1/5 Expediente N.º: EXP202210469 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante el denunciante) con fecha 01/08/2022 interpuso denuncia ante la Agencia Española de Protección de Datos. La denuncia se dirige contra GRUPO CONTROL EMPRESA DE SEGURIDAD, S.A. con NIF A04038014 (en adelante, el reclamado). Los motivos en que basa la denuncia son los siguientes: el denunciante, en calidad de coordinador delegado de la Federación Valenciana de Alternativa Sindical de Trabajadores de seguridad privada, pone de manifiesto que la entidad denunciada ha realizado un tratamiento ilegítimo de los datos personales de un exempleado; señala que el denunciado, al recibir una notificación por parte de la Dirección General de Tráfico de una multa por exceso velocidad detectada a un turismo de su propiedad, en fecha 06/06/2022, identificó como conductor a un extrabajador a pesar de que había sido despedido disciplinariamente el 22/11/2021. Junto con el escrito de denuncia aporta imágenes de la referida multa de tráfico, imputada al exempleado, informe de su vida laboral y comunicación de despido disciplinario que acreditan el cese de la relación laboral del tercero afectado con el denunciado el 22/11/2021. SEGUNDO: Con fecha 20/12/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del citado RGPD. TERCERO: Notificado el acuerdo de inicio, el reclamado en fecha 04/01/2023 presento escrito de alegaciones manifestando, en síntesis, lo siguiente: que el vehículo infractor no es propiedad del reclamado sino de la empresa NORTHGATE, el reclamado mantiene un contrato de Alquiler de Vehículos de 05/03/2019; que no está acreditado que el reclamado hiciera uso ilegítimo de los datos personales del exempleado ni que fuese quien facilitara los citados datos a la DGT, máxime cuando realizo alegaciones a la notificación de la multa negando su implicación en la supuesta infracción de tráfico limitándose a justificar que el periodo de arrendamiento del vehículo concluyó mucho antes de la infracción, sin identificar a conductor alguno por cuanto estaba negando los hechos; que el tratamiento de datos personales llevado a cabo por el reclamado cuenta con todas las medidas de seguridad y respetando las bases y principios exigidos por el RGPD y LOPDGDD; informa como opera la DGT en caso de infracciones de tráfico comeditas por vehículos de alquiler y señala que en algún momento de este proceso ha habido un error por cuanto la DGT dirige la multa a pesar de no ser la arrendataria del vehículo implicado por haberlo devuelto 3 meses antes de la supuesta infracción; que en ningún momento del proceso de contratación del vehículo se porta dato personal alguno de ningún empleado por lo que no se ha podido incurrir en ninguna infracción en este sentido; que en todo caso es la empresa NORTHGATE la responsable de tratar los datos personales que le han facilitado los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 interesados directamente en el momento de la retirada y entrega del vehículo; que el reclamado en su actuación toma las medidas necesarias para cumplir con el principio de responsabilidad proactiva exigido por el RGPD, aplicando las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento. Y aportaba la multa de la DGT y las alegaciones a la misma; certificado-escrito de la empresa Northgate; certificado ISO de calidad y medio ambiente. CUARTO: El 23/01/2023 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se archivara al reclamado por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. Transcurrido el plazo establecido el reclamado, al tiempo de la presente Resolución, no había presentado escrito de alegación alguno. QUINTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 01/08/2022 tiene entrada en la Agencia Española de Protección de Datos escrito del denunciante manifestando que el reclamado ha realizado un tratamiento ilegítimo de los datos personales del afectado, exempleado del mismo, señalando que al recibir notificación por parte de la DGT de una multa de tráfico por exceso velocidad en turismo de su propiedad, en fecha 06/06/2022, identificó como conductor del vehículo a un extrabajador que había sido despedido. SEGUNDO. Consta aportada carta de despido del afectado de 22/11/2021. TERCERO. Consta aportada multa de tráfico, nº de expediente ***EXPEDIENTE.1, en la que figura como fecha de la infracción el 06/06/2022, por exceso de velocidad del turismo Renault Clío matricula ***MATRICULA.1. CUARTO. El reclamado ha aportado las alegaciones a la citada multa, de 22/06/2022, en la que se indica: “PRIMERA. - Mi representada, el reclamado, suscribió un contrato de arrendamiento con la empresa NORTHGATE, mediante el cual se nos arrendaba el vehículo modelo CLIO 1.5 DCI 75 BUSINESS ENERGY, matrícula ***MATRICULA.1. Sin embargo, el reclamado procedió a la devolución del vehículo a fecha de 18 de marzo de 2022, se acompaña el acta de devolución como documento número 2. SEGUNDA. - Que, la sanción que pretende imponerse a esta parte data de unos hechos ocurridos el día 6 de junio de 2022, fecha posterior a la devolución del vehículo objeto de sanción. Por ello, el reclamado, no es responsable de la multa con nº de expediente: ***EXPEDIENTE.1. TERCERA. - A efectos acreditativos se adjunta así mismo como documento número 3 el Certificado emitido por NORTHGATE indicando la fecha de inicio y fin del renting del vehículo, lo cual exime de responsabilidad de mi representada, a la vista de las fechas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 QUINTO. El reclamado ha aportado escrito de NORTHGATE, de 22/05/2022, en el que se indica: “UNICA. Que la empresa el reclamado, con CIF …, no es la empresa arrendataria del vehículo con matrícula ***MATRICULA.1, en la fecha de la infracción. Comenzando el arrendamiento el 07/03/2022 y terminando el 18/03/2022 no puede resultar responsable de ninguna infracción en materia de tráfico cometida con posterioridad esa fecha”. SEXTO. El reclamado ha manifestado en escrito de 04/01/2022 que “se esfuerza mucho por los procedimientos internos y aseguramiento de hacerlos bien (calidad), y para ello cuentan con la certificación de la calidad con la norma ISO 27.001 de SEGURIDAD INFORMACION (documento número 6) estando además certificados en las normas ISO 9.001; ISO 1.400; ISO 45001; ISO 18788; ISO 50001. Además, consta la comunicación a la Agencia Española de Protección de Datos del nombramiento del Delegado de Protección de Datos tal y como se puede comprobar en la web de la AEPD”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II La ley 40/2015 de Régimen Jurídico del Sector Público dispone en su artículo 28, Responsabilidad, en su apartado 1, que: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” La norma sigue el criterio vigente en nuestro ordenamiento jurídico conforme al cual es imprescindible la exigencia de culpabilidad para que nazca responsabilidad sancionadora lo que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 La exigencia de responsabilidad sancionadora presupone la existencia de la conducta antijurídica descrita en el tipo sancionador y del elemento subjetivo de la infracción. La presencia de este elemento como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible para imponerlas. En el caso presente, de conformidad con los hechos probados no ha quedado acreditado que el reclamado fuera quien, recibida la multa de la DGT motivada por la infracción de tráfico por exceso de velocidad, identificara como conductor del vehículo a su extrabajador. En primer lugar, la fecha de la infracción por exceso de velocidad del turismo Renault Clío matricula ***MATRICULA.1, es de fecha 06/06/2022, mientras que el despido del trabajador se produce el 22/11/2021, es decir, con anterioridad a aquella. En segundo lugar, en las alegaciones formuladas por el reclamado a la sanción notificada, no existe mención alguna al exempleado, manifestándose que la sanción que pretende imponerse viene motivada por hechos ocurridos en fecha posterior a la devolución del vehículo objeto de sanción. Por último, la empresa de renting, NORTHGATE, con la que el reclamado tenía suscrito contrato de alquiler de vehículos ha certificado que el reclamado no es la empresa arrendataria del vehículo inmerso en la infracción, ya que el arrendamiento termino el 18/03/2022 no pudiendo resultar responsable de la misma. Por tanto, a la luz de lo que antecede procede acordar el archivo de las presentes actuaciones seguidas contra el reclamado ante la ausencia de responsabilidad administrativa exigible al mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a GRUPO CONTROL EMPRESA DE SEGURIDAD, S.A., con NIF A04038014, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a GRUPO CONTROL EMPRESA DE SEGURIDAD, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es