inhibición de un juzgado a favor del Decanato de Alcorcón, sin que conste resolución o pronunciamiento judicial sobre la autenticidad del mandato o sobre la eventual suplantación de identidad alegada. En consecuencia, tras el análisis de la documentación obrante en el expediente, y a la vista de que la GESTORÍA actuó con base en un mandato de representación firmado por el propio reclamante y acompañó copia del documento de identidad, no se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 podido acreditar que el tratamiento de datos realizado por esta entidad carezca de base jurídica o se haya efectuado de manera ilícita. Igualmente, no ha sido posible constatar, por falta de colaboración o por ausencia de elementos objetivos, la implicación directa de PRETTYPRIMECARS u otra entidad en un eventual uso indebido de los datos personales del reclamante. Por tanto, al no haberse podido determinar la existencia de un tratamiento de datos personales contrario al RGPD imputable a un responsable identificado, procede el archivo de las actuaciones, al amparo del artículo 65.5 de la LOPDGDD. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a GESTORÍA A.A.A., S.L., PRETTYPRIMECARS, S.L. y RENTASOL RED, S.L. y a la parte reclamante. TERCERO: COMUNICAR al Juzgado de Instrucción de Alcorcón, este expediente, por si las pruebas obtenidas en este procedimiento pudieran ser relevantes para la determinación de las posibles responsabilidades, que, en su caso pudiera haber. CUARTO: COMUNICAR a la AEAT por presuntas irregularidades llevadas a cabo en la transmisión del vehículo, dentro de su ámbito de competencias. QUINTO: COMUNICAR a la DGT por presuntas irregularidades llevadas a cabo en las transmisiones del vehículo, dentro de su ámbito de competencias. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es