← España

PS-00417-2020

1/6  Procedimiento Nº: PS/00417/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0417/2020, ante la entidad, CERTIME, S.A. con CIF.: A48158422, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por Dª A.A.A., (en adelante, “la reclamante”), y teniendo como base los siguientes: ANTECEDENTES: PRIMERO: Con fecha 11/07/19, tiene entrada en esta Agencia, denuncia presentada por la reclamante, a través de la Agencia Vasca de Protección de Datos, en la que indicaba, entre otras, lo siguiente: “En el año 2009 renové el carnet de conducir mediante la empresa CERTIME. En el año 2018 cambié de domicilio y en el año 2019 me llega publicidad postal a mi nombre y a mi nueva dirección nueva de CERTIME. Hablo con ellos y me dicen que sacan las direcciones de sus bases de datos, pero al decirles que he cambiado de dirección me contestan que la actualizan con la DGT”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 29/08/19 y 09/09/19, se dirige sendos requerimientos informativos a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el requerimiento enviado a la entidad reclamada, el día 29/08/19, a través del servicio de notificaciones NOTIFIC@, fue rechazado en destino el día 09/09/19. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada, el día 09/09/19, a través del servicio de SICER, fue entrega-do en destino el 11/09/19. TERCERO: Con fecha 10/10/19, se recibe en esta Agencia escrito de contestación al requerimiento, en el cual se indica, entre otras, que: “1.- Los datos recabados en base a nuestra actividad son obtenidos por parte del interesado una vez se inicia con el mismo una relación contractual de prestación de servicios (adjunto ficha con fecha y firma de la misma). 2.- Los datos obtenidos por parte de CERTIME S.A. se obtienen con consentimiento de la misma y en base a la normativa legal de protección de datos vigente en aquel momento. 3.- Todos los datos obtenidos y modificados por parte de CERTIME S.A. son objeto de las BBDD de la DGT. Cualquier modificación se realiza con objeto mercantil de continuidad de prestación de servicios y actualización de fichas. 4.- No se ha ejercido en ningún momento sus derechos ARCO, y en concreto su derecho a la Portabilidad de datos o Cancelación de los mismos. Por tanto y en base a todo ello, adjunto documentación y ficha de la reclamante para la resolución de este asunto de la mejor forma posible.” CUARTO: Con fecha 10/10/19, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por la reclamante, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 les (LPDGDD), al considerar que la respuesta dada por la reclamada a esta Agencia en relación a los hechos reclamados no acredita su legitimación para el tratamiento de los datos de la reclamante con fines comerciales o publicitarios. QUINTO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD). Así, con fecha 22/06/20 y 17/07/20, y número de referencia E/08069/2020, se dirigió escrito de requerimiento de información a la entidad reclamada sobre: “los datos que obrasen en sus sistemas o ficheros relativos a la denunciante, actuales o anteriores; información en materia de protección de datos que facilitó a la reclamante en el momento de la recogida de datos y detalle cómo accede a la información de tráfico, a qué registro y con qué finalidad”. SEXTO: Con fecha 29/07/20, se recibe en esta Agencia escrito de contestación al requerimiento, en el cual se indica, entre otras, que: “1.- Que los datos que obran en los sistemas o ficheros de la empresa relativos a la denunciante son los que se indican en la ficha que se adjunta, siendo el único cambio el del número de portal, cambio facilitado por la base de datos de tráfico. 2.- Que en el momento de recabar los datos iniciales de la reclamante no existía un modelo de Protección de Datos como el actual, en el que hubiera que solicitar consentimientos en un formato parecido al actual, por lo que no se puede facilitar la información solicitada. Se adjunta a este escrito el modelo actual en materia de protección de datos que se facilita a los clientes. 3.- En relación con la forma de acceder a la información de tráfico, como todos los centros médicos que se dedican a la tramitación de certificados para la prórroga de los permisos de conducir, CERTIME, S.A. tiene acceso a la aplicación telemática de la Dirección General de Tráfico, a través de la cual se comprueba in situ con el cliente que viene a renovar su permiso que sus datos sean correctos, de forma que se puedan actualizar en caso contrario. Esta aplicación nos informa a cerca de la próxima caducidad de certificados de conducir, y nosotros enviamos comunicación a los clientes para informales sobre esa próxima caducidad, intentando evitarles los inconvenientes que derivan de circular con el permiso caducado”. SÉPTIMO: Con fecha 08/10/20, se dirige escrito de requerimiento informativo a la Dirección General de Tráfico, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del RGPD, en el que se solicita a dicho Organismo que informe sobre: “si los centros de reconocimiento de conductores (CRC) tienen acceso, a través de alguna aplicación telemática o web, a los datos de contacto de sus clientes que consten en los sistemas o bases de datos de la Dirección General de Tráfico y en su caso, acuerdo, normativa, o convenio que les habilite para ello” OCTAVO: Con fecha 16/11/20, se recibe en esta Agencia, escrito de la Dirección General de Tráfico, en contestación al requerimiento realizado, en el cual indica que: “Se informa que los centros de reconocimiento de conductores no pueden acceder al Registro de conductores ni al de informes médicos, por lo que desde este organismo no se les ceden datos personales. No obstante, cuando están realizando un informe médico a un cliente, tras introducir el DOI (documento oficial de identificación) del cliente y su fecha de nacimiento, pueden ver su domicilio para verificar si es correcto y, a petición del interesado, si renuevan el permiso de conducir, pueden modificarlo, para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 que el permiso llegue al domicilio actualizado del interesado. Esta actividad se realiza de acuerdo con el artículo 3.2 del Real Decreto 170/2010, de 19 de febrero, por el que se aprueba el Reglamento de centros de reconocimiento destinados a verificar las aptitudes psicofísicas de los conductores, que establece: Cuando así lo solicite el interesado, dichos centros podrán gestionar en su nombre ante la Jefatura Provincial de Tráfico, la prórroga de vigencia de los permisos o licencias de conducción, para lo que deberán aportar los documentos que a tales efectos se requieran por la normativa vigente”. NOVENO: Con fecha 27/11/20, la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en artículo 5.1.

  1. b)del RGPD, al tratar los datos personales de la reclamante con una finalidad diferente e incompatible con la finalidad inicial para la que fueron obtenidos. DÉCIMO: Tras la notificación de la incoación del expediente, no se ha recibido en esta Agencia, ningún escrito de alegaciones a dicha incoación, en el periodo concedido al efecto. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS 1º.- En el presente caso, la reclamante denuncia que, en el año 2009 renovó el carnet de conducir a través de la entidad CERTIME SA., proporcionándoles sus datos personales para ello. En el año 2018 cambió de domicilio y un tiempo después recibió, en su nuevo domicilio, una carta publicitaria de la entidad CERTIME SA., avisándola de la próxima caducidad de su permiso de conducir, sin haberles proporcionado su consentimiento para este hecho, ni haberles indicado los datos de su nuevo domicilio. 2º.- La entidad reclamada alega que el dato del nuevo domicilio lo había obtenido de la base de datos de la DGT, con la cual tiene un convenio firmado para ello y han enviado la comunicación a la reclamante, en base al interés legítimo contractual existente entre ellos. 3º.- Según afirma la DGT, conocer el nuevo domicilio de los interesados, solamente es posible cuando, en presencia del ellos, se está realizando el informe médico y tras introducir el DOI (documento oficial de identificación) se puede comprobar el nuevo domicilio, y poder verificar si es correcto o no y, tras el consentimiento del interesado, poder modificarlo, para que el permiso llegue al nuevo domicilio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II En el presente caso, la reclamante denuncia que, en el año 2009 renovó el carnet de conducir a través de la entidad CERTIME SA., proporcionándoles sus datos personales para ello. En el año 2018 cambió de domicilio y un tiempo después recibió, en su nuevo domicilio, una carta publicitaria de la entidad CERTIME SA., avisándola de la próxima caducidad de su permiso de conducir, sin haberles proporcionado su consentimiento para este hecho, ni haberles indicado los datos de su nuevo domicilio. La entidad reclamada alega que el dato del nuevo domicilio lo ha obtenido de la base de datos de la DGT, con la cual tiene un convenio firmado para ello y ha enviado la comunicación en base al interés legítimo contractual existente entre la reclamante y ellos. No obstante, la DGT informa a esta Agencia que, solamente en presencia del interesado y, “(…) cuando están realizando un informe médico a un cliente, tras introducir el DOI (documento oficial de identificación) del cliente y su fecha de nacimiento, pueden ver su domicilio para verificar si es correcto y, a petición del interesado, si renuevan el permiso de conducir, pueden modificarlo, para que el permiso llegue al domicilio actualizado del interesado (…)”. Por otra parte, no es válido, argumentar que, en el momento de recabar los datos iniciales de la reclamante, (en el año 2009) no existía “un modelo de protección de datos”, para recabar su consentimiento para utilizarlos con fines diferentes a los inicialmente previstos, pues la nueva normativa sobre protección de datos (RGPD), establece, en su artículo 99, que la entrada en vigor y aplicación del nuevo RGPD fue a partir del 25/05/18, quedando derogado la L.O. 15/1999, (LOPD). Por tanto, toda comunicación con los antiguos usuarios del centro, realizada con posterioridad dicha fecha, (25/05/18), que tuviera por objeto otra finalidad diferente a la inicialmente otorgada, como en presente caso, “avisar al interesado de la próxima caducidad de su permiso de conducir y ofrecerle de nuevo los servicios del centro para tramitar su renovación”, debería haberlo obtenido en su momento o en caso contrario, haber hecho las gestiones necesarias para obtenerlo posteriormente y así adaptarlo a la nueva normativa vigente. En este contexto, el artículo 5.1.
  2. b)del RGPD, establece que los datos personales serán: “recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; (…) (limitación de la finalidad)”. Por otra parte, El artículo 12 del RGPD, referido a la “transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”, en su apartado 1, establece que: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda la información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativas al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con una lenguaje claro y sencillo, (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 El artículo 14.2.
  3. f)del RGPD, determina que: “el responsable del tratamiento facilitará al interesado la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público”. De conformidad con las evidencias de las que se dispone, los hechos expuestos son constitutivos de una infracción del principio de limitación de la finalidad, para la que se recogen los datos personales de los usuarios, regulado en el RGPD (5.1.b.). Por su parte, el artículo 72.1.
  4. a)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del RGPD”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  5. b)del RGPD. De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD: la categoría de los datos de carácter personal afectados por la infracción, (apartado
  6. g)y la forma en que la autoridad de control tuvo conocimiento de la infracción, esto es, a través denuncia presentada por la reclamante, (apartado h). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 5.1.
  7. b)permite fijar una sanción de 5.000 euros, (cinco mil euros). A tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER a la entidad, la entidad CERTIME, S.A. con CIF.: A48158422, una sanción de 5.000 euros (cinco mil euros), por infracción del artículo 5.1.
  8. b)del RGPD, al tratar los datos personales de la reclamante con una finalidad diferente e incompatible con la finalidad inicial para la que fueron recogidos. SEGUNDO: NOTIFICAR la presente resolución a la entidad CERTIME, S.A. e INFORMAR a la reclamante el resultado de este procedimiento. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  9. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  10. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.