← España

PS-00540-2025

1/29  Expediente N.º: EXP202410832 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES Contenido ANTECEDENTES..........................................................................................................1 PRIMERO: Reclamaciones recibidas en relación con una brecha de datos personales en FLEXICAR:.........................................................................................2 SEGUNDO: Admisión a trámite de las reclamaciones presentadas:..........................3 TERCERO: Actuaciones previas de investigación:.....................................................4 CUARTO: Acuerdo de inicio:......................................................................................6 QUINTO: FLEXICAR no ha formulado alegaciones al acuerdo de inicio:...................6 SEXTO: Volumen de negocios de FLEXICAR............................................................7 HECHOS PROBADOS..................................................................................................7 PRIMERO:.................................................................................................................7 SEGUNDO:................................................................................................................ 8 TERCERO:............................................................................................................... 11 CUARTO:.................................................................................................................11 QUINTO:.................................................................................................................. 12 SEXTO:.................................................................................................................... 13 SÉPTIMO:................................................................................................................ 14 OCTAVO:.................................................................................................................. 14 NOVENO:................................................................................................................. 14 DÉCIMO:.................................................................................................................. 15 UNDÉCIMO:............................................................................................................. 15 DECIMOSEGUNDO:................................................................................................15 DECIMOTERCERO:................................................................................................16 FUNDAMENTOS DE DERECHO.................................................................................16 I Competencia.......................................................................................................... 16 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/29 II Cuestiones previas................................................................................................16 III Obligación incumplida. Integridad y confidencialidad...........................................17 IV Tipificación de la infracción del artículo 5.1.

  1. f)del RGPD y calificación a efectos de prescripción.............................................................................................................. 18 V Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado....................................................................19 VI Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción.............................................................................................................. 23 VII Obligación incumplida. Seguridad del tratamiento..............................................24 VIII Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción.............................................................................................................. 26 IX Sanción................................................................................................................ 26 Infracción del artículo 5.1
  2. f)del RGPD:.................................................................28 Infracción del artículo 13 del RGPD:.....................................................................30 Infracción del artículo 32 del RGPD:.....................................................................31 X Medidas correctivas..............................................................................................32 PRIMERO: Reclamaciones recibidas en relación con una brecha de datos personales en FLEXICAR: Con fechas 4 de junio y 3 de julio de 2024 se interpusieron tres reclamaciones ante la Agencia Española de Protección de Datos por una posible infracción imputable a FLEXICAR INTERNACIONAL, S.L. con NIF B09758327 (en adelante, FLEXICAR). Los hechos que se pone en conocimiento de esta autoridad en dichas reclamaciones son los siguientes: Las partes reclamantes manifiestan haber recibido, a fecha 04/06/2024, una notificación de la entidad FLEXICAR en la que se les informa de que "algunos datos personales de usuarios que han introducido información en los formularios de contacto de nuestra web se han visto comprometidos, en concreto los datos de (…)". Junto al escrito de reclamación, aportan comunicación enviada por FLEXICAR por correo electrónico el día 4 de junio de 2024 con el título “(…)”. El día 6 de junio de 2024 se interpuso una cuarta reclamación ante la Agencia Española de Protección de Datos, vinculada la brecha de datos personales que se había producido en FLEXICAR. La persona reclamante señalaba un presunto incumplimiento por parte de FLEXICAR de la eliminación de sus datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/29 En el escrito de reclamación indicaba que había solicitado a FLEXICAR en múltiples ocasiones que eliminaran sus datos personales de sus sistemas. Sin embargo, la empresa no había atendido su solicitud. El día 4 de junio de 2024 la reclamante recibió un correo electrónico procedente de FLEXICAR en el que se le informaba de que habían sido víctimas de un ciberataque, que había afectado a algunos de sus sistemas y a datos personales. La reclamante solicitaba a la AEPD que investigase el presunto incumplimiento por parte de FLEXICAR en relación con la eliminación de sus datos de carácter personal, que se adoptasen las medidas necesarias para garantizar la protección de sus datos personales, así como que los mismos fueran eliminados de los sistemas de FLEXICAR de manera definitiva. Señala que ejerció el derecho ante el responsable el 25 de mayo de 2023 y que el responsable respondió el 1 de junio de 2023. Junto con el escrito de reclamación, la reclamante aportaba un hilo de correos electrónicos. - Correo de 1 junio de 2023 (…) procedente del Servicio de atención al Cliente de FLEXICAR dirigido a la reclamante: le indicaban que con el registro de matrícula que ha enviado no encuentran ningún coche. A continuación, preguntan si la matrícula está correctamente apuntada. Solicitan que les indique qué coche y en qué tienda para ayudarles a localizar el vehículo. - El 9 de junio de 2023 la reclamante envió un correo electrónico de respuesta a FLEXICAR. En el mismo no figura un número de matrícula. La reclamante reitera su solicitud de hoja de cancelación de datos, afirma haberla solicitado durante varias semanas. Señalaba que en virtud de lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) y en el Reglamento General de Protección de Datos (en adelante, RGPD) tiene derecho a solicitar la cancelación de sus datos personales, así como a recibir la confirmación de dicha cancelación. - Nuevo correo electrónico enviado por la reclamante a FLEXICAR el 21 de julio de 2023: La reclamante indica que hace más de un mes y medio presentó una solicitud de cancelación de datos personales sin haber recibido respuesta. Solicita respuesta inmediata y confirmación de la cancelación de sus datos personales. Señala que si no recibe respuesta en el plazo de una semana se verá obligada a tomar medidas legales para proteger sus derechos. Con fecha 16 de julio de 2024 la AEPD recabó una evidencia relativa a la política de privacidad de FLEXICAR disponible en su página web. SEGUNDO: Admisión a trámite de las reclamaciones presentadas: Con fecha 26 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite las reclamaciones reflejadas en el antecedente primero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/29 TERCERO: Actuaciones previas de investigación: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos reflejados en el informe de actuaciones previas de investigación de la Subdirección General de Inspección de Datos (en adelante, SGID) de 24 de septiembre de 2025: (…). Causas principales que hicieron posible la brecha de datos personales: 1. (…): (…). 2. (…): (…). (…). 3. (…): (…). (…). (…). (…). (…). (…). Se ha investigado el ejercicio de derechos vinculado a la reclamación presentada el 6 de junio de 2024. El informe de actuaciones previas de investigación reproduce la información que ha facilitado FLEXICAR, en contestación a los requerimientos de información de la SGID: “Respecto del ejercicio de derechos de acceso del Reclamante 3 En el marco de las presentes actuaciones de investigación se da traslado a FLEXICAR de la reclamación interpuesta ante esta Agencia por la parte reclamante 3, quien manifiesta falta de atención a su solicitud de supresión de datos personales, y se recaba la siguiente información: - Período de conservación de los datos de la parte reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/29 Tal y como se expone en el contrato, es decir, de conformidad a la información provista al ahora Denunciante, el plazo de conservación en el momento en el que existe una relación contractual es de 5 años a contar desde el plazo de finalización de la misma. Ello, con el fin de poder evidenciar la debida existencia de dicha relación, así como cumplir con las obligaciones legales derivadas de la misma. (…). Teniendo en cuenta que, atendiendo a la fecha en la que finalizó la relación contractual con el ahora denunciante, el pasado 2021. A fecha de su solicitud de supresión, los datos se obtenían bloqueados, pero custodiados por parte de FLEXICAR para poder cumplir con las obligaciones legales de forma debida. Se aporta (…) el contrato firmado por el cliente y se comprueba que la fecha en la que la parte reclamante firma el contrato de compraventa es el ***FECHA.1. - Solicitud de ejercicio de derechos Esta representación quiere resaltar que la comunicación remitida por el interesado (parte reclamante 3), si bien en todos los canales, tanto web, como contrato se indica que la dirección de correo para la comunicación para ejercer sus derechos es la dirección de correo electrónico a ***EMAIL.1 o bien en la dirección: ***DIRECCIÓN.1, tal y como se atiende de la evidencia provista por el propio denunciante la dirección no es la indicada. Como consecuencia de la gran cantidad de correos electrónicos, el correo de referencia no puedo ser atendido y no se analizó, hasta descubrir por el requerimiento de información el pasado noviembre. Como consecuencia se ha procedido a enviarle (a la parte reclamante) notificación en relación con los datos personales. En el escrito de respuesta (…) se incluye captura de pantalla del correo enviado por parte de FLEXICAR a la parte reclamante (…): “(…). (…).” CUARTO: Acuerdo de inicio: Con fecha 23 de enero de 2026, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por: -La presunta infracción del artículo 5.1 f), tipificada en el artículo 83.5 del RGPD. -La presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. -La presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. QUINTO: FLEXICAR no ha formulado alegaciones al acuerdo de inicio: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/29 Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  3. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  4. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. SEXTO: Volumen de negocios de FLEXICAR De acuerdo con el informe recogido de la herramienta AXESOR, la entidad FLEXICAR INTERNACIONAL S.L. es una empresa constituida en el año 2022, y con un volumen de negocios de 841.279.118 euros en el año 2024. FLEXICAR IBÉRICA S.L. fue absorbida por FLEXICAR INTERNACIONAL, S.L como consecuencia de una fusión por absorción, según refleja escritura pública de ***FECHA.2. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El ***FECHA.3 se produjo en (…) de FLEXICAR una brecha de datos personales materializada en una pérdida de confidencialidad. Dicha brecha fue notificada a la AEPD con fecha 3 de junio de 2024. Con fechas 4, 6 de junio y 3 de julio de 2024 se presentaron varias reclamaciones ante la AEPD relacionadas con dicha brecha. En este sentido, el informe de actuaciones previas de investigación de 24 de septiembre de 2025 señala: “(…). En fecha 3 de junio de 2024, FLEXICAR notifica a la AEPD la brecha que también será comunicada a los usuarios afectados.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/29 En la notificación de la brecha de datos personales a la AEPD, se facilita, entre otras cuestiones, la siguiente información relativa a la brecha de datos personales: 1. En el apartado relativo a ¿Qué puede haber ocurrido? se indica: “(…).” 2. (…). 3. (…). 4. (…). 5. (…). 6. (…). 7. (…). (...). 8. (…). SEGUNDO: (…). (…). (…). (…). (…). El informe forense refleja las siguientes etapas (…): 1. (…) 2. (…) 3. (…) 2.1. (…): (…). 2.2. (…). (…). (…). (…). (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/29 “(…). (…). (…). (…). (…). (…). (…)”. (…). 2.3. (…): 2.3.1. (…): (…). 2.3.2. (…): (…): “(…) (…) (…). (…).” 2.3.3. (…): (…). (…): “(…). (…). (…) (…).” (…). TERCERO: Las causas principales que hicieron posible la brecha de datos personales son:  (…).  (…).  (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/29 CUARTO: Con carácter previo a la brecha de datos personales FLEXICAR había implantado una serie de medidas de seguridad. En concreto, destacan las siguientes: - (…). - (…). - (…). - (…). - (…). - (…). - (…).” QUINTO: FLEXICAR adoptó las siguientes medidas reactivas tras detectar el ataque: o o o (…).      (…). (…). (…). (…). (…). (…). (…). (…): o o o (…). (…). (…).” SEXTO: Tras la brecha de datos personales, FLEXICAR implantó una serie de medidas correctoras entre las que destacan: - (…). - (…). - (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/29 - (…). - (…). (…): - o (…). o (…). o (…). o (…) (…). SÉPTIMO: La brecha de datos personales afectó a los datos personales de aproximadamente (…) interesados y los datos comprometidos fueron (…). Así lo reflejan tanto el informe sobre la brecha de datos personales elaborado por FLEXICAR el 3 de junio de 2024 y el informe forense. En este sentido, según señala FLEXICAR en su informe de 3 de junio de 2024: “(…): • (…): (…). • (…): (…).” OCTAVO: Son clientes cualificados de FLEXICAR aquellos clientes con los que se han realizado transacciones (compra o venta de vehículos, cabe destacar que (…) y, por tanto, son clientes verificados. NOVENO: Los clientes no cualificados de FLEXICAR son clientes potenciales (también denominados “leads”). FLEXICAR consideran como tales usuarios que, si bien han iniciado procesos de realización de actividad y transacciones con FLEXICAR, las mismas no han llegado a formalizarse, existiendo una relación precontractual con dichos interesados. Así se refleja en el escrito de FLEXICAR de 16 de diciembre de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/29 En el caso de los clientes no cualificados FLEXICAR trata los siguientes datos personales, que se vieron afectados por la brecha:   (…) (…). FLEXICAR había obtenido los datos personales de los clientes no cualificados (…). DÉCIMO: (…). (…). UNDÉCIMO: La política de privacidad de FLEXICAR disponible en su página web en el momento de los hechos indica lo siguiente: “¿Por cuánto tiempo se conservan los datos personales recabados? Los datos personales proporcionados se conservarán mientras se mantenga la relación comercial o no solicites su supresión y durante el plazo por el cuál pudieran derivarse responsabilidades legales por los servicios prestados.” (…). (…). DECIMOSEGUNDO: “(…)”, (…):  (…).  (…). DECIMOTERCERO: (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/29 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. El artículo 4.12) del RGPD, define «violación de la seguridad de los datos personales» como: “toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que FLEXICAR realiza, entre otros tratamientos, la recogida, registro, organización, conservación, modificación, consulta, utilización, etc, de datos personales de personas físicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/29 FLEXICAR realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida. Integridad y confidencialidad La letra
  5. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  6. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En este sentido, los responsables han de garantizar la integridad y confidencialidad de los datos personales objeto de tratamiento a través de medidas técnicas y organizativas de todo tipo. El cumplimiento de dicho precepto se constataría, por lo tanto, mediante
  7. i)la adopción y cumplimiento de medidas técnicas y organizativas de todo tipo cuyo objetivo sea garantizar la confidencialidad y la integridad de los datos personales objeto de tratamiento
  8. ii)la ausencia de situaciones de pérdida de confidencialidad o integridad de los datos personales tratados. Su incumplimiento, por el contrario, devendría de la ausencia de medidas o incumplimiento de las adoptadas y de una pérdida de confidencialidad de los datos objeto de tratamiento. En el presente caso, se produjo una brecha de datos personales materializada en una pérdida de confidencialidad en (…). La brecha de datos personales afectó a los datos personales de aproximadamente (…) interesados (hecho probado séptimo). El hecho probado segundo refleja cómo se produjo (…) y el hecho probado tercero, las principales causas del mismo. Tal y como reflejan los hechos probados cuarto, quinto y sexto y la propia documentación aportada por FLEXICAR en las actuaciones previas de investigación desarrolladas, no estaban implantadas una serie de medidas de seguridad, que fueron introducidas con posterioridad a la brecha de datos personales, con el fin de evitar que pudiera volver a producirse una brecha de datos personales de similares características. Destaca a estos efectos, por ejemplo, que FLEXICAR no contase con (…). (…). (…). La implantación de dichas medidas, algunas de ellas carácter básico, con carácter previo a la brecha de datos personales podría haberla evitado o, al menos, haber mitigado sus efectos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/29 Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a FLEXICAR, por vulneración del artículo 5.1
  9. f)RGPD. IV Tipificación de la infracción del artículo 5.1.
  10. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." V Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  13. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  14. b)los datos de contacto del delegado de protección de datos, en su caso;
  15. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  16. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/29
  17. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  18. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  19. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  20. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  21. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  22. d)el derecho a presentar una reclamación ante una autoridad de control;
  23. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  24. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." (el subrayado es nuestro). FLEXICAR IBÉRICA S.A, era una empresa que se dedicaba a la venta de vehículos de motor ligero. Los interesados podían contactar con la misma, tanto si deseaban adquirir un vehículo de los que ofrecía en su página web como si estaban interesados en vender a la misma un vehículo de su propiedad. En la actualidad, FLEXICAR INTERNACIONAL, S.L., entidad que ha absorbido a FLEXICAR IBÉRICA S.A, tal y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/29 como se ha señalado en los antecedentes, continúa ofreciendo en su página web a sus clientes ambas posibilidades. Durante la brecha de datos personales, se exfiltraron datos personales tanto de clientes cualificados como no cualificados.   Clientes cualificados (hecho probado octavo): son aquellos clientes con los que se han realizado transacciones (compra o venta de vehículos, cabe destacar que (…) y, por tanto, son clientes verificados. Clientes no cualificados (hecho probado noveno) son los clientes potenciales (también denominados “leads”). FLEXICAR consideran como tales usuarios que, si bien han iniciado procesos de realización de actividad y transacciones con FLEXICAR, las mismas no han llegado a formalizarse, existiendo una relación precontractual con dichos interesados. En el caso de los clientes no cualificados FLEXICAR trata los siguientes datos personales, que se vieron afectados por la brecha (hecho probado noveno):   (…) (…). (…). La brecha de datos personales afectó aproximadamente a (…) clientes no cualificados (hecho probado séptimo). Los datos personales de los mismos se habían obtenido a través de formularios disponibles en la página web ***WEB.1. Durante las actuaciones previas de investigación la SGID solicitó a FLEXICAR aclaración en relación con el plazo de conservación de los clientes no cualificados. En el escrito de FLEXICAR de 14 de julio de 2025, elaborado en contestación a un requerimiento de información de la SGID, se señala: “(…). (…). (…). (…). (…). (…).” En relación con esta misma cuestión, FLEXICAR en su escrito de 14 de julio de 2025, elaborado en contestación a un requerimiento de información de la SGID, señala: “(…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/29 (…). (…). (…).” Por tanto, de acuerdo con la información proporcionada por FLEXICAR:    (…). (…). (…). Con fecha 16 de julio de 2024 la AEPD recabó una evidencia relativa a la política de privacidad de FLEXICAR, tal y como refleja el hecho probado undécimo. Analizado el contenido de la misma, se observa que la referencia relativa al plazo de conservación es la siguiente (coincidente con la reflejada en el escrito de FLEXICAR de 14 de julio de 2025 anteriormente reproducido): “¿Por cuánto tiempo se conservan los datos personales recabados? Los datos personales proporcionados se conservarán mientras se mantenga la relación comercial o no solicites su supresión y durante el plazo por el cuál pudieran derivarse responsabilidades legales por los servicios prestados.” La información facilitada en la política de privacidad de FLEXICAR en relación con el plazo de conservación de los datos recabados es escueta. El párrafo reproducido no distingue entre clientes cualificados y no cualificados, a pesar de tratarse de interesados distintos y de que la relación de FLEXICAR con unos y otros también sea diferente (los clientes cualificados son clientes y los no cualificados no, con los segundos existe únicamente una relación de carácter precontractual). En el caso particular de los clientes no cualificados, no se les informa de que sus datos personales se conservarán durante un plazo de cinco años desde que hayan cumplimentado el formulario disponible en la página web de FLEXICAR. Tampoco se les informa de que transcurrido dicho plazo de cinco años, si no vuelve a ponerse en contacto con FLEXICAR ni a formalizar ninguna gestión de compraventa, sus datos personales serán suprimidos. La información que se facilita al interesado en base a lo previsto en el artículo 13 del RGPD es muy relevante, ya que constituye el punto de partida a partir del cual dicho interesado puede ejercer, de forma efectiva, el control sobre sus datos de carácter personal, permitiéndole posteriormente verificar cómo está tratando FLEXICAR sus datos personales. Por tanto, si un interesado está debidamente informado, puede, a partir de dicha información, tomar decisiones relativas al ejercicio de derechos (acceso, oposición, rectificación, cancelación, limitación y portabilidad). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/29 También puede afectar a los principios contemplados en el RGPD. Por ejemplo, si el interesado (en el caso que nos ocupa, el cliente no cualificado) sabe que FLEXICAR va a tratar sus datos personales durante un periodo de cinco años desde que cumplimentó el formulario disponible en la página web, puede, durante ese periodo de tiempo, ponerse en contacto con FLEXICAR al objeto de comunicar cualquier variación o actualización que afecte a dichos datos personales, contribuyendo a que los datos tratados sean exactos (artículo 5.1
  25. d)del RGPD. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a FLEXICAR, por vulneración de lo dispuesto en el artículo 13 del RGPD. VI Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  26. b)los derechos de los interesados a tenor de los artículos 12 a 22;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  27. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." VII Obligación incumplida. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/29
  28. a)la seudonimización y el cifrado de datos personales;
  29. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  30. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  31. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." De acuerdo con lo dispuesto en dicho artículo del RGPD, el responsable del tratamiento ha de aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. A sensu contrario, dicho precepto se vería vulnerado si no se adoptasen dichas medidas que, adecuadas al riesgo y con carácter general, garantizaran la seguridad del tratamiento. En el fundamento de derecho V se indica que FLEXICAR:   (…). (…). Conviene aclarar que, si unos datos de carácter personal se conservan bloqueados, los mismos no se explotan. Únicamente se consultarían en caso de solicitud procedente de un órgano judicial, una autoridad de control (AEPD), etc. El personal de FLEXICAR no puede tener acceso a los mismos, ni siquiera para su consulta, salvo los administradores del sistema con el fin de bloquearlos y de suprimirlos, una vez que haya transcurrido el plazo de cinco años. Sin embargo, de la información proporcionada por FLEXICAR, se desprende que “(…)”, (…):  (…).  (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/29 (…). (…). (…). De acuerdo indicado, FLEXICAR no habría adoptado medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado para unos datos de carácter personal que estaban bloqueados. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a FLEXICAR, por vulneración del artículo 32 del RGPD. VIII Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  32. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  33. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679." IX Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/29 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  34. a)a
  35. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  36. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  37. b)la intencionalidad o negligencia en la infracción;
  38. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  39. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  40. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  41. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  42. g)las categorías de los datos de carácter personal afectados por la infracción;
  43. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  44. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  45. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  46. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  47. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  48. a)El carácter continuado de la infracción.
  49. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  50. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/29
  51. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  52. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  53. f)La afectación a los derechos de los menores.
  54. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  55. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de las infracciones, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de FLEXICAR INTERNACIONAL S.L. (841.279.118 euros en el año 2024). El 4% de dicho volumen de negocio son 33.651.164,72 euros. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: Infracción del artículo 5.1
  56. f)del RGPD: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): La brecha de datos personales supuso la exfiltración, por parte de los ciberdelincuentes, de los datos personales de (…) interesados aproximadamente, ((…) clientes de FLEXICAR y aproximadamente (…) clientes potenciales). En cuanto a los clientes se exfiltraron los siguientes datos personales (…) y en relación con los clientes potenciales se exfiltraron: (…). El ataque fue planificado y ejecutado por ciberdelincuentes quienes, (…). (…). Por tanto, se ha producido una pérdida de control de los datos personales por parte de los interesados afectados por la brecha de datos personales en FLEXICAR. Tras la brecha, dichos interesados se ven expuestos a varios riesgos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/29 entre otros, suplantación de identidad o empleo de sus datos personales por parte de delincuentes para estafarlos. • Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): Cabe apreciar una negligencia grave por parte de FLEXICAR. A modo de ejemplo, los datos exfiltrados (…), a pesar del riesgo de sufrir una brecha de datos personales. En el año 2022 se había realizado un examen desde el punto de vista de ciberseguridad en el que se había recomendado la implantación (…). • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): Entre los datos filtrados de los clientes cualificados se encuentra el DNI: El tratamiento del número del DNI/NIF/NIE constituye un tratamiento sobre un dato personal de especial sensibilidad, pues permite la identificación directa e inequívoca de una persona física. Tal y como establece el Real Decreto 255/2025, de 1 de abril por el que se regula el Documento Nacional de Identidad, el DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento de especial sensibilidad dentro del ecosistema de datos personales. Además, su utilización indebida conlleva un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Por ello, una interpretación sistemática y finalista del RGPD —conforme a los considerandos 51 y 75— permite considerar el número del DNI como un dato particularmente sensible, atendiendo a su capacidad de provocar perjuicios significativos en caso de uso no autorizado. En este sentido, a la hora de valorar esta circunstancia, no solo debe hacerse referencia a los tipos de datos cubiertos por los artículos 9 y 10 del RGPD, sino también a los datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas al interesado, tal y como permite el precepto. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): La actividad de la entidad presuntamente infractora se encuentra vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad diaria de la entidad reclamada (compra y venta de vehículos ligeros) es imprescindible el tratamiento de datos de carácter personal por lo que, dado su objeto y volumen de negocio la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  57. b)de la LOPDGDD en relación con el artículo 83.2.k). Además, se consideran los siguientes factores de graduación en calidad de atenuantes según el artículo 83.2 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/29  Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción” (artículo 83.2.
  58. k)del RGPD: La valoración del comportamiento de FLEXICAR, en este caso, exige considerar las acciones llevadas a cabo por dicha entidad dirigidas al cumplimiento de lo establecido en el RGPD y LOPDGDD, en consideración al principio de mejora continua. Sin obviar que esa mejora continua es una obligación exigible a los responsables del tratamiento, se estima oportuno considerar la actitud mostrada por FLEXICAR que, a lo largo de las actuaciones, ha informado de la implantación de diversas medidas destinadas al cumplimiento de la normativa de protección de datos. • La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente (artículo 76.2, letra e), de la LOPDGDD):Mediante escritura de fusión por absorción, de fecha 11/12/2024 se formalizó la absorción de FLEXICAR IBÉRICA, S.L. por parte de FLEXICAR INTERNACIONAL, S.L., con extinción de aquella vía disolución sin liquidación de la sociedad, con transmisión en bloque de todo su patrimonio a la Sociedad Absorbente, la cual lo adquiere por sucesión universal. Como consecuencia de la fusión se traspasan automáticamente a la Sociedad Absorbente todos los bienes, derechos y obligaciones de la sociedad absorbida, tanto sus activos como sus pasivos. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 5.1.
  59. f)del RGPD tipificada en el artículo 83.5.
  60. a)del RGPD. La sanción que corresponde imponer es de multa administrativa por un importe de 400.000,00 euros. Infracción del artículo 13 del RGPD: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): El hecho de que el interesado, cuyos datos personales van a ser tratados o estén siendo tratados, disponga de información suficiente sobre el plazo de conservación de los mismos es fundamental para que dicho interesado pueda ejercer un control efectivo sobre sus datos de carácter personal. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/29 La actividad de la entidad presuntamente infractora se encuentra vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad diaria de la entidad reclamada (compra y venta de vehículos ligeros) es imprescindible el tratamiento de datos de carácter personal por lo que, dado su objeto y volumen de negocio la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  61. b)de la LOPDGDD en relación con el artículo 83.2.k). Además, se consideran los siguientes factores de graduación en calidad de atenuantes según el artículo 83.2 del RGPD: • La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente (artículo 76.2, letra e), de la LOPDGDD):Mediante escritura de fusión por absorción, de fecha 11/12/2024 se formalizó la absorción de FLEXICAR IBÉRICA, S.L. por parte de FLEXICAR INTERNACIONAL, S.L., con extinción de aquella vía disolución sin liquidación de la sociedad, con transmisión en bloque de todo su patrimonio a la Sociedad Absorbente, la cual lo adquiere por sucesión universal. Como consecuencia de la fusión se traspasan automáticamente a la Sociedad Absorbente todos los bienes, derechos y obligaciones de la sociedad absorbida, tanto sus activos como sus pasivos. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 13 del RGPD tipificada en el artículo 83.5.
  62. h)del RGPD. La sanción que corresponde imponer es de multa administrativa por un importe de 30.000,00 euros. Infracción del artículo 32 del RGPD: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): Si los datos personales del interesado están bloqueados no pueden ser tratados salvo para atender a solicitudes procedentes de un órgano judicial, defensa en caso de juicio, petición procedente de una autoridad de control. Sin embargo, FLEXICAR había incluido dichos datos personales bloqueados de clientes no cualificados (…) que también figuraban los datos de clientes no cualificados que habían consentido el envío de comunicaciones comerciales. Se aprecia una clara falta de medidas de seguridad de las contempladas en el artículo 32 del RGPD. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/29 La actividad de la entidad presuntamente infractora se encuentra vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad diaria de la entidad reclamada (compra y venta de vehículos ligeros) es imprescindible el tratamiento de datos de carácter personal por lo que, dado su objeto y volumen de negocio la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  63. b)de la LOPDGDD en relación con el artículo 83.2.k). Además, se consideran los siguientes factores de graduación en calidad de atenuantes según el artículo 83.2 del RGPD: • La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente (artículo 76.2, letra e), de la LOPDGDD):Mediante escritura de fusión por absorción, de fecha 11/12/2024 se formalizó la absorción de FLEXICAR IBÉRICA, S.L. por parte de FLEXICAR INTERNACIONAL, S.L., con extinción de aquella vía disolución sin liquidación de la sociedad, con transmisión en bloque de todo su patrimonio a la Sociedad Absorbente, la cual lo adquiere por sucesión universal. Como consecuencia de la fusión se traspasan automáticamente a la Sociedad Absorbente todos los bienes, derechos y obligaciones de la sociedad absorbida, tanto sus activos como sus pasivos. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. La sanción que corresponde imponer es de multa administrativa por un importe de 250.000,00 euros. X Medidas correctivas Confirmadas las infracciones, esta resolución contiene las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso de los artículos 5.1 f), 13 y 32 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  64. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, requiere a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuáles son las infracciones cometidas y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/29 No obstante, en este caso, en esta resolución se requiere a FLEXICAR para que, adopte las medidas siguientes: En el plazo máximo de un mes, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento: -Acreditar la puesta a disposición de los interesados (en especial, de los clientes no cualificados), a través de su política de privacidad, de información más detallada de conformidad con lo previsto en el artículo 13 del RGPD, relativa al plazo de conservación de los datos de carácter personal que facilitan a FLEXICAR, al cumplimentar los formularios disponibles en su página web. En el plazo máximo de cuatro meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento: -Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 32 del RGPD, en lo que al bloqueo de los datos de carácter personal de clientes no cualificados se refiere. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a FLEXICAR INTERNACIONAL, S.L., con NIF B09758327, por: -Una infracción del artículo 5.1 f), tipificada en el artículo 83.5 del RGPD, una multa de 400.000,00 euros (CUATROCIENTOS MIL euros). -Una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 30.000,00 euros (TREINTA MIL euros). -Una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, una multa de 250.000,00 (DOSCIENTOS CINCUENTA MIL euros). SEGUNDO: ORDENAR a FLEXICAR INTERNACIONAL, S.L., con NIF B09758327, que en virtud del artículo 58.2.
  65. d)del RGPD, acredite haber procedido al cumplimiento de las siguientes medidas: En el plazo máximo de un mes desde que la presente resolución sea firme: -Acreditar la puesta a disposición de los interesados (en especial, de los clientes no cualificados), a través de su política de privacidad, de información más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/29 detallada de conformidad con lo previsto en el artículo 13 del RGPD, relativa al plazo de conservación de los datos de carácter personal que facilitan a FLEXICAR, al cumplimentar los formularios disponibles en su página web. En el plazo máximo de cuatro meses desde que la presente resolución sea firme: -Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 32 del RGPD, en lo que al bloqueo de los datos de carácter personal de clientes no cualificados se refiere. TERCERO: NOTIFICAR la presente resolución a FLEXICAR INTERNACIONAL, S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  66. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/29 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  67. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-090326 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.