← España

PS-00371-2021

1/15  Expediente Nº: PS/00371/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se recibió en esta Agencia Española de Protección de Datos (AEPD) una reclamación de fecha 29 de julio de 2019, formulada por un interesado ante la autoridad de protección de datos de Berlín (Alemania). El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal. La citada reclamación se formula contra HERTZ DE ESPAÑA, S.L. (en adelante HERTZ), con sede social y establecimiento único en España, en relación con el alquiler de coches Firefly Car Rental, del que fue cliente en Málaga, el cual le enviaba repetidamente notificaciones sobre sanciones de tráfico, violaciones de límite de velocidad, etc., provocados por terceros, a su dirección de correo electrónico ***USUARIO.1. Había informado al servicio al cliente a través de fireflycustomercarespain@fireflycarrental.com sobre el correo electrónico erróneo y la violación de la protección de datos, y se le prometió una corrección a principios de julio. Aporta correo electrónico remitido a su dirección a nombre de A.A.A. ***DIRECIÓN.1. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, se han declarado interesadas en el presente procedimiento, además de la autoridad de control de Berlín (Alemania), las autoridades de control de: Dinamarca, Noruega, Renania- Palatinado (Alemania), Baja Sajonia (Alemania), Suecia, Portugal, Francia e Italia. SEGUNDO: A la vista de los hechos expuestos, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del RGPD, teniendo conocimiento de los siguientes extremos: Antecedentes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 B.B.B., con dirección: ***DIRECCIÓN.2, presentó una reclamación contra Hertz España, S.L., con NIF B28121549 y domicilio en C/ JACINTO BENAVENTE, nº 2- EDF B-3ª PLANTA - 28232 MADRID (MADRID). Motivo por el que se han remitido las sanciones a la cuenta de correo ***USUARIO.1 Los representantes de HERTZ manifiestan que han constatado un error en la base de datos de contratos, donde Dª. A.A.A., tenía asignado como correo electrónico de contacto en su contrato de alquiler, número (...) el correo electrónico ***USUARIO.1. Este correo electrónico pertenece a la parte reclamante, D. B.B.B. y no a Dª A.A.A.. Consecuentemente, existió un error en la base de datos, donde la persona titular del contrato de alquiler tenía asignada una dirección de correo electrónico, ***USUARIO.1, que pertenecía a un tercero, la parte reclamante, D. B.B.B.. Este error se produjo en el momento de recogida de los datos en el punto de alquiler, ubicado en el Aeropuerto de Barcelona – El Prat. Por ello, cuando la entidad recibió las sanciones de tráfico obrantes en el expediente, remitió los correos informativos a la dirección de correo asignada al contrato de alquiler, que resultó errónea. Motivo por el que no se ha atendido correctamente el derecho de rectificación solicitado por la parte reclamante D. B.B.B. se puso en contacto con el Servicio de Atención al Cliente de la marca de Hertz España, S.L., Firefly Car Rental, el día 5 de julio de 2019, una vez recibió el primero de los correos informativos con una sanción de tráfico, recibiendo respuesta a su solicitud de rectificación el día 9 de julio de 2019, a las 13:09 horas. En la respuesta remitida desde el correo electrónico fireflycustomercarespain@fireflycarrentl.com, le pidieron disculpas a D. B.B.B. y se le informó que se había suprimido la dirección de correo electrónico del expediente de Dª. A.A.A.. La supresión del correo electrónico del fichero de sanciones y del programa de gestión de contratos Car+ no se produjo hasta el día 30 de julio, lo que hizo que, el día 29 de julio, se remitiera un segundo correo electrónico a la dirección ***USUARIO.1, con una segunda sanción vinculada al contrato de Dª A.A.A.. Según manifiestan los representantes de la entidad, en el ánimo de no incurrir en dilaciones indebidas, desde el Servicio de Atención al Cliente se informó a D. B.B.B. de que el dato correspondiente al correo electrónico había sido rectificado, como así fue en el archivo gestionado directamente por este Servicio, si bien, y en paralelo, el Servicio de Atención al Cliente, siguiendo el procedimiento establecido, había requerido la rectificación del dato a los departamentos oportunos (fichero de sanciones y programa de gestión de contratos Car+), que no implementaron el cambio hasta el día 30 de julio de 2019, por lo que, en esta ocasión, las prisas por no incurrir en dilaciones, conllevaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 ron que se comunicara a D. B.B.B. la rectificación del dato requerido días antes de que se produjera la efectiva supresión del dato en todos sus sistemas. Al no haber dado tiempo a la supresión del dato del correo electrónico en el fichero de sanciones y del programa de gestión de contratos, cuando se recibió la segunda sanción, el día 29 de julio, fue enviada la comunicación informativa a D. B.B.B., implementándose la definitiva rectificación del dato, en todos los sistemas, el día 30 de julio. Detalle de las medidas adoptadas para atender el derecho de rectificación y para evitar que se envíen nuevas sanciones de tráfico relativas a otros clientes Las medidas adoptadas por la entidad para la completa supresión del dato objeto de rectificación solicitado por D. B.B.B., esto es, la supresión de su correo electrónico ***USUARIO.1, fueron las siguientes: i. Día 9 de julio de 2019, supresión del correo electrónico del expediente asignado por parte del Servicio de Atención al Cliente al contrato (...), cuyo titular es Dª. A.A.A., en el que aparecía vinculado erróneamente el correo electrónico de la parte reclamante, D. B.B.B.. Ese mismo día 9 de julio, se cursó petición por parte del Servicio de Atención al Cliente para la supresión del correo electrónico en el fichero de gestión de multas y en el programa de gestión de contrato de alquiler Car+. i. El día 30 de julio de 2019 se suprimió el dato del correo electrónico en el fichero de gestión de contratos Car+. iii. El día 30 de julio de 2019 se suprimió el dato del correo electrónico en el fichero de gestión de las multas vinculadas al contrato (...), en su momento suscrito por Dª. A.A.A.. TERCERO: Con fecha 21 de agosto de 2020, la Directora de la AEPD adoptó un proyecto de decisión de archivo de las actuaciones. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 31/08/2020 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo concedido a tal efecto, la autoridad de control de Berlín presentó sus objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD, en el sentido de que consideraba que no procedía un archivo de las actuaciones sino que se analizara el caso y se dirigiera un apercibimiento dado que se había producido una infracción del RGPD. CUARTO: Con fecha 19 de julio de 2021, la Directora de la AEPD adoptó un proyecto revisado de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se compartió este documento en el sistema IMI y se les hizo saber a las autoridades de control interesadas que tenían dos semanas desde ese momento para formular objeciones pertinentes y motivadas. Transcurrido el plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 las autoridades de control estaban de acuerdo con dicho proyecto revisado de decisión y estaban vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. QUINTO: Con fecha 16 de agosto de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a HERTZ DE ESPAÑA, S.L., con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 32 del RGPD y del artículo 5.1.

  1. f)del RGPD, tipificadas, respectivamente, en el artículo 83.4 y 83.5 del RGPD. SEXTO: Con fecha 14 de enero de 2022, la Directora de la Agencia Española de Protección de Datos dictó resolución de rectificación de errores del citado acuerdo de inicio de procedimiento sancionador y otorgó a HERTZ DE ESPAÑA, S.L un nuevo plazo para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
  2. f)del artículo 64.2 de la LPACAP. SÉPTIMO: Notificada la citada resolución de rectificación de errores del acuerdo de inicio, HERTZ presentó escrito de alegaciones en el que, en síntesis, manifestaba que: PRIMERO.- SOBRE EL SUPUESTO ERROR EN LA BASE DE DATOS DE CONTRATOS Tras una exhaustiva investigación interna para ahondar en qué ocurrió, HERTZ tiene dudas de la existencia del error por lo siguiente: - El contrato número (...) con Dª A.A.A., cuya dirección postal, según indicó esta, es ***DIRECCIÓN.1, es de fecha 21 de mayo de 2019, habiendo sido esta persona quien proporcionó motu proprio la dirección de correo electrónico ***USUARIO.1. - Posteriormente, la dirección de correo electrónico ***USUARIO.1 aparece en la base de datos de contratos de HERTZ en una fecha muy posterior, el 7 de febrero de 2020, pero esta vez asociada a D. C.C.C. en el contrato (...), cuya dirección postal, según indicó éste, es ***DIRECCIÓN.2, habiendo sido proporcionada por D. B.B.B. y que figuraba como conductor adicional (se adjunta impresión de pantalla del registro del contrato en la base de datos como Documento 2). - El hecho de la singularidad de esta dirección de correo electrónico, que combina letras y números, correspondiéndose las letras a las iniciales de la parte reclamante, nos lleva a concluir que es muy poco probable que el error se diera al momento de introducirlos en la base de datos por el personal de HERTZ, sino que fue aportada por quien suscribió el contrato número (...), de fecha 21 de mayo de 2019. - ¿Cómo es factible que se manden multas de tráfico por infracciones que ocurren en 2019 a una dirección de correo que se proporciona en 2020? Es del todo punto imposible. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 A partir de lo anterior, cabe señalar que cualquier comunicación que se tuvo que llevar a cabo, como es el caso de las notificaciones de sanciones de tráfico por las correspondientes infracciones cometidas por Dª A.A.A., se hizo a la dirección de correo electrónico proporcionada en el momento de contratar el alquiler del coche (año 2019), sin que fuera posible un error dada la singularidad de la dirección de correo electrónico mencionada. Esto implica que cabría descartar el error en la asignación de la dirección de correo electrónico ***USUARIO.1 al contrato (...) con Dª A.A.A.. SEGUNDO.- SOBRE LA SINGULARIDAD DEL CASO. INEXISTENCIA DE REITERACIÓN DE CONDUCTAS POR PARTE DE HERTZ ESPAÑA. HECHO AISLADO, SUBSANADO Y COMUNICADO AL CLIENTE. Como señala la Agencia en el Acuerdo de Inicio (pág. 10, párrafo): “se trató de un caso concreto (del cual no constan antecedentes similares en esta Agencia” y que se explicaría por el hecho de que Dª A.A.A. proporcionase la dirección de correo electrónico ya mencionada. Además, como le consta a la Agencia, HERTZ procedió a actuar de inmediato con la finalidad de intentar dar una solución lo antes posible a la reclamación hecha por la parte reclamante. En concreto, la cronología de actuaciones llevadas a cabo por HERTZ fue la siguiente: - El 5 de julio de 2019 la parte reclamante envió un correo electrónico a atención al cliente indicando que la dirección de correo electrónico ***USUARIO.1 es incorrecta puesto que no es para A.A.A.. - El 9 de julio de 2019 (
  3. i)se responde a su correo electrónico indicando que se ha borrado la dirección de correo electrónico y se le piden disculpas y (
  4. ii)se solicita que se suprima el correo electrónico en el fichero de gestión de multas y en su programa de gestión de contratos de alquiler Car+. A pesar de que la parte reclamante haya recibido dos correos electrónicos, entendemos que es también relevante el hecho de que no se haya producido esta situación en ningún otro caso, ni que la parte reclamante haya planteado ninguna otra reclamación contra HERTZ en relación con este asunto. Por tanto, no se ha producido un daño a la parte reclamante cuya dirección de correo electrónico aparecía vinculada a Dª A.A.A., que la habría proporcionado en 2019, meses antes de que la parte reclamante proporcionase esa misma dirección en otro contrato de alquiler de vehículo que no está relacionado en modo alguno con el primero. Es difícil mantener con estos nuevos datos, que fue un error en la introducción de la dirección de correo electrónico en el contrato (...), sino que la dirección de correo electrónico fue proporcionada a HERTZ, lo que explicaría la singularidad del caso. Aun admitiendo que lo fuera (lo que no se hace), coincidimos con la Agencia en que se trata de un supuesto de muy menor entidad, que no ha causado perjuicio alguno y que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 fue solventado prácticamente de manera inmediata. TERCERO.- SOBRE LO SOLICITADO POR LA AUTORIDAD DE CONTROL DE BERLÍN EN SUS OBJECIONES. Entendemos que existe una disparidad entre lo que la Autoridad de Berlín solicita y lo que la Agencia acuerda. La propia Agencia expresa en su Resolución lo que solicitaba la autoridad de control de Berlín en sus objeciones pertinentes y motivadas es que: (sic) “se analizara el caso y se dirigiera un apercibimiento” (Hecho Tercero, pág.5), no que se iniciase un procedimiento sancionador contra HERTZ. La autoridad de Berlín ha presentado una objeción en un caso que, como le consta a la propia Agencia, no sería grave, siendo necesario recordar también que inicialmente, la Agencia había propuesto el archivo de las actuaciones. Si la autoridad de control de Berlín no solicitó la apertura de procedimiento sancionador, cabría considerar que, con los poderes de investigación que tiene atribuidos la Agencia, y habiendo obtenido previamente de HERTZ “toda la información necesaria para el ejercicio de sus funciones” (artículo 58.2.1) del RGPD), podría dirigir un apercibimiento a HERTZ conforme al poder correctivo que tiene atribuido por el artículo 58.2.
  5. b)del RGPD. No obstante, entendemos perfectamente que la Agencia tenga que actuar a través de los mecanismos disponibles en nuestro ordenamiento jurídico y agradecemos también el hecho de que considere dirigir un apercibimiento en los términos indicados en el Acuerdo de Inicio. OCTAVO: Con fecha 16 de febrero de 2022, la instructora del procedimiento formuló propuesta de resolución, en la que propuso que por la Directora de la AEPD se dirija un apercibimiento a HERTZ DE ESPAÑA, S.L., con NIF B28121549, por una infracción del artículo 32 del RGPD y del artículo 5.1.
  6. f)del RGPD, tipificadas, respectivamente, en el artículo 83.4 y 83.5 del RGPD. Y que se ordene a HERTZ DE ESPAÑA, S.L., con NIF B28121549, a adoptar, en el plazo de treinta días, las medidas tendentes a garantizar que no se vuelvan a producir situaciones como la del objeto de la presente reclamación. Asimismo, se otorgaba a HERTZ un plazo de alegaciones de DIEZ DÍAS para que pudiera alegar cuanto considerase en su defensa y presentar los documentos e informaciones que considerase pertinentes. Notificada la citada propuesta de resolución y transcurrido el plazo a tal efecto, se ha constatado que no se ha recibido alegación alguna por parte de HERTZ. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes HECHOS PROBADOS PRIMERO: El 5 de julio de 2019 a las 11:36 hs se recibe un correo electrónico desde la dirección noreply@gesthispania.com a la dirección ***USUARIO.1, con el asunto “Notificación de multa de tráfico”, dirigido a A.A.A., domicilio ***DIRECIÓN.1 y el siC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 guiente texto (en inglés): “Madrid 05-07-2019 Estimado cliente, Le escribimos en relación a su alquiler con Firefly en España (Matrícula ***NÚMERO.1) desde el 05/21/2019 al 05/25/2019. Hemos recibido una notificación de una autoridad local ((REMESA) SERVEI CATALA DE TRANSIT TARRAGONA) sobre una violación de tráfico durante su período de alquiler. Por favor, encuentre adjunta una copia de la sanción (Es solamente informativa y recibirá la notificación oficial en su domicilio). Por tanto, le informamos que en cumplimiento del Artículo 11 del Real Decreto Legislativo 6/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial, le hemos identificado a usted como el conductor del vehículo. Por tanto, procederemos a cargarle en su tarjeta de crédito la suma de XX,XX euros (más IVA, total: XX euros) correspondientes a los cargos de Hertz por la identificación mencionada tal y como se indica en los Términos y Condiciones del Contrato de Alquiler. En el caso de no Cargar esta cantidad en su tarjeta de crédito, procederemos formalmente a exigir el importe del dinero mencionado anteriormente en la cuenta bancaria de Hertz de España, S. L en el número de cuenta: 0000-0000-00-0000000000 (IBAN CODE: ES00 0000-0000-00-0000000000, SWIFT CODE: (…)XXX). Ahora queda a discreción de las autoridades si emiten una notificación para el pago de la multa propiamente dicha. Le informamos que no estamos en condiciones de revisar o litigar sobre ningún aspecto de estos casos. Cualquier posible litigio debe plantearse directamente ante la autoridad competente, en caso de que se ponga en contacto con usted directamente. Gracias por elegir Firefly. Saludos cordiales”. SEGUNDO: El 5 de julio de 2019 a las 12:45 hs se envía un correo electrónico de respuesta desde la dirección de correo electrónico de la parte reclamante a fireflycustomercarespain@fireflycarrental.com con el siguiente texto (en inglés): “Perdone, siempre utilizan el correo electrónico equivocado, por favor corrijan sus datos, esta dirección de correo electrónico no es de A.A.A. ***DIRECIÓN.1”. TERCERO: El 21 de mayo de 2019 Dª. A.A.A. alquiló un coche con Firefly Car Rental (HERTZ DE ESPAÑA, S.L.), del 21/05/2019 al 25/07/2019, contrato de alquiler número (...). Este contrato tenía asignado en la base de datos de HERTZ, como correo electrónico de contacto, el correo electrónico ***USUARIO.1, la cual pertenece a la parte reclamante. CUARTO: El 9 de julio de 2019 a las 13:09 hs se envió un correo electrónico desde la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 dirección fireflycustomercarespain@fireflycarrentl.com a la dirección ***USUARIO.1 con el siguiente texto (en inglés): “Buenos días, Sr. B.B.B.; Gracias por contactar con Firefly Spain. Hemos eliminado su dirección de correo electrónico del perfil de Dª. A.A.A.. No sabemos por qué estaba añadido a él. Pedimos disculpas por cualquier inconveniente. Saludos cordiales” QUINTO: El 9 de julio de 2019 se suprimió el correo electrónico del expediente asignado por parte del Servicio de Atención al Cliente al contrato (...), cuyo titular es Dª. A.A.A., en el que aparecía vinculado erróneamente el correo electrónico de D. B.B.B.. Ese mismo día 9 de julio, se cursó petición por parte del Servicio de Atención al Cliente para la supresión del correo electrónico en el fichero de gestión de multas y en el programa de gestión de contrato de alquiler Car+. La supresión del correo electrónico del fichero de sanciones y del programa de gestión de contratos Car+ no se produjo hasta el día 30 de julio de 2019, lo que hizo que el día 29 de julio de 2019 se remitiera un segundo correo electrónico a la dirección ***USUARIO.1, con una segunda sanción vinculada al contrato de la Sra. A.A.A.. También el 30 de julio de 2019 se suprimió el dato del correo electrónico en el fichero de gestión de las multas vinculadas al contrato (...), en su momento suscrito por Dª. A.A.A.. SEXTO: La dirección de correo electrónico ***USUARIO.1 aparece en la base de datos de contratos de HERTZ el 7 de febrero de 2020, asociado a D. C.C.C. en el contrato (...), cuya dirección postal, según indicó este, es ***DIRECCIÓN.2, habiendo sido proporcionada por D. B.B.B. y que figuraba como conductor adicional. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que HERTZ realiza, entre otros tratamientos, la recogida, conservación, consulta y supresión de datos personales de sus clientes, tales como: nombre y apellidos, domicilio y dirección de correo electrónico. HERTZ realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
  7. f)del artículo 5 del RGPD, mientras que la seguridad del tratamiento de estos datos viene regulada en el artículo 32 del RGPD. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por HERTZ. PRIMERO.- SOBRE EL SUPUESTO ERROR EN LA BASE DE DATOS DE CONTRATOS HERTZ alega que duda de que se hubiera producido un error por su parte al grabar la dirección de correo electrónico de la parte reclamante en el contrato de Dª. A.A.A., dado que este contrato es de fecha 21 de mayo de 2019 y que la parte reclamante figura como conductor adicional en el contrato (...), de fecha 7 de febrero de 2020. Y que, por tanto, Dª A.A.A. habría facilitado el correo electrónico de la parte reclamante motu proprio. Al respecto, esta Agencia quiere señalar que no se ha comprobado en el presente procedimiento la razón por la cual el correo de la parte reclamante figuraba asociado al contrato de Dª. A.A.A.. Y que sí ha quedado acreditado que el correo electrónico en cuestión pertenece a la parte reclamante. En cualquier caso, consta que se han enviado dos correos electrónicos con datos personales relativos a una infracción de tráfico a una dirección de correo electrónico titularidad de la parte reclamante. Y uno de estos correos fue enviado con posterioridad a que la parte reclamante hubiera avisado a HERTZ de esta situación. SEGUNDO.- SOBRE LA SINGULARIDAD DEL CASO. INEXISTENCIA DE REITERAC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 CIÓN DE CONDUCTAS POR PARTE DE HERTZ ESPAÑA. HECHO AISLADO, SUBSANADO Y COMUNICADO AL CLIENTE Alega HERTZ que se trató de un caso concreto y que se explicaría por el hecho de que Dª A.A.A. proporcionase la dirección de correo electrónico ya mencionada. No obstante, esta Agencia desea destacar que tal extremo no ha sido acreditado y que resulta irrelevante a los fines de determinar la existencia o no de las infracciones en cuestión. Además, alega HERTZ que procedió a actuar de inmediato con la finalidad de intentar dar una solución lo antes posible a la reclamación hecha por la parte reclamante. Y que resulta relevante que no se hubiera producido esta situación en ningún otro caso, ni que la parte reclamante haya planteado ninguna otra reclamación contra HERTZ en relación con este asunto. Afirma que no se ha producido un daño a la parte reclamante. Y que es difícil mantener que fue un error en la introducción de la dirección de correo electrónico en el contrato (...), sino que la dirección de correo electrónico fue proporcionada a HERTZ, lo que explicaría la singularidad del caso. Al respecto, esta Agencia desea señalar nuevamente que los motivos de por qué la dirección de correo electrónico de la parte reclamante resultó asociada al contrato (...), no ha quedado acreditado y que resulta irrelevante a los fines de determinar la existencia de las infracciones en cuestión. También alega HERTZ que, aun admitiendo que lo fuera (lo que no se hace), coincide con esta Agencia en que se trata de un supuesto de muy menor entidad, que no ha causado perjuicio alguno y que fue solventado prácticamente de manera inmediata. Al respecto, esta Agencia no tiene más nada que añadir. TERCERO.- SOBRE LO SOLICITADO POR LA AUTORIDAD DE CONTROL DE BERLÍN EN SUS OBJECIONES HERTZ entiende que existe una disparidad entre lo que la Autoridad de Berlín solicita y lo que esta Agencia acuerda, dado que la autoridad de control de Berlín en sus objeciones pertinentes y motivadas solicita que: (sic) “se analizara el caso y se dirigiera un apercibimiento” (Hecho Tercero, pág.5), no que se iniciase un procedimiento sancionador contra HERTZ. Y alega que, si la autoridad de control de Berlín no solicitó la apertura de procedimiento sancionador, cabría considerar que, con los poderes de investigación que tiene atribuidos esta Agencia, podría dirigir un apercibimiento a HERTZ conforme al poder correctivo que tiene atribuido por el artículo 58.2.
  8. b)del RGPD. No obstante, también añade que entiende perfectamente que la Agencia tenga que actuar a través de los mecanismos disponibles en nuestro ordenamiento jurídico y agradece también el hecho de que considere dirigir un apercibimiento en los términos indicados en el Acuerdo de Inicio. Al respecto, esta Agencia desea señalar que, efectivamente, debe actuar a través de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 los mecanismos disponibles en nuestro ordenamiento jurídico (en concreto, la LOPDGDD), razón por la cual está tramitando el presente procedimiento sancionador, al no existir otro procedimiento diferente. IV Integridad y confidencialidad de los datos personales El artículo 5.1.
  9. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  10. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera que los datos personales de uno de los clientes (Dª A.A.A.), obrantes en la base de datos de HERTZ, fueron indebidamente expuestos a un tercero (la parte reclamante), vulnerando los principios de integridad y confidencialidad, en dos ocasiones. Los hechos conocidos se consideran constitutivos de una infracción, imputable a HERTZ, por vulneración del artículo 5.1.
  11. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
  12. f)del RPGD La citada infracción del artículo 5.1.
  13. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  14. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Medidas de seguridad El artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  16. a)la seudonimización y el cifrado de datos personales;
  17. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  18. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  19. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera que el factor decisivo para que se produzca un incumplimiento de las obligaciones de seguridad es la falta de garantías respecto a la seguridad de los datos tratados. Esto siempre se asumirá si no se implementaron medidas técnicas y organizativas de seguridad o si las medidas adoptadas no se consideran suficientes. En el presente caso, la parte reclamante recibió un segundo correo electrónico, incluyendo nuevamente datos personales de otro cliente con información sobre sanciones- el 29 de julio de 2019, casi tres semanas después de que HERTZ le hubiera confirmado que sus datos habían sido rectificados. De acuerdo con HERTZ, esto fue debido a un malentendido entre los departamentos de Atención al Cliente y el de sanciones y gestión de contratos. Si se hubieran adoptado medidas técnicas y organizativas suficientes, podría asumirse en un primer momento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 que el correo electrónico se habría asignado al cliente correspondiente en la base de datos y que, además, la rectificación de esta dirección de correo electrónico en la base de datos de clientes y en todos los sistemas relevantes de la organización podía haberse implementado en menos tiempo, por lo que la parte reclamante no habría recibido un segundo correo electrónico con información adicional. Por tanto, los hechos conocidos se consideran constitutivos de una infracción, imputable a HERTZ, por vulneración del artículo 32 del RGPD. VII Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  20. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  21. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. (…) VIII Sanción por la infracción del artículo 5.1.
  22. f)y artículo 32 del RGPD Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  23. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 (…)
  24. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por su parte, el considerando 148 del RGPD indica: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” De conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que la infracción en cuestión es leve a los efectos del artículo 83.2 del RGPD dado que en el presente caso, atendiendo a que se trató de un caso concreto, consecuencia de un error puntual (del cual no constan antecedentes similares en esta Agencia), y que se corrigió a la brevedad, permite considerar una disminución de la culpa en los hechos, por lo que se considera conforme a Derecho, no imponer sanción consistente en multa administrativa y sustituirla por dirigir un apercibimiento a HERTZ. IX Imposición de medidas Entre los poderes correctivos que dispone el artículo 58 “Poderes” del RGPD, en el apartado 2.
  25. d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En sentido, se estima procedente dirigir un apercibimiento y con la medida correctora del artículo 58.2.
  26. d)del RGPD, para que en el plazo de 30 días proceda a adoptar medidas tendentes a garantizar que no se vuelvan a producir situaciones como la del objeto de la presente reclamación. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a HERTZ DE ESPAÑA, S.L., con NIF B28121549, por una infracción del artículo 32 del RGPD y del artículo 5.1.
  27. f)del RGPD, tipificadas, respectivamente, en el artículo 83.4 y 83.5 del RGPD, un apercibimiento. ORDENAR a HERTZ DE ESPAÑA, S.L., con NIF B28121549, que se adopten, en el plazo de treinta días, las medidas tendentes a garantizar que no se vuelvan a producir situaciones como la del objeto de la presente reclamación. SEGUNDO: NOTIFICAR la presente resolución a HERTZ DE ESPAÑA, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  28. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.