E-07369-2013

1/7 Expediente Nº: E/07369/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades EUROPCAR IB, S.A. en virtud de denuncia presentada por D. E.E.E., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 09/10/2013, tuvo entrada en esta Agencia un escrito de D. E.E.E. (en lo sucesivo el denunciante) en el que declara lo siguiente:

1. a)El día 10 de octubre de 2012 alquiló un automóvil (VOLKSWAGEN POLOI2TDI75) con matrícula 8390HJN en Almería (España), en la oficina de la entidad EUROPCAR IB, S.A. (en lo sucesivo EUROPCAR) ubicada en el aeropuerto de esta ciudad, durante 7 días en los que estuvo en esta provincia, habiendo devuelto el coche sin problemas.
2. b)Con fecha de 25 de enero de 2013 recibió una denuncia desde Francia realizada por la Gendarmería por una infracción de tráfico consistente en circular con exceso de velocidad por la autovía A-7, sentido de Marsella a Lyón, el pasado día 17 de enero del 2013. El vehículo al que se refiere la infracción parece ser que tiene matrícula francesa: H.H.H., y es un Renault, Megane Scenic. Hace más de 10 años que no ha estado en ese país, y menos aún el 17 de enero del 2013, jueves a las 15,11 horas, como dice la denuncia, pues desde hace años reside en F.F.F., y a esa fecha y hora estaba trabajando en la empresa G.G.G., en la que estaba contratado, aportando certificado emitido por esta empresa confirmando dicho extremo.
3. c)Como se menciona en la denuncia, su identificación a la Policía francesa la hizo la agencia PARCOTO SERVICES, que según se anuncia en su Web tiene como dirección http://www.europcar.fr. Entiende que pertenece al grupo EUROPCAR y que, por ello, se ha servido indebidamente de sus datos personales aportados al contratar el alquiler del vehículo en Almería. Indica que es evidente que con tal proceder se rompió la cadena de custodia de los datos personales que facilitó, datos tan importantes como los de identificación personal, domicilio, teléfono, número de tarjetas de crédito, etc. Indica que consta en el contrato de alquiler del vehículo en Almería que la designación de su domicilio contiene un error, pues en vez de identificarlo como “ C.C.C.”, que es el correcto, se le denomina “ D.D.D.”, error que se cometió al formalizar el contrato en la sucursal de Almería, y que PARCOTO SERVICES ha traspasado a la Policía francesa, de ahí la demostración de que los datos salieron de aquél contrato y que tales datos estaban bajo la custodia de EUROPCAR. La ruptura de la debida custodia se ha hecho en beneficio propio de PARCOTO SERVICES, de algún empleado o de terceras personas, esto es, realizando una suplantación en su propio perjuicio para sustraerse de las responsabilidades inherentes a la infracción denunciada por la Gendarmería francesa. Esa conducta supone una fraudulenta utilización de datos protegidos sin antes haber pedido el consentimiento de su titular, pues el consentimiento era a los solos efectos de contratar un vehículo en Almería, y desde luego, no para suplantar mi personalidad por terceros no autorizados a ningún efecto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7
4. d)Sin embargo, antes de acudir a las autoridades españolas y francesas en la materia, entendió que la actuación pudo deberse a un error o a la actuación particular e indebida de algún empleado de PARCOTO SERVICES, por lo que realizó determinadas gestiones por correo electrónico y ordinario certificado ante la entidad EUROPCAR, para darle la oportunidad de arreglar el problema sin mayores complicaciones. La contestación fue amable y aparentemente eficaz, pues le pusieron en contacto con la persona responsable en Francia de la compañía, que finalmente contestó indicando que el problema estaba bajo su consideración.
5. e)Sin embargo, con fecha de 28 de septiembre de 2013, ha recibido en su domicilio de Pamplona la resolución de la Gendarmería francesa imponiéndole una multa de 180 euros por la infracción de tráfico cometida por el conductor del vehículo H.H.H., Renault, Megane Scenic, que evidentemente no conducía él. Por ello resulta evidente que sus gestiones no sirvieron para que EUROPCAR asumiera sus obligaciones, sino que dejó pasar el problema sin solucionarlo. Aporta copia de la siguiente documentación:  contrato de alquiler-factura del automóvil matrícula 8390HJN en Almería,  denuncia de la Gendarmería por una infracción de tráfico en la autovía A-7 por el conductor del vehículo H.H.H..  certificado de la empresa G.G.G. acreditando que el denunciante estaba trabajando en F.F.F. el día de la denuncia,  comunicaciones electrónicas y por correo ordinario certificado habidas entre EUROPCAR y el denunciante para intentar solucionar el problema,  multa impuesta por la Gendarmería Francesa, recibida con fecha 28 de septiembre de 2013. SEGUNDO: A la vista de los hechos denunciados, en fase de investigación, por los Servicios de Inspección de esta Agencia se realizaron las siguientes actuaciones: 1. La dirección asignada al denunciante que figura en la factura que le fue emitida por EURPOCAR “ A.A.A.”, que coincide con la que consta en el aviso de denuncia de tráfico emitida por las autoridades francesas. Se ha verificado que no existe la dirección “ A.A.A.” sino “ B.B.B.”. 2. En la denuncia consta que el vehículo es titularidad de “PARCOTO SERVICES”, empresa francesa del grupo EUROPCAR. 3. Solicitada información y documentación a EUROPCAR, esta entidad manifestó lo siguiente: “PREVIA- Sobre el Grupo Europcar Con carácter previo, a la respuesta al requerimiento efectuado por la AEPD, consideramos necesario hacer referencia a la actividad y estructura del Grupo de empresas al que pertenece EUROPCAR. En este sentido, EUROPCAR quiere poner de manifiesto que es una sociedad que pertenece al Grupo Europcar, con presencia internacional, cuya actividad principal consiste en el alquiler de vehículos, permitiendo a sus clientes la movilidad internacional de vehículos. Por este motivo, es posible que un vehículo alquilado en el territorio de un Estado pueda ser utilizado, e incluso devuelto en las oficinas de Europcar en otro Estado. Asimismo es frecuente, que los clientes de EUROPCAR realicen, desde su país de residencia, reservas de alquiler de vehículos que serán finalmente utilizados en un tercer Estado, durante sus períodos vacacionales o viajes de negocios. Por este motivo, la política del grupo, consiste en disponer de una base de datos centralizada en la que sea posible consultar los vehículos disponibles, alquilados y devueltos, así como, en su caso, los datos de los titulares de los contratos de alquiler y de los conductores de los mismos, única y exclusivamente con la finalidad de gestionar la relación contractual mantenida con los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 A estos efectos, cabe resaltar, como indicaremos más adelante que los clientes de EUROPCAR son informados en el contrato de que los datos personales facilitados a EUROPCAR forman parte de una base de datos centralizada y, en consecuencia son cedidos a EUROPCAR INTERNACIONAL, matriz de la entidad, así se especifica en la cláusula 12 de las Condiciones Generales de Contratación: “Asimismo, le informamos de que sus datos personales serán cedidos a la compañía Europcar International, 3, avenue du Centre, 78881 St Quentin en Yvelines, Francia, por necesidades de operativa debido a la centralización de datos a nivel mundial”. Junto con las causas anteriormente expuestas, otra de las finalidades por las que el GRUPO EUROPCAR dispone de una base de datos centralizada es precisamente atender los requerimientos que puedan realizar las autoridades competentes por posibles infracciones cometidas con sus vehículos que, dado el carácter multinacional del Grupo, puede afectar al territorio de más de un Estado. En este supuesto concreto, tal y como se desprende de la información facilitada por la AEPD, EUROPCAR FRANCIA, ha facilitado a la policía de tráfico francesa los datos relativos al conductor de un vehículo con el que se había cometido una infracción de tráfico en territorio francés. En este sentido, EUROPCAR FRANCIA pertenece al mismo Grupo de empresas que EUROPCAR, si bien, es una entidad jurídica independiente que actúa en el tráfico mercantil de forma separada a EUROPCAR. PRIMERA.- Sobre el motivo por, el cual, fueron aportados los datos de D… (el denunciante) a las autoridades de tráfico francesas. EUROPCAR, a pesar de no ser la entidad jurídica que intervino en la cesión de datos a las autoridades francesas, en su ánimo de colaborar con la AEPD, ha realizado las gestiones necesarias intra-grupo a fin de clarificar lo sucedido. De este modo, tras la consulta realizada a su sociedad hermana, resulta que EUROPCAR FRANCIA facilitó datos del afectado a las autoridades de tráfico francesas como respuesta al requerimiento efectuado por las mismas en relación con una infracción de tráfico por exceso de velocidad cometida por un vehículo Renault Megane Scenic con matrícula CM- 544-EP, con fecha 17 de enero de 2013, en la autovía A7 sentido Lyon- Marsella. Dicho vehículo es titularidad de la entidad PARCOTO SERVICES, filial de EUROPCAR FRANCIA. Al recibir la notificación de las autoridades, en cumplimiento de su obligación de identificar al conductor del vehículo, PARCOTO SERVICES remitió la notificación recibida a EUROPCAR FRANCIA. Al consultar la base de datos de los vehículos, donde constan los movimientos efectuados por los mismos, así como los datos de los conductores, tal y como se expone a continuación, se reflejó que el conductor de dicho vehículo en las fechas indicadas era D… (el denunciante). Por tanto, el motivo del acceso a dichos datos por EUROPCAR FRANCIA fue el cumplimiento del deber de colaboración con las autoridades de tráfico francesas, siendo el objeto la identificación del autor de la infracción de tráfico, conforme al requerimiento efectuado por la autoridad competente Tal y como consta en la documentación adjunta al requerimiento de información, el afectado se puso en contacto con EUROPCAR, informando de que había recibido la notificación de la infracción y que, por los motivos expresados en su comunicación adjunta al requerimiento de información de la Agencia, D... (el denunciante) no era el conductor del citado vehículo y, por tanto, no cometió la infracción del código de circulación francés. Recibida dicha información, EUROPCAR realizó la correspondiente investigación de los hechos al objeto de determinar lo sucedido y verificar si efectivamente los datos del conductor eran erróneos. Como resultado de dicha investigación, se ha llegado a la conclusión de que, efectivamente, D… (el denunciante) no había sido el autor de la infracción, resultando que, como consecuencia de un error humano, se proporcionaron sus datos debido a que el conductor tiene el mismo apellido que el afectado... A estos efectos, tal y como relata, en su escrito el representante del afectado, D… (el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 denunciante), alquiló a EUROPCAR un vehículo con fecha 9 de octubre de 2012, momento en el que se procedió a la recogida de los datos de carácter personal necesarios para la contratación del servicio. […] SEGUNDA.- Información sobre si las entidades del Grupo EUROPCAR y, en particular EUROPCAR FRANCIA y PARCOTO SERVICES tienen acceso a los datos de los clientes de los alquileres realizados por EUROPCAR y, en concreto, datos de conductores y titulares de los contratos. Respecto al acceso a la información de los datos de los alquileres realizados, tal y como se ha expuesto anteriormente, el Grupo Europcar cuenta con una base de datos centralizada como consecuencia de que se permite el movimiento y reserva internacional de los vehículos a sus clientes, de este modo, Europcar cede los datos a EUROPCAR INTERNACIONAL tal y como se recoge en la cláusula 12 de las Condiciones Generales de Contratación que forman parte integrante del contrato de alquiler, siendo entregada una copia de las mismas a los clientes en el momento de la firma, se trata, por tanto, de una cesión de datos consentida por sus clientes de conformidad con lo dispuesto en el artículo 11 de la LOPD. La aplicación en la que alojan los datos de clientes denominada “ I.I.I.” es utilizada con los fines anteriormente expuestos, de modo que, eventualmente es posible que otras entidades del Grupo puedan acceder a los datos de clientes de EUROPCAR, al ponerlos a su disposición EUROPCAR INTERNACIONAL. Los motivos por los que pueden acceder a dichos datos serían única y exclusivamente la gestión y ejecución de los correspondientes contratos de alquiler suscritos con clientes o bien, como ha sucedido en este caso, para responder requerimientos efectuados por las autoridades competentes. A este respecto, EUROPCAR quiere destacar, que la entidad francesa no accedió a los datos del contrato de D… (el denunciante), sino que al realizar la búsqueda de los movimientos del vehículo, tal y como se aprecia en la impresión de los “pantallazos” de la aplicación adjuntos […], debido a una confusión con el primer apellido del afectado y el conductor del vehículo envuelto en la infracción, aparece asignado el movimiento al denunciante. En este sentido, tras el fallo detectado, EUROPCAR está llevando a cabo las modificaciones internas necesarias, a nivel de políticas de tratamiento de datos por parte de empleados, tanto para subsanar el error cometido en este supuesto, como para evitar la comisión de este tipo de fallos en el futuro. Finalmente, a efectos aclaratorios, indicamos a continuación la explicación de la impresión del Registro de Acceso adjuntados: • En la primera impresión de pantalla se detallan los movimientos del vehículo infractor, entre los que se encuentra el número ******* donde se manifiesta la fecha y hora de salida y entrada del mismo. • En la segunda impresión se aporta la identificación del afectado, asignándole el movimiento indicado en el apartado anterior, correspondiente al vehículo infractor, asignación que tal y como hemos señalado anteriormente en el presente escrito, se produjo como consecuencia de un error en la actualización de la base de datos por la persona autorizada para el tratamiento de éstos. • En la tercera impresión de pantalla se refleja, la ubicación de origen y la fecha del acceso a la base de datos y en la cuarta, el nombre y apellido de la persona que accedió a éstos. Aportan copia del contrato de alquiler suscrito con el denunciante compuesto por la hoja de pedido y las condiciones generales de contratación del servicio, que incluyen la cláusula informativa de cesión comentada. Aportan además copia de la factura girada al cliente y pantallazos de los datos del vehículo con el que se cometió la infracción y en los que se asigna el movimiento al denunciante. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
6. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD, en el párrafo segundo de su artículo 2.1, al referirse al “Ámbito de aplicación” de la norma, establece que “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
7. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento”. En este mismo sentido se pronuncia el artículo 4 “Derecho nacional aplicable” de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que en su apartado 1 establece que “Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
8. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable”. De acuerdo con lo indicado en el Considerando 18 de la mencionada Directiva, se pretende que todo tratamiento de datos personales efectuado en la Unión Europea respete la legislación de uno de sus Estados miembros, para evitar así que una persona sea excluida de la protección garantizada por la misma, habiéndose estimado por ello conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado. A este respecto, de conformidad con el Considerando 19 de la repetida Directiva, se entenderá por establecimiento en el territorio de un Estado miembro el ejercicio efectivo y real de una actividad mediante una instalación estable, sin que la forma jurídica de dicho establecimiento, ya sea una simple sucursal o una empresa filial con personalidad jurídica, deba tratarse como un factor determinante. III En caso de que el responsable del tratamiento no esté establecido en territorio de la Unión Europea y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de un Estado miembro, de acuerdo con el artículo 4.1
9. c)de la Directiva 95/46/CE del Parlamento y del Consejo serán de aplicación las disposiciones nacionales dicho Estado miembro, salvo que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Unión Europea. En este caso, según el apartado 2 del mismo precepto, el responsable del tratamiento deberá designar un representante establecido en el territorio del Estado miembro de que se trate, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. Estas mismas previsiones se recogen en el artículo 2.1 de la LOPD, que establece lo siguiente: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
10. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. Y el último párrafo del artículo 5.1: “Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. IV La Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en su artículo 28.6 señala: “Toda autoridad de control será competente, sean cuales sean las disposiciones de Derecho nacional aplicables al tratamiento de que se trate, para ejercer en el territorio de su propio Estado miembro los poderes que se le atribuyen en virtud del apartado 3 del presente artículo. Dicha autoridad podrá ser instada a ejercer sus poderes por una autoridad de otro Estado miembro”. V Por lo tanto, considerando que de las investigaciones realizadas por la Inspección de Datos de la Agencia Española de Protección de Datos se deduce que el tratamiento de datos ha sido realizado en el marco de las actividades de un responsable de tratamiento establecido en otro Estado miembro de la Unión Europea –en este caso, Francia-, debe concluirse que la protección conferida por la LOPD no es aplicable al presente supuesto y, por ende, no procede la intervención de la Agencia Española de Protección de Datos. No obstante, los hechos expuestos se pondrán en conocimiento de la autoridad de control de este Estado miembro. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a EUROPCAR IB, S.A. y a D. E.E.E.. 3. TRASLADAR toda la documentación incorporada a este procedimiento a COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es