← España

PS-00122-2019

1/7 Procedimiento Nº: PS/00122/2019 RESOLUCIÓN: R/00192/2019 En el procedimiento PS/00122/2019, instruido por la Agencia Española de Protección de Datos a la entidad PRIM TORRECILLAS, S.A.U. (en lo sucesivo PRIM), vista la denuncia presentada por D. A.A.A. (en lo sucesivo el reclamante), y en virtud de los siguientes, ANTECEDENTES PRIMERO: El 25/04/2018 tiene entrada en la AEPD escrito del reclamante contra PRIM por los siguientes hechos: que vendió su vehículo usado Renault Scenic al adquirir uno nuevo, un VW Polo, en el establecimiento del reclamado, concesionario de vehículos, en fecha 13/02/2017. Posteriormente, alguien ajeno a dicho concesionario ha utilizado su nombre, apellidos y número de DNI para redactar un contrato de compraventa falso, por el cual el reclamante vendía vehículo usado a un tercero. Aporta copia del contrato de compraventa de vehículo usado con el concesionario y la copia del contrato de compraventa del vehículo usado, fechado y firmado en Alicante, en el que figura un tercero como comprador y el reclamante como vendedor del citado vehículo figurando sus datos personales y firma que parece no corresponder con la suya original. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 28/01/2019 fue trasladada al reclamado la reclamación presentada para su análisis y comunicación al denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba al reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El 06/03/2019 la representación del reclamado ha manifestado que con posterioridad a la transmisión del vehículo, se le remitido correo electrónico justificante del gestor administrativo, acreditativo del compromiso de cambio de titularidad de su vehículo Renault tal y como evidencia el documento que acompaña; que de dicho documento se desprende que fue el gestor quien con su firma digital se comprometió al cambio de titularidad del vehículo, siendo el único responsable de los hechos reclamados y que han intentado contactar con el mismo al ser el que participo en el proceso de cambio de titularidad pero les ha sido imposible; manifiestan igualmente que se ha informado al reclamante de los hechos acaecidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es TERCERO: Con fecha 23/03/2019, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento, con arreglo a lo dispuesto en el artículo 45.6 de la LOPD en relación a la denuncia por infracción de su artículo 6.1, tipificada como grave en el artículo 44.3.

  1. b)de la citada Ley Orgánica. CUARTO: Con fecha 15/04/2019 se recibe en esta Agencia escrito de alegaciones en el que el reclamado, en síntesis, expone que no ha participado en los hechos objeto de la denuncia; que el reclamante omite que le fue enviado por e-mail justificante profesional del gestor administrativo actuante acreditativo del cambio de titularidad del vehículo; que de dicho documento se desprende que fue el gestor quien con su firma digital se comprometió al cambio de titularidad del vehículo, siendo la encargada de recabar el consentimiento; que ha suscrito contrato de confidencialidad con el gestor que se encarga de la matriculación y cambio de titularidad de vehículos que tramita; que considerando que nunca ha sido sancionado no se proceda a sancionar y se aplique el artículo 45.6 LOPD por cumplirse los requisitos recogidos en dicho precepto. HECHOS PROBADOS PRIMERO: El 25/04/2018 tiene entrada en la AEPD escrito del reclamante en el que señala que el 13/02/2017 adquirió un vehículo al reclamado, titular de un concesionario y, al mismo tiempo, le vendió el vehículo Renault usado de su propiedad. Con posterioridad, se han utilizado sus datos de carácter personal figurando en un contrato de compraventa, a través del cual el reclamante vendía el vehículo, que había sido transferido al concesionario, a un tercero ajeno a dicho concesionario y pedía el cambio de titularidad ante la Dirección General de Tráfico. SEGUNDO: El reclamante aporta copia del contrato de compraventa del vehículo Renault de fecha 13/02/2017 suscrito con el titular del concesionario (el reclamado). TERCERO: Consta aportado por el reclamante copia del contrato de compraventa del vehículo Renault en el que figuran como parte el reclamante y un tercero, de fecha 10/04/2017; La firma que figura en el contrato no coincide con la del reclamante. CUARTO: El reclamado ha señalado que el 27/02/2017 que se le remitió por e-mail al reclamante y así lo acredita justificante profesional del gestor actuante que acreditaba el cambio de titularidad del vehículo, señalando que la documentación original del vehículo se encontraba en poder del gestor. QUINTO: El reclamado ha aportado copia del contrato de confidencialidad suscrito con su gestor encargado de la matriculación y cambio de titularidad de vehículos que tramita como concesionario, todo ello de conformidad con lo señalado en el RGPD. FUNDAMENTOS DE DERECHO I Los hechos objeto de la reclamación quedan sometidos a las disposiciones de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y a su Reglamento de desarrollo aprobado por el Real Decreto 1720/2007 (RLOPD) tomando en consideración que los mismos acontecieron con anterioridad al 25 de mayo de 2018, fecha de aplicación del Reglamento 2016/679, del Parlamento Europeo y del 3/7 Consejo, de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos. II Los hechos expuestos podrían suponer la comisión por parte del reclamado de una infracción al principio del consentimiento recogido en el artículo 6 de la LOPD, que dispone: "El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa". Dicho principio conlleva la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, el consentimiento permite así al afectado ejercer el control sobre sus datos de carácter personal (la autodeterminación informativa). Se trata de una garantía fundamental que solo encuentra como excepciones a ese consentimiento del afectado, las establecidas en una ley, recogiéndose en el apartado 2 del citado artículo 6 LOPD una serie de excepciones a la prestación del citado consentimiento: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Son pues elementos consustanciales al derecho fundamental a la protección de datos personales, la facultad que tiene el afectado de consentir en la recogida y tratamiento de sus datos personales y el conocimiento de la finalidad y del uso posterior que se va a dar a sus datos, así como de la identidad del que realiza el tratamiento. En el presente caso, no consta probado que el reclamante hubiera otorgado a PRIM su consentimiento inequívoco para el tratamiento de sus datos de carácter personal materializado en un contrato de venta del vehículo Renault usado suscrito con un tercero, vehículo que había sido de su propiedad y que fue vendido a PRIM por el reclamante. De la misma forma, tampoco PRIM, ha justificado que el tratamiento analizado estuviera amparado por una norma legal o respondiera a alguna de las excepciones recogidas artículo 6.2 de la LOPD que lo hubieran eximido del requisito del consentimiento III De las actuaciones practicadas y documentación obrante en el procedimiento, ha quedado probado que PRIM, como responsable del tratamiento, utilizó los datos personales del reclamante para llevar a cabo la venta de un vehículo a un tercero sin su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Consta operación de venta de vehículo usado al concesionario (13/02/2017), formalizándose por el gestor del mismo una solicitud de cambio de titularidad ante la DGT; posteriormente, figura un contrato de compraventa de vehículo usado suscrito entre el reclamante y un tercero de fecha posterior (10/04/2017), no justificándose ni amparándose el tratamiento dado a los datos del reclamante y en el que la firma no parece coincidir con la suya, evidenciándose que si el vehículo era propiedad de PRIM, éste realizó el encargo de venta al gestor, siendo PRIM el que finalmente vendió el coche a un tercero, formalizando la venta sin figurar como intermediario. La Audiencia Nacional ha señalado con reiteración en numerosas sentencias que la negativa del denunciante, en el sentido de no haber suscrito ningún contrato con la entidad denunciada, traslada a ésta última la carga de probar la indicada contratación, y por ende el consentimiento para el tratamiento de sus datos personales. En este mismo sentido se pronuncia la Sentencia de la Audiencia Nacional, de fecha 21 de diciembre de 2001, que señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por tanto, correspondía a PRIM acreditar que había obtenido el consentimiento del reclamante para el tratamiento de sus datos, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento. En consecuencia, ha quedado acreditado que PRIM no mostró la diligencia que le resultaba exigible para asegurarse de que contaba con el consentimiento del afectado para tratar sus datos con la finalidad descrita, realizando un tratamiento de los datos personales del denunciante sin el consentimiento del mismo, vulnerando lo dispuesto en el artículo 6.1 de la LOPD. IV El artículo 44.3.
  2. b)de la LOPD califica como infracción grave: “
  3. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En este caso, de acuerdo con lo expuesto, el reclamado ha incurrido en la infracción descrita al vulnerar el principio del consentimiento citado, consagrado en el artículo 6.1 de la LOPD, puesto que no ha acreditado disponer del consentimiento inequívoco del denunciante para tratar sus datos personales haciéndolos figurar en el contrato de venta del vehículo Renault suscrito con un tercero; vehículo que había sido de su propiedad y vendido al reclamado, conducta que encuentra su tipificación en el artículo 44.3.
  4. b)de la citada Ley Orgánica. 5/7 V El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  5. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  6. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  22. a)y
  23. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del reclamado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, que la citada entidad no tiene como actividad principal el tratamiento de datos de carácter personal, el volumen de tratamientos al que afectan los hechos estudiados se limita a los datos personales del reclamante y de un tercero, lo que justifica la aplicación del procedimiento establecido en el artículo 45.6 de la citada norma. No obstante, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando no se requieran medidas correctoras, lo procedente en Derecho es acordar el archivo de las actuaciones. En este caso concreto, atendida la naturaleza de la infracción y habida cuenta que el reclamado ha comunicado que además de que recaba el consentimiento de sus clientes, suscribió un contrato de confidencialidad con la gestoría que se encarga actualmente de la matriculación y cambio de titularidad de vehículos de clientes o proveedores todo ello de conformidad con lo señalado en el RGPD, debe procederse en consecuencia, a resolver el archivo de las actuaciones, sin practicar requerimiento alguno al reclamado, en aplicación de la interpretación del artículo 45.6 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. ARCHIVAR las actuaciones practicadas a la entidad PRIM TRORRECILLAS, S.A.U. con NIF A02006658, con arreglo a lo dispuesto en el artículo 45.6 de la Ley 7/7 Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6.1 de la LOPD. 2. NOTIFICAR a la entidad PRIM TRORRECILLAS, S.A.U. con NIF A02006658. De conformidad con lo establecido en el artículo 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  24. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.