1/6 - Expediente N.º: EXP202201247 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14 de enero de 2022, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AUTOMOVILES FERSAN, S.A. con NIF A03071248 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que la reclamada ha hecho uso de sus datos personales para incluirlos en un contrato de compra de un vehículo sin su consentimiento. La reclamante manifiesta que se utilizaron sus datos personales sin su consentimiento para avalar la compraventa de un vehículo adquirido por su hermana, en la tramitación para su financiación. Señala que su hermana realizó la compra del vehículo con la entidad reclamada, para lo cual, dicha entidad gestionó los trámites para formalizar un contrato de préstamo financiado por BMW BANK GMBH, sirviéndose de los datos de la reclamante, para obtener el aval suficiente y sacar adelante la operación. Cuando se produce un impago por la parte compradora, la entidad financiera exige el pago a la reclamante, y al exigir esta última justificación por el cobro requerido dicha financiera aporta documentos, calificados por la reclamante como falsos, en los que además de los datos personales de su hermana, como compradora del vehículo, se añaden también los datos personales de la reclamante, así como su firma. Aporta demanda judicial, y contrato de crédito exclusivo a nombre de B.B.B. (hermana de la reclamante) SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 3 de febrero de 2022, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 4 de febrero de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 3 de marzo de 2022 se recibe en esta Agencia escrito de respuesta indicando que AUTOMÓVILES FERSÁN, a través de BMW Group Financial Services, dispone de un protocolo claro sobre la documentación que se debe solicitar cuando una persona solicita financiación, dicho protocolo se aplica de manera estricta por parte del concesionario, y esta se aplica a todos sus comerciales. En esta operación intervienen en diferentes momentos los cuatro hermanos de la familia (…), apareciendo como avalistas de la operación. Se manifiesta que la operación quedó aprobada y resultó viable, con la cotitularidad de Dña. B.B.B. y Dña. A.A.A.. La relación de Dña. A.A.A. y su familia con AUTOMÓVILES FERSÁN, SA desde un punto de vista cronológico es el siguiente: 25 de octubre de 2018. Dña. C.C.C. (Hermana de Dña. A.A.A.) pide un presupuesto a AUTOMÓVILES FERSÁN, planteando el contrato de compraventa del vehículo a nombre de una sociedad que se va a constituir. 29 de octubre de 2018, Dña. C.C.C. envía el alta censal y nómina de Dña. B.B.B.. 08 de noviembre de 2018 – D. D.D.D. (Hermano de la reclamante) envía por mail la renta 2017 (modelo100) de Dña. B.B.B.. 09 de noviembre de 2018, 9:00. Dado que la operación requería una entrada muy alta se valora la opción de que existan avalistas que avalen la operación. 09 de noviembre de 2018 - – D. D.D.D. envía por mail las nóminas y el alta de Dña. B.B.B. y el escribe a (…) (empleado de la entidad reclamada): "Hola (…), te adjunto las nóminas y el alta. Cuando te pidan avalista dime qué tengo que aportar de documentación. Un saludo". 09 de noviembre de 2018, 18:45. Una vez realizado el estudio de Dña. B.B.B. (hermana de la reclamante) tienen que aportar aval o entrada de ***CANTIDAD.€. TERCERO: Con fecha 14 de abril de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 20 de julio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba textualmente lo siguiente: (…). Ver Anexo I. (…) Se remite Anexo II. (…). (…): (…). (…). (…). (…). (…). (…). SEXTO: Con fecha 11 de agosto de 2022, el instructor del procedimiento acordó dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por la entidad reclamada y la documentación que a ellas acompaña. SEPTIMO: Con fecha 30 de agosto de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a AUTOMOVILES FERSAN, S.A. con NIF A03071248, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, y a efectos de prescripción, por el artículo 72.1
- b)de la LOPDGDD, con una multa de 5.000 euros (cinco mil euros) OCTAVO: Con fecha 9 de septiembre de 2022, la entidad reclamada presenta alegaciones a la propuesta de resolución señalando que la reclamación, en ningún momento se realiza como avalista sino como cotitular. Se manifiesta además que: • (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 • (…). (…) De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La reclamante afirma que sus datos personales han sido utilizados por la parte demandada sin su consentimiento para avalar la compraventa de un vehículo adquirido por su hermana Aporta demanda judicial, y contrato de crédito exclusivo a nombre de B.B.B. (hermana de la reclamante) SEGUNDO: La entidad reclamada manifiesta que la reclamante es cotitular, ya que compró junto con su hermana el vehículo objeto de conflicto. Aporta: (…) (…) (…) (…) FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 II El artículo 4.11 del RGPD define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En este sentido, el artículo 6.1 de la LOPDGDD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por su parte el artículo 6 del RGPD, establece lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III En el presente caso, la parte reclamante denuncia a AUTOMOVILES FERSAN, S.A. porque le reclaman en concepto de avalista el pago de un vehículo que adquirió su hermana B.B.B. pese a que, en el contrato de financiación, solo aparece su hermana y no ella. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 La entidad reclamada ha aportado documentación que permite acreditar que la reclamante es cotitular del vehículo causante de la deuda requerida y que por tanto, se le requiere el pago no en concepto avalista sino de cotitular. En concreto, aporta la reclamación judicial por impago, en la que se demanda tanto a la reclamante como a B.B.B. como titulares del vehículo y del contrato de financiación. Por lo tanto, tras acreditarse que la reclamante es cotitular del vehículo y aclararse en concepto de qué se le reclama la deuda, hemos de considerar que la entidad reclamada se encuentra legitimada para el uso de los datos personales de la reclamante, en función de la previa celebración de un contrato de compraventa, y por tanto no se habría cometido una infracción del artículo 6 del RGPD indicado en el fundamento de derecho II. Por lo tanto, tras tener conocimiento de estos hechos, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es