E-02014-2019

1/4 Procedimiento Nº: E/02014/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante MENABI S.L., a iniciativa propia / en virtud de reclamación presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: el 19/07/2018 tienen entrada en esta Agencia Española de Protección de Datos escritos de D. A.A.A. (en adelante, el reclamante), en el que denuncia a MENABI S.L., por los siguientes hechos: que compro en MENABI un vehículo nuevo, dejando el coche viejo para su tasación, siéndole remitido e-mail en el que se le indicaba a que habría que dar la baja del mismo y ofreciéndole 50 euros como precio del mismo; que posteriormente estuvo reclamando el documento de baja del coche para dar de baja la viñeta y el seguro; después de un mes le indican que el vehículo ha sido vendido por lo que denuncia la utilización de sus datos personales ofrecidos para la compra del vehículo nuevo habiendo sido utilizados para la venta del vehículo viejo. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 01/10/2018, reiterada el 19/12/2018, fue trasladada a MENABI la reclamación presentada para su análisis y comunicación al denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba al reclamante la recepción de la reclamación y su traslado a la entidad reclamada. TERCERO: MENABI el 11/01/2019, ha aportado escrito en el que manifiesta que el reclamante, este se puso en contacto con MENABI para adquirir un vehículo nuevo y acordándose la entrega del vehículo viejo o usado valorándose este en 50 euros; valoración que fue aceptada por el transmitente y requiriéndosele a efectos de poder realizar las transmisiones la documentación oportuna, siendo conocedor el reclamante de estos extremos. Asimismo, se aporta la comunicación enviada al reclamante informándole de lo ocurrido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Asimismo, el artículo 9.3 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, establece que “3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:

1. a)Que no se haya causado perjuicio al afectado.
2. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por el reclamante contra MENABI por una presunta vulneración de lo señalado en el artículo 6 del RGPD en relación con la licitud del tratamiento de los datos de carácter personal del reclamante, al no contar con su consentimiento. De conformidad con la normativa expuesta, se dio traslado de la reclamación a MENABI para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia en el plazo de un mes. Asimismo, se solicitó al reclamado copia de la comunicación remitida por el mismo al reclamante a propósito de la reclamación, informe sobre las causas que motivaron la incidencia producida y detalle de las medidas adoptadas para evitar situaciones similares. Por otro lado, se acusó recibo de la reclamación presentada por la reclamante, informándole además de su traslado a MENABI y del requerimiento hecho a éste para que en el plazo de un mes informase a esta Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En el presente caso, una vez analizadas las razones expuestas por MENABI, que obran en el expediente, señalando que, tal como manifiesta el reclamante, este se puso en contacto con MENABI para adquirir un vehículo, acordándose entregar el vehículo viejo valorándose este en 50 euros; valoración que fue aceptada por el transmitente y requiriéndosele a efectos de poder realizar dichas transmisiones la copia del DNI, siendo conocedor el reclamante de estos extremos, habiéndose dado traslado al reclamante de comunicación en la que se le informa de la incidencia producida, se considera procedente acordar el archivo de las presentes actuaciones. Por otra parte, los correos cruzados entre las partes parecen contradecir en cierto sentido lo manifestado por el reclamante de que la transferencia del vehículo viejo fue llevada a cabo sin su consentimiento, pues se desprende que esa autorización había sido otorgada; así consta: “Llevamos un mes para que nos deis un documento que acredite que ese coche ya no es nuestro…”; “Yo tengo que tener un documento que acredite que ese coche no es mío. Me es igual a nombre de quién esté, porque yo tengo que acreditar en el seguro que ya no lo tengo…”, etc. Hay que informar que una cosa es el consentimiento para el tratamiento de los datos (en el actual RGPD se sustituye por la licitud en el tratamiento de los datos personales) y otra cosa distinta es el negocio jurídico que subyace como consecuencia de aquel tratamiento; la Agencia tiene competencia para la represión de conductas que afectan ámbito sectorial de la protección de datos, velando por la salvaguarda, en el ámbito del derecho administrativo sancionador, del derecho fundamental previsto en el artículo 18.4 de la CE. En cualquier caso, se hace preciso señalar que a la AEPD le compete determinar si se han cumplido los requisitos establecidos para la licitud del tratamiento previsto; sin embargo, aquellas cuestiones relativas a la contratación, efectos, etc. deberán instarse ante los órganos competentes, pues se trata de cuestiones que escapan de la competencia de esta Agencia, al exceder de su ámbito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Además, también existen ciertas inexactitudes con lo manifestado a la luz del documento de la DGT, de fecha 28/12/2018, muy posterior a la reclamación formulada , de autorización provisional para circular (quince días), que sustituye al permiso definitivo y en el que se indica que el titular del vehículo es aún MENABI que permite que un vehículo circule de forma temporal hasta conseguir el permiso de circulación definitivo, bien porque no se puede utilizar el trámite de matriculación o bien por cambio de titularidad. Por tanto, procede el archivo de las presentes actuaciones, sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que no se apliquen de manera efectiva medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado de seguridad que no comprometa la confidencialidad, integridad y disponibilidad de los datos de carácter personal, al no considerar necesario por la entidad adoptar medidas adicionales al no haber causado incidencia alguna, y evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a MENABI S.L., y a D. A.A.A.. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es