← España

PS-00385-2018

1/18 938-0419 Procedimiento Nº: PS/00385/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 13/06/2018 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CANARY ISLANDS CAR S.L. con NIF B35051820 (en adelante, la reclamada). Los motivos en que basa la reclamación son que esta entidad ha proporcionado sus datos al centro de tratamiento de denuncias automatizadas de Ministerio de interior (expediente acabado en 685-3) por un exceso de velocidad el 4/04/2018 a las 13:47, con un vehículo de alquiler propiedad de la reclamada en calidad de conductora de este. Manifiesta que “nunca he alquilado ningún vehículo a CICAR (ni a ninguna otra empresa de alquiler de vehículos) en Gran Canaria.” Indica que ante Tráfico ha acreditado que no se hallaba conduciendo en la fecha y hora conduciendo el citado vehículo, aportando un certificado de su entidad de 29/05/2018 Aporta copia de: -Denuncia de tráfico notificada con sus datos, matrícula del vehículo ***MATRICULA.1, y fecha 4/04/2018, a las 13: 47, porta fecha de 7/05/2018. - “Documento de la DGT de identificación de conductor”, en el que consta fecha identificación 3/05/2018 conductor arrendatario residente, datos titulares, la reclamada y su dirección y un numero de contrato acabado en XXX -Certificado de su empresa en el que dicho día entre 8 y 15 horas la reclamante se hallaba trabajando, prestando su jornada ordinaria de 8 a 15 h. SEGUNDO: A la vista de los hechos denunciados en la reclamación, con fecha 20/07/2018 se remite escrito a la reclamada trasladando copia de la denuncia integra, que recibió el 27 de mismo mes. En el escrito se indicaba: “De conformidad con las funciones previstas en el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), particularmente las que responden al respeto, por parte del responsable del tratamiento, de los principios de transparencia y responsabilidad proactiva, se da traslado de la reclamación presentada, requiriéndoles que, en el plazo máximo de un mes desde su recepción, comuniquen al reclamante el resultado final de las acciones que lleven a cabo para atender la reclamación, debiendo aportarse a esta Agencia copia de las comunicaciones intercambiadas a este respecto con el reclamante. Junto a la citada documentación deberán remitirse a esta Agencia, en el mismo plazo, todos los documentos que se consideren relevantes en relación con los hechos expuestos en la reclamación, incluyendo en particular la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 1. Especificación clara de las causas que han motivado la incidencia que ha dado lugar a la reclamación. 2. Detalle de las medidas adoptadas por el responsable para solucionar la incidencia y para evitar que se produzcan nuevas incidencias como la expuesta. A este respecto, puede obtener, a través de www.aepd.es, información adicional sobre las obligaciones, previstas en la normativa de protección de datos, para responsables y encargados de tratamiento. 3. En su caso, documentación acreditativa de que, de acuerdo con lo previsto en el artículo 12 del RGPD, se han tomado las medidas oportunas para facilitar al afectado el ejercicio de sus derechos en virtud de los artículos 15 a 22, incluyendo copia íntegra de las comunicaciones remitidas en respuesta a las solicitudes que hubieran sido efectuadas por el reclamante. La información solicitada deberá remitirse a la Agencia a través de su Registro Electrónico (https://sedeagpd.gob.

  1. es)o de cualquiera de los Registros oficiales contemplados en el artículo 16.4 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, incluyendo las oficinas de asistencia en materia de registros de todos los órganos de la Administración General del Estado, de las Administraciones de las Comunidades Autónomas, y de las entidades que integran la Administración Local. A la vista de toda la documentación aportada, la Agencia realizará las actuaciones que resulten procedentes, en aplicación de los poderes de investigación y correctivos establecidos en el artículo 57 del RGPD. La reclamada no remitió respuesta alguna. TERCERO: De acuerdo con la información obtenida el 8/02/2019 de la https://monitoriza.axesor.es sobre CANARY ISLANDS CAR S.L., B35051820 consta: web - Grupo Económico: GRUPO EMPRESARIAL CABRERA MEDINA SOCIEDAD LIMITADA -Empresa matriz global: GRUPO EMPRESARIAL CABRERA MEDINA SOCIEDAD LIMITADA Tamaño UE: Corporate -Tamaño: Grande -Actividad: 7711 - Alquiler de automóviles y vehículos de motor ligeros -Constitución: 23/09/1980 -Tipo de empresa: Filial de grupo -CNAE: 7711 - Alquiler de automóviles y vehículos de motor ligeros -Empleados: 431 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 -Se incorpora informe extraídos de la citada web, así como información general de la entidad, extraída del Registro Mercantil el 11/01/2019, destacando que el capital social desembolsado asciende a 909.026 €. -Se incorpora la consulta realizada a la base de datos de la AEPD que gestiona los antecedentes de las empresas, y a la reclamada, a 12/02/2019 no le consta sanción alguna. CUARTO: Con fecha 18/02/2019 la directora de la AEPD acordó INICIAR PROCEDIMIENTO SANCIONADOR a CANARY ISLANDS CAR S.L., por la presunta infracción del artículo 5.1
  2. d)del RGPD sancionable conforme a lo dispuesto en el art. 83.5 del citado RGPD. Para la valoración de la sanción que se implementó en el acuerdo de inicio, se contemplaba: -Los datos tratados lo han sido por cumplimiento de una obligación legal impuesta. -Los datos afectados son de carácter básico, identificando plenamente a la afectada, en correspondencia con los que usualmente pueden figurar en contratos de arrendamiento de vehículos. -La afectación del derecho de la reclamante no es de alto nivel, al darse a conocer a un organismo competente que dispone de un registro de conductores y lo emplea para dicha función, siendo una función legal. -- No ha colaborado con la autoridad de control, pues trasladada la reclamación, con su documentación no respondió a esta AEPD en modo alguno, desconociéndose además si ha tomado alguna medida para que la infracción no se reitere y para mitigar los hechos producidos (83.2.f). - En el traslado se advertía expresamente de posibles acciones a tomar por esta AEPD en función de la respuesta que se diera. -Trata, como parte de su actividad de modo habitual con datos de carácter personal 83.2.
  3. k)RGPD en relación con el 76 LOPDGDD. Como consecuencia con los elementos que se disponen, sin perjuicio de lo que derivase de la tramitación del procedimiento, la valoración inicial que alcanzaba la imposición de la multa por la infracción imputada era de 45.000 euros sin perjuicio de lo que resulte de la instrucción de este procedimiento. QUINTO: Frente al acuerdo, la denunciada manifiesta el 1/03/2019:
  4. a)Indica que a la petición de información del traslado de la reclamación se respondió, y aporta: 1-copia de escrito de la sede electrónica de la AEPD “justificante, registro entrada” entrada 17/08/2018 número de registro 190559/2018, titulado “respuesta a requerimiento de información” en que en la segunda hoja no figura archivo alguno adjunto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 2-copia de escrito de la sede electrónica de la AEPD “justificante, registro entrada” 20/08/2018 número de registro 190658/2018, titulado “respuesta a requerimiento de información” en que en la segunda hoja no figura archivo alguno adjunto. Las copias enviadas coinciden con las registradas de entrada en las fechas mencionadas en el procedimiento E/03659/2018, y en el que no figuran remisiones de archivos adjuntos de respuesta asociado. Por comparación, en el escrito que ahora presenta como alegaciones sí que figuran dichos anexos adjuntos, uno por cada documento anexado, lo que puede evidenciar que en su momento pudieron no ser anexadas las hojas de respuesta que manifiesta. Por ello, pide que se “retrotraigan las alegaciones al momento de la presentación de dichos escritos.”
  5. b)Manifiesta en un escrito que aporta, firmado el 16/08/2018 (respuesta requerimiento E/3659/2018) que existían dos clientes de CICAR con idéntico nombre y apellidos. Adjunta impresión de pantalla de su programa de gestión como documento uno. En el mismo figuran dos hojas en la aplicación “Clientes-código Consulta” con distintos números de cliente, DNI y resto de datos, coincidiendo en el nombre y apellidos, uno totalmente en minúsculas, otro en mayúsculas. Los datos de la reclamante constan de alta desde 15/11/2017, último contacto 17/05/2018, “contratos 14”, tipo de cliente “web”, número cliente acabado en 092. En la ficha de la otra cliente, código cliente acabado en 38 y en contratos figuran 68. Declara que “ello fue la causa de que el contrato de alquiler del vehículo se realizase a nombre de la reclamante.” Adjuntan en documento dos, copia del contrato de alquiler en el que constan los datos precumplimentados automáticamente, incluido DNI de la reclamante, domicilio, firma manuscrita, fecha entrega y recogida 4/04/2018, número cliente acabado en 92
  6. c)Aporta copia del contrato de alquiler del vehículo con el que se ocasiona la infracción de tráfico, figurando cumplimentado con los datos de la reclamante en letra de tipografía de ordenador, constando una firma que no se asemeja a la de la reclamante en el DNI de la reclamación copia aporta. También se refleja que el coche se entregó por un empleado de CICAR. En el ejemplar aportado no consta la fecha en que se firma el contrato En el reverso del contrato, se informa del tratamiento de los datos, sus fines y sede ante la que ejercitar sus derechos en inglés y en castellano. Manifiesta que la reclamante no se puso en contacto con ellos. Se ha de advertir, que si la reclamante no firmó dicho documento contractual que da lugar a que se den los datos a la DGT, sería imposible que conociera esos derechos.
  7. d)Fue la DGT la que se puso en contacto con ellos, aportando la queja de la reclamante y fue en ese momento cuando se apercibieron de la “duplicidad de los códigos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 clientes“. Adjuntan en documento cuatro, escrito de la DGT del que destaca: de 27/06/2018, solicita a la denunciada: “A la vista de la documentación remitida por ustedes el 12/06/2018 y a efecto de cumplir con lo establecido en la Ley de seguridad vial, solicitamos envíen firmado por ambas partes el contrato de arrendamiento del vehículo sancionado” añadiendo copia de la reclamación que la reclamante interpuso el 30/05/2018 ante la citada entidad
  8. e)Indica que se ha enviado una notificación a todas las oficinas para que al momento de realizar los contratos, además de la identificación con nombre y apellidos, se realice la verificación del DNI.
  9. f)Procedieron “a la liquidación de la multa directamente con la entidad bancaria” “haciéndonos cargo de dicha sanción”. Adjuntan copia del pago de la multa como documento cinco”, resguardo de ingreso de 50 euros con el indicativo del número de expediente efectuado el 12/07/2018. SEXTO: Con fecha 29/04/2019 se inicia el período de practica de pruebas, incorporando la procedente de la reclamación y sus documentos, así como de los obtenidos y aportados por la denunciada en la fase de alegaciones. Además se deciden practicar las siguientes: A la reclamada: 1) Aporte copia del protocolo que siguen los empleados para la contratación con clientespersonas físicas, de arrendamiento de vehículos en lo que se refiere a: -Documento solicitado a cliente la hora de contratar y firmar el contrato de alquiler (documento interno o protocolo establecido o cualquier documento que lo acredite y que se acredite que se entrega a los empleados o lo conocen). -Informe si al inicio del contrato de alquiler de vehículo, en la base de datos se consulta se solicita al cliente que exhiba el DNI o documento identificativo valido, o solo con la cita de apellidos nombre (Aporten el documento interno o protocolo establecido o cualquier documento que lo acredite y que se acredite que se entrega a los empleados o lo conocen). Responde que se usa el sistema de información OUTSET. Adjunta copia de documentos 2, 3 y 4. Para acceder se ha de identificar el empleado con usuario y contraseña. Los usuarios tienen en la aplicación la opción de ayuda, pudiendo acceder todo el personal. El documento 1 titulado “procedimiento de entrega de vehículos de rent a car”, es la versión feb 2010. En el mismo se indica el proceso para la entrega de vehículos a sus clientes distinguiendo si tienen reserva o no. Manifiesta el protocolo que en los clientes con reserva, “cuando el cliente visita la oficina para retirar el vehículo, el administrativo que lo atiende le solicita el permiso de conducir y el DNI si es un cliente extranjero, y el código de reserva que introduce en el programa OUTSET y automáticamente obtiene todos los datos de la reserva”- Se pide el permiso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 conducir porque “en caso de tenerlo retirado por la DGT, el empleado no procedería a hacerle el contrato.” “Si el cliente desconoce el código de reserva, el administrativo realiza una búsqueda en el OUTSET por DNI o por nombre de cliente”. “Si el cliente no se encuentra registrado, se introducen sus datos en el OUTSET a partir del permiso de conducir. Posteriormente se introduce en el contrato un teléfono de contacto, matrícula del vehículo asignado y al final imprime el contrato, que se repasa con el cliente y en caso de conformidad lo firma, entregando las llaves y una copia del contrato. En el interior del sobre de entrega en el que el administrativo registra la matrícula del vehículo se anota la matrícula del vehículo, el modelo, color kilómetros, donde se encuentra aparcado, nivel de combustible y si el vehículo se entrega con algún daño”, por último le recuerda que “la entrega de llaves la debe hacer haciendo uso de dicho sobre, cumplimentando la portada de este”. Si el cliente no tiene reserva, prepara el contrato y actúa tal y como se ha señalado. Se indica que la matrícula de los vehículos está en el programa informático, contando con su histórico de alquiler. Cada contrato se identifica con una numeración única y se registra en el citado programa informático. En documento dos se aporta impresión de pantalla de autenticación para acceder al sistema OUTSET 2. Prueba de acceso en los sistemas de información o base de datos utilizado para el alquiler de vehículos. Imprimir y aportar las pantallas resultantes de estas operaciones: - consulta al sistema de información que se usa para hacer un contrato de alquiler de vehículo, por los términos: A.A.A., resultados que se dan, se deberá ver paso a paso o introducido y lo resultante). Manifiesta que en documento 4 se refleja el resultado de la consulta con los datos de apellido y nombre de la reclamante, puntualizando que el programa solo permite buscar por nombre o apellidos, además de por DNI, teléfono, dirección, pero no por nombre y apellidos, ni por número de cliente, por “no ser necesario para la operativa”. En la impresión de pantalla que acompaña en la búsqueda por apellidos se arroja como resultados 19 clientes con los mismos apellidos, entre ellos uno con su mismo nombre y apellidos, distinto DNI, móvil y número de cliente acabado en 38. Las letras con las que aparece están en mayúsculas , las de la reclamante en minúsculas. Cada cliente tiene un código figurando el número de permiso de conducir, que coincide con el DNI, constando tipo: WEB o DIR, fecha nacimiento, y teléfono. Los datos de la reclamante figuran con su NIF, código acabado en 92, fecha nacimiento, línea móvil y “empresa Ganadería R.R.R. SL”. 2. Consulta al sistema de información que se usa para hacer un contrato de alquiler de vehículo por los términos: número de cliente ***NUMERO.1. Adjuntan documento cinco resultante de la consulta con dicho número de cliente, figurando A.A.A. con tres contratos con números distintos, de 10 y 29/04/2019 y 3/05/2019. Este número de cliente se corresponde con la persona cuyo nombre y apellido coinciden con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 los de la reclamante y que supuestamente sería la que contrató el vehículo que resultó sancionado. Coincide con los datos aportados en alegaciones al acuerdo en los que figuraban ambas clientes con mismos nombres y apellidos y números de clientes distintos. 3. Documentos que recaban en la primera ocasión que un cliente contrata el alquiler de un vehículo, y si se recaba en cada ocasión el mismo. (documento interno o protocolo establecido o cualquier documento que lo acredite y que se acredite que se entrega a los empleados o lo conocen). Manifiesta que ya se ha respondido en otro punto, en la primera ocasión que un cliente contrata es la misma documentación, permiso de conducir en vigor donde aparece el DNI (documento 1) 4. En este caso concreto, el alta de la reclamante es de 2017, se les solicita copia del contrato que firmara en aquella ocasión. Adjunta en documento 7 copia del contrato con los datos impresos en el documento, NIF, fecha de nacimiento, código cliente acabado en 092, fecha entrega vehículo 4/12/217 a 5/12/2017, y una firma manuscrita que es disimilar a la del contrato que da lugar a la multa. En el ejemplara aportado no consta la fecha en que se firma el contrato 5. Explicación del motivo por el que a la reclamante en su ficha de cliente, le figura fecha último contacto 17/05/2018, y que quiere decir “contratos 14”, o si no figura ninguna cantidad en dicho apartado, acreditándolo. Manifiesta que 14 son el número de contratos que constan en su ficha cliente como realizados a su nombre, y la fecha del último contrato, 17/05/2018 se refiere al contrato objeto del presente procedimiento. Considera que dado el volumen de clientes que manejan y que no han tenido nunca un supuesto como el analizado, debería tratarse como un error excepcional que va a ser tenido en cuenta para la adopción de medidas A la reclamante: i. Se le informa que la denunciada dispone de sus datos con ocasión de haber solicitado sus servicios, fecha alta, 15/11/2017 si bien en “su denuncia indica que no ha alquilado nunca un vehículo de CICAR ni en Gran canaria”. Al respecto manifieste si ratifica dichas circunstancias. La reclamante responde el 23/05/2019 que lo que ella indicó en su reclamación es que que “nunca he alquilado ningún vehículo a CICAR (ni a ninguna otra empresa de alquiler de vehículos) en Gran Canaria.”, pero indica que: “Es obvio que para cometer el ilícito que he denunciado, mis datos tenían que obrar en su base de datos”, “efectivamente yo alquilé en una ocasión un vehículo de la demandada” “sin recordar exactamente la fecha, bien pudo ser el 15/11/2017 en Santa Cruz de Tenerife”. “Pero esta circunstancia que no he negado no guarda relación con la denuncia presentada” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 La reclamante solicita que “desconociendo los escritos presentados por CICAR” “el traslado de todos los escritos presentados por la parte denunciada en el expediente” Se responde a la reclamante en escrito de 30/05/2019: En relación con la reciente respuesta proporcionada por usted en el periodo de pruebas, en la que se le preguntaba: “Se le informa que la denunciada dispone de sus datos con ocasión de haber solicitado sus servicios, fecha alta, 15/11/2017 si bien en su denuncia indica que no ha alquilado nunca un vehículo de CICAR ni en Gran canaria. Al respecto manifieste si ratifica dichas circunstancias.” Al no estar bien explicada la pregunta, se le aclara que usted en su denuncia indicaba que “nunca he alquilado ningún vehículo a CICAR (ni a ninguna otra empresa de alquiler de vehículos) en Gran Canaria.” Al conocer por las alegaciones de la reclamada, que posee sus datos por un contrato efectuado en Santa Cruz de Tenerife, y que dio sus datos erróneamente, extrañando al Instructor que no indicara usted en su denuncia si había alquilado en alguna ocasión a dicha empresa antes un vehículo, fue por lo que se le solicitó lo pedido en pruebas de una forma no claramente expresada. La petición va encaminada a distinguir si en modo alguno tenía relación previa como usuaria con usted o si efectivamente como usted manifiesta ha sido usuaria de dicho servicio con anterioridad a los hechos. En cuanto a su solicitud de copia completa de las actuaciones, la presentación de la denuncia impulsa el procedimiento, que se inicia de oficio por acuerdo de la directora de la AEPD (artículo 58 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), indicado su artículo 62:” Se entiende por denuncia, el acto por el que cualquier persona, en cumplimiento o no de una obligación legal, pone en conocimiento de un órgano administrativo la existencia de un determinado hecho que pudiera justificar la iniciación de oficio de un procedimiento administrativo.” El apartado 5 del mismo artículo indica “La presentación de una denuncia no confiere, por sí sola, la condición de interesado en el procedimiento.” La cuestión ha de ser examinada atendiendo a los límites que presenta la intervención de denunciantes en los procedimientos sancionadores. En primer lugar, residiendo el ius puniendi en el Estado, no se considera interés legítimo que la imposición de la sanción constituya por sí misma la satisfacción de un interés, ni se ventila una posición de ventaja o de utilidad jurídica por parte del denunciante o la averiguación inmediata de los hechos, que por otro lado figuraran en la resolución, que esta AEPD publica en su web. El denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado, o sobre la cuantía de la sanción. Dado que el poder punitivo pertenece únicamente a la Administración -en este caso, la Agencia Española de Protección de DatosC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado. Por tanto, debería si lo estima conveniente acreditar algún genuino interés digno de tutela que permita considerar su situación como interesada. Con fecha 27/06/2019 vuelve a presentar escrito la reclamante en el que ratifica los términos de su denuncia y que la pregunta formulada en pruebas es una manipulación, una estafa procesal por parte de CICAR, y afirma “Sobre el error de CICAR-del que me informa en su última comunicación-le indico que tampoco es cierta esa afirmación. Al recibir la propuesta de sanción de tráfico, me puse en contacto telefónico con la denunciada, demandado infructuosamente explicaciones y la rectificación del error ante la DGT. Hasta hoy”. En tal sentido, el error terminológico, lo fue del propio instructor que es el que motu propio configuró y preparó lo que se solicitó en pruebas, que no le fueron requeridas por la reclamada. Por otro lado, no guarda relación el error con el hecho de que no se le hayan dado explicaciones sobre la subsanación de la sanción. A la DGT: 1. Sobre el número de expediente de la sanción, de 4/04/2018, número ***NUMERO.2, DNI ***NIF.1, A.A.A., si les figura estimada la reclamación que interpuso contra la comisión de dicha multa, que fue abonada por la empresa de alquiler CICAR el 12/07/2018. No se recibió respuesta alguna. SÉPTIMO: Con fecha 8/07/2019 se emite propuesta de resolución, con el literal: ”Que por la directora de la Agencia Española de Protección de Datos se sancione a CANARY ISLANDS CAR S.L., con NIF B35051820, por una infracción del Artículo 5.1.
  10. d)del RGPD, de acuerdo con el artículo 83.5 del RGPD, con una multa de 45.000,00 € (CUARENTA Y CINCO MIL euros). “ Se tuvo en cuenta para valorar la cuantía: “En cuanto a la duración de la infracción se comete desde que se informan los datos, materializándose en el momento en que la reclamada recibe el boletín de denuncia de 7/05/2018, quedando la multa de tráfico en gestión a la espera de aclarar el conductor cuando la denunciada presenta su reclamación, el 30/05/2018, procediéndose desde entonces por parte de la reclamada a colaborar con las autoridades de tráfico hasta el abono de la sanción.(83.2.a del RGPD). Si bien existe obligación de ceder los datos identificativos de los conductores de vehículos que han cometido infracción de tráfico para el cumplimiento de la obligación legal establecida, también y por ello, se han de extremar el cuidado cuando se tratan datos, concurriendo una falta de diligencia a través de un empleado en cuanto a la realización del contrato (artículo 83.2.b del RGPD). La mera coincidencia de nombre y apellidos no justifica la realización del contrato de alquiler de vehículo con los datos de otra persona, de la reclamante, sobre todo cuando se tiene a la persona delante, a la que se entrega el vehículo e intervienen varias personas o fases: preparación del contrato, toma de datos y entregaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 verificación del vehículo, entrega de copia del contrato, pago, tramites en todos los cuales se debe verificar la identidad de la parte contratante y en este caso no se acredita diligencia alguna, a pesar de existir un procedimiento. La reclamada no explica bien lo que pudo acontecer a pesar de la coincidencia de nombre y apellidos, que no puede servir por sí solo, para entender por qué suceden los hechos. La infracción deviene no por la carencia de protocolo para el tratamiento de los datos, si bien deben reforzarse las mismas, y hacer saber a los empleados que pueden dar lugar a la comisión de una infracción si en su modo de actuar no realizan las verificaciones señaladas (83.2.d). Sobre la identificación de la persona autora de la falta de atención a los datos en el contrato, la reclamada no indica que medidas se han adoptado. Se valora positivamente el refuerzo que la reclamada va a recordar en las medidas de contratación (83.2.
  11. f)como modalidad para que infracciones como la analizada no se reitere, pero también se aprecia que la misma ya estaba implementada. Los datos afectados son de carácter básico, identificando plenamente a la afectada, en correspondencia con los que usualmente figuran en contratos de arrendamiento de vehículos (83.2.
  12. g)datos que por otro lado se y darse a conocer a un organismo competente que dispone además, de un registro de conductores. Se debe subrayar que en la base de datos de gestión de la Subdirección General de Inspección no figuran infracciones previas por parte de la reclamada. No se puede considerar como se señalaba en el acuerdo de inicio que concurra falta de colaboración con la autoridad de control pues se acredita que remitió escritos de respuesta sin los archivos adjuntos, y en alegaciones al acuerdo se vio que el escrito llevaba fecha de 16/08/2018.” OCTAVO: Con fecha 19/07/2019, la reclamada presenta alegaciones indicando: 1) El procedimiento de identificación establecido no se siguió, creyendo que era un nombre y apellidos poco común, por un exceso de confianza, considerando innecesario solicitar además el DNI. Se trata de un error y no concurre intencionalidad o dolo, concurriendo un error psicológico en la apreciación de la acción, un “insalvable error humano”. 2) No está conforme con la tipificación, debiendo corresponder la de artículo 25, sancionable según el 83.4 del RGPD. 3) Concurre para reducir la cuantía, la falta de intencionalidad o negligencia. La negligencia debe ser dolosa según el artículo 28.1 de la Ley 40/2015. 4) No se ha apreciado la “atenuante” de cooperación con la autoridad de control. El importe de la sanción no ha variado respecto del que inicialmente consideró erróneamente y así se indicaba en el acuerdo de inicio, “por el mal funcionamiento de la sede electrónica”, como quedó acreditado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 HECHOS PROBADOS
  13. a)Los datos de la reclamante fueron cedidos a la DGT por la reclamada, empresa de alquiler de vehículos, por figurar en sus sistemas de información como conductora del vehículo en el momento de una infracción de trafico el 4/04/2018, a las 13:47. Aporta la reclamante certificado de su empresa en el que ese día, entre 8 y 15 horas se hallaba trabajando, prestando su jornada ordinaria de 8 a 15 h.
  14. b)La reclamante manifiesta que recibió la denuncia de la DGT, aportando el boletín que lleva fecha de 7/05/2018 constando sus datos. La reclamante presentó un escrito recurriendo a la DGT la sanción el 30/05/2018.
  15. c)Los datos de la reclamante se entregaron por la reclamada a las autoridades de tráfico el 3/05/2018 como conductora del vehículo en el momento en que se produjo la infracción, constando el NIF acabado 162 H, nombre y apellidos, dirección.
  16. d)La reclamada aporta copia de sus sistemas de información en los que figura otra cliente con el mismo nombre y apellidos que la reclamante, distintos: DNI, dirección y numero de cliente acabado en 38, el de la reclamante acaba en 92, fecha alta reclamante 15/11/2017, de la otra persona 1/03/2016.
  17. e)El contrato de alquiler del vehículo del día que se ocasiona la infracción de tráfico 4/04/2018, figura cumplimentado con los datos de la reclamante, su código cliente acabado en 92, en letra de tipografía de ordenador, figurando una firma que no se asemeja a la de la reclamante en el DNI cuya copia esta aportó en su reclamación. El coche se entregó por un empleado de CICAR. El contrato no lleva fecha. En el reverso del contrato, se informa del tratamiento de los datos, sus fines y sede ante la que ejercitar sus derechos en inglés y en castellano.
  18. f)La reclamada gestiona la entrega de los vehículos y la contratación con una aplicación informatica que, entre otros extremos, recoge datos del permiso de conducir y DNI (normalmente coincide de DNI y de permiso de conducir). El empleado ha de indicar para comenzar la tarea de la contratación y entrega de vehículo, su usuario y contraseña y recaba los datos si es la primera ocasión, imprime el contrato y verifica los mismos. La reclamada manifiesta que va a insistir en verificar además con el DNI, que coincide con el número del permiso de conducir.
  19. g)La reclamada aportó copia del contrato que por primera vez utilizó la reclamante. En el mismo figuran los mismos datos que el que motiva esta reclamación, datos impresos en el documento, NIF, fecha de nacimiento, código cliente acabado en 092, fecha entrega vehículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 4/12/217 a 5/12/2017, y una firma manuscrita que es disimilar a la del contrato que da lugar a la multa. En el ejemplar aportado no consta la fecha en que se firma el contrato
  20. h)La reclamada abonó la sanción impuesta a la reclamante el 12/07/2018. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Producido como queda acreditado un tratamiento de datos por parte de la reclamada al enviar unos datos no correctos para la identificación del conductor del vehículo el día de la infracción, se considera que el reclamado ha cometido una infracción del artículo 5.1
  21. d)del RGPD, establece: “Los datos personales serán:
  22. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); La obligación establecida impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables del tratamiento quien responde del cumplimiento de esta obligación. No solo es necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea exacta y esté puesta al día. El incumplimiento o vulneración del principio de exactitud puede tener importantes consecuencias para el afectado, como ocurre en el caso enjuiciado, en el que se ha incoado indebidamente a al reclamante un procedimiento sancionador por infracción de, acreditándose la deficiente tramitación del proceso de identificación del conductor por parte de la arrendadora del vehículo, la reclamada. El hecho imputado consiste en asociar un nombre y apellidos y los datos de dirección con un vehículo determinado, con el que se había cometido una infracción de tráfico, y tal asociación de datos de carácter personal era claramente inexacta como la propia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 denunciada reconoce, ya que la persona a la que corresponden el nombre y apellidos facilitados no era conductora de tal vehículo. La reclamada utilizó los datos de la reclamante para confeccionarle un contrato de alquiler de vehículo, y dio lugar a la identificación como conductor de un vehículo incurriendo en la infracción de falta de exactitud de datos en el tratamiento llevado a cabo, acreditándose que dichos datos no son ciertos cierto ni veraces. Completar el contrato lleva a identificar erróneamente a la causante de la infracción. Si el contrato se hubiera completado con rigor, no se habrían contemplado los datos de la reclamante sino de la persona real que aquel día utilizó el servicio. Respecto de la alegación de que se retrotraigan actuaciones, señalar que en cuanto a su manifestación de que los días 17 y 20/08/2018 envió la respuesta, se le indica que en los dos envíos no figura en el justificante documento anexo que se enviase con alguno de los dos envíos, motivo por el que no se recibió el anexo con su respuesta. También se significa que tanto existe infracción si estas se retrotraen como si no, indicando que la responsabilidad de no haber adjuntado los anexos con las respuestas es de la reclamada. El trámite del traslado de la reclamación se realiza en vistas a analizar la presunta infracción y a valorar si conviene o procede iniciar procedimiento. La reclamante sí que contaba con sus datos en los sistemas de la reclamada por un servicio previo, pero los informó inicialmente como conductora del vehículo que ocasionó la infracción. El tratamiento de los datos de la persona que ocasiona a infracción deriva de la relación contractual y si este no se configuró adecuadamente, lleva a la infracción que aquí se considera. Conociéndose que pueden existir nombre y apellidos distintos, la reclamada cuenta con elementos para discriminar por DNI, número que coincide con el del permiso de conducir, número de cliente o impresión de la copia del contrato, entre otros, si bien estas comprobaciones las realizan los empleados, cabe indicar que en este caso no se llevaron a efecto, si se hubiera verificado alguno de los tres elementos, se podría haber detectado el defecto en su origen. Es decir, hay que exigir el documento identificativo en el momento adecuado para dotar de eficacia a la medida. Además, cabe precisar que no es que los datos del denunciante fueran erróneos, sino que lo han sido en relación con su información a las autoridades de tráfico como arrendatario de un vehículo que causa una infracción de tráfico, cuando como se acredita, no se corresponden sus datos con dicho alquiler. Esa falta de veracidad es lo que se imputa en este procedimiento. Este asunto sí que está relacionado con la gestión, pero es un tratamiento cualificado de los datos de un cliente consistente en proporcionar unos datos personales, los del denunciante en un asunto en el que no tiene intervención alguna y se vulneran indirectamente sus derechos al resultar inculpado como responsable por las autoridades de tráfico en un expediente administrativo por dicha declaración de la denunciada. Cuando se manejan datos de carácter personal hay que ser cuidadoso y dar importancia a su manejo para que no se produzcan situaciones como la denunciada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 III El artículo 58. 2.i y 2.
  23. i)del RGPD indica: 2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: 1. imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; El artículo 83.5
  24. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. El considerando 150 del RGPD indica: “A fin de reforzar y armonizar las sanciones administrativas por infracción del presente Reglamento, cada autoridad de control debe estar facultada para imponer multas administrativas. El presente Reglamento debe indicar las infracciones así como el límite máximo y los criterios para fijar las correspondientes multas administrativas, que la autoridad de control competente debe determinar en cada caso individual teniendo en cuenta todas las circunstancias concurrentes en él, atendiendo en particular a la naturaleza, gravedad y duración de la infracción y sus consecuencias y a las medidas tomadas para garantizar el cumplimiento de las obligaciones impuestas por el presente Reglamento e impedir o mitigar las consecuencias de la infracción. La LOPGDD en su artículo 72.1.
  25. a)indica: “Infracciones consideradas muy graves “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: 4. El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  26. a)a
  27. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18
  28. a)A la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  29. b)la intencionalidad o negligencia en la infracción;
  30. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  31. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  32. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  33. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  34. g)las categorías de los datos de carácter personal afectados por la infracción;
  35. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  36. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  37. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  38. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  39. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  40. a)El carácter continuado de la infracción.
  41. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  42. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  43. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  44. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  45. f)La afectación a los derechos de los menores.
  46. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  47. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” En cuanto a la duración de la infracción se comete desde que se informan los datos, materializándose en el momento en que la reclamada recibe el boletín de denuncia de 7/05/2018, cuando la denunciada presenta su reclamación, el 30/05/2018, quedando la multa de tráfico en gestión a la espera de aclarar la identidad del conductor, procediéndose desde entonces por parte de la reclamada a colaborar con las autoridades de tráfico hasta el abono de la sanción (83.2.a del RGPD). Los datos afectados son de carácter básico, en correspondencia con los que usualmente figuran en contratos de arrendamiento de vehículos (83.2.
  48. g)datos que por otro lado se dan a conocer a un organismo competente. La multa fue abonada a la DGT por la reclamada el 12/07/2018. La reclamante no sufre perjuicio económico, ya que se comenzó el trámite con la reclamada para aclarar los hechos. Para el cumplimiento de la obligación legal establecida, también se han de extremar el cuidado cuando se tratan datos, concurriendo una falta de diligencia a través de un empleado en cuanto a la realización del contrato (artículo 83.2.b del RGPD). La mera coincidencia de nombre y apellidos no justifica la realización del contrato de alquiler de vehículo con los datos de otra persona, de la reclamante, sobre todo cuando se tiene a la persona delante, a la que se entrega el vehículo e intervienen varias personas o fases: preparación del contrato, toma de datos y entrega-verificación del vehículo, entrega de copia del contrato, pago, tramites en todos los cuales se debe verificar la identidad de la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 contratante y en este caso no se acredita diligencia alguna, a pesar de existir un procedimiento. La reclamada no explica bien lo que pudo acontecer a pesar de la coincidencia de nombre y apellidos, que no puede servir por sí solo, para entender por qué suceden los hechos. La infracción deviene no por la carencia de protocolo para el tratamiento de los datos, si bien deben reforzarse las mismas, y hacer saber a los empleados que pueden dar lugar a la comisión de una infracción si en su modo de actuar no realizan las verificaciones señaladas (83.2.d). Se valora positivamente el refuerzo que la reclamada va a recordar en las medidas de contratación (83.2.
  49. f)como modalidad para que infracciones como la analizada no se reitere, pero también se aprecia que la misma ya estaba implementada. No se puede considerar como se señalaba en el acuerdo de inicio que concurra falta de colaboración con la autoridad de control pues se acredita que remitió escritos de respuesta sin los archivos adjuntos, y en alegaciones al acuerdo se vio que el escrito llevaba fecha de 16/08/2018. Ello no supone sino una voluntad de dar respuesta a las explicaciones de la AEPD, reflejado en dicho escrito sin que tenga relación con “cooperación con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos”, pues ya se habían solventado y abonado la multa, incluso antes de recibir el traslado de la denuncia por parte de la AEPD (20/07/2018). Se debe subrayar que en la base de datos de gestión de la Subdirección General de Inspección no figuran infracciones previas por parte de la reclamada. Teniendo en cuenta dichas circunstancias, se impone una sanción de 25.000 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CANARY ISLANDS CAR S.L., con NIF B35051820, por una infracción del Artículo 5.1.
  50. d)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 25.000 euros, de conformidad con el 83.2 a),
  51. b)
  52. d)
  53. f)y g). SEGUNDO: NOTIFICAR la presente resolución a CANARY ISLANDS CAR S.L. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  54. b)de la ley 39/2015, de 1/10 del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  55. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1/10. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.