← España

PS-00488-2024

1/20  Expediente Nº: EXP202410280 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de junio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CUMACA MOTOR, S.L. (en adelante, CUMACA MOTOR). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 10 de febrero de 2026 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202410280 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 6 de julio de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a CUMACA MOTOR S.L. con NIF B92011006 (en adelante, CUMACA MOTOR, CUMACA o parte reclamada). Los hechos que se pusieron en conocimiento de esta autoridad eran: Quien reclama manifiesta que acudió a un concesionario de la marca ***EMPRESA.1 a reparar un vehículo asegurado con la entidad ***ASEGURADORA.1 y que, en dicho concesionario le solicitaron que aportara copia de su documento de identidad alegando que se trataba de una exigencia de la aseguradora. Señala que el Delegado de Protección de Datos de la aseguradora le comunicó que ellos no establecen dicha exigencia y que desde el taller ligado al concesionario le indicaron que era una exigencia ligada a la política interna de dicho establecimiento. Manifiesta que ha dirigido comunicación al Delegado de Protección de Datos de la marca del concesionario para poner de manifiesto la situación irregular y ha recibido respuesta en la que le instan a que se ponga en contacto con el concesionario donde C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/20 se produjeron los hechos, al desconocer la práctica que este lleva a cabo a dicho respecto. Junto al escrito, se aportó: - Copia de correo electrónico de fecha 31 de mayo de 2024, remitido por la entidad aseguradora ***ASEGURADORA.1 desde la dirección ***EMAIL.1, al reclamante, donde se señala lo siguiente: “Acusamos recibo a su correo electrónico de fecha de entrada en nuestras oficinas el 13/05/2024. En relación con lo expuesto por usted en su escrito, le informamos que no es requisito de ***ASEGURADORA.1 exigir al taller que solicite una fotocopia del DNI. Por ello, una vez recibida su petición, trasladamos la misma al departamento de Peritos de ***ASEGURADORA.1 para que iniciaran una investigación de los hechos expuestos por usted en su e-mail. En el día de hoy nos trasladan que se han puesto en contacto con el taller y que este les ha indicado que la solicitud de DNI obedece a una normativa interna del taller. Por lo anterior, dado que nosotros no somos responsables de esta acción, deberá dirigirse directamente al taller para solicitar la destrucción de las copias de su DNI” (sic). - Copia de correo electrónico de fecha 31 de mayo de 2024, remitido por el reclamante a ***EMPRESA.1, donde manifiesta lo siguiente: (…) “Recientemente he tenido un siniestro con un vehículo asegurado con ***ASEGURADORA.1, y lo llevé al concesionario Cumaca Motor de (…) para su reparación., Una vez reparado el vehículo, el asesor de servicio que me atendió me pidió una copia del DNI argumentando que la compañía de seguros así se lo exige, Basándome en esa información, hice una consulta al Área de Protección de Datos de ***ASEGURADORA.1. Su respuesta ha sido que ellos no solicitan copia del DNI, y que se trata de una normativa interna del taller. En mi opinión esta práctica va en contra del principio de minimización de datos contemplado en la legislación vigente. Por la presente les solicito que destruyan las copias de DNI entregadas a dicho efecto, así como que dejen de solicitarlas en ocasiones futuras.” (sic). - Copia de correo electrónico de fecha 7 de junio de 2024, remitido por ***EMPRESA.1 desde la dirección ***EMAIL.2 en contestación al correo anterior del reclamante, donde se señala lo siguiente: (…) “En relación a su reclamación, le confirmamos que trasladamos sus comentarios al Concesionario Oficial de Cumaca Motor con el fin de detectar puntos susceptibles de mejora y le confirmamos además que quedará constancia de lo expuesto a nuestro Centro de Atención al Cliente. No obstante, como desde el centro de Atención al Cliente desconocemos el proceso que lleva a cabo el Concesionario Oficial con las aseguradoras, le recomendamos que contacte con el Concesionario Oficial de Cumaca Motor para que pueda solicitarle información al respecto, así como indicarles que desea que destruyan la fotocopia de su DNI.” (sic). - Copia de correo electrónico de fecha 7 de junio de 2024, remitido por el reclamante a ***EMPRESA.1, donde se señala lo siguiente: (…) “La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/20 información de contacto para asuntos de protección de datos proporcionada en la web del concesionario (CUMACA MOTOR Calculadora de mantenimiento ***EMPRESA.1) es ***EMAIL.2, y ahí es a donde me he dirigido. No dispongo de ninguna otra información de contacto con el concesionario para tratar este tema, los otros datos de contacto son para asuntos de ventas o taller. Les agradecería que ustedes, como centro de atención al cliente, se ocupen de gestionar este asunto en mi nombre, o bien me proporcionen un contacto para protección de datos en el concesionario. No estoy dispuesto a que me vayan redirigiendo de un contacto a otro sin aportar soluciones” (…) (sic). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CUMACA MOTOR, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 17 de julio de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 08 de agosto de 2024 se recibió en esta Agencia escrito de respuesta indicando lo siguiente: "(...) • La decisión adoptada a propósito de esta reclamación. Se comunicará al cliente directamente sobre la destrucción de la copia de su DNI • Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. El cliente ha reclamado que no desea que conservemos la copia de su DNI • Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. Se les recordara a los clientes que tienen que autorizar que nos permitan hacer una copia de su DNI ya que nosotros no tenemos constancia del nombre del mutualista, el cual viene reflejado en los partes que da a ***ASEGURADORA.1 y debe de aceptar con su firma la reparación. Debe de tener siempre un CONFORME. Esta copia queda sellada con el sello de empresa para que no pueda tener un uso diferente al que se destina. • Cualquier otra que considere relevante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/20 Se comunicará directamente a este cliente que tras su petición procedemos a destruir la copia de su DNI. Nuestro e-mail para futuras notificaciones es ***EMAIL.3". CUMACA MOTOR aporta junto a su escrito de respuesta, la siguiente documentación: - “Descripción general de medidas organizativas y técnicas de seguridad” elaborado por ***EMPRESA.2. - Registro de Actividades de Tratamiento donde se indica la siguiente dirección de correo electrónico del responsable del tratamiento de los datos: ***EMAIL.3. TERCERO: Con fecha 6 de octubre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 3 de junio de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1

  1. c)del RGPD, tipificada en el artículo 83.5
  2. a)del RGPD, así como la adopción de medidas correctivas. QUINTO: Notificado el citado acuerdo de inicio el 24 de julio de 2025 conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), el 31 de julio de 2025 la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1. Inexistencia de vulneración del artículo 5.1
  3. c)del RGPD: En primer lugar, CUMACA aclara que se trata de un taller de reparación de vehículos que gestiona reparaciones cubiertas por pólizas de seguros de diversas compañías. La relación jurídica involucra, por tanto, a tres partes: asegurado, aseguradora y el taller en tanto que proveedor del servicio. Asegura que la solicitud de la copia del DNI de la parte reclamante no “respondió a una política interna de recogida de datos innecesaria o desproporcionada, sino a un requisito expreso y fehaciente impuesto por las propias compañías aseguradas como condición indispensable para la tramitación y abono de la factura correspondiente a la reparación”. A tales efectos, presenta diferente documentación, no relativa a la parte reclamante ni a su compañía aseguradora, en la que se observa que algunas aseguradoras exigen “fotocopia del DNI” del propietario del vehículo o del cliente para que el taller pueda cobrar directamente la reparación. Considera, por tanto, que esa documentación demostraría que la recogida de una copia completa del DNI era adecuada, pertinente y limitada a lo necesario para asegurar la correcta gestión del siniestro y el cobro de la reparación conforme a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/20 exigencias de las aseguradoras. Indica que la base de legitimación sería el artículo 6.1
  4. b)del RGPD al resultar necesario el tratamiento para la ejecución de un contrato en el que el interesado es parte. 2. Actuación diligente y adopción de medidas: Manifiesta la parte reclamada que el 17 de julio de 2024, con carácter previo al inicio del procedimiento sancionador, la dirección de la empresa emitió una comunicación interna, de la que adjunta copia, por la que se modificó el protocolo de identificación de clientes. Por la misma, se cesa con efecto inmediato la solicitud de copias de documentos de identidad y se procede a la mera exhibición de estos y anotación de los datos estrictamente necesarios. Asimismo, se señala que se ha iniciado un plan para la destrucción segura de todas las copias del DNI almacenadas que no sean imprescindibles por una obligación legal específica. La rapidez de la adopción de la medida, así como su fecha, justificaría, a su juicio, deben ser tenidos en cuenta a la hora de fijar la cuantía de la multa. 3. Desproporcionalidad de la multa: Manifiesta que la multa fijada inicialmente resulta desproporcionada y deben tenerse en cuenta los siguientes aspectos, además de las medidas adoptadas señaladas en el punto anterior: - Ausencia de intencionalidad o negligencia graves. Inexistencia de daños y perjuicios a los interesados. Cooperación plena con la autoridad de control. Inexistencia de sanciones previas. Por todo ello, solicita o bien el archivo del procedimiento sancionador o, en su defecto, la reducción de la multa fijada inicialmente o la imposición de un apercibimiento. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad CUMACA MOTOR es una empresa constituida en el año 1998, y con un volumen de negocios de 83.612.335 euros en el año 2024. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante tuvo un siniestro con un vehículo asegurado con ***ASEGURADORA.1 y acudió a CUMACA MOTOR para su reparación. Tras la reparación del vehículo, CUMACA MOTOR realizó una copia completa de su DNI y le aseguró que se debía a exigencias de la aseguradora. SEGUNDO: El 13 de mayo de 2024 la parte reclamante remitió un correo electrónico a su entidad aseguradora ***ASEGURADORA.1 para preguntar por este requisito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/20 TERCERO: El 31 de mayo de 2024 la parte reclamante recibió un correo electrónico remitido por la entidad aseguradora ***ASEGURADORA.1 desde la dirección ***EMAIL.1, con el siguiente contenido: “Acusamos recibo a su correo electrónico de fecha de entrada en nuestras oficinas el 13/05/2024. En relación con lo expuesto por usted en su escrito, le informamos que no es requisito de ***ASEGURADORA.1 exigir al taller que solicite una fotocopia del DNI. Por ello, una vez recibida su petición, trasladamos la misma al departamento de Peritos de ***ASEGURADORA.1 para que iniciaran una investigación de los hechos expuestos por usted en su e-mail. En el día de hoy nos trasladan que se han puesto en contacto con el taller y que este les ha indicado que la solicitud de DNI obedece a una normativa interna del taller. Por lo anterior, dado que nosotros no somos responsables de esta acción, deberá dirigirse directamente al taller para solicitar la destrucción de las copias de su DNI” (sic). CUARTO: El 8 de agosto de 2024 CUMACA en escrito a esta Agencia confirmaba que había recabado copia del DNI de la parte reclamante y especificaba que el objetivo era acreditar su identidad en los siguientes términos: “(…) los clientes que tienen que autorizar que nos permitan hacer una copia de su DNI ya que nosotros no tenemos constancia del nombre del mutualista, el cual viene reflejado en los partes que da a ***ASEGURADORA.1”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. III Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/20 El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CUMACA MOTOR realiza, entre otros tratamientos, la recogida y conservación de datos personales de la parte reclamante como: nombre y apellidos, número de DNI, dirección y correo electrónico. CUMACA MOTOR realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Contestación a las alegaciones al acuerdo de inicio Procede, en primer término, contestar las alegaciones efectuadas por la parte reclamada en el mismo orden que fueron expuestas en los antecedentes de hecho. 1. Respecto a la inexistencia de una vulneración del artículo 5.1
  5. c)del RGPD: Señala CUMACA que la exigencia del DNI de la parte reclamante no “respondió a una política interna de recogida de datos innecesaria o desproporcionada, sino a un requisito expreso y fehaciente impuesto por las propias compañías aseguradas como condición indispensable para la tramitación y abono de la factura correspondiente a la reparación”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/20 La afirmación anterior resulta, en primer lugar, contradictoria con la manifestada a esta Agencia el 8 de agosto de 2024 en la que se señalaba que la solicitud se había realizado a efectos de acreditar la identidad de la parte reclamante puesto que no se tenía constancia de la misma. Además, sin perjuicio de que tales afirmaciones pudieran resultar ciertas y que, en algunos casos, CUMACA pudiera recabar copia completa del DNI a instancia de las aseguradoras y en nombre de estas, no puede obviarse que, en lo que respecta, al menos, al caso concreto de la parte reclamante, tal afirmación no resulta acreditada. Al contrario, no puede obviarse que: (
  6. i)la CUMACA no aporta documentación expresa relativa a la parte reclamante y su aseguradora (
  7. ii)tal y como se recoge en los antecedentes de hecho, en el caso concreto de la parte reclamante consta que su aseguradora no exigía tal requisito. Así, en el correo electrónico de 31 de mayo de 2024 remitido por la entidad aseguradora ***ASEGURADORA.1 desde la dirección ***EMAIL.1, al reclamante, se especifica que “no es requisito de ***ASEGURADORA.1 exigir al taller que solicite una fotocopia del DNI”. Además, añade que, a raíz del correo de la parte reclamante se preguntó por parte de la aseguradora a CUMACA el motivo por el que se solicitaba copia del DNI de su cliente y que este respondió: “la solicitud de DNI obedece a una normativa interna del taller”. Esta respuesta facilitada a la aseguradora coincide, por otra parte, con la respuesta inicial facilitada a esta Agencia en agosto de 2024. A la vista de lo anterior, no cabe afirmar que no existiera infracción al menos en lo que se refiere a la parte reclamante. Por último, en relación con las afirmaciones relativas a la existencia de una base de legitimación, se recuerda que el presente procedimiento sancionador tiene por objeto una infracción del artículo 5.1
  8. c)del RGPD y no versa, por tanto, sobre la licitud del tratamiento prevista por el artículo 6 de la misma norma. En este sentido, es preciso distinguir entre la base de legitimación que habilita un tratamiento de datos personales, y los principios que rigen dicho tratamiento. El tratamiento de los datos personales de los interesados, con independencia de la base de legitimación con la que cuente el responsable del tratamiento en virtud del artículo 6 del RGPD (ya sea el consentimiento, el cumplimiento de una obligación legal o la ejecución de un contrato, entre otros), debe estar sujeto al cumplimiento de los principios del artículo 5 RGPD. En concreto, el principio de minimización de datos exige que los datos personales tratados sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, lo que no ha quedado debidamente acreditado en el presente supuesto. 2. En relación con la actuación diligente y adopción de medidas. La parte reclamada acredita la emisión de un comunicado el 17 de julio de 2024 por el que la dirección de la empresa informaba del cese inmediato de la solicitud de copias de documentos identidad, bastando la mera exhibición y apunte de los datos estrictamente necesarios, así como el inicio de un plan de destrucción de copias de DNI almacenadas. Se estima la alegación efectuada relativa a que la rapidez de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/20 actuación en la adaptación a la normativa en materia de protección de datos ha de tenerse en cuenta a efectos de determinar la cuantía de la sanción impuesta. Por último, se subraya que, en la medida en que la parte reclamada ha acreditado la adopción de medidas referentes a la modificación de su protocolo, así como relativas a la supresión de las copias de los DNI que tenía almacenados, no procede la inclusión de medidas correctivas como se preveía en el acuerdo de inicio. 3. Respecto a la desproporcionalidad de la multa. Tal y como señalan las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, existen tres elementos como punto de partida para la imposición de una multa: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la infracción en cada caso concreto. Este nivel de gravedad no debe confundirse con el término “gravedad” utilizado tradicionalmente en la jurisprudencia española a efectos de calificación de una infracción entre muy grave, grave y leve. El nivel de gravedad al que se refiere el RGPD debe determinarse atendiendo a las circunstancias del artículo 83.2
  9. a)naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, el alcance o propósito de la operación de tratamiento, el número de afectados y el nivel de daños y perjuicios que hayan producido; del artículo 83.2
  10. b)intencionalidad o negligencia de la infracción (que no debe confundirse con el requisito de culpabilidad objetiva y subjetiva propia del derecho español) y del artículo 83.2
  11. g)las categorías de los datos de carácter personal afectados. Sobre ese punto de partida determinado por esos tres elementos, se podrán aplicar circunstancias agravantes o atenuantes (el resto de los elementos del artículo 83.2 del RGPD en relación con el artículo 76.2 de la LOPDGDD). Dicho lo anterior, se remarca que en el presente caso se incluían en el acuerdo de inicio como circunstancias para determinar el nivel de gravedad lo previsto en los artículos 83.2
  12. a)y 83.2
  13. g)del RGPD, sin aplicar circunstancias agravantes ni atenuantes. Así, en relación con las circunstancias que, de acuerdo con la parte reclamada, deberían apreciarse como atenuantes, además de la rapidez en la modificación de su protocolo, ha de precisarse lo siguiente: - - En relación con la ausencia de intencionalidad o negligencia graves: tal y como se ha explicado, la circunstancia del artículo 83.2
  14. b)del RGPD debe analizarse a los efectos de determinar el nivel de gravedad, por lo que no puede utilizarse como circunstancia atenuante. Además, no ha de confundirse con la “intencionalidad o negligencia” inherente al principio de culpabilidad. En este sentido, las Directrices 04/2022 señalan: “En el mejor de los casos, la negligencia podría considerarse neutral”. En consecuencia, en el presente caso, no se aprecia por esta instrucción, como ocurría ya en el acuerdo de inicio, una especial negligencia o intencionalidad que sea reseñable y que lleve a apreciar esta circunstancia de forma distinta a neutra. Inexistencia de daños y perjuicios a los interesados: conviene señalar que el derecho a la protección de datos personales es un derecho fundamental C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/20 - constitucionalmente reconocido en el artículo 18.4 de nuestra Carta Magna. Este derecho fundamental reconoce el derecho de los ciudadanos al control sobre sus datos, tengan estos datos o no dimensión constitucional. El tratamiento excesivo de datos innecesarios de la parte reclamante supone por sí misma una lesión a su derecho fundamental de protección de datos. En cuanto a la alegación relativa a que se deberían haber valorado como atenuantes las circunstancias de los artículos 83.2
  15. e)y
  16. f)del RGPD, se hace notar, que, tal y como señala la sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, no puede ser valorados como atenuantes, circunstancias que la norma prevé como agravantes. En concreto, señala: “considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
  17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. Lo mismo ocurre en relación con el artículo 83.2 f), sin olvidar, además, que la cooperación con la autoridad de control por parte del responsable es una obligación prevista por el RGPD. En este sentido, la misma sentencia señala: “respecto de la propugnada aplicación como atenuante de la circunstancia
  18. f)del artículo 83.2 del RGPD ' el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción’, basta remitirnos a lo expuesto en el Fundamento de Derecho para rechazar la aplicación de dicha atenuante”. Sin perjuicio de lo anterior, procede estimar parcialmente la alegación efectuada en lo que se refiere a la minoración de la cuantía de la multa, por los motivos siguientes: - En primer lugar, ha de circunscribirse el número de afectados por la infracción a la parte reclamante. Por otra parte, tal y como alega la parte reclamada, la rapidez con la procedió a la modificación de su protocolo de actuación para su adaptación a la normativa en materia de protección de datos. V Obligación incumplida. Minimización de datos La letra
  19. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  20. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" Las Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto, señalan lo siguiente sobre el principio de minimización: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/20 “73. Solo se tratarán datos personales que sean adecuados, pertinentes y limitados a lo que sea necesario para los fines previstos. En consecuencia, el responsable del tratamiento debe determinar previamente qué características y parámetros de los sistemas de tratamiento y sus funciones complementarias son admisibles. La minimización de los datos justifica y pone en práctica el principio de necesidad. En el tratamiento ulterior, el responsable del tratamiento debe considerar periódicamente si los datos personales tratados siguen siendo adecuados, pertinentes y necesarios, o si los datos se suprimirán o se anonimizarán. 74. En primer lugar, los responsables del tratamiento deben determinar si tienen siquiera necesidad de tratar datos personales para sus fines pertinentes. El responsable debe verificar si se pueden alcanzar los fines pertinentes tratando menos datos personales, o utilizando datos personales menos detallados o agregados, o sin tener que tratar datos personales en modo alguno. Dicha verificación debe tener lugar antes de cualquier tratamiento, pero también puede llevarse a cabo en cualquier momento durante el ciclo de tratamiento”. En el presente caso, CUMACA MOTOR exigió en mayo de 2024 al reclamante copia de su documento de identidad, tal y como confirma en su escrito de contestación al traslado de 8 de agosto de 2024 a esta Agencia que, efectivamente, se efectuó dicho requerimiento cuando señala que: “se comunicará directamente a este cliente que tras su petición procedemos a destruir la copia de su DNI”. CUMACA MOTOR señala en su escrito a esta Agencia de 8 de agosto de 2024 que esta solicitud obedece a una necesidad de acreditar la identidad del reclamante (“ya que nosotros no tenemos constancia del nombre del mutualista”). No obstante, la comprobación de la identidad del interesado no requiere necesariamente la recopilación de una copia completa de su DNI, ya que este contiene numerosos datos personales tales como el domicilio, los nombres de los progenitores, la ciudad de nacimiento, el código del equipo que imprimió el documento, así como la fecha de expedición y de caducidad, que pueden exceder de los estrictamente necesarios para verificar la identidad. Por tanto, los datos personales recabados para efectuar la mencionada comprobación, que supondría la finalidad del tratamiento, deben ser adecuados, pertinentes y limitados a la acreditación de su identidad, con el fin de evitar una recopilación excesiva de datos. Además, la mera comprobación de la identidad no exige conservar una copia completa del DNI ya que, para efectuar la mencionada comprobación de la identidad, que supondría la finalidad del tratamiento, existen mecanismos menos invasivos, como la simple exhibición del DNI, que permiten verificar la identidad de los interesados sin necesidad de conservar o tratar información adicional que no guarde relación con dicha finalidad del tratamiento. En este sentido, las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso en su apartado 76, indican que: “La información sobre el documento de identidad que no es necesaria para confirmar la identidad del interesado, como el acceso y el número de serie, la nacionalidad, el tamaño, el color de los ojos, la fotografía y la zona legible por máquina, en función de una evaluación caso por caso, puede ser redactada u ocultada por el interesado antes de presentarla al responsable del tratamiento, excepto cuando la legislación nacional exija una copia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/20 completa del documento de identidad sin redactar (véase el párrafo 78 infra). En general, la fecha de emisión o de caducidad, la autoridad expedidora y el nombre completo que coincida con la cuenta en línea son suficientes para que el responsable del tratamiento verifique la identidad, siempre que se garantice la autenticidad de la copia y la relación con el solicitante. Solo podrá exigirse información adicional, como la fecha de nacimiento del interesado, en caso de que persista el riesgo de identidad errónea, si el responsable del tratamiento es capaz de compararla con la información que ya procesa.” Asimismo, en el Informe 0048/2023 de la AEPD: “Uso de los datos y realización de copias del DNI”, se dispone que: “(…) la información del documento de identidad que no sea necesaria para confirmar la identidad del interesado, en el contexto concreto, tal y como por ejemplo, el número del documento, la fotografía, o los datos que se pueden leer por máquina, nos lleva a concluir que la solicitud del DNI con la toma de una copia del mismo sería, en principio, un tratamiento excesivo, y que no puede instaurarse por sistema, sino que habrá que analizar, caso por caso, multitud de aspectos, que van desde la base jurídica que legitima dicho tratamiento, sobre todo si está previsto en la ley, hasta el riesgo de dicho tratamiento teniendo presente el principio de minimización y la proporcionalidad de dicha medida, ya que como nos recuerda el Considerando 39 del RGPD: Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. (...). Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” Siendo así, la exigencia de una copia del documento de identidad al reclamante a efectos de acreditar su identidad con toda la información contenida en el mismo supone un tratamiento excesivo de los datos personales, contrario al principio de “minimización de datos” (art. 5.1.
  21. c)RGPD), siendo suficiente con su mera exhibición y comprobación de los datos indicados. En su escrito de 31 de julio de 2025, de alegaciones al acuerdo de inicio, CUMACA señala que la recogida de una copia completa del DNI de la parte reclamante se debía no “a un requisito expreso y fehaciente impuesto por las propias compañías aseguradas como condición indispensable para la tramitación y abono de la factura correspondiente a la reparación”. A este respecto, aporta diversa documentación de distintas aseguradoras en las que se exigiría la remisión por parte de CUMACA de una copia del DNI del cliente. No obstante, ninguna de estas coincide con ***ASEGURADORA.1, aseguradora de la parte reclamante, mientras que sí consta en el expediente copia de un correo electrónico de 31 de mayo de 2024 remitido por ***ASEGURADORA.1 a la parte reclamante en la que se indica expresamente que ***ASEGURADORA.1 no exige la recogida de una copia completa del DNI de sus clientes por parte del taller en los siguientes términos: “le informamos que no es requisito de ***ASEGURADORA.1 exigir al taller que solicite una fotocopia del DNI. Por ello, una vez recibida su petición, trasladamos la misma al departamento de Peritos de ***ASEGURADORA.1 para que iniciaran una investigación de los hechos expuestos por usted en su e-mail. En el día de hoy nos trasladan que se han puesto en contacto con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/20 taller y que este les ha indicado que la solicitud de DNI obedece a una normativa interna del taller”. En consecuencia, no ha quedado acreditado que los datos recabados por CUMACA fueran necesarios en relación con la finalidad pretendida. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de propuesta de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a CUMACA MOTOR, por vulneración del artículo 5.1
  22. c)del RGPD transcrito anteriormente. VI Tipificación de la infracción del artículo 5.1.
  23. c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  24. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)". Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  25. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VII Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/20 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  26. a)a
  27. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  28. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  29. b)la intencionalidad o negligencia en la infracción;
  30. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  31. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  32. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  33. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  34. g)las categorías de los datos de carácter personal afectados por la infracción;
  35. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  36. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  37. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  38. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  39. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  40. a)El carácter continuado de la infracción.
  41. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  42. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  43. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/20
  44. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  45. f)La afectación a los derechos de los menores.
  46. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  47. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
  48. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de CUMACA MOTOR de 83.612.335 euros en el año 2024. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de CUMACA MOTOR es de 3.344.493,4 euros. Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones habrá de estar forzosamente entre los 0 y los 20.000.000 de euros. Asimismo, en relación con el nivel de gravedad en los términos del RGPD, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): En relación con la naturaleza a la infracción, los hechos anteriormente expuestos suponen una vulneración del artículo 5.1
  49. c)del RGPD, que constituye uno de los principios fundamentales aplicables a los responsables del tratamiento. Este principio debe ser seguido por parte de los responsables cualquiera que sea el tratamiento y los riesgos para los interesados. La exigencia de una copia completa del DNI de la parte reclamante por parte de CUMACA supone el tratamiento de un elevado número de datos innecesarios para la finalidad prevista como: nombres de los padres, lugar de nacimiento, código de verificación, equipo encargado de la expedición, entre otros. Por otra parte, en relación el número de afectados, la infracción se circunscribe a un único afectado, la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/20 - La intencionalidad o negligencia en la infracción (artículo 83.2
  50. b)del RGPD): No se aprecia una especial negligencia o intencionalidad que sea reseñable y que lleve a apreciar esta circunstancia de forma distinta a la neutra conforme a lo señalado en las Directrices 04/2022. - Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD: El identificador numérico del DNI junto con el carácter de verificación correspondiente al número de identificación fiscal identifica a una persona física de modo indubitado. Esta cualidad lo convierte en un dato particularmente sensible pues, en la medida en que su tratamiento no vaya acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con total facilidad, o, con otras palabras, puede provocar un fraude de identidad, con los riesgos que ello comporta para la privacidad, el honor y el patrimonio del suplantado. En este sentido, las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso en su apartado 74, indican que: "Cabe destacar que la utilización de una copia de un documento de identidad como parte del proceso de autenticación crea un riesgo para la seguridad de los datos personales y puede dar lugar a un tratamiento no autorizado o ilícito y, como tal, debe considerarse inapropiado, a menos que sea necesario, adecuado y conforme a la legislación nacional." Por otra parte, se aprecian en calidad de atenuantes las siguientes circunstancias: Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción” (artículo 83.2.
  51. k)del RGPD: La valoración del comportamiento de la parte reclamada, en este caso, exige considerar la rapidez con la que procedió a la adaptación de su protocolo de actuación, el 17 de julio de 2024, antes del inicio del presente procedimiento sancionador, de manera que únicamente se requerirá la exhibición del DNI, así como la anotación de los datos que sean estrictamente necesarios para el cumplimiento de la finalidad correspondiente, así como la supresión de las copias de los DNIs almacenadas. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1
  52. c)del RGPD, permite fijar una sanción de multa administrativa de 7.500 euros. PROPUESTA DE RESOLUCIÓN Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a CUMACA MOTOR S.L. con NIF B92011006, por una infracción del artículo 5.1
  53. c)del RGPD, tipificada en el artículo 83.5
  54. a)del RGPD, con una multa de 7.500 € (SIETE MIL QUINIENTOS EUROS). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/20 reducción, la sanción quedaría establecida en 6.000 (SEIS MIL EUROS) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a esta reducción, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-250625 A.A.A. INSPECTOR/INSTRUCTOR ANEXO Índice del expediente EXP202410280 06/07/2024 Reclamación de B.B.B. 17/07/2024 Traslado reclamación a CUMACA MOTOR S.L. 08/08/2024 Respuesta solicitud de información de CUMACA MOTOR, S.L. 06/10/2024 Escrito a B.B.B. 05/12/2024 AXESOR CUMACAMOTORSL 05/12/2024 24/07/2025 Acuerdo de inicio a CUMACA MOTOR, S.L. 24/07/2025 Escrito a B.B.B. 31/07/2025 Alegaciones de CUMACA MOTOR, S.L. 04/02/2026 INFORME_MERCANTIL_CUMACA_MOTOR_SL_20260204 >> SEGUNDO: En fecha 21 de febrero de 2026, CUMACA MOTOR ha procedido al pago de la sanción en la cuantía de 6.000,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/20 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/20 De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 6.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, CUMACA MOTOR, en fecha 21 de febrero de 2026, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 7.500,00 euros. Tras haber procedido CUMACA MOTOR, S.L. al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 6.000,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202410280, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a CUMACA MOTOR, S.L. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/20 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  55. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
  56. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 968-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.