← España

PS-00614-2015

1/14 Procedimiento Nº PS/00614/2015 RESOLUCIÓN: R/00756/2016 En el procedimiento sancionador PS/00614/2015, instruido por la Agencia Española de Protección de Datos a la entidad GOLDCAR SPAIN SL, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 09/12/2014 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara que: “A fecha 18 de Marzo del presente año recibo una notificación de la empresa Goldcar, SA dedicada al alquiler de vehículos, indicándome que el vehículo G.G.G. ha sido multado en la localidad de Murcia, reclamándome el pago de la sanción así como los gastos ocasionados ya que el contrato de alquiler de vehículo figura a mi nombre. Que dicho contrato se realizó, supuestamente, en la oficina de Goldcar en el Aeropuerto del Prat de Barcelona desde el día 27/01/2014 al día 29/01/2014 con destino a Sevilla. Que yo nunca he realizado un contrato de alquiler de vehículos con dicha empresa, si bien es verdad que a fecha 16/10/2012 realicé una hoja de reclamaciones a Goldcar en la oficina del Hotel Auditorium de Madrid. Que tras muchas solicitudes vía mail con la empresa solicitando copia del contrato, no se me facilita copia alguna del original, como vienen obligados, facilitándome únicamente una copia en blanco del mismo con mis datos personales. Que puesto en contacto con el Ayto. de Murcia se me facilita una copia vía fax del contrato original con mis datos personales y firmado de forma fraudulenta. Que en ningún momento se me ha cargado alquiler alguno a mi cuenta, pero si se me reclama la cantidad de la denuncia (30 euros) por el Ayto. de Murcia como arrendatario del vehículo. Que de todo ello se ha dado cuenta a la autoridad judicial pertinente mediante denuncia en el Cuerpo Nacional de Policía por un presunto delito de falsedad documental y usurpación del estado civil.” Adjunta entre otra documentación copia de la comunicación de la multa por parte de GOLDCAR SPAIN, S.L. (en lo sucesivo GOLDCAR), de los contactos mantenidos con la entidad por email, del contrato sin firmar, del contrato firmado supuestamente de forma fraudulenta y de la denuncia ante la policía. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 los Servicios de Inspección de esta Agencia se solicita información a la entidad GOLDCAR, Se ha solicitado a GOLDCAR documentación acreditativa de la contratación en cuyo marco se notificó la multa, así como copia del DNI u otro documento que fuera recabado en el momento de la contratación y que acredite la identidad del contratante. Ante ello, los representantes de la entidad han aportado copia de un contrato, que consta firmado y que coincide con el contrato que aporta el denunciante indicando que ha sido firmado fraudulentamente. Respecto a la copia del documento acreditativo de la identidad del contratante, los representantes de la entidad manifiestan que GOLDCAR recaba durante la contratación tanto el DNI como el carnet de conducir para cumplimentar los datos del cliente y verificar que los datos manifestados se corresponden con la realidad, pero no se realiza ninguna copia del DNI ni del carnet de conducir. TERCERO: Con fecha 23/11/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a GOLDCAR por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, GOLDCAR mediante escrito de fecha 21/12/2015 formulo en síntesis las siguientes alegaciones: la suspensión del procedimiento por prejudicialidad penal; proposición de pruebas y aplicación del apercibimiento previsto en el artículo 45.6 de la LOPD. QUINTO: Con fecha 14/01/2016 se inició el período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/01867/2015. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00614/2015 presentadas por GOLDCAR y en relación con la proposición de prueba caligráfica invocada por la entidad denunciada considerarla no pertinente. Solicitar al denunciante documentación que obre en su poder relacionada con procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. SEXTO: En fecha 22/02/2016, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a GOLDCAR por infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de dicha norma, con multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de GOLDCAR mediante escrito de fecha 18/03/2016 ha reiterado las alegaciones formuladas y, además, que no acepta como hecho probado que la firma no es del denunciante; que la empresa comprueba siempre la personalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 de los contratantes; la aplicación subsidiaria del artículo 45.5 de la LOPD como consecuencia de la concurrencia de varios criterios del artículo 45.4 de la LOPD. HECHOS PROBADOS PRIMERO. En fecha 09/12/2014 tiene entrada en la AEPD escrito del afectado en el que denuncia que la empresa GOLDCAR, dedicada al alquiler de vehículos, le reclama el pago de una multa correspondiente al vehículo G.G.G., sancionado en la localidad de Murcia, por encontrarse el contrato de alquiler a su nombre sin que hay tenido relación contractual alguna con la citada empresa (folio 1 y 2). SEGUNDO. El denunciante ha aportado copia de su DNI nº E.E.E. (folios 27 y 28). TERCERO. El denunciante aporta copia de las denuncia interpuesta ante la Comisaria de Castellón de la Plana, de fecha 26/03/2014 manifestando que había recibido un correo de la empresa GOLDCAR informándole que había sido multado en la ciudad de Murcia con el coche alquilado a la citada empresa, matrícula G.G.G.; que no ha realizado ningún contrato con la citada empresa, si bien hace más de dos años utilizo sus servicios; que se ha puesto en contacto con la empresa quien le ha informado que existe un contrato a su nombre, que el vehículo se recoge en el aeropuerto del Prat con destino Sevilla; que la multa es de 30 euros y la infracción ha sido en Murcia; que les ha solicitado le envíen el contrato que figura a su nombre; que no ha recibido el contrato si bien le han enviado las facturas del alquiler; que ha tenido conocimiento que el 19/02/2014 le habían retirado de la cuenta 50 euros por cajero en las inmediaciones del aeropuerto del Prat; que nunca ha extraviado la tarjeta utilizándola solo él, aportando la documentación correspondiente (folios 15 a 17); en fecha 03/04/2014 se persona nuevamente en dependencias policiales para aportar copia del contrato facilitado por la empresa (folio 18). CUARTO. Consta aportado el contrato nº F.F.F., relativo al alquiler del vehículo matricula G.G.G., con inicio en el aeropuerto del Prat (Barcelona) y termino en Sevilla, suscrito por GOLDCAR y el cliente cuyos datos personales figuran como los del denunciante. La firma que figura en el documento contractual no coincide con la del denunciante (folios 36 y 37). Tampoco se aporta copia de documento identificativo alguno que acredite la personalidad del contratante. QUINTO. GOLDCAR recibió notificación de denuncia formulada por el controlador de ORA, por mal estacionamiento del vehículo matricula G.G.G. correspondiente al contrato de alquiler del mismo (folio 19). GOLDCAR comunicó mediante e-mail al denunciante que había recibido dicha notificación, informando de sus datos personales al organismo sancionador (folios 3 a 10). SEXTO. GOLDCAR en escrito remitido al Ayuntamiento de Murcia, con fecha de entrada 31/03/2014, señala que “En atención a su requerimiento de identificación del conductor, pone en su conocimiento que aquel día utilizó el vehículo el denunciante con D.N.I. …, y con domicilio en B.B.B., (Castellón) - España, siendo por tanto la persona responsable y quien deberá manifestarse en cuanto a la existencia o no de la infracción” (folio 13). SEPTIMO. Consta la Resolución de sanción, expediente D.D.D., notificada al denunciante decretada por La Concejal de Seguridad y Recursos Humanos del Ayuntamiento de Murcia en virtud de la denuncia efectuada por Agente Controlador del Servicio O.R.A. por estacionamiento en lugar limitado y controlado careciendo de distintivo de residente, calificada leve, imponiendo la multa de 30 euros (folio 12). FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II En primer lugar, alega la representación de GOLDCAR que debería suspenderse el procedimiento sancionador como consecuencia de la existencia de una cuestión prejudicial penal derivada de la denuncia interpuesta por el denunciante ante la policía por presunto delito de falsedad y usurpación del estado civil, en tanto no recaiga sentencia. El artículo 7 del Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora (REPEPOS), establece: “1. En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones practicadas respecto de la comunicación. En estos supuestos, así como cuando los órganos competentes tengan conocimiento de que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas. 2. Recibida la comunicación, y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga la resolución judicial.” En respuesta a la cuestión planteada, basta hacer las siguientes puntualizaciones. Por una parte, indicar que en ningún caso podría existir la triple identidad, (de sujeto, hecho y fundamento) entre la infracción administrativa que se valora en este expediente sancionador y la posible infracción o infracciones penales que se deriven de las Diligencias Previas practicadas por el órgano jurisdiccional, ni el fundamente jurídico sería el mismo. Muy significativa resulta a estos efectos la Sentencia de la Audiencia Nacional de 27 de abril de 2012, (rec. 78/ 2010), en cuyo Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del REPEPOS: “En este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, se procedimiento para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del procedimiento administrativo cuando se verifique la existencia efectiva y real de un procedimiento penal, si se estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la infracción administrativa y la infracción penal que pudiera corresponder. No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta condicione directamente la decisión que haya de tomarse o que sea imprescindible para resolver, presupuestos que no concurren en el caso examinado, en el que existe una separación entre los hechos por los que se sanciona en la resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos, también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la facultad de disposición de sus datos personales por parte de su titular, por lo que tal objeción de la demandada ha de ser rechazada”. En consideración a lo expuesto esta cuestión previa planteada no puede estimarse. III En segundo lugar, alega la representación de GOLDCAR la aplicación subsidiaria del artículo 45.6 de la LOPD. Hay que señalar que la sustitución del procedimiento sancionador y la sanción que le correspondería al sujeto responsable por la comisión de una infracción, por la adopción de medidas correctoras de cesación de la actividad constitutiva de infracción y la reparación de las consecuencias derivadas de la misma, requiere entre otros que la naturaleza de los hechos así lo justifique y la concurrencia significativa de los criterios establecidos en el apartado quinto del artículo 45. Por tanto, nos encontramos ante una habilitación legal y expresa a la Agencia Española de Protección de Datos para sustituir la sanción que correspondería a la conducta infractora apreciada por un requerimiento para la adopción de determinadas medidas correctoras, al que se denomina "apercibimiento", que carece de naturaleza sancionadora y solo podrá ser aplicado en concurrencia de los requisitos que exige el precepto. El artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una potestad que difiere sustancialmente de la sancionadora y que puede ejercer en lugar de esta cuando concurran las singulares y excepcionales circunstancias que contempla el precepto. A ello debe añadirse que el fundamento de la atribución de tal potestad administrativa no puede ser otra más que la constatación de que bajo ciertas circunstancias que contempla el precepto, la cualificada disminución de la culpabilidad del imputado o de la antijuridicidad de hecho resulta tan extraordinaria que la conducta no merece la imposición de sanción ni, por ende, es objeto del reproche social que acompaña a esta medida. A lo expuesto debe añadirse que la utilización del adverbio excepcionalmente al comienzo de la redacción del precepto pone de relieve el rigor con que ha de apreciarse la concurrencia de los expresados requisitos para estimar procedente su aplicación. Pues bien, debe indicarse que en el presente supuesto la iniciación de procedimiento sancionador frente a la entidad denunciada, acordada tras las actuaciones previas de investigación realizada, suponía la exclusión de la aplicación del artículo 45.6 LOPD que tiene lugar en sustitución del procedimiento sancionador. Decisión que resultaba razonable y ajustada a Derecho, a la vista de los hechos puestos de manifiesto en el procedimiento habiendo quedado acreditado la vulneración del principio de calidad del dato en relación con el principio de consentimiento, materializado en facilitar al Ayuntamiento de Murcia en cumplimento de la obligación de identificar al conductor de la infracción, los datos del denunciante (nombre y apellidos, su DNI y domicilio), habiendo quedado acreditado que no mantenía relación contractual con la citada empresa por lo que no podía ser el conductor del mismo. Es por ello que no puede pretenderse minimizar dicha actuación máxime cuando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 se trata de una empresa que por su actividad se encuentra vinculada con la realización de tratamientos de datos de carácter personal y quien tenía la obligación de asegurarse de que los datos que facilitaba eran exactos y veraces y contaban con el consentimiento de su titular, a cuyo efecto debió de adoptar las medidas de control y verificación correspondientes. Por otra parte, en relación con esta cuestión la A.N. ha señalado diversas sentencias, entre otras la de 24/04/2014, que “Se argumenta también en la demanda que la Agencia no ha motivado ni fundamentado, porque no ha aplicado el apercibimiento contemplado en el artículo 45.6 LOPD. Se considera que procede su aplicación, al concurrir todos los requisitos previstos en el precepto. (…) Precepto que ha sido objeto de una nueva interpretación por esta Sala a partir de la SAN 29-11-2013 (Rec. 455/2011), cuyo fundamento jurídico 6º establece la siguiente doctrina: "(...) el legislador ha previsto la sustitución del procedimiento sancionador y, por ende, de la sanción que correspondería al sujeto responsable por la comisión de una infracción leve o grave por la adopción de medidas correctoras de cesación de la actividad constitutiva de infracción y de corrección de las consecuencias derivadas de la misma, cuando la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado quinto del artículo 45 así lo justifiquen. En consecuencia, el "apercibimiento" a que se refiere el precepto no constituye una sanción y tiene por objeto, exclusivamente, que el sujeto responsable " en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes", siendo tales medidas las que establezca en cada supuesto la Agencia Española de Protección de Datos. De manera que el artículo 45.6 de la LOPD no contempla la imposición de la sanción de apercibimiento, consistente en la amonestación que se hace al sujeto responsable de una infracción administrativa, haciéndole saber el reproche social que merece su conducta infractora. Tal consideración se ve avalada también por el hecho de que el "apercibimiento", al que se refiere la norma, no se ve precedido de la tramitación de procedimiento sancionador, en cuyo seno se acuerde, y se contrapone abiertamente a la imposición de sanciones, tal y como indica expresamente el precepto, tanto al prever su aplicación en lugar de la apertura del procedimiento sancionador, como al exigir su procedencia, entre otros requisitos, que "el infractor no hubiere sido sancionado o apercibido con anterioridad". En este sentido, resulta revelador el hecho de que el incumplimiento del apercibimiento o su desatención conlleve la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. En definitiva, nos encontramos ante una habilitación legal y expresa a la Agencia Española de Protección de Datos para sustituir la sanción que correspondería a la conducta infractora apreciada por un mero requerimiento para la adopción de determinadas medidas correctoras, al que se denomina "apercibimiento ", que carece de naturaleza sancionadora. Consecuentemente, el artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una potestad que difiere sustancialmente de la sancionadora y que puede ejercer en lugar de esta cuando concurran las singulares y excepcionales circunstancias que contempla el precepto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 (...) Por consiguiente, cuando, como ocurre en el supuesto que nos ocupa, atendidas las circunstancias del caso y, en particular, la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado quinto del artículo 45 de la LOPD , se estime que el sujeto responsable de la infracción no es merecedor de la sanción prevista para la misma, y que en su lugar debe imponérsele la obligación de llevar a cabo determinadas medidas correctoras, procediendo por ello la aplicación del artículo 45.6 de la LOPD , no cabe la imposición de "apercibimiento" alguno como medida de naturaleza sancionadora. Por el contrario, lo que procede en tal caso es "apercibir" o requerir al sujeto responsable a fin de que cumpla en el plazo que se le indique con tal obligación, tal y como se desprende de la interpretación del precepto legal examinado. (...) En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a " apercibir" a la entidad (...), aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un "apercibimiento", entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común , y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
  4. c)de la misma Ley. Razones, las anteriores, que conllevan que la denunciada ausencia de motivación por la no aplicación de dicho apercibimiento por parte de la AEPD, tampoco pueda ser tomada en consideración, máxime cuando la rebaja en grado de la sanción, a tenor del apartado 5 del mismo artículo 45 LOPD , ha sido ya aplicada en la resolución combatida por considerar concurrentes varias de las circunstancias contempladas en tal precepto rebajando la sanción a 20.000 euros, sanción que se considera ajustada a derecho y proporcionada por la Sala, por lo que la misma ha de ser confirmada”. IV Se imputa en el presente procedimiento a la entidad GOLDCAR una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 quienes responden del cumplimiento de esta obligación. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado, como ocurre en el caso enjuiciado, en el que se han incoado indebidamente al denunciante hasta siete procedimientos sancionadores por infracciones de tráfico por parte del Ayuntamiento de Madrid… … el hecho imputado consiste en asociar un nombre y apellidos con un vehículo determinado, con el que se habían cometido determinadas infracciones de tráfico, y tal asociación de datos de carácter personal era claramente inexacta como el propio recurrente reconoce, ya que la persona a la que corresponden el nombre y apellidos facilitados al Ayuntamiento no era conductora de tal vehículo…>>. En este caso, ha quedado acreditado que el Ayuntamiento de Murcia remitió a la empresa GOLDCAR una comunicación relativa a una infracción cometida por el vehículo matrícula G.G.G. propiedad de la citada empresa, requiriéndole la identificación del conductor que lo había utilizado el mismo día que se cometió la infracción (estacionamiento en lugar limitado y controlado careciendo de distintivo de residente). Asimismo, consta que con este motivo, con fecha 31/03/2014, la empresa GOLDCAR facilitó al Ayuntamiento de Murcia la identificación del nombre y apellidos del conductor autor de la infracción reseñada en el hecho probado sexto, junto con su número de DNI, datos que coinciden con los del denunciante, señalándolo como conductor de dicho vehículo en el momento en que se cometió la infracción señalada en cumplimiento de la obligación legal de identificar al conductor dispuesta en el Real Decreto Legislativo 339/1990, de 20 de marzo, por el que se aprueba el texto articulado de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial. Esta comunicación de datos efectuada por GOLDCAR dio lugar a que se iniciara expediente sancionador contra el denunciante, a consecuencia de la infracción cometida con el vehículo con matrícula número G.G.G., siéndole notificada resolución por el que se le imponía una sanción de 30 euros. GOLDCAR era consciente de la información que se facilitaba a la entidad municipal en cumplimento de la obligación legal de identificar al conductor en una infracción de tráfico. Sin embargo, la comunicación de los datos del denunciante, nombre y apellidos, su DNI y domicilio, se realizó por GOLDCAR a pesar de que el mismo no había sido conductor del vehículo citado ni mantuvo relación contractual alguna con esta entidad, la luz del contrato aportado al expediente, cuya firma no corresponde con la del denunciante. Por otra parte, GOLDCAR no ha justificado el origen y utilización de los datos personales del denunciante que figuraban en sus ficheros; dichos datos fueron incorporados a un contrato de alquiler del vehículo con el que se cometió la infracción, donde constan en el epígrafe Cliente el nombre y apellidos, DNI, domicilio y fecha de nacimiento del denunciante. Sin embargo, en la copia de este contrato aportada a las actuaciones previas figura una firma que no coincide con la del denunciante. Además, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 GOLDCAR no aportó ninguna documentación recabada por la misma que acreditase la personalidad del contratante para asegurarse sobre la certeza de los datos incluidos en el citado documento. En este sentido, la A.N. ha señalado en numerosas sentencias entre otras la de fecha 14/05/2015: ”Es importante señalar que en este caso ha existido una clara falta de diligencia y ello pues habría sido fácil para la recurrente, antes de dar de alta la línea a nombre de la denunciante, comprobar que disponía del DNI de la que aparecía como titular de la línea y ello puesto que no obrar de este modo supone una desatención máxima a la obligación de cuidado; nótese que no se ha podido aportar, por ejemplo, el documento firmado o la fotocopia (aunque hubiera sido alterado) del DNI con el que se produjo el alta de la línea. Es decir, la parte recurrente dio de alta dos líneas sin disponer de ninguna documentación ni grabación ni ninguna clase de soporte para justificar dicho alta y esa actuación es claramente contraria a las mínimas exigencias de una diligencia básica en relación a una empresa dedicada a la contratación de líneas de teléfono”. A pesar de ello, GOLDCAR señaló al denunciante como autor de la infracción cometida en fecha 28/01/2014 con el vehículo con matrícula número G.G.G., propiedad de la citada entidad en esa fecha. Así, los datos comunicados por GOLDCAR al Ayuntamiento de Murcia no respondían con veracidad y exactitud a la situación del afectado o denunciante en la fecha en que tuvo lugar la infracción de tráfico. GOLDCAR es la entidad responsable de que los datos personales del denunciante se asociaran a dicha infracción de tráfico y se siguiera contra el mismo el expediente sancionador respectivo, en virtud de la denuncia efectuada por el agente controlador del servicio ORA por infracción a lo dispuesto en el artículo 9 de la Ordenanza de Regulación y Control del Estacionamiento en diversas Vías Públicas de la ciudad de Murcia y en el artículo 94 del Reglamento General de Circulación para la aplicación y desarrollo del texto articulado de la Ley sobre tráfico, circulación de vehículos a motor y seguridad vial, aprobado por el Real Decreto Legislativo 339/1990, de 2 de marzo, el día 28/01/2014 por estacionar en lugar limitado y controlado por ORA careciendo de distintivo especial de residente, dictándose resolución el 17/07/2014 por la que se imponía multa de 30 euros. En consecuencia, los datos personales del denunciante fueron indebidamente asociados al vehículo citado, señalándolo como conductor del mismo y autor de la infracción cometida. Esto constituye una vulneración del principio de calidad de datos plenamente imputable a la entidad GOLDCAR, que conocía el destino de esa información, así como las consecuencias que se derivarían de su conducta y, a pesar de ello, no adoptó ninguna cautela para asegurarse de la exactitud de los datos que facilitaba. GOLDCAR actuó con falta de diligencia, de acuerdo a la normativa de protección de datos. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, GOLDCAR incumplió el mandato legal de que los datos respondan con exactitud a la situación real del denunciante, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD, y es responsable de que se comunicaran datos inexactos del mismo al Ayuntamiento de Murcia. Tales hechos constituyen una vulneración de lo dispuesto en el artículo 4.3 de la LOPD de la que ha de responder la entidad GOLDCAR conforme a las circunstancias expresadas. V La vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.
  5. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
  6. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
  7. c)de la LOPD por parte de GOLDCAR, que trató datos inexactos del denunciante, al comunicar tales datos a la autoridad de tráfico, señalándolo como conductor del vehículo con el que se cometió una infracción de tráfico, a pesar de que ha quedado acreditado que el denunciante no era el conductor de dicho vehículo en el momento en que se cometió dicha infracción, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. El principio de calidad de los datos se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. Concretamente, por lo que ahora interesa, el artículo 4.3 de la LOPD recoge el citado principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados. Por tanto, la conducta de GOLDCAR vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de datos inexactos del denunciante, lo que encuentra su tipificación en el artículo 44.3.
  8. c)de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 VI El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. GOLDCAR ha solicitado el archivo del expediente y subsidiariamente la aplicación del artículo 45.5 apartado
  24. a)de la LOPD como consecuencia de la concurrencia de varios criterios del artículo 45.4 de la LOPD, aplicando la escala relativa a la clase de infracciones que preceda en gravedad a la considerada en este caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 En relación con el archivo solicitado por GOLDCAR, dicha pretensión no puede ser aceptada, a la vista de los hechos probados en el procedimiento. Hay que señalar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que GOLDCAR ha vulnerado el artículo 4.3 de la LOPD, al informar los datos de carácter personal del denunciante al Ayuntamiento de Murcia, señalándolo como conductor del vehículo con el que se cometió una infracción de tráfico, consecuencia del estacionamiento en un lugar limitado y controlado careciendo de distintivo de residente, a pesar de que no disponía de la documentación necesaria que acreditara la contratación del vehículo sancionado matricula G.G.G. propiedad de la citada empresa. GOLDCAR aporta contrato de alquiler en el que constan los datos personales del afectado; sin embargo, la firma no coincide con la del denunciante y tampoco ha aportado documento alguno acreditativo de la personalidad del contratante que asegurase la certeza de los datos incluidos en el citado documento, por lo que la actuación de GOLDCAR ha de ser objeto de sanción. En este sentido, la A.N. ha señalado en numerosas sentencias entre otras la de fecha 14/05/2015: ”Es importante señalar que en este caso ha existido una clara falta de diligencia y ello pues habría sido fácil para la recurrente, antes de dar de alta la línea a nombre de la denunciante, comprobar que disponía del DNI de la que aparecía como titular de la línea y ello puesto que no obrar de este modo supone una desatención máxima a la obligación de cuidado; nótese que no se ha podido aportar, por ejemplo, el documento firmado o la fotocopia (aunque hubiera sido alterado) del DNI con el que se produjo el alta de la línea. Es decir, la parte recurrente dio de alta dos líneas sin disponer de ninguna documentación ni grabación ni ninguna clase de soporte para justificar dicho alta y esa actuación es claramente contraria a las mínimas exigencias de una diligencia básica en relación a una empresa dedicada a la contratación de líneas de teléfono”. No obstante, concurren algunos de los criterios que el artículo 45.4 de la LOPD enumera con el objeto de graduar la cuantía de la sanción, por lo que al amparo de lo establecido en el artículo 45.5.
  25. a)de la LOPD, que alude a “(…) una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”, justifica que se aprecie a favor de la denunciada la “atenuante privilegiada” prevista en la mencionada disposición. Entre tales circunstancias hay que destacar el apartado
  26. b)volumen de tratamientos efectuados, al haberse producido una única comunicación errónea
  27. e)ausencia de beneficios, ya que para la entidad denunciada no se ha derivado beneficio económico alguno,
  28. i)la acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, lo que permite establecer una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. No obstante, en relación con los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, se aprecia como circunstancia agravante la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 vinculación de su actividad con la realización de tratamientos de datos de carácter personal, apartado
  29. c)del artículo 45.4 de la LOPD), pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales; además, no ha quedado acreditado el origen de los datos personales del denunciante utilizados por la entidad imputada, debiendo extremar el cuidado en la actualización de sus ficheros ajustando su práctica a las previsiones legales, pues está en juego la salvaguarda de un derecho fundamental.. Por tanto, valorados los criterios de graduación de las sanciones establecidas en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 10.000, por vulneración del artículo 4.3 de la LOPD, de la que GOLDCAR debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GOLDCAR SPAIN SL, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  30. c)de la LOPD, una multa de 10.000 € (diez mil euros), de conformidad con lo establecido en el artículo 44.5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a GOLDCAR SPAIN SL, y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.