PS-00215-2024

1/40  Expediente N.º: EXP202400905 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 6 de junio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GOLDCAR SPAIN, S.L. (en adelante, GOLDCAR). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 16 de mayo de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202400905 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, A.A.A.) con fecha 25 de diciembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GOLDCAR SPAIN, S.L., con NIF B03403169 (en adelante, GOLDCAR). Los motivos en que basa la reclamación son los siguientes: A.A.A. ha manifestado que realizó la reserva de un vehículo en GOLDCAR entre las fechas 09/06/2021 y 16/06/2021 a través de una web y que, al ir a retirar el vehículo para su uso, se le denegó por la existencia en la base de datos de la entidad de un aviso por un contrato celebrado en Madrid en 2018. Entiende que sus datos han sido vinculados, sin su consentimiento, con un incidente previo, siendo incorporado a un sistema de alerta para impedirle, como cliente, contratar los servicios de GOLDCAR. Junto a la reclamación se aportó: - Copia del contrato de alquiler con la tarifa contratada “***REFERENCIA.1” y número de reserva ***REFERENCIA.2, figurando como cliente el reclamante, y donde se indica lo siguiente: “(...)” (sic). En el contrato figura el sello de GOLDCAR SPAIN SLU y una firma manuscrita. Este documento incluye un apartado relativo a las “Condiciones particulares” con el texto: “No se puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/40 conducir el vehículo fuera de la península española, o en el caso de alquileres contratados en Baleares o Canarias no se podrá salir de la isla donde se haya entregado el vehículo, salvo que haya autorización expresa y firmada de la empresa en ambos casos y se contrate y se abone la cobertura adicional extraordinaria correspondiente”. - Copia de las condiciones generales de alquiler. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 17 de enero de 2024 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 17 de enero de 2024 como consta en el acuse de recibo que obra en el expediente. La parte reclamada solicitó el 15 de febrero de 2024 ampliación del plazo para contestar, que fue ampliado a diez días más. GOLDCAR respondió al traslado en fecha 29 de febrero de 2024, manifestando que solicitó al departamento de atención al cliente información sobre los contratos suscritos por el cliente y posibles reclamaciones de este, señalando: “Según consta en el informe, A.A.A. reservó un coche de alquiler y la reserva fue referenciada con el número ***REFERENCIA.2. Reservó el coche para ser recogido en el aeropuerto de ***LOCALIDAD.1 el 09/06/2021 y devuelto a GOLDCAR el 16/06/2021, efectivamente, el coche no fue entregado, entendemos que fue debido a un error con la reserva.” Adjunta el documento “Incidencia denegación alquiler de coche” con la siguiente información: “En nuestra base de datos de clientes figura que A.A.A., reservó un coche con el número ***REFERENCIA.2 en el aeropuerto de ***LOCALIDAD.1 entre el 09/06/2021 y el 16/06/2021. Hemos consultado a nuestro departamento de atención al cliente para conocer si existen reclamaciones relacionadas con esta reserva o problemas con la entrega del vehículo. Según nuestra información interna, la reserva no se ejecutó ya que el coche no fue entregado al cliente. Adicionalmente, no tenemos conocimiento de la reclamación de A.A.A. o de solicitudes de derechos de protección de datos enviadas por este cliente en relación con esta reserva.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/40 TERCERO: Con fecha 25 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por A.A.A. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: A) Con fecha 02 de abril de 2024 se envía requerimiento de información a GOLDCAR solicitando: - El motivo para rechazar la contratación del vehículo en base a la anotación escrita en el documento de reserva: “(...)” Tipo de datos, propios o ajenos, que se consultaron para poner esa anotación. En caso de ser datos ajenos, indique con qué legitimación contaba. Con fecha 08 de abril de 2024 tiene entrada escrito de respuesta de GOLDCAR en el que se pone de manifiesto lo siguiente: 1. GOLDCAR ha comprobado la información relacionada con el citado contrato suscrito en abril de 2018 y manifiesta que: “(…) De acuerdo con nuestra información, hubo un incidente con la devolución del vehículo alquilado por el reclamante el 28 de abril de 2018, puesto que el cliente incumplió las condiciones generales de contratación de GOLDCAR. En particular, incumplió la cláusula 10, al permitir que un tercero condujera el vehículo sin informar de la existencia de un segundo conductor a GOLDCAR. En este sentido, dicha cláusula establece expresamente: “Asimismo, es obligación del cliente no permitir la conducción del vehículo a ninguna persona distinta a las autorizadas de conformidad con este contrato, siendo responsable directo el cliente de cualquier daño o perjuicio producido en el vehículo o a terceros en tal caso." Como consecuencia del acceso por una tercera persona al vehículo, el vehículo fue robado o al menos desapareció, sin que el cliente pudiera devolver este en el periodo del alquiler. El vehículo fue recuperado por la policía en agosto de 2018 en Polonia y GOLCAR tuvo que asumir los costes de repatriación del vehículo, los servicios de la empresa de gestión de denuncias y recuperación de vehículos, el abono de las multas impuestas al vehículo durante este periodo, así como de la limpieza de este. En atención a este incidente, nuestro departamento de seguros podría haber redactado una nota interna en la ficha de cliente para gestionar el incumplimiento del contrato, la recuperación del vehículo y los costes derivados del incidente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/40 Actualmente, no hay ninguna nota en la ficha de cliente, probablemente debido al tiempo transcurrido desde el incidente, pero sería posible que el agente, en el momento de tramitar la reserva y entrega del vehículo, pudiera haber visto esta información en la ficha de cliente y al comprobar que había un incumplimiento de contrato, decidiese no entregar el coche, de acuerdo con las clausula 10, párrafo 11 de las condiciones particulares de GOLDCAR, las cuales establecen: “Goldcar se reserva el derecho a cancelar la entrega del vehículo en caso de dudas fundadas sobre la capacidad financiera del cliente o por antecedentes de este de impagos o incidentes graves con Goldcar”. (…)” 2. “Los datos de carácter personal para facilitar al cliente una explicación fueran aquellos incluidos en la ficha de cliente, necesarios para la formalización del contrato y el control de la ejecución de este, recogidos y tratados de conformidad con las condiciones generales de contratación de GOLDCAR y su política de privacidad. Toda la información personal consultada es interna y obtenida directamente del cliente, excepto el informe de la recuperación del vehículo emitido por la policía que no aporta información adicional sobre el cliente”. 3. Como se menciona anteriormente, GOLDCAR señala que no accede a datos personales proporcionados por terceros, siendo los datos tratados en el marco de la relación contractual. B) Con fecha 10 de abril de 2024 se le solicita al reclamante y a GOLDCAR copia del contrato suscrito en 2018. En dicha fecha tiene entrada respuesta del reclamante. Se aportan dos documentos: - Contrato_de_alquiler__***REFERENCIA.3__1.pdf: Contrato de alquiler del vehículo para el período 27-29 de abril de 2018. Contrato_de_alquiler__***REFERENCIA.3__2.pdf: Contrato de alquiler del vehículo para el período 27-30 de abril de 2018. Ambos documentos incluyen un apartado relativo a las “Condiciones particulares” cuyo contenido consta reseñado en el Hecho Probado Primero. Con fecha 16 de abril de 2024 tiene entrada respuesta de GOLDCAR. Aporta los siguientes documentos: - Doc_1.pdf: Contrato de alquiler de vehículo nº ***REFERENCIA.4, desde el 27/04/2018 a 29/04/2018, por un importe ***CANTIDAD.1 €. Goldcar_Contestacion_requerimiento.pdf: escrito de respuesta al requerimiento de información. El contrato aportado incluye las mismas “Condiciones Particulares” que figuran en el ejemplar del contrato aportado por el reclamante. Además, GOLDCAR acompaña el detalle de las “Condiciones Generales de Alquiler” estipuladas. Parte de lo señalado en este documento consta reseñado en el Hecho Probado Primero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/40 QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la parte reclamada es una gran empresa constituida en el año 1988, y con un volumen de negocios de 203.880.000 euros en el año 2022. SEXTO: Con fecha 6 de junio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GOLDCAR, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.

1. a)del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), GOLDCAR solicitó el 10 de junio de 2024 ampliación del plazo para contestar y copia del expediente; ampliación que fue concedida y copia que le fue trasladada el 12 de junio de 2024. GOLDCAR presentó escrito de alegaciones el 27 de junio de 2024 en el que solicita el archivo del presente procedimiento sancionador. Después de reiterar los detalles sobre la relación mantenida con la parte reclamante, ya manifestados en sus escritos anteriores, formula las consideraciones siguientes como fundamento de su pretensión: 1. GOLDCAR en todo momento ha realizado un tratamiento legítimo de los datos; 2. GOLDCAR considera lícito el tratamiento de los datos conforme a su interés legítimo; 3. No procede la apertura del procedimiento sancionador, por cuanto no existe una intencionalidad o negligencia en el cumplimiento de los deberes como responsable del tratamiento por parte de GOLDCAR; 4. No se han valorado debidamente las circunstancias para la graduación de la sanción; 5. GOLDCAR considera que cumple con las previsiones del RGPD y que no es necesario la adopción de medidas para ajustar el tratamiento a la normativa. Con su escrito aportó copia de los documentos siguientes: 1. Copia de la ponderación del interés legítimo de GOLDCAR y las libertados y derechos de sus clientes (documento en idioma inglés y sin fecha). 2. Copia de la política de privacidad de GOLDCAR elaborada, según indica esta entidad, “como consecuencia del proceso de adaptación al RGPD”. Se aporta la versión vigente de esta Política de Privacidad actualizada en fecha 1 de mayo de 2024. Parte del contenido de este documento consta reseñado en el Hecho Probado Quinto. 3. Copia del “protocolo interno” o “procedimiento para la gestión de las incidencias y la inclusión de avisos en las fichas de clientes” que, según GOLDCAR, “establece los supuestos tasados en los que sería posible incluir un aviso, las consecuencias y el periodo de duración de la medida en función de la gravedad de los hechos o el posible perjuicio para GOLDCAR y el personal autorizado para gestionar las incidencias” (en idioma inglés y sin fechar). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/40 “Procedimiento de Incidentes de Sigger (Sistema de Alertas) Este procedimiento definirá la gestión y el uso de los tipos de incidentes que se encuentran en SIGGER. Este procedimiento define: 1. Las directrices para agregar incidentes 2. Las consecuencias de los incidentes para los clientes y la empresa 3. Quién está autorizado a agregar incidentes en Sigger El propósito de este protocolo es mantener nuestras bases de datos actualizadas y reducir el riesgo de impagos y accidentes, así como detener el alquiler fraudulento de vehículos. Los tipos de incidentes de Sigger se pueden encontrar en el archivo del cliente de la siguiente manera:  Los incidentes positivos se identificarán con una línea azul en el archivo del cliente  Los incidentes negativos se identificarán con una línea roja en el archivo del cliente Tipos de incidentes Tipos y restricciones de incidentes de Sigger Positivo Este incidente solo indica información sobre el cliente. El cliente podrá seguir alquilando sin restricciones. Negativo Leve (Bajo): Son comentarios/advertencias que el cliente podría tener en cuenta en su próxima reserva si alquila un vehículo con la empresa. El cliente podrá alquilar sin restricciones. Grave (Serio): Son comentarios/advertencias basadas en supuestos comportamientos de clientes que ya han alquilado con nosotros. Además, si hay una advertencia policial, de una compañía con deudas o si el cliente tiene un historial de deudas con la compañía, no podrá volver a alquilar hasta que se solucione el incidente. Muy grave: El cliente no podrá volver a alquilar hasta que se solucione el incidente. Incidentes y motivos bajos: Los incidentes bajos justifican que no se le haya entregado el vehículo al cliente en un alquiler anterior. El gerente de oficina puede usar este tipo de incidente para explicar por qué se le denegó un vehículo en una reserva. No se puede denegar un vehículo a un cliente con este nivel de incidente en futuras reservas. Motivos de los incidentes bajos  Cualquier tipo de insulto o provocación (sin agresión física) a los empleados de la empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/40  Historial de deudas ya saldadas. En estos casos, los incidentes deben eliminarse del expediente del cliente.  Grabaciones de video o fotos de los empleados.  Cliente que no ha respetado la normativa transfronteriza.  Si un cliente muestra signos de estar incapacitado por el efecto de drogas o alcohol, no se le entregará el vehículo por razones de seguridad pública. Si el cliente insiste en llevarse el vehículo, el gerente de la empresa de alquiler o de la oficina deberá llamar a la policía. Motivos de incidentes graves: Cuando un cliente sufre un incidente grave, no podrá alquilar un vehículo con nuestra Compañía hasta que se resuelva. Estos incidentes solo pueden ser resueltos por las personas designadas en la Sede Central.  Auditoría interna: Historial de impagos no satisfechos o liquidados dentro de la Compañía o uso de tarjetas fraudulentas.  Reclamaciones: Avisos policiales o advertencias de empresas de prevención de robos o deudas.  Reclamaciones: Accidentes graves.  Reclamaciones: Robos o apropiaciones indebidas.  Gerente de Oficina: Clientes con denuncia policial previa por diferentes motivos. Incidentes muy graves: Cuando un cliente sufre un incidente muy grave, no podrá alquilar un vehículo con nuestra Compañía. Estos incidentes solo pueden ser presentados desde el Departamento Legal si existe una resolución judicial firme en contra del cliente” (traducción no oficial). (para cada tipo se indica quién puede agregar o eliminar incidentes: Gerente de Oficina, Departamento de Auditoría Interna, Departamento Legal y de Atención al Cliente, Departamento de Seguros y Reclamaciones. Los muy graves solo se pueden agregar desde el Departamento Jurídico si existe una Resolución Judicial Firme en contra del cliente). OCTAVO: Con fecha 17 de enero de 2025, el instructor del procedimiento acordó practicar las siguientes pruebas a GOLDCAR: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación. - En el escrito de alegaciones al acuerdo de inicio, GODLCAR ha manifestado en relación con el incidente de denegación del vehículo alquilado a la parte reclamante que: “el Denunciante no pudo devolver el mismo, puesto que lo había prestado a un tercer conductor ajeno a la contratación con GOLDCAR y, el mismo, desapareció o fue robado, de forma que el vehículo fue recuperado por la policía en Polonia meses después de la finalización del periodo de alquiler” y que “Como se ha explicado, en el caso que nos ocupa se produjo un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/40 uso no autorizado del vehículo alquilado por el Denunciante, ya que durante la contratación del vehículo éste dejó el vehículo a un tercero no autorizado en el contrato de alquiler, lo que provocó la desaparición del vehículo y la interposición de denuncia ante la policía con atestado ***REFERENCIA.5. El vehículo fue posteriormente localizado y recuperado por el Cuerpo Nacional de Policía en Polonia. Por este motivo, a fin de dar cumplimiento a lo previsto en el contrato en casos de incumplimientos contractuales, es posible que, se insertara algún aviso o nota en la ficha del cliente por parte de nuestro departamento de seguros”. Se solicitó a la parte reclamada que acredite y justifique documentalmente las citadas manifestaciones y la nota manuscrita que figura en el contrato de alquiler aportado. Con fecha 27 de enero de 2025, GOLDCAR proporcionó la siguiente documentación: - Aporta como Documento nº1 copia del formulario completado y firmado por el reclamante, de fecha 30 de abril de 2018, en el que se informa a GOLDCAR de la desaparición del vehículo ***REFERENCIA.3, tras dejar las llaves de este a una persona no autorizada en el contrato de alquiler, quien a su vez dejó las llaves escondidas en el paso de rueda del vehículo para que el reclamante las recogiera. El reclamante acompañó el formulario con la denuncia que efectuó ante la policía en fecha 30 de abril de 2018 y que se aporta. - En cuanto a la manifestación de que el vehículo fue recuperado por la policía en Polonia, aporta como Documento nº2 copia del correo electrónico recibido con fecha 28 de agosto de 2018 de la Policía Judicial - (...), remitiendo información sobre la recuperación del vehículo denunciado. - En cuanto a la manifestación relativa al aviso interno del departamento de seguros, GOLDCAR señala lo siguiente: “es posible que se hiciera, pero a la fecha en que se iniciaron las actuaciones, no existe constancia de que se dispusiera ningún aviso, en la ficha de cliente, puesto que en el caso de que, en su momento, se pusiera, por el transcurso del tiempo habría sido eliminado. En todo caso, el incumplimiento de las Condiciones Generales de Contratación deriva de la propia manifestación efectuada por el reclamante al presentar el formulario a GOLDCAR. Respecto a la nota manuscrita en el contrato de alquiler, como ya se ha puesto de manifiesto, no existe dicha nota en la copia del contrato de la que disponía GOLDCAR y que fue aportada en el marco de los requerimientos de información efectuados por la AEPD.” Aporta copia del contrato de alquiler nº ***REFERENCIA.4 de fecha 27 de abril de 2018. NOVENO: Con fecha 17 de enero de 2025, el instructor del procedimiento acordó practicar las siguientes pruebas al reclamante: - El 10 de abril de 2024 el reclamante aportó dos copias de un mismo contrato de alquiler de vehículo suscrito con GOLDCAR: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/40 1) Contrato de alquiler de vehículo nº ***REFERENCIA.4, inicio y fin de alquiler (...), para ser disfrutado desde el 27/04/2018 a 29/04/2018, cliente la parte reclamante, firmado por ambas partes e importe ***CANTIDAD.1 €. 2) Contrato de alquiler de vehículo nº ***REFERENCIA.4, inicio y fin de alquiler (...), para ser disfrutado desde el 27/04/2018 a 30/04/2018, cliente la parte reclamante, firmado por ambas partes e importe ***CANTIDAD.2. Se solicitó al reclamante que informara del por qué y para qué de la existencia de estas dos copias del contrato con periodos de disfrute distintos. Con fecha 17 de enero de 2025, el reclamante ha facilitado la siguiente información requerida: “- Contrato de alquiler de vehículo nº ***REFERENCIA.4, desde el 27/04/2018 a 29/04/2018, por un importe ***CANTIDAD.1 €. Este es un contrato inicial vinculado al alquiler del vehículo ***REFERENCIA.3, justificando el inicio y pago del alquiler, entregado al inicio del alquiler. - Contrato de alquiler de vehículo nº ***REFERENCIA.4, desde el 27/04/2018 a 30/04/2018, por un importe ***CANTIDAD.2. Se trata del contrato donde figura la ampliación que se hizo de un día más del alquiler inicial, además constan los gastos posteriores a la finalización del alquiler, como se observa, una multa de circulación, entregado posterior a la finalización del alquiler.” DÉCIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 27 de abril de 2018 a las 12:58 hr, A.A.A. y GOLDCAR firmaron el contrato de alquiler de vehículo nº ***REFERENCIA.4, para ser disfrutado desde el 27 de abril de 2018 a 29 de abril de 2018, por un importe ***CANTIDAD.1 € con inicio y fin del contrato de alquiler en el (...). Dicho contrato con nº ***REFERENCIA.4 fue posteriormente ampliado hasta el día 30 de abril como consta en la factura de pago de la liquidación del alquiler del vehículo ***REFERENCIA.3 de fecha 22 de junio de 2018, a las 16:51 hr. Estos contratos incluyen un apartado relativo a las “Condiciones particulares” con el contenido siguiente: “Este contrato está sujeto a un límite de kilómetros de acuerdo a los siguientes valores: contratos de 1 a 3 días de duración: 350 Km/día; de 4 a 6 días: 250 Km/día; de 7 a 14 días: 150 Km/día y a partir de 15 días: 100 Km/día. A cada contrato se le aplica solo uno de los límites anteriores: el que corresponda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/40 según su duración. Se cargarán 0,15€ por km sobre el total de kilómetros que exceda el límite. No se puede conducir el vehículo fuera de la península española, o en el caso de alquileres contratados en Baleares o Canarias no se podrá salir de la isla donde se haya entregado el vehículo, salvo que haya autorización expresa y firmada de la empresa en ambos casos y se contrate y abone la COBERTURA ADICIONAL extraordinaria correspondiente. No está permitido sacar el vehículo de España peninsular a África. Si el vehículo recibe una multa durante el período de validez de este contrato será usted responsable del importe de la multa, además se realizará un cargo de 45€ en concepto de gestión de multas. El Cargo de Oficina Premium es del 8,00%”. Consta en dichos contratos, además, el detalle de las “Condiciones Generales de Alquiler” estipuladas. De lo señalado en este documento, interesa destacar lo siguiente: “10. Uso no autorizado. Será obligación del cliente usar el vehículo con la debida diligencia, con arreglo a las características del mismo, respetando la normativa de circulación de vehículos a motor vigente y evitando, en cualquier caso, cualquier situación que pudiera provocar daños en el vehículo o a terceros. Asimismo, es obligación del cliente no permitir la conducción del vehículo a ninguna persona distinta a las autorizadas de conformidad con este contrato, siendo responsable directo el cliente de cualquier daño o perjuicio producido en el vehículo o a terceros en tal caso...”. “16. Tratamiento informático de los datos personales. A efectos de lo dispuesto en la normativa vigente relativa a la protección de datos de carácter personal y servicios de la sociedad de la información y comercio electrónico, Goldcar le informa de que sus datos personales van a ser incorporados a un fichero automatizado de datos de carácter personal creado y bajo la responsabilidad de esta empresa, con domicilio en…, con el fin de poder gestionar los servicios de alquiler de vehículos contratados, así como para mantenerle puntualmente informado de todas aquellas ofertas, productos y promociones, propios o de terceros, que puedan ser de su interés, bien por correo electrónico, bien por cualquier otro modo equivalente. En el caso de comunicaciones comerciales a través de correo electrónico o medio equivalente usted otorga su consentimiento expreso para el envío de publicidad a través de dicho medio. Dicho consentimiento podrá ser revocado en cualquier momento mediante petición escrita dirigida a la dirección…, o mediante correo electrónico a la dirección… Del mismo modo, sus datos podrán ser cedidos a otras empresas de los sectores de transporte y turismo que colaboren ahora o en el futuro en las actividades que lleva a cabo Goldcar, para que desarrollen actividades promocionales. Por último, le comunicamos que puede ejercer los derechos de acceso, modificación o cancelación mediante petición escrita dirigida…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/40 SEGUNDO: El 30 de abril de 2018 a las 11:21 hr, A.A.A. efectuó la denuncia ante la Policía Judicial - (...), atestado nº ***REFERENCIA.5, por la desaparición del vehículo alquilado con matrícula ***REFERENCIA.3, en la que manifiesta lo siguiente: “Que el dicente se presenta ante esta instrucción como conductor del vehículo de alquiler con placa de matrícula…, propiedad de la empresa GOLDCAR. Que se dejó el vehículo perfectamente estacionado y cerrado, en la zona cerca de Neptuno… Que las llaves se las entregó el dicente a su novia para que las guardara en el hostal mientras él iba a trabajar… y quedarían más tarde para que la pudiera llevar al aeropuerto y dejar el coche de alquiler en el aparcamiento de la compañía. Que debido a que el dicente no puede acudir a por su novia para llevarla al aeropuerto y debido a que la misma no tenía autorización para conducir el coche y perdería el vuelo en caso de esperar, dicha mujer deja las llaves escondidas en el paso de rueda del vehículo, avisando posteriormente al dicente para que recogiera el vehículo y pudiera entregarlo. Que el dicente se presenta en la zona y no encuentra el vehículo…, comienza a dar vueltas por las zonas aledañas… no localizándolo. Que el dicente da aviso a patrullas de policía nacional y policía municipal, los cuales realizan batidas por la zona, siendo todas las gestiones infructuosas… Que el dicente da aviso a la compañía GOLDCAR telefónicamente, informándole que presente denuncia ante las autoridades policiales y posteriormente se dirija a la oficina de alquiler…”. Dicha denuncia fue aportada por el reclamante a GOLDCAR junto con un formulario denominado “INFORMACIÓN AVERIA”, donde figuran los datos del coche, del cliente y la explicación de cómo se produjo la pérdida del vehículo por el reclamante, manifestando que dejó las llaves del vehículo a una tercera persona, quien a su vez las dejó escondidas en el paso de rueda del vehículo para que el reclamante recogiera el vehículo, el cual desapareció antes de que el reclamante pudiera recogerlo. TERCERO: El 28 de agosto de 2018 el vehículo alquilado con matrícula ***REFERENCIA.3 fue recuperado por la policía en Polonia, como se constata en el email enviado por la policía a GOLDCAR con el siguiente contenido: “Como bien ha indicado empleado de la empresa GOLD CAR, tras llamada realizada, se procede a comunicar los datos del servicio de la Policía de Polonia que ha procedido a la recuperación del vehículo ***MARCA.1 de color Blanco con matrícula ***REFERENCIA.3. ** Policía de Polonia: *(...).” CUARTO: El reclamante realizó la reserva de un vehículo a GOLDCAR con número ***REFERENCIA.2 para ser disfrutado desde el 09 de junio de 2021 a 16 de junio de 2021. Sin embargo, se le denegó el alquiler del vehículo por el motivo que figura en la nota manuscrita que se hizo constar en el propio documento de la reserva del vehículo, validada con un estampillado en el que figura el nombre, dirección y “CIF” de la entidad GOLDCAR. El texto de esta nota indica: “(...)” (sic). La negativa al alquiler de dicho vehículo fue reconocida por GOLDCAR en la respuesta al requerimiento formulado por la AEPD con fecha 08 de abril de 2024 (el subrayado es nuestro): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/40 “(…) De acuerdo con nuestra información, hubo un incidente con la devolución del vehículo alquilado por el reclamante el 28 de abril de 2018, puesto que el cliente incumplió las condiciones generales de contratación de GOLDCAR. En particular, incumplió la cláusula 10, al permitir que un tercero condujera el vehículo sin informar de la existencia de un segundo conductor a GOLDCAR. En este sentido, dicha cláusula establece expresamente: “Asimismo, es obligación del cliente no permitir la conducción del vehículo a ninguna persona distinta a las autorizadas de conformidad con este contrato, siendo responsable directo el cliente de cualquier daño o perjuicio producido en el vehículo o a terceros en tal caso." Como consecuencia del acceso por una tercera persona al vehículo, el vehículo fue robado o al menos desapareció, sin que el cliente pudiera devolver este en el periodo del alquiler. El vehículo fue recuperado por la policía en agosto de 2018 en Polonia y GOLCAR tuvo que asumir los costes de repatriación del vehículo, los servicios de la empresa de gestión de denuncias y recuperación de vehículos, el abono de las multas impuestas al vehículo durante este periodo, así como de la limpieza de este. En atención a este incidente, nuestro departamento de seguros podría haber redactado una nota interna en la ficha de cliente para gestionar el incumplimiento del contrato, la recuperación del vehículo y los costes derivados del incidente. Actualmente, no hay ninguna nota en la ficha de cliente, probablemente debido al tiempo transcurrido desde el incidente, pero sería posible que el agente, en el momento de tramitar la reserva y entrega del vehículo, pudiera haber visto esta información en la ficha de cliente y al comprobar que había un incumplimiento de contrato, decidiese no entregar el coche…”. QUINTO: GOLDCAR aportó a las actuaciones copia de su Política de Privacidad, en su versión vigente actualizada a fecha 1 de mayo de 2024. Según GOLDCAR, dicha Política de Privacidad se elabora “como consecuencia del proceso de adaptación al RGPD”. Del contenido de este documento se destaca lo siguiente: “3. ¿Con qué fines tratamos tus datos personales? Recabamos y procesamos tus datos personales para distintos fines y sobre las siguientes bases de legitimación: Finalidades del tratamiento La gestión y el mantenimiento del bloqueo de la cuenta de clientes con riesgos contractuales basados en:  incidentes de pago que hayan dado lugar a procedimientos judiciales;  accidentes de vehículos o daños repetidos u ofensas a nuestros empleados;  uso de nuestros vehículos incumpliendo las condiciones generales de alquiler de vehículos. Base de legitimación Este tratamiento se basa en nuestro interés legítimo, en particular, la defensa de nuestros derechos, para prevenir los riesgos y el fraude relacionados con la ejecución de tu contrato de arrendamiento y para prevenir y gestionar las ofensas hacia nuestros empleados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/40 A este respecto, tratamos de mantener un equilibrio justo entre la necesidad de tratar sus datos personales y el respeto de sus derechos y libertades, en particular la protección de la intimidad. Si aparece en nuestro sistema de alertas de clientes, su solicitud de reserva será rechazada. Puede oponerse a esta decisión enviando un correo electrónico a la siguiente dirección: dpo@goldcar.com”. “5. ¿Durante cuánto tiempo conservaremos tus datos personales? Sus datos personales se conservan durante periodos diferentes, en función de los fines del tratamiento: Finalidad La gestión y el mantenimiento de una lista de clientes con riesgos contractuales basados en:  incidentes de pago que hayan dado lugar a procedimientos judiciales;  accidentes de vehículos o daños repetidos u ofensas a nuestros empleados;  uso de nuestros vehículos incumpliendo las condiciones generales de alquiler de vehículos Periodo de retención 3 o 5 años a partir de la fecha de creación o modificación del último alquiler y dependiendo de la naturaleza del incidente”. “6. ¿Qué derechos puede ejercer con respecto al tratamiento de sus datos personales? Dentro de los límites y condiciones permitidas por la normativa vigente, puedes: (…) oponerte al tratamiento de tus datos personales basado en un interés legítimo que puedes comprobar revisando la tabla recogida en el apartado “¿Con qué fines tratamos sus datos personales?” y particularmente en el apartado “Base de legitimación”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/40 tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define «responsable del tratamiento» o «responsable»: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” El artículo 4.7) del RGPD, define «encargado del tratamiento» o «encargado»: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que GOLDCAR realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, como: nombre y apellidos, teléfono y dirección, entre otros. GOLDCAR realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/40 III Alegaciones al acuerdo de inicio En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por GOLDCAR: PRIMERA: Sobre la base de legitimación del tratamiento de datos. En el presente caso, los tratamientos de datos personales de la parte reclamante que GOLDCAR lleva a cabo tienen origen en los contratos de alquiler de vehículos que ambos formalizaron en fechas 27 y 30 de abril de 2018. Durante el período de uso contratado por la parte reclamante, el vehículo alquilado fue sustraído por un tercero, siendo finalmente localizado y recuperado por la Policía en Polonia en fecha 28/08/2018. Consta en las actuaciones que, con anterioridad a la sustracción del vehículo en cuestión, la parte reclamante entregó a su pareja las llaves del mismo y que ésta las dejó escondidas en el paso de rueda del coche para que fueran recogidas por aquél, cosa que no llegó a ocurrir debido al robo cometido. Estos hechos fueron valorados por GOLDCAR como un antecedente grave y determinaron que dicha entidad realizara en la ficha de cliente de la parte reclamante la oportuna anotación para negarle futuros alquileres de vehículos de su flota, como así ocurrió en junio de 2021 cuando la parte reclamante pretendió realizar la reserva de un vehículo de GOLDCAR que consta reseñada en el Hecho Probado Cuarto. El tratamiento de datos controvertido, que da lugar al presente procedimiento sancionador, tiene que ver con el registro de la incidencia ocurrida con la devolución del vehículo alquilado en 2018 y la anotación negativa realizada en la ficha de cliente, así como con la utilización de estos datos personales realizada en junio de 2021 para negar a la parte reclamante la reserva que solicitó a GOLDCAR para un nuevo alquiler de vehículo. La controversia sobre este tratamiento tiene que ver con su licitud, no con la certeza de su realización, que está probada fehacientemente, incluso admitida por GOLDCAR. Este y no otro es el objeto de este procedimiento, de modo que este acto no supone pronunciamiento alguno sobre otros aspectos que se muestran en las actuaciones, como la nueva Política de Privacidad de GOLDCAR o el registro de anotaciones “positivas” en las fichas de clientes dispuesto por esta entidad, entre otros.
2. a)A este respecto, en primer lugar, GOLDCAR considera que en todo momento ha realizado un tratamiento legítimo de los datos de acuerdo con la normativa vigente en cada ocasión. Destaca que se firmó un primer contrato de alquiler del vehículo con el reclamante por el periodo que iba comprendido entre el 27 y 29 de abril de 2018, esto es, con carácter previo a la entrada en aplicación del RGPD que se produjo el 25 de mayo de 2018, siendo la norma vigente en el momento la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), que establecía qué información se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/40 debía facilitar a los afectados sobre el tratamiento de sus datos en su artículo 5. En virtud de este artículo se debía informar de la existencia del fichero, finalidades de la recogida y destinatarios, así como la posibilidad de ejercicio de los derechos del afectado y los datos de contacto del responsable del fichero. En consecuencia, no era necesario informar sobre la base de legitimación para el tratamiento de los datos, ni su periodo de conservación. Señala que en el punto 16 de las Condiciones Generales de Alquiler aplicables en el momento de la contratación, se incluía una cláusula de protección de datos, en la que se informaba de los extremos requeridos por el citado artículo 5 de la LOPD: “a efectos de lo dispuesto en la normativa vigente […] GOLDCAR le informa de que sus datos personales van a ser incorporados a un fichero automatizado de datos de carácter personal creado y bajo la responsabilidad de esta empresa […] con el fin de poder gestionar los servicios de alquiler de vehículos contratados (…)”. De forma que los datos se recogían y trataban para la gestión de los servicios de alquiler de vehículos contratados, sin recabar consentimiento de acuerdo con el artículo 6.2 de la LOPD, conforme al cual, el tratamiento con fines contractuales alcanzaba a las partes de un contrato cuando el tratamiento fuera necesario para el mantenimiento o cumplimiento de la relación contractual. Las Condiciones Generales de Contratación, establecían en su clausula 10 que el uso del vehículo por personas no autorizadas constituía un incumplimiento de la relación contractual y, por otra parte, la cláusula 10, párrafo 11 de las condiciones particulares, establecían: “Goldcar se reserva el derecho a cancelar la entrega del vehículo en caso de dudas fundadas sobre la capacidad financiera del cliente o por antecedentes de este de impagos o incidentes graves con Goldcar”. GOLDCAR justifica así que, en el momento de la recogida de datos del reclamante, recogía y trataba los datos personales del cliente dentro del alcance del contrato y podía decidir incluir una nota del incidente en caso de incumplimiento de sus términos y condiciones. Añade que la gestión del incidente y los posibles riesgos futuros derivados del incumplimiento son tratados de acuerdo con el interés legítimo para prevenir los riesgos asociados a la prestación de servicios de arrendamiento de vehículos, en particular, aquellos riesgos relacionados con fraudes, daños personales consecuencia de accidentes de tráfico, daños a la flota de GOLDCAR y actividades ilegales llevadas a cabo con vehículos robados o perdidos. Como bien señala GOLDCAR, la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal obligaba a la entidad responsable a informar a los interesados en el momento de la recogida de los datos sobre la finalidad para la que los mismos serían tratados. Sin embargo, la información ofrecida a la parte reclamante en el momento de formalización de los contratos de alquiler de vehículos suscrito en abril de 2018, que conste íntegramente reproducida en el Hecho Probado Primero, se limitaba a informar sobre la utilización de los datos para gestionar los servicios de alquiler de vehículos y con fines promocionales, sin advertir sobre la posibilidad de registrar antecedentes que dieran lugar al bloqueo de la cuenta de cliente con el fin de que GOLDCAR pudiera rechazar futuras reservas de vehículos. Este tratamiento de datos que, como se ha indicado, constituye el objeto del presente procedimiento, tiene una finalidad distinta a la ejecución del contrato. Nada se incluía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/40 en aquella cláusula informativa sobre este tratamiento de datos, de modo que la parte reclamante no tuvo oportunidad de conocer que sus datos personales serían registrados en los sistemas de GOLDCAR con este propósito. Por otra parte, si bien no corresponde a esta AEPD decidir sobre el cumplimiento o incumplimiento de las estipulaciones pactadas por las partes en el contrato de alquiler de vehículos, si interesa dejar constancia, en lo que aquí interesa, que no consta probado que el reclamante hubiese incumplido la obligación de no ceder el uso del vehículo a una persona no autorizada. No consta en las actuaciones, más allá de que el reclamante hubiese entregado las llaves del coche a su pareja, ninguna prueba de que esta persona hubiese conducido el vehículo. Y tampoco consta acreditado que las “condiciones particulares” estipuladas en aquellos contratos de alquiler de vehículos suscritos en abril de 2018 facultaran a GOLDCAR para cancelar la entrega de vehículos en alquiler en caso de incidentes o riesgos graves. Las “condiciones particulares” que se hicieron constar en dichos contratos constan reseñadas en el Hecho Probado Primero y nada de lo indicado en las mismas tiene relación con el tratamiento de datos en cuestión.
3. b)En todo caso, se tiene en cuenta que los datos registrados por GOLDCAR, que incluyen todos los detalles sobre las circunstancias de hechos descritas en los Hechos Probados Segundo y Tercero, incluida la sustracción del vehículo mientras estaba siendo utilizado por el reclamante, así como la “alerta” sobre el bloqueo de contrataciones futuras, se mantuvo en los sistemas de la entidad responsable, al menos, hasta conocer la reclamación que ha motivado las actuaciones. A pesar de ello, GOLDCAR no estableció las medidas oportunas para adaptar estos tratamientos de datos a las exigencias del RGPD. GOLDCAR destaca que, durante el proceso de adaptación al RGPD, se revisan las políticas de conservación de los datos de carácter personal y se incluye esta información en la política de privacidad de conformidad con los requisitos de información y transparencia recogidos en el artículo 13 del RGPD; realizando también una ponderación entre su interés legítimo y de terceros en prevenir riesgos y fraudes relacionados con los contratos de alquiler, así como prevenir y manejar comportamientos ofensivos hacia sus empleados y las libertades y derechos de los afectados (clientes), motivo por el que GOLDCAR llevo a cabo una Evaluación de Impacto contando en la actualidad con un procedimiento para la gestión de las incidencias y la inclusión de avisos en las fichas de clientes. Dicho procedimiento establece los supuestos tasados en los que sería posible incluir un aviso, las consecuencias y el periodo de duración de la medida en función de la gravedad de los hechos o el posible perjuicio para GOLDCAR y el personal autorizado para gestionar las incidencias. GOLDCAR considera, por tanto, que, en caso de haberse producido, el mantenimiento de la nota del incidente en la ficha del cliente estaba legitimado en base a la relación contractual existente con el mismo y, posteriormente, en el interés legítimo de la entidad. Si bien, señala que a la fecha de los distintos requerimientos de información no existía ningún aviso de incidente en la ficha de cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/40 Interesa reiterar que GOLDCAR estaría tratando datos más allá de la finalidad contractual inicial, al mantener notas o avisos internos sobre incumplimientos sin haber informado previamente de ese uso adicional. Además, con la entrada en aplicación del RGPD el 25 de mayo de 2018, GOLDCAR debía cumplir requisitos más amplios de información establecidos en el 13, entre los que se incluyen detallar la base jurídica y el período de conservación, así como realizar una evaluación de impacto y la debida ponderación entre su interés legítimo y los derechos d ellos interesados. GOLDCAR ha manifestado haber llevado a cabo esta adecuación y ha aportado algunos de los documentos elaborados con este propósito, si bien no ha acreditado en qué momento se realizó dicha adecuación y, lo que es más importante para la resolución del presente caso, no ha acreditado haber informado debidamente al reclamante sobre este tratamiento para que pudiera conocer cómo se estaban utilizando sus datos y pudiera ejercer sus derechos, como el de oposición a los tratamientos de datos basados en el interés legítimo del responsable, dado que dichos avisos internos podían conllevar un impacto futuro para el reclamante. Incluso, aunque GOLDCAR hubiese trasladado al reclamante la información dispuesta, esta información no asegura que el reclamante hubiese tomado conciencia cierta sobre el uso de sus datos personales para excluirle de contrataciones futuras en base a los hechos acontecidos en 2018. La Política de Privacidad actual elaborada por GOLDCAR, que tiene fecha de 1 de mayo de 2024, muy posterior a los hechos analizados, contempla “La gestión y el mantenimiento del bloqueo de la cuenta de clientes con riesgos contractuales basados en: . incidentes de pago que hayan dado lugar a procedimientos judiciales; . accidentes de vehículos o daños repetidos u ofensas a nuestros empleados; . uso de nuestros vehículos incumpliendo las condiciones generales de alquiler de vehículos. Ya se ha dicho anteriormente que no hay certeza sobre el incumplimiento por parte del reclamante de las condiciones generales o particulares. Asimismo, los hechos acreditados en relación con los incidentes acaecidos en 2018 no permiten establecer una relación directa, de causa y efecto, entre la conducta del reclamante y el robo del vehículo que justifique atribuirle responsabilidad alguna por este robo. Se puede concluir que el registro de estos incidentes por parte de GOLDCAR y la anotación efectuada en la ficha de cliente del reclamante para prevenir o evitar riesgos futuros, que determinó el rechazo del alquiler de un vehículo en 2021, es el resultado de una valoración subjetiva de los hechos realizada por GOLDCAR, lo que dificulta que el reclamante pudiera si quiera intuir que sus datos personales serían tratados con esta finalidad y que, en base a ello, sería objeto de esa exclusión. Tampoco estos hechos se ajustan a los enunciados contenidos en esa Política de Privacidad. No constan impagos, ni accidentes o daños en el vehículo que sean C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/40 imputables al reclamante, ni ofensas a empleados de GOLDCAR o incumplimientos acreditados de las condiciones generales de alquiler de vehículos. SEGUNDA: Sobre la ponderación del interés legítimo de GOLDCAR y los derechos de sus clientes. En relación con la acreditación del interés legítimo, GOLDCAR considera lícito, el tratamiento de los datos conforme a su interés legítimo señalando que el propio RGPD, en su considerando 47 dispone lo siguiente: “El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate”. Así perseguiría la prevención del fraude y la protección de sus empleados, incluso el interés de terceros en el supuesto de que pudiera producirse un accidente con un coche robado o perdido y del mismo resultaran daños materiales o personales a terceros, puesto que las entidades aseguradoras y las pólizas no cubren daños sin limitaciones. Alega GOLDCAR que esta necesidad viene derivada del riesgo de la actividad de arrendamiento de vehículos de alquiler en la que se pueden producir fraudes e, incluso la comisión de otro tipo de delitos, derivados de información falsa presentada por los clientes, daños causados a los vehículos, daños materiales o personales producidos en accidentes con vehículos robados o desaparecidos, el robo de estos con la posibilidad de que los mismos sean utilizados para la comisión de delitos. Informa que el alquiler de vehículos está sujeta a las obligaciones de registro documental previstas en la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana. Continua GOLDCAR señalando que se adoptaron las siguientes medidas a fin de minimizar los posibles riesgos:     C/ Jorge Juan, 6 28001 – Madrid “A fin de evitar una posible vulneración de los derechos de los afectados, se limitaron el tratamiento de los incidentes a supuestos concretos que supusieran un perjuicio grave para la entidad bien por suponer un grave perjuicio económico, la posibilidad de que los clientes cometieran un fraude o delito o pudieran suponer un riesgo para la integridad física o moral del personal de GOLDCAR. En todo caso, se comprueba y asegura que los datos que se recaben o se utilicen para incluir una nota no estén relacionados o sean recogidos por razón de nacimiento, raza, sexo, religión, opinión o cualquier otra condición o circunstancia personal o social, de acuerdo con el artículo 14 de la CE. Se informa a los afectados de las consecuencias del tratamiento y de que tienen derecho a reclamar expresamente esta decisión ante el DPO de la entidad. Se establece un protocolo interno para la gestión de estas situaciones, en las que se indica expresamente los supuestos en los que se pueden reflejar las incidencias, esto es, solo se pueden tratar estos datos en casos de (
4. i)incidentes de pago que hayan dado lugar a procedimientos judiciales; (
5. ii)accidentes de vehículos o daños repetidos u ofensas a nuestros empleados y (iii) uso de nuestros vehículos incumpliendo las condiciones generales de alquiler de vehículos. Asimismo, se prevé que www.aepd.es sedeaepd.gob.es 20/40       en función de la gravedad del incidente el periodo de duración de la anotación se gradúe entre 3 y 5 años. Se informa en la política de privacidad de esta posibilidad, así como del periodo de retención de los datos y de la posibilidad de reclamar la decisión. Los datos deben ser tratados por el personal expresamente autorizado al efecto. Cualquier incidente debe estar documentado, si no es posible su documentación no será posible el tratamiento de este dato. En caso de que se decida incluir un aviso o alerta en la ficha de cliente, esta es incluida de forma manual por el personal autorizado con la mínima información de forma que el personal del mostrador no puede acceder a la información completa del incidente, solo tiene constancia de la existencia de la nota o aviso en la ficha y la calificación de la gravedad del incidente. Asimismo, en ningún caso, estos datos son compartidos con terceros, salvo que sea necesario ponerlos en conocimiento de las Fuerzas y Cuerpos de Seguridad del Estado y/o los juzgados y tribunales competentes. No se recaban datos de fuentes externas en relación con los incidentes, la única información que se puede contener recibida de terceros será la facilitada por los juzgados y tribunales o las Fuerzas y Cuerpos de seguridad en aquellos supuestos en los que el incidente sea objeto de un procedimiento judicial o una investigación por las autoridades competentes. En todo caso, esta información no figura en la ficha de cliente, sino que es tratada por los departamentos competentes en el seno de la empresa.” Señala que, en la fecha de la segunda contratación, toda esta información se facilitaba en las Condiciones Generales de Contratación y en la política de privacidad de GOLDCAR, sin que el reclamante se pusiera en contacto con nuestro servicio de atención al cliente o el DPO como se recoge en la política de privacidad. Asimismo, trae a colación que, por analogía, se podría hablar de “reserva del derecho de admisión” respecto a los futuros alquileres que podría efectuar el cliente y menciona que la jurisprudencia exige que las normas sobre las condiciones de admisión deben estar publicitadas, argumentando que se informa en la política de privacidad de la existencia del tratamiento, los supuestos tasados en los que puede producirse y las consecuencias del tratamiento. Adicionalmente, las Condiciones Generales de Contratación establecen, en el caso que nos ocupa, que prestar el vehículo a terceros sin la autorización del arrendador es un incumplimiento de las condiciones de uso del vehículo. Asimismo, en las condiciones particulares se especifica que, en caso de incumplimientos, la entidad se reserva el derecho a denegar la entrega del vehículo.
6. a)En relación con todas estas afirmaciones cabe remitirse a lo expresado en el apartado anterior, que da respuesta suficiente a las mismas. No obstante, cabe insistir que la parte reclamante no tenía ninguna razón para conocer las anotaciones que existían en su ficha de cliente y su finalidad, por lo que no se entiende que GOLDCAR justifique su conducta atribuyendo al reclamante la responsabilidad de haber C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/40 contactado o no con su servicio de atención al cliente una vez publicó su nueva política de privacidad, sobre la cual, además, no se conoce si es previa o posterior al rechazo de la reserva de alquiler de vehículo solicitada por el reclamante en junio de 2021.
7. b)Asimismo, esta Agencia desea señalar que GOLDCAR alega que su interés legítimo ampara el tratamiento de datos personales, apoyándose en el considerando 47 del RGPD, que efectivamente menciona que la prevención del fraude puede constituir un interés legítimo del responsable, si bien en este caso no existe constancia cierta de que la parte reclamante cometiese fraude alguno a resultas de los contratos de alquiler de abril de 2018, más allá de la apreciación de los hechos realizada por la propia GOLDCAR al respecto. Además, el artículo 6.1.
8. f)del RGPD exige que el interés legítimo invocado por la entidad responsable no prevalezca sobre los intereses, derechos y libertades fundamentales de los interesados que requiera la protección de datos personales, sin acreditar de forma suficiente la base jurídica del tratamiento que realiza sobre los datos personales de los clientes cuando incluye alertas internas por incidentes previos. En relación con la base jurídica del interés legítimo, el artículo 6 del RGPD establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño...”. El Considerando 47 del RGPD precisa el contenido y alcance de esta base legitimadora del tratamiento: “