← España

PS-00239-2024

1/28  Expediente N.º: EXP202305943 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, A.A.A. o la parte reclamante), con fecha 8/05/2023, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FLEXICAR IBÉRICA, S.L. con NIF B06901086 (en adelante, FLEXICAR o la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La inspección de la AEAT en el País Vasco remite a esta Agencia, el 8/05/2023, en virtud del principio de colaboración, una reclamación presentada por una ciudadana en la que pone de manifiesto que tras acordar la compra de un coche de ocasión con la empresa FLEXICAR y realizar un pago en concepto de reserva, recibe un mensaje en el que le comunican que van a retirar ese coche de la venta. La parte reclamante solicitó que le devolvieran el dinero que había entregado para su reserva y tras pasar un mes sin que esa devolución se hubiera producido, le pide a FLEXICAR, algún justificante de que se está gestionando el reintegro. Por error, la parte reclamada le envía un mensaje a través de la aplicación de mensajería instantánea WhatsApp en el que le facilitaban datos de otras personas, tales como números de teléfono, deudas, problemas de salud, etc. Junto a la reclamación se aportan capturas de pantalla de las conversaciones mantenidas entre las partes por WhatsApp y capturas de pantalla del fichero Excel (no se muestra el documento en su totalidad) que FLEXICAR envía a la parte reclamante con la información de los otros clientes y donde se aprecian los datos que manifiesta la parte reclamante, en las que no aparece ninguna fecha. La reclamante también envía una captura de pantalla relativa a la reserva del coche, del 27 de febrero 2023 y le siguen varios mensajes sobre la reserva, hasta el 8 de marzo de 2023: Capturas de la conversación de WhatsApp con “B.B.B.” (en cuya imagen de perfil aparece “flexicar.es”), en la que la reclamante solicita: “Buenos días, envíenme un justificante de que se solicitó de forma fehaciente la devolución de la reserva del Opel corsa, a nombre mío A.A.A.”. La respuesta fue: “hola claro ahora te lo mando”. Unos minutos más tarde le enviaron 2 imágenes, en las que el nombre de la reclamante aparece en la última fila, en otras filas hay datos personales de otros clientes. Finalmente, el interlocutor añade: “Mire la última línea”; “Tienen que dar el ok y van con retraso”. Las 2 imágenes aportadas muestran un fragmento de la misma pantalla de un ordenador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/28 En la primera imagen se pueden ver, entre otros campos, 18 filas con fechas, ciudad, motivos de la devolución (“Solicitó la devolución”, “Cliente tiene Asnef” en dos casos, “No le dan financiación” en tres casos, “Tiene un embargo”, “Lo ha operado de la espalda”, “Necesita cotitular”, Cliente con deuda”, etc.), nombre y apellidos limitados a un determinado número de caracteres (contiene nombre y dos apellidos relativos a cuatro clientes, nombre y primer apellido completo en diez casos). La última fila corresponde a la reclamante, con indicación de la ciudad (“***LOCALIDAD.1”), la fecha del ***FECHA.1, el nombre “A.A.A.”. La segunda imagen muestra 13 filas de la misma imagen anterior con nombres y apellidos limitados a un número de caracteres, pero se añaden varias columnas, entre ellas las que recogen teléfonos móviles y cantidades. La última fila corresponde a la reclamante, con indicación del nombre “A.A.A.”, teléfono “***TELÉFONO.1” y la cantidad “***CANTIDAD.1”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a FLEXICAR, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 22/05/2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue devuelto por “desconocido” en fecha 07/06/2023, como consta en el acuse de recibo. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 8/08/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos (SGID) procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: La parte reclamante realizó el pago de la reserva del vehículo. Posteriormente, FLEXICAR IBÉRICA, S.L. llevó a cabo la cancelación de la venta y la reclamante pidió la devolución de la cantidad abonada, solicitando que se le remitiera acreditación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/28 que se estaba gestionando el reintegro. Es en ese trámite, cuando un empleado de FLEXICAR IBÉRICA, S.L., por error, proporcionó datos de terceras personas.” De las imágenes presentadas por la reclamante se evidencia que la información divulgada contiene entre otros datos, nombre y apellidos, números de teléfono, municipio o provincia, datos de salud, detalles sobre la financiación de la venta, comentarios sobre las operaciones, existencia de embargos o inclusión en ficheros de morosidad correspondientes a otros clientes. El 20/10/2023, esta Agencia envió escrito de requerimiento de información donde se solicitan evidencias de las comunicaciones mantenidas con la reclamante y los documentos asociados a su expediente. El 22/11/2023 responden al requerimiento de esta Agencia manifestando que la reclamante mostró su conformidad en pagar su reserva y posteriormente llevó a cabo su cancelación, solicitando la devolución de la cantidad abonada, así como que se le remitiera acreditación de que se estaba gestionando su devolución, momento en el que FLEXICAR IBÉRICA, S.L., por error, le proporcionó los datos de terceras personas. Sobre la incidencia que ha motivado la reclamación, en este escrito de 22/11/2023, la citada entidad indica lo siguiente: La reclamante […] “mostro su conformidad en pagar su reserva y posteriormente llevó a cabo su cancelación solicitando la devolución de la cantidad abonada, solicitando que se le remitiera acreditación de que se estaba gestionando su devolución momento en el que, B.B.B., con dni nº ***NIF.1, empleado de la mercantil Flexicar Ibérica S.L. quien por error cometió esa brecha de seguridad, proporcionando algún dato de terceras personas.” “El error humano que supuso dicha filtración de datos, fue fruto de la buena fe del empleado, quien mediante conversación por medios electrónicos, únicamente destinada a la denunciante, de la aplicación de mensajería `Whastapp´ en este caso para una mayor agilidad en la comunicación, y tras presión e insistencia de la parte reclamante, para que se quedara tranquila de que se le estaba tramitando, le envió una imagen de la plataforma de devoluciones internas en el que se mostraban sus datos para confirmar que ya lo había tramitado, y al hacer la captura, cogió algún dato de otros clientes de forma muy borrosa y prácticamente ilegible, no pudiéndose identificar a personas físicas en la mayoría de los casos, ya que no aparecen sus nombres y apellidos completos; esbozándose levemente las causas de cancelación de la operación por ellos realizada”. Las evidencias que adjunta incluyen documentos de la reclamante para la solicitud de financiación para la compra del vehículo y capturas de pantalla de las conversaciones de WhatsApp. En las primeras capturas no aparece ninguna fecha y en las siguientes, la reclamante envía una captura de pantalla del 27 de febrero 2023 y le siguen varios mensajes sobre la reserva, hasta el 8 de marzo de

  1. También remite la parte reclamada, el documento de Medidas Técnicas y Organizativas de seguridad, fechado el 20 de noviembre de 2023, y en el apartado de “Comunicaciones electrónicas” incluye “Correo electrónico: SE UTILIZA correo electrónico seguro mediante cifrado punto a punto”, “Mensajería Instantánea: NO SE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/28 ENVÍA mensajería instantánea para comunicarse con los interesados”. No consta que los datos personales se hayan divulgado a nadie más que a la reclamante. El 26/01/2024, se recibe la respuesta a un segundo requerimiento a la reclamada de 12 de enero del mismo año, con la siguiente información relevante para la investigación: Al requerimiento de “Procedimiento para que el personal firme el compromiso de confidencialidad” según el documento “MEDIDAS TÉCNICAS Y ORGANIZATIVAS DE SEGURIDAD”, apartado: “Contratos con los intervinientes en el tratamiento”, envía copia de varios correos electrónicos del DPD de la reclamada a la asesoría que gestiona el contrato de los trabajadores. El primero de ellos de fecha 26 de enero de 2023, contiene: […] “adjunto el documento para anexarlo a los nuevos contratos, el cual sustituirá al actual "documento de información y compromiso de confidencialidad de empleados". En el correo se ve que adjunta un documento denominado: “DOCUMENTO DE INFORMACIÓN RELATIVA A TRATAMIENTO DE DATOS PERSONALES, COMPROMISO DE CONFIDENCIALIDAD DE EMPLEADOS Y AUTORIZACIÓN PARA LA PUBLICACIÓN DE IMÁGENES..docx”, que no adjunta en su respuesta a esta Agencia. Incluye: “ejemplo de contrato del empleado C.C.C.” de fecha 12/12/2023, firmado por el trabajador y con sello de la empresa sin firma, en cuyas clausulas adicionales se encuentra el apartado: “DOCUMENTO DE INFORMACIÓN RELATIVA A TRATAMIENTO DE DATOS PERSONALES, COMPROMISO DE CONFIDENCIALIDAD DE EMPLEADOS Y AUTORIZACIÓN PARA LA PUBLICACIÓN DE IMÁGENES”, que contiene: “El trabajador asume el compromiso de guardar secreto respecto de los datos personales, datos sobre los clientes, estrategias comerciales y organizativas e industriales, y cualquier otra información a la que se tenga acceso con el motivo de las funciones asignadas. Dicha obligación de secreto profesional subsistirá aún después de finalizar la relación laboral. El incumplimiento de los anterior podrá ser motivo de sanción o despido del trabajador, así como de la adopción de las medidas que legalmente estime oportunas la empresa para hacer valer sus derechos.” Adjunta el contrato con el trabajador D.D.D. de fecha 14/02/2023 firmado por el trabajador, con sello y firma de la empresa en algunas hojas. Este contrato contiene el “DOCUMENTO DE INFORMACION Y COMPROMISO DE CONFIDENCIALIEDAD DE EMPLEADOS”, de 14/02/2023, con pie de firma, pero sin firmas, con el siguiente contenido relevante: “En atención a nuestro más alto compromiso de cumplir con la legalidad vigente, usted, asume el compromiso de guardar secreto profesional respecto de los datos personales, datos sobre los clientes, estrategias comerciales y organizativas e industriales, y cualquier otra información a la que tenga acceso con el motivo de las funciones asignadas. Dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/28 obligación de secreto profesional subsistirá en cumplimiento del artículo 32 del RGPD, aún después de finalizar la relación laboral.” […] “Asimismo, de conformidad con el mismo artículo 32 del RGPD, el empleado se compromete a cumplir las normas internas de seguridad que afectan al desarrollo de sus funciones, así como el uso de los equipos informáticos, correo electrónico y demás aplicaciones a las que va a tener accesos. De igual modo, el empleado, como parte necesaria y fundamental para conseguir el compromiso de responsabilidad corporativa y ética empresarial de esta Entidad, tiene la responsabilidad y el deber de aplicar los procedimientos y normas que se le comuniquen a tal efecto. […]” Como evidencias de las fechas de elaboración de los protocolos para que el personal firme el compromiso de confidencialidad, presenta copia del correo electrónico de 1 de febrero de 2023 del DPD E.E.E. a la dirección ***EMAIL.1, impreso el 26/01/2024, con el siguiente contenido relevante: “Actualización del compromiso de confidencialidad Flexicar comunicados CIRCULAR INFORMATIVA PARA LOS TRABAJADORES La presente circular tiene como objetivo básico la ampliación del documento de información y el compromiso de confidencialidad recogido en el contrato laboral existente”. En esta circular se incluye: “El trabajador asume el compromiso de guardar secreto respecto de los datos personales, datos sobre los clientes, estrategias comerciales y organizativas e industriales, y cualquier otra información a la que tenga acceso con el motivo de las funciones asignadas. Dicha obligación de secreto profesional subsistirá aun después de finalizar la relación laboral. El incumplimiento de lo anterior podrá ser motivo de sanción o despido del trabajador, así como de la adopción de las medidas que legalmente estime oportunas la empresa para hacer valer sus derechos. […] Bajo ningún concepto puede revelarse información a persona alguna ajena a la empresa”. No se obtiene respuesta al apartado 3 del requerimiento de 12/01/2024: “
  2. Evidencia de que se han facilitado a los empleados instrucciones sobre cuál es el canal adecuado para las comunicaciones con los clientes”. En el apartado 5, del requerimiento se solicitan evidencias de las comunicaciones mantenidas con la reclamante y los documentos asociados a su expediente. En su respuesta, la reclamada informa, que las comunicaciones iniciales con la reclamante se hicieron a través del comercial F.F.F., cuyo número de teléfono es ***TELÉFONO.2, y tras la caída de la operación, las comunicaciones se mantuvieron con el por aquel entonces, (…), B.B.B., con número de teléfono ***TELÉFONO.
  3. Las evidencias que adjunta incluyen documentos de la reclamante para la solicitud de financiación para la compra del vehículo y capturas de pantalla de las conversaciones de WhatsApp de quien dice ser F.F.F. del concesionario de Flexicar, con “A.A.A.”. En las primeras capturas no aparece ninguna fecha. En las siguientes la reclamante envía una captura de pantalla de lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/28 que parece ser una transferencia por la reserva del vehículo Opel Corsa ***MATRÍCULA.1 el 27 de febrero (se sobrentiende el año 2023), le siguen varios mensajes sobre la reserva, hasta el 8 de marzo de
  4. La última captura de WhatsApp de 21 de marzo de 2023, que en teoría corresponde a las comunicaciones con B.B.B., contiene en su encabezado “B.B.B.…”, lo que evidencia que es una captura de la pantalla del teléfono de la reclamante, con exactamente el mismo contenido que ella presentó en la reclamación. No explican por qué presentan capturas de pantalla del teléfono de la reclamante, en lugar de las del teléfono de su empleado. En cuanto a la formación en protección de datos para los empleados, la reclamada manifiesta que: [..] “reciben formación multidisciplinar basada en técnicas comerciales, prevención de riesgos laborales, así como materia de protección de datos. Paralelamente, de forma periódica y regular se mantienen reuniones de las delegaciones con el departamento jurídico, en el que, entre otras materias, se realizan píldoras informativas en materia de protección de datos”. Finalmente, manifiesta “en cuanto a las medidas adoptadas para evitar que se produzcan incidencias similares, se ha de remarcar el motivo de la brecha de seguridad que nos ocupa: un error humano. No obstante lo anterior, se han dado directrices explícitas al personal comercial por las cuales no debe aparecer motivos de cancelación de reservas; sino únicamente indicaciones de si la operación será llevada a cabo o la desestimación de forma unilateral por los clientes. De esa forma se han llevado a cabo las acciones destinadas a tratar de reducir el impacto de un posible futuro error humano”. El 25/03/2024 se recibe la respuesta de la operadora Orange identificando como titular de la línea telefónica ***TELÉFONO.2 (desde la que se produjo la brecha de datos el 21/03/2023), a Flexicar Ibérica, S.L. con CIF B06901086 y dirección en Avenida de Tenerife nº 2, código postal 28702, San Sebastián de los Reyes (Madrid). QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad FLEXICAR es una mediana empresa constituida en el año 2021, y con un volumen de negocios de 233.686.773 euros en el año
  5. SEXTO: Con fecha 20/11/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: - De la improcedencia de la sanción impuesta por presunta infracción del artículo 5.
  6. f): A pesar de que el empleado cometió un error humano remitiendo dos pantallazos de un Excel interno con datos personales de 17 clientes que nada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/28 tenían que ver con la reclamante muchos de los registros no permiten la identificación de los afectados puesto que las imágenes, especialmente una de ellas, se encuentran bastante borrosas por lo que puede decirse que se trata de información ligeramente “seudonimizada”. - De la falta de motivación del Acuerdo y de la responsabilidad objetiva apreciada por la AEPD. La AEPD, en su Fundamento de Derecho Cuarto, indica que (página 8): 2 “la documentación obrante en el expediente ofrece indicios de una presunta vulneración por parte de FLEXICAR IBÉRICA, S.L. de lo dispuesto en el artículo 5.1.f) del RGPD, al haberse producido una falta de confidencialidad en el tratamiento de los datos de carácter personal, consecuencia de remitir un mensaje a través del sistema de mensajería instantánea WhatsApp a la parte reclamante con información sobre 18 clientes, …” Y sigue indicando que: “Por otra parte, en el documento: “Medidas Técnicas y Organizativas”, de 20 de noviembre de 2023, que la reclamada envía ante el requerimiento de información por parte de esta Agencia, se especifica que no se contempla el uso de la mensajería instantánea para la comunicación con los clientes, y, sin embargo, constan en el expediente capturas de pantalla de conversaciones mantenidas entre las partes, a través de la aplicación de mensajería instantánea WhatsApp.”: la AEPD parte de la premisa de que se ha producido una brecha de seguridad consistente en una filtración de datos personales no consentida por los titulares de estos como consecuencia del incumplimiento de las obligaciones de protección de datos relativas a la implementación de medidas técnicas y organizativas, sin analizar otro tipo de factores como el contexto de la filtración (cliente exigente e insistente), su naturaleza (error humano de un empleado), alcance (se remite a una persona), número de interesados afectados (18 personas en 2 registros), datos poco legibles que impiden identificar correctamente a los individuos (los pantallazos son borrosos), el nivel de daño o perjuicio que pueden sufrir los afectados (muy limitado), etc. - La parte reclamada alega que, en las resoluciones dictadas hasta la fecha por la AEPD en casos similares, en los que se han producido brechas de seguridad, en concreto filtraciones de datos personales, la AEPD ha venido archivando el procedimiento sancionador cuando se ha acreditado que existían medidas de seguridad de forma genérica con anterioridad al incidente y se adoptaban medidas paliativas con posterioridad. A modo de ejemplo, señala algunas resoluciones de la AEPD las cuales siendo un caso similar o de mayor envergadura (número de registros y afectados mayor, así como categoría de datos similar: datos identificativos, económico-financieros y/o de salud) ha procedido al archivo de las actuaciones por tratarse de incidentes aislados, haber actuado diligentemente o haber implementado las medidas de seguridad suficientes - Flexicar enumera las medidas adoptadas con motivo del incidente: Reenvío de los siguientes documentos: • Código ético y de conducta. • Compromiso de confidencialidad empleados. • Circular informativa para los trabajadores. • Política de uso de dispositivos electrónicos y aplicaciones. • Política de Protección de Datos de Carácter Personal. • Política de Seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/28 Apercibimiento verbal al empleado. Auditorias aleatorias del correcto tratamiento de datos por parte de los empleados (comerciales). Contratación externos expertos en materia protección de datos. - Además, añade la reclamada, que se están en proceso de diseño e implementación en los próximos 6 meses: Análisis de riesgos para determinar las medidas de seguridad más adecuadas para mitigar los riesgos actuales. En concreto, en relación con el WhatsApp: impedir las capturas de imagen de dispositivos electrónicos, utilizar mensajes temporales que se autodestruyen para evitar la visualización o acumulación de información sensible, restringir las descargas y envíos, usar herramientas para marcar archivos como “solo lectura” antes de compartirlos, prohibir el uso de WhatsApp Web en dispositivos no autorizados, implementar soluciones externas, como Mobile Device Management (MDM), que monitoricen el uso de WhatsApp en dispositivos corporativos, etc. Listado detallado de medidas técnicas y organizativas. Mejorar de la Política de la gestión y notificación de brechas de seguridad. Procedimiento detallado toma de datos de clientes y potenciales clientes. Política de uso de WhatsApp. Listado de prohibiciones respecto al tratamiento de datos personales de clientes y potenciales clientes. Formación a toda la plantilla y una específica para comerciales. Píldoras informativas trimestrales. Carteles informativos en zonas de trabajo. Auditoría del Sistema de Cumplimiento Normativo en materia Protección de Datos. - Sobre la graduación de la sanción impuesta a FLEXICAR como consecuencia de la presunta infracción del artículo 5.
  7. f) del RGPD por la no concurrencia agravantes manifiesta que: o Falta de negligencia en la infracción del artículo 83.2.b) del RGPD: El Fundamento de Derecho Sexto del Acuerdo contiene el listado de circunstancias modificativas de la responsabilidad a efectos de la graduación de la sanción, de entre las establecidas en el artículo 83 del RGPD y en el artículo 76 de la LOPD-GDD. Sin perjuicio de que todas las circunstancias que se contienen son consideradas agravantes, sin tener en consideración ninguna atenuante, argumenta sobre la supuesta negligencia en la infracción (art. 83.
  8. b) del RGPD). Por ello, deja constancia, tal y como ha indicado en los diversos escritos de alegaciones, que el incidente es un caso aislado que se debió a un error humano y no a una negligencia. Dicho error se produjo cuando el empleado intentó satisfacer al cliente, a la mayor brevedad, remitiendo dos pantallazos de un Excel interno de ***LOCALIDAD.1, pensando que de esa forma se resolverían las quejas insistentes del cliente. Destaca la parte reclamada que en el momento del envío el empleado se encontraba algo nervioso de la insistencia del cliente. Por otro lado, manifiesta que sí permite el uso de mensajería instantánea (WhatsApp) para comunicarse con los clientes cuando estos así lo solicitan. Se ha habilitado dicho método de contacto debido a las recurrentes solicitudes de muchos clientes, los cuales piden utilizar o directamente envían la información solicitada alegando que no tienen correo electrónico, que no saben usarlo o simplemente que es más cómodo para ellos al tener todo ahí o garantizarles una mayor rapidez. También explica Flexicar que contrató el servicio de WhatsApp Business, el cual aporta mayores garantías en relación con la información (incluidos datos personales) remitidos por este medio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/28 Dichas garantías se plasman en diversas medidas técnicas, las cuales pueden consultarse en la página web de WhatsApp (https://www.whatsapp.com/). Flexicar es consciente que no entregó a la AEPD un listado de medidas actualizado, por lo que se encuentra actualmente revisando todas las medidas implementadas previas al incidente, así como posteriores al mismo con la finalidad de plasmar sus esfuerzos de mejora continua en el cumplimiento de la normativa de Protección de Datos. o - La actividad de la entidad presuntamente infractora se encuentra vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros, artículo 76.2.b) de la LOPDGDD en relación con el artículo 83.2.k): Si bien es cierto, tal y como indica la AEPD en su Acuerdo, que la actividad de la Sociedad está vinculada con el tratamiento de datos, Flexicar considera que esta circunstancia agravante está pensada para entidades cuya actividad principal sea el tratamiento exhaustivo y reiterado de datos de carácter personal (p. ej. sociedades dedicadas al envío de comunicaciones comerciales, sociedades dedicadas al perfilado de usuarios, analítica, etc.) y no para cualquier sociedad que trate alguna tipología de datos de carácter personal como complemento a su actividad comercial. Como bien sabe esta Agencia, la actividad principal de Flexicar consiste en la compraventa, exportación e importación de todo tipo de vehículos nuevos y usados (CNAE 4511) entre otros y su actividad consiste en comprar y vender vehículos usados, no en el tratamiento de datos de carácter personal, aunque para ello necesite tratar dichos datos en el marco de su actividad, como casi la totalidad de sociedades mercantiles que operan en el mercado Sobre la graduación de la sanción impuesta a FLEXICAR como consecuencia de la presunta infracción del artículo 5.
  9. f) del RGPD por la concurrencia de atenuantes que no han sido consideradas en el Acuerdo, la parte reclamada manifiesta que: C/ Jorge Juan, 6 28001 – Madrid o Naturaleza, gravedad y duración de la infracción, así como el alcance o propósito de la operación de tratamiento, número de interesados afectados y el nivel de los daños y perjuicios sufridos (artículo 83.2 a) del RGPD): Flexicar reitera que la naturaleza del incidente es un error humano y un caso puntual, el alcance de la brecha es muy reducido puesto que solo se remite a una persona de la localidad de ***LOCALIDAD.1, el número de afectados es reducido

(18), y no se han derivado del mismo daños y perjuicios para los interesados más allá de las posibles molestias o irritación. Por otra parte, la reclamante no informó del incidente realizando alguna clase de queja, petición o ejercicio de derecho sobre este. Tampoco se recibió ningún contacto por parte del resto de afectados o Medidas tomadas por el responsable para paliar los daños y perjuicios sufridos por los interesados, prevista en el artículo 83.2
  1. c)del RGPD: A este respecto, la parte reclamada indica que: tan pronto como tuvo www.aepd.es sedeaepd.gob.es 10/28 conocimiento del incidente realizó un análisis incluida la necesidad de notificación a la AEPD, así como a los afectados, el cual dio como resultado la no necesidad de realizar dichas notificaciones, según se ha comunicado en otros escritos a la AEPD. Todo ello sin haber sido requerido para ello por ninguna autoridad competente y como medidas proactivas para analizar los limitados daños y perjuicios que hubieran podido sufrir los interesados como consecuencia del incidente; Flexicar nunca ha recibido queja, reclamación o ejercicio de derechos de la reclamante, ni de ningún otro afectado por lo que no ha podido contestar sus peticiones, no obstante, ha atendido todos los requerimientos de la AEPD en tiempo y forma; y, Flexicar adoptó o está en proceso de implementar las medidas técnicas y organizativas apropiadas tras el incidente para garantizar que no se materializaría ningún riesgo para los derechos y libertades de los interesados afectados, así como para evitar que situaciones similares vuelvan a producirse C/ Jorge Juan, 6 28001 – Madrid o Falta de infracción anterior, conforme al artículo 83.2
  2. e)del RGPD: Flexicar no ha sido sancionada con anterioridad por ninguna clase de infracción del RGPD o la LOPDGDD, por lo que considera que debe aplicarse esta circunstancia atenuante del artículo 83.2.
  3. e)del RGPD. o Cooperación con la autoridad de control, prevista en el artículo 83.2
  4. f)del RGPD: Flexicar sostiene que no ha dejado de responder, en tiempo y forma, a las peticiones de información realizadas por la AEPD en relación con este procedimiento sancionador y los requerimientos de información previos: En fecha 8/11/2023 se pone a disposición, a través de la sede electrónica, el primer requerimiento de información por parte de la AEPD en relación a este incidente de seguridad, el cual fue respondido, en tiempo y forma, en fecha 22/11/2023; en fecha 12/01/ 2024 se recibe, a través de la sede electrónica, el segundo requerimiento de información por parte de la AEPD de fecha 12/01/2024, el cual fue respondido, en tiempo y forma, en fecha 15/01/2024; y en fecha 20/11/2024 se recibe, a través de la sede electrónica, el Acuerdo de Inicio del Procedimiento Sancionador por parte de la AEPD en relación a este incidente de seguridad, el cual ha sido respondido en el escrito en fecha 4/12/2024. o La falta de carácter continuado de la infracción (artículo 76.2.
  5. a)de la LOPDGDD en relación con el artículo 83.2.k): Flexicar considera relevante poner de manifiesto que la infracción no tuvo carácter continuado, el error humano se produjo una sola vez en un día concreto y que este hecho debería apreciarse por la AEPD como circunstancia atenuante de la conducta de la entidad firmante de cara a la graduación de la sanción a imponer por la presunta infracción del artículo 5.1.
  6. f)del RGPD. o Falta de beneficios obtenidos, prevista en el artículo 76.2
  7. c)de la LOPD-GDD. Flexicar considera que debería serle de aplicación la circunstancia atenuante recogida en el artículo 76.2
  8. c)de la LOPDGDD www.aepd.es sedeaepd.gob.es 11/28 relativo a la falta de beneficios obtenidos como consecuencia de la presunta comisión de la infracción. Manifiesta que no ha obtenido ningún beneficio económico a resultas de la brecha de seguridad, más bien ha sido perjudicada, puesto que el incidente ha requerido de: la inversión de importantes sumas de dinero para la contratación de expertos legales; ha requerido la implementación de mayores medidas de seguridad tanto técnicas como organizativas de cara a tratar de evitar que vuelva a suceder; y puede ocasionar para Flexicar graves consecuencias a nivel reputacional cuando el expediente sea conocido por cualquier interesado. o - La conducta del afectado influyó en la comisión de la infracción, prevista en el artículo 76.2
  9. d)de la LOPDGDD. En este sentido, manifiesta que la reclamante era muy insistente y produjo nerviosismo en el empleado que remitió rápidamente información pensando que así solventaría la situación sin reparar en que estaba remitiendo datos personales de otros interesados. Por ello, Flexicar entiende que la conducta del afectado incluyó negativamente propiciando la brecha de seguridad, debiendo apreciarse por AEPD como circunstancia atenuante. De la falta de proporcionalidad absoluta del importe de las sanciones propuestas a la luz de los resultados del ejercicio 2022. Especialmente Flexicar considera muy relevante poner en conocimiento del órgano instructor del expediente un extracto de las cuentas anuales correspondientes al ejercicio 2022 y si bien tuvo un volumen de negocio de 233.686.773 euros en dicho año, también tuvo (…). Es por todo ello que Flexicar considera que la sanción propuesta por la AEPD en su Acuerdo de Inicio de Procedimiento Sancionador, de 150.000 € es desproporcionada en relación con las cuentas de la Sociedad. OCTAVO: Con fecha 13/10/2025, se formuló propuesta de resolución en el sentido de que por la Presidencia de la Agencia Española de Protección de Datos se sancione a FLEXICAR IBÉRICA, S.L., con NIF B06901086, por una infracción del artículo 5.1.
  10. f)del RGPD, tipificada en el artículo 83.5.
  11. a)del RGPD, con una multa de 50.000,00 euros (cincuenta mil euros). Asimismo, se propuso que se ordene a la citada entidad, en virtud del artículo 58.2.
  12. d)del RGPD, que en el plazo máximo de 6 meses acredite haber procedido a la implantación de aquellas medidas de carácter técnico y organizativas que garanticen la confidencialidad de los datos e imposibiliten el acceso a los mismos por terceros de conformidad con lo señalado en el artículo 5.1.
  13. f)del RGPD, así como el control de las comunicaciones. La notificación de esta propuesta de resolución se remitió a FLEXICAR IBÉRICA, S.L. por medios electrónicos, resultando “expirada”. NOVENO: Con fecha 15/10/2025, se recibió escrito de la entidad FLEXICAR INTERNACIONAL, S.L., con NIF B09758327, mediante el que comunica lo siguiente: Visto su escrito de fecha 15 de octubre de 2025, en el que informa a esta Agencia de que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/28 “Habiendo recibido notificación la mercantil Flexicar Ibérica S.L de puesta a disposición de propuesta de resolución con identificador (...) Solicita: Todas las notificaciones de Flexicar Ibérica S.L… se trasladen a la mercantil fusionada por absorción a la sociedad FLEXICAR INTERNACIONAL S.L. con CIF nº B097538327, según escritura de fecha 11 de diciembre de 2024, protocolo…”. Aporta escritura de 11/12/2024, de fusión por absorción, siendo la sociedad absorbente “FLEXICAR INTERNACIONAL, S.L.” y la absorbida “FLEXICAR IBÉRICA, S.L.”, con extinción de esta última (…). DÉCIMO: Con fecha 21/10/2025, se remitió la propuesta de resolución a FLEXICAR INTERNACIONAL, S.L. En el escrito remitido se le puso de manifiesto el procedimiento a fin de que en el plazo de diez días pudiera alegar cuanto considerase en su defensa y presentar los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. Dicho escrito fue notificado a FLEXICAR INTERNACIONAL, S.L. en la misma fecha del 21/10/2025. DÉCIMO PRIMERO: El 05/11/2025, ya rebasado el plazo concedido, se recibió escrito presentado por FLEXICAR INTERNACIONAL, S.L. en el que solicita “de acuerdo con lo acordado con la reclamante…, proceda al archivo del presente expediente, sin más trámite, al haberse llevado a cabo… las acciones correspondientes… para con dicha denunciante, a los efectos de reparar la presunta vulneración de sus derechos en materia de privacidad, habiendo dado plena satisfacción a su reclamación”. A este respecto, manifiesta que ha tratado de dar plena satisfacción a la reclamación, restaurando a dicha reclamante en sus derechos vinculados a la protección de datos personales. Añade que la reclamante ha prestado su voluntad de manera libre, plenamente informada y con un carácter inequívoco, de desistir de la denuncia presentada ante la AEPD en relación con los hechos identificados en el expediente, solicitando que se archive el mismo, sin que cause otro efecto. Al mismo tiempo, por parte de la denunciante se ha renunciado al ejercicio al ejercicio de acciones llevadas a cabo ante la AEPD vinculadas a dichos hechos, y que afectan a FLEXICAR INTERNACIONAL S.L. Aporta copia de un escrito que aparece suscrito por quien dice ser la reclamante, en el que se manifiesta que (
  14. i)FLEXICAR INTERNACIONAL, S.L. ha dado plena satisfacción a sus derechos de privacidad que motivaron su reclamación ante la AEPD; que (
  15. ii)ha recibido las disculpas, satisfacciones y justificaciones pertinentes, que acepta en su integridad; y (iii) que “desiste de la denuncia presentada ante la AEPD… y renuncia a cualquier acción ante la AEPD llevada a cabo contra FLEXICAR INTERNACIONAL, S.L., mostrando su plena conformidad al archivo sin más trámite del expediente”. DÉCIMO SEGUNDO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad FLEXICAR INTERNACIONAL, S.L. es una gran empresa con un volumen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/28 de negocios de 841.279.118 euros en el año 2024. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante, tras acordar la compra de un coche de ocasión con la empresa FLEXICAR, realiza un pago en concepto de reserva, formalizada en fecha 27/02/2023. SEGUNDO: La compraventa del vehículo no llegó a consumarse, por lo que la parte reclamante solicitó la devolución de la cantidad abonada como reserva, así como que se le remitiera acreditación de que se estaba gestionando esta devolución. Constan en las actuaciones imagen de los mensajes remitidos a través de la aplicación de mensajería Whatsapp. En uno de estos mensajes, la parte reclamante indica: “Buenos días, envíenme un justificante de que se solicitó de forma fehaciente la devolución de la reserva del Opel corsa, a nombre mío A.A.A.”. TERCERO: En respuesta a esta solicitud, FLEXICAR envía a la parte reclamante un mensaje a través de la misma plataforma de mensajería instantánea WhatsApp en el que le facilitaba copia de una hoja de Excel donde podían apreciarse datos de otras personas. La respuesta fue: “hola claro ahora te lo mando”. Unos minutos más tarde FLEXICAR envió a la parte reclamante dos imágenes y el texto siguiente: “Mire la última línea”; “Tienen que dar el ok y van con retraso”. Las dos imágenes aportadas muestran un fragmento de la misma pantalla de un ordenador, en la que puede verse una hoja “Excel”. En la primera imagen se pueden ver, entre otros campos, 18 filas con fechas, ciudad, motivos de la devolución (“Solicitó la devolución”, “Cliente tiene Asnef” en dos casos, “No le dan financiación” en tres casos, “Tiene un embargo”, “Lo ha operado de la espalda”, “Necesita cotitular”, Cliente con deuda”, etc.), nombre y apellidos limitados a un determinado número de caracteres (contiene nombre y dos apellidos relativos a cuatro clientes, nombre y primer apellido completo en diez casos). La última fila corresponde a la reclamante, con indicación de la ciudad (“***LOCALIDAD.1”), la fecha del ***FECHA.1, el nombre “A.A.A.”. La segunda imagen muestra 13 filas de la misma imagen anterior con nombres y apellidos limitados a un número de caracteres, pero se añaden varias columnas, entre ellas las que recogen teléfonos móviles y cantidades. La última fila corresponde a la reclamante, con indicación del nombre “A.A.A.”, teléfono “***TELÉFONO.1” y la cantidad “***CANTIDAD.1”. La imagen de perfil que aparece en los menajes recibidos por la parte reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/28 consta la indicación “flexicar.es”. CUARTO: FLEXICAR aportó a las actuaciones el documento de Medidas Técnicas y Organizativas de seguridad, fechado el 20 de noviembre de 2023, en cuyo apartado “Comunicaciones electrónicas” incluye: “Correo electrónico: SE UTILIZA correo electrónico seguro mediante cifrado punto a punto”, “Mensajería Instantánea: NO SE ENVÍA mensajería instantánea para comunicarse con los interesados”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Respuesta a las alegaciones formuladas 1. Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Considera FLEXICAR, en primer término, que los registros contenidos en el fichero Excel transmitido a la reclamante no permiten la identificación de los afectados. Asimismo, alega que se impone una responsabilidad objetiva por unos hechos que son resultado de un error humano y sin considerar las medidas de seguridad dispuestas con anterioridad al incidente o las paliativas adoptadas con posterioridad. En cuanto a la alegación sobre la no identificación de los afectados a partir de la información facilitada, cabe decir que en las capturas de pantalla aportadas por la parte reclamante de la hoja Excel objeto de la reclamación puede visualizarse, entre otros: (…) Es decir, pueden asociarse nombre y apellidos de los afectados, con el lugar de la operación, los motivos por los que se aprueba o no la operación, entre los que se pueden observar datos financieros, de inclusión en ficheros de solvencia económica y patrimonial y si necesitan ser financiados, además del teléfono. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/28 La entrega de los indicados datos personales a la reclamante no es un hecho controvertido. Sin embargo, entiende FLEXICAR que se impone una responsabilidad objetiva al no considerar el resto de circunstancias que concurren en el supuesto, concretamente, el error humano que da lugar a esa comunicación de datos personales y la existencia de medidas de seguridad, previas y posteriores, dirigidas a evitar este tipo de incidencias. Así, acreditada la existencia de una conducta antijurídica, el planteamiento realizado por FLEXICAR en sus alegaciones centra la cuestión en determinar si de su conducta puede nacer responsabilidad administrativa sancionadora, es decir, si puede apreciarse la existencia de culpabilidad en la infracción que se le imputa. Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica procede citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. En esta misma Sentencia se indica que no falta en la persona jurídica la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/28 En conexión con lo expuesto hay que referirse al artículo 5.2. del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de confidencialidad en relación con el artículo 5.1.
  16. f)del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Sin embargo, en el presente caso la conducta de FLEXICAR puede calificarse como imprudente y culposa a la hora de atender la gestión reclamada por la reclamante para el reintegro de la cantidad que había abonado para la compra de un vehículo, gestión que en modo alguno exigía la comunicación a la propia reclamante de datos personales de terceros que se encontraban en un trámite similar. En modo alguno puede considerarse que el error que alega haber cometido al transmitir dichos datos personales a la reclamante excluya su responsabilidad, puesto que, según reiterada jurisprudencia, no puede estimarse la existencia de tal error cuando éste es imputable a quien lo padece, atribuyéndose plenos efectos a la voluntad declarada, aunque no coincida con el querer interno, si la divergencia es imputable al declarante por malicia o pudo ser evitada con el empleo de una mayor diligencia. Y debe tenerse en cuenta, asimismo, que ese supuesto error se produce en el ámbito de responsabilidad, exclusivo y directo, de FLEXICAR. Pues bien, a este respecto, además de insistir en el contenido de los pronunciamientos judiciales anteriormente reseñados, debemos recordar que, cuando el error es muestra de una falta de diligencia el tipo es aplicable. La Audiencia Nacional en Sentencia de 21 de enero de 2004 (recurso 1139/2001), declara que “...si el error es muestra de una falta de diligencia el tipo es aplicable”, permitiéndose la imposición de la sanción en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/28 supuestos culposos. En lo que respecta a la alegación sobre el hecho de que en las resoluciones dictadas hasta la fecha por la AEPD en casos similares, en los que se han producido brechas de seguridad, en concreto filtraciones de datos personales, la AEPD ha venido archivando el procedimiento sancionador cuando se ha acreditado que existían medidas de seguridad de forma genérica con anterioridad al incidente y se adoptaban medidas paliativas con posterioridad, se pone de manifiesto que este tipo de brechas se suceden asiduamente si bien cada brecha es diferente e incluso aunque la brecha fuese similar, en cada una de las empresas que lo sufren, son distintas, con tratamientos de datos personales diferentes y particulares y en cada caso hay que analizar las medidas de seguridad existentes (si existían, si eran adecuadas para garantizar un nivel de seguridad apropiado al riesgo concreto en cada caso, si fueron eficientes, si se observaron, etc.). En materia de protección de datos las medidas técnicas y organizativas a adoptar por los responsables del tratamiento y demás obligaciones a cumplir exigidas por el RGPD, deben ser las adecuadas en relación con los concretos riesgos que suponen los específicos tratamientos que realice cada responsable. Por tanto, al analizar la diligencia de unos y otros en el cumplimiento de la normativa, ha de estarse a las circunstancias de cada caso concreto, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines de cada tratamiento, no existiendo, por tanto, casos idénticos. En este caso, en el momento en que tuvieron lugar los hechos, FLEXICAR no disponía de medidas ajustadas al riesgo materializado y no constan medidas dirigidas a evitar incidentes similares más allá de la prohibición del uso de aplicaciones de mensajería instantánea, adoptada dos días antes de responder al requerimiento de información que le fue realizado por los Servicios de Inspección de esta Agencia en fecha 10/11/2023 y meses después de tener conocimiento del incidente (17/05/2023). En definitiva, no ha existido una conducta proactiva por parte de FLEXICAR. La actuación desarrollada por esta entidad ha resultado claramente ineficaz e insuficiente, está muy por debajo de las posibilidades que el desarrollo técnico actual ofrece y no toma en consideración el evidente riesgo que conlleva el uso de algunas tecnologías para la transmisión de información a terceros, por lo que debe responder a título de culpa por la infracción cometida por la falta de diligencia mostrada. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Por lo tanto, se desestima esta alegación. En cuanto a las alegaciones sobre la graduación de la sanción impuesta a FLEXICAR como consecuencia de la presunta infracción del artículo 5.1.
  17. f)del RGPD, conviene hacer referencia en primer término a alegación relativa a la falta de proporcionalidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/28 del importe de la sanción propuesta. Conforme a lo establecido en el artículo 83.1 del RGPD, la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de FLEXICAR, que en el ejercicio 2022 ascendió a 233.686.773 euros. Asimismo, se tiene en cuenta la categoría de la infracción cometida, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía equivalente al 4% como máximo de su volumen de negocio anual. Según el citado precepto, al establecer el importe máximo aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma. En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el año 2022 a 233.686.773 euros, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 20.000.000 euros. Siendo así, la multa que se propone en el presente acto se sitúa en el rango más bajo de ese intervalo. La sanción propuesta cumple con la función disuasoria exigida por el RGPD, cuyo objetivo es garantizar que las infracciones no se repitan y que el cumplimiento normativo sea una prioridad efectiva y no meramente declarativa para el responsable del tratamiento. Por tanto, la sanción es proporcional, adecuada y necesaria, cumpliendo con los objetivos del artículo 83 del RGPD y garantizando un efecto disuasorio frente a futuras infracciones En cuanto a las alegaciones formuladas por FLEXICAR en relación con las circunstancias consideradas por esta AEPD para cuantificar la sanción, nos remitimos a lo indicado en el Fundamento de Derecho V, dedica a la determinación de la multa. Cabe señalar, no obstante, que FLEXICAR se basa en la causa de comisión de la infracción como consecuencia de un error humano y la falta de identificación de los afectados, alegaciones que ya han sido desestimadas anteriormente. En cuanto a las comunicaciones con los clientes vía WhatsApp, como ya quedó reflejado en las actuaciones previas de investigación, es la reclamada la que aportó en el documento de Medidas Técnicas y Organizativas de seguridad, fechado el 20 de noviembre de 2023, en el apartado de “Comunicaciones electrónicas” incluye: “Mensajería Instantánea NO SE ENVÍA mensajería instantánea para comunicarse con los interesados. Riesgo inicial, Muy bajo Comprobar que no se utiliza ninguna mensajería instantánea para la comunicación con los interesados. Riesgo final, Muy bajo", sin que hubiera aportado ninguna otra documentación posterior al respecto, manifestado lo contrario. Por otra parte, considera FLEXICAR que en el presente caso concurren varias atenuantes que no han sido consideradas en el acuerdo de inicio del procedimiento:
  18. a)Se tiene en cuenta el alcance de la infracción y el número de afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/28
  19. b)Medidas tomadas para paliar daños sufridos por los interesados: no consta en las actuaciones ninguna acción directamente encaminada a reducir las consecuencias de la infracción para la persona afectada.
  20. c)La ausencia de infracciones previas: es, ciertamente, un factor que puede influir en la graduación de la sanción, pero no para conseguir su atenuación. El art. 83.2
  21. e)del RGPD se refiere a “toda infracción anterior cometida por el responsable o el encargado del tratamiento”, por lo que esta circunstancia está haciendo referencia a las infracciones anteriormente cometidas por el responsable y no a la ausencia de ellas, de modo que no se considera un factor atenuante.
  22. d)En cuanto a la cooperación de FLEXICAR con la AEPD, por la atención de todos los requerimientos y solicitudes de información, si bien es valorable, no constituye una atenuante relevante, ya que se trata de una obligación básica del responsable del tratamiento conforme al artículo 31 del RGPD, y no de una medida adicional que exceda sus deberes legales, por lo que la cooperación en el sentido expresado por FLEXICAR no puede considerarse un factor atenuante sustancial, sino un deber inherente al proceso.
  23. e)El inexistente beneficio obtenido por la reclamada como resultado al tratamiento de datos que ocupa este procedimiento (Art. 83.2
  24. k)RGPD). El artículo 83.2.
  25. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2.
  26. c)de la LOPDGDD dice que “2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
  28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de la reclamada en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas.
  29. f)Según FLEXICAR, la conducta de la reclamante influyó en la comisión de la infracción. Sin embargo, entiende esta AEPD que la solicitud realizada por la reclamante para el reintegro de la cantidad que abonó como reserva por la compra de un vehículo no determina que le fueran facilitados datos de terceros, por lo que en modo alguno determina la conducta de la entidad responsable que se sanciona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/28 Con carácter general, se tiene en cuenta que la Sala de lo Contencioso Administrativo de la Audiencia Nacional entiende que la no presencia de todos los elementos que integran una circunstancia agravante no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante (SAN de 5 de mayo de 2021, Rec. 1437/2020). En consecuencia, la Agencia considera que las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. 2. Alegaciones a la propuesta de resolución La entidad reclamada, notificada la propuesta de resolución y habiéndosele concedido trámite de audiencia para que pudiera formular las alegaciones que tuviese por convenientes en su defensa, se ha limitado a comunicar que ha realizado las acciones oportunas para reparar la “presunta” vulneración de los derechos de la reclamante, y que ésta ha prestado su voluntad de manera libre, plenamente informada y con un carácter inequívoco, de desistir de la reclamación. Como prueba de lo indicado, aporta un escrito de desistimiento cumplimentado con los datos de la reclamante y supuestamente suscrito por la misma, aunque nada aporta que acredite fehacientemente la identidad de la persona que realiza las manifestaciones. En cualquier caso, se tiene en cuenta que, según lo establecido en el artículo 63.1 de la LPACAP, “los procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano competente”. En el mismo sentido, el artículo 64.2 de la LOPDGDD dispone que los procedimientos que tengan por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el RGPD “se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación”. Así, que la reclamante desista de su reclamación no implica el archivo del procedimiento sancionador incoado, toda vez que el mismo se inicia y se tramita en todas sus fases de oficio, siendo competencia de esta Agencia determinar si ha sido vulnerada la normativa de protección de datos personales y el alcance que debe otorgarse a dicho incumplimiento. Resulta irrelevante, a tales efectos, el acuerdo que hayan podido suscribir la reclamante y la entidad reclamada para restaurar los derechos vinculados a la protección de datos. De acuerdo con lo expuesto, no puede aceptarse la postura defendida por la reclamada en sus alegaciones cuando señala que con el citado acuerdo y el consiguiente desistimiento de la reclamante justifica el archivo de las actuaciones. En modo alguno esta reparación exonera a dicha entidad de la responsabilidad derivada de los incumplimientos de la normativa que se hayan producido, cuya aplicación, obviamente, no queda condicionada por los pactos que puedan producirse entre particulares. Sólo cuando el responsable del tratamiento demuestre que “no es en modo alguno responsable del hecho que haya causado los daños y perjuicio” estará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/28 exento de responsabilidad, conforme a lo establecido en el artículo 82.3 del RGPD. Menos aun cuando la supuesta infracción afecte, como en este caso, a otros interesados distintos a la reclamante (la documentación difundida incluye información correspondiente a 17 clientes). III Obligación incumplida. Artículo 5.1.
  30. f)del RGPD El artículo 5.1.
  31. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán:
  32. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Este principio atribuye a FLEXICAR, como responsable del tratamiento de datos personales, la obligación de impedir tratamientos no autorizados o ilícitos de estos datos, su pérdida o destrucción. Por lo tanto, no debería tratar datos personales si no está en disposición de garantizar la confidencialidad e integridad de estos e impedir que un tercero acceda a datos que no le conciernen, así como evitar su pérdida o destrucción. El responsable del tratamiento está obligado a tratar los datos personales de tal modo que garantice su confidencialidad mediante la aplicación de medidas técnicas u organizativas apropiadas. Para que se produzca una vulneración del art. 5.1.
  33. f)del RGPD, debe de haberse producido una pérdida de confidencialidad o de integridad. En el presente caso, la documentación obrante en el expediente acredita la vulneración por parte de FLEXICAR de lo dispuesto en el artículo 5.1.
  34. f)del RGPD, al haberse producido una falta de confidencialidad en el tratamiento de los datos de carácter personal, consecuencia de remitir un mensaje a través del sistema de mensajería instantánea WhatsApp a la parte reclamante con información sobre 17 clientes, referida a nombre y apellidos, números de teléfono, municipio o provincia, datos de salud, detalles sobre la financiación de la venta, comentarios sobre las operaciones, existencia de embargos o inclusión en ficheros de morosidad. El principio de confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos personales no consentidas por los titulares de estos. Por otra parte, en el documento: “Medidas Técnicas y Organizativas”, de 20 de noviembre de 2023, que la reclamada envía ante el requerimiento de información por parte de esta Agencia, se especifica que no se contempla el uso de la mensajería instantánea para la comunicación con los clientes, y, sin embargo, constan en el expediente capturas de pantalla de conversaciones mantenidas entre las partes, a través de la aplicación de mensajería instantánea WhatsApp. Por tanto, de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a FLEXICAR por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/28 vulneración del artículo 5.1.
  35. f)del RGPD. IV Tipificación y calificación de la infracción del artículo 5.1.
  36. f)del RGPD La vulneración del artículo 5.1.
  37. f)del RGPD podría suponer la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  38. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  39. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 5.1.
  40. f)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  41. a)a
  42. h)y j). Al decidir la imposición de una multa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/28 administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  43. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  44. b)la intencionalidad o negligencia en la infracción;
  45. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  46. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  47. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  48. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  49. g)las categorías de los datos de carácter personal afectados por la infracción;
  50. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  51. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  52. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  53. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  54. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  55. a)El carácter continuado de la infracción.
  56. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  57. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  58. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  59. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  60. f)La afectación a los derechos de los menores.
  61. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  62. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/28 existan controversias entre aquellos y cualquier interesado.” En este caso, considerando la gravedad de la infracción del artículo 5.1
  63. f)del RGPD, procede la imposición de una multa, además de la adopción de medidas. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Procede cuantificar la sanción que se propone, considerando para ello que la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de FLEXICAR INTERNACIONAL, S.L., que ascendió a 841.279.118 euros en el año 2024. En primer término, se tiene en cuenta la categoría de la infracción cometida, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía equivalente al 4% como máximo de su volumen de negocio anual. Según el citado precepto, al establecer el importe máximo aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma. En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el año 2024 a 841.279.118 euros, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 33.651.164 euros. De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la sanción a imponer en el presente caso por la infracción del artículo 6.1 del RGPD de la que se responsabiliza a FLEXICAR, tipificada en el artículo 83.5.
  64. a)del RGPD, se estiman concurrentes los siguientes factores: 1. Como elementos determinantes de la gravedad de la infracción, se toman en consideración las circunstancias siguientes: . Artículo 83.2.
  65. a)del RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . Naturaleza de la infracción: El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la disposición infringida afecta a un principio básico del derecho a la protección de datos personales, por cuanto sustenta la confidencialidad de los datos personales y su violación entraña un riesgo importante para los derechos de los interesados. En este caso, la conducta de FLEXICAR ha provocado, de forma directa, la lesión del bien jurídico protegido por el artículo 5.1.
  66. f)del RGPD, impidiendo su aplicación efectiva y el objetivo que pretende proteger. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/28 . Gravedad de la infracción: . El alcance del tratamiento: en este caso, la incidencia que ha dado lugar a la infracción posibilitó el acceso a los datos personales de los afectados únicamente por la reclamante. . Número de interesados: la infracción que se sanciona es consecuencia de la vulneración de la confidencialidad de los datos personales de 17 afectados. . El nivel de daño sufrido por la parte reclamante: en el presente caso, los interesados pierden el control de sus datos personales, por lo que el daño podría persistir durante un tiempo indeterminado. . Artículo 83.2.g): las categorías de los datos de carácter personal afectados por la infracción, teniendo en cuenta que en la información transmitida aparecen datos personales que hacen referencia a la salud del afectado (en un caso) o a la situación financiera de varios de ellos, con detalle de embargos, existencia de deudas o dificultad para acceder a la financiación de la compra. 2. Se consideran los siguientes factores de graduación en calidad de agravantes: . Artículo 83.2.
  67. k)del RGPD en relación con el artículo 76.2, letra
  68. b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La actividad de la entidad presuntamente infractora se encuentra vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado su objeto y volumen de negocio la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  69. b)de la LOPDGDD en relación con el artículo 83.2.k). Además, la incidencia se produce en el desarrollo de la actividad principal de la parte reclamada. Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las circunstancias concurrentes, tomando en consideración su volumen de negocio y su vinculación con el tratamiento de datos personales atendiendo el número de personas que prestan servicio como empleados en… y su actividad”. 2. Se considera el siguiente factor de graduación en calidad de atenuante: . Artículo 83.2.
  70. k)del RGPD en relación con el artículo 76.2, letra e), de la LOPDGDD: “La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente”. Mediante escritura de fusión por absorción, de fecha 11/12/2024 se formalizó la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/28 absorción de FLEXICAR IBÉRICA, S.L. por parte de “FLEXICAR INTERNACIONAL, S.L.”, con extinción de aquella (…). Considerando los factores expuestos, la valoración que alcanza la multa que se impone por la infracción del artículo 5.1.
  71. f)del RGPD es de 40.000 € (CUARENTA MIL euros). VI Adopción de medidas Confirmada la infracción, procede imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  72. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuáles son las presuntas infracciones cometidas y los hechos que podrían dar lugar a esas posibles vulneraciones de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone, se requiere a la parte reclamada para que, en el plazo de seis meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - la implantación de aquellas medidas de carácter técnico y organizativas que garanticen la confidencialidad de los datos e imposibiliten el acceso a los mismos por terceros de conformidad con lo señalado en el artículo 5.1.
  73. f)del RGPD, así como el control de las comunicaciones. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/28 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a FLEXICAR INTERNACIONAL, S.L., con NIF B09758327, por una infracción del Artículo 5.1.
  74. f)del RGPD, tipificada en el Artículo 83.5.
  75. a)del RGPD, una multa de 40.000,00 euros (cuarenta mil euros). SEGUNDO: ORDENAR a FLEXICAR INTERNACIONAL, S.L., con NIF B09758327, que en virtud del artículo 58.2.
  76. d)del RGPD, en el plazo máximo de seis meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las siguientes medidas: - la implantación de aquellas medidas de carácter técnico y organizativas que garanticen la confidencialidad de los datos e imposibiliten el acceso a los mismos por terceros de conformidad con lo señalado en el artículo 5.1.
  77. f)del RGPD, así como el control de las comunicaciones. TERCERO: NOTIFICAR la presente resolución a FLEXICAR INTERNACIONAL, S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  78. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/28 Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  79. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.