1/8 • Expediente N.º: EXP202509478 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos, de fecha 18 de junio de 2025, y teniendo como base los siguientes HECHOS PRIMERO: En fecha 12 de mayo de 2025, tuvo entrada en esta Agencia una reclamación formulada por la parte recurrente contra DIRECCIÓN GENERAL DE TRÁFICO, en la que exponía que la parte reclamada le envió una carta postal solicitando la identificación del conductor responsable de la infracción cometida con un vehículo de su propiedad. Según afirmaba, en el citado documento consta la localización de la persona que cometió la infracción. En la reclamación señalaba que la localización es un dato de carácter personal, destacando a su vez que el conocimiento de su localización puede acarrear serios problemas a la persona infractora. Por ello, concluía que la comunicación a terceros de datos de carácter personal de una persona sin el consentimiento expreso de esta infringe la normativa de protección de datos. Junto a la reclamación no aportaba ninguna documentación al respecto de lo planteado. SEGUNDO: En fecha 18 de junio de 2025, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos, acordando la inadmisión a trámite de la reclamación. La resolución fue notificada en fecha 18 de junio de 2025, según acuse de recibo que figura en el expediente. TERCERO: En fecha 28 de junio de 2025, la parte recurrente ha presentado un escrito, registrado en la Agencia en fecha 30 de junio de 2025, en el que alega que la información relativa a la localización de una persona forma parte del conjunto de datos protegidos por el artículo 4 del Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD) y que debe respetarse el principio de confidencialidad, siendo prohibida su comunicación a un tercero, salvo en los supuestos permitidos por la Ley. La parte recurrente manifiesta que la parte reclamada ha comunicado los datos de localización de una persona a un tercero, sin darse las condiciones enumeradas en el artículo 6 del RGPD. En este sentido, destaca que, de la petición de la identificación del conductor del vehículo, se deduce que la parte reclamada no tenía información que le permitiera discernir si el conductor del vehículo era la misma persona que el propietario del mismo (aunque en este caso particular el propietario y la persona infractora era la misma persona), por lo que la parte reclamada comunicó a un tercero (el propietario del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 vehículo) los datos de localización de otra persona (la persona que cometió la infracción). La parte recurrente declara que, en ningún momento, ha dado consentimiento explícito a la parte reclamada, a sus organismos dependientes, o a ninguna persona integrante de ese organismo a facilitar información de su localización a un tercero. A su vez, significa que la información de su localización no es necesaria para la obligación legal de identificar a un conductor, ya que los datos del momento temporal en el que se produjo la infracción de tráfico (dato que no es de carácter personal) son suficientes para la identificación del conductor por parte del propietario. Junto al recurso aporta la carta remitida por la parte reclamada para solicitar al titular del vehículo infractor la identidad del conductor responsable. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Fundamentos de la resolución recurrida En relación con las manifestaciones efectuadas en el recurso, que reiteran básicamente las ya realizadas en el escrito de reclamación, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, cuyos fundamentos continúan plenamente vigentes, tal y como se transcriben a continuación: “El principio de integridad y confidencialidad, recogido en el apartado 1.
- f)del artículo 5 del Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), prevé que los datos se traten de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. El artículo 32 del RGPD señala que el responsable y el encargado del tratamiento deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta para ello el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. Entre las medidas aplicadas debe incluirse un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 Para evaluar la adecuación del nivel de seguridad deben tenerse particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que una norma le obligue a ello. El artículo 5 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, prevé asimismo que todas las personas que intervengan en cualquier fase del tratamiento estarán sujetas al deber de confidencialidad. Esta obligación general será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. Las obligaciones se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento. Debe saber, a este respecto, que el derecho de acceso regulado en la normativa de protección de datos no habilita, con carácter general, a conocer la identidad de las personas concretas de la organización del responsable que pudieran haber tenido acceso a datos personales, así como tampoco ampara conocer los accesos internos realizados por determinadas personas en el ejercicio de sus funciones. En el presente caso, no se aprecian elementos con el suficiente valor probatorio que permitan deducir una vulneración de la confidencialidad o que las medidas técnicas y organizativas aplicadas a los datos personales de la parte reclamante no sean las apropiadas para garantizar un nivel de seguridad adecuado al riesgo. No obstante, si dispone de documentos adicionales que puedan acreditar lo contrario puede presentar una nueva reclamación. Las reclamaciones se presentarán preferentemente de forma telemática, cumplimentando necesariamente el formulario de reclamación accesible en la sede electrónica de la Agencia Española de Protección de Datos, sin perjuicio de lo dispuesto en los artículos 14 y 16.4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). El artículo 5 de la LPACAP establece que, para formular solicitudes, presentar declaraciones responsables o comunicaciones, interponer recursos, desistir de acciones y renunciar a derechos en nombre de otra persona, deberá acreditarse la representación. La representación podrá acreditarse mediante cualquier medio válido en Derecho que deje constancia fidedigna de su existencia. A estos efectos, se entenderá acreditada la representación realizada mediante apoderamiento apud acta efectuado por comparecencia personal o comparecencia electrónica en la correspondiente sede electrónica, o a través de la acreditación de su inscripción en el registro electrónico de apoderamientos de la Administración Pública competente. Si la representación se otorgó con firma electrónica, se aportará necesariamente en la reclamación un documento que permita confirmar la validez de la firma estampada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 La normativa de protección de datos pone a disposición de los afectados varios mecanismos para la resolución de las cuestiones relativas al tratamiento de sus datos personales. Si alberga dudas al respecto o desea ejercitar sus derechos puede, a través de los canales de contacto expresamente previstos, dirigirse directamente al responsable del tratamiento. En el caso de que el responsable no haya resuelto las cuestiones planteadas, puede alcanzar una solución amistosa, poniéndose en contacto con el Delegado de Protección de Datos (DPD) que, en su caso, haya designado el responsable o el encargado de tratamiento, entre cuyas funciones figura la de supervisar en su ámbito el cumplimiento de la normativa de protección de datos. También puede, sin perjuicio de las acciones ejercitables ante los Tribunales de Justicia, hacer uso de los mecanismos de mediación, procedimientos extrajudiciales y otros procedimientos de resolución de conflictos previstos para resolver las controversias surgidas con los responsables del tratamiento. A través de www.aepd.es puede obtener información adicional, incluyendo formularios para el ejercicio de sus derechos. También puede consultar la Resolución de la AEPD de 29 de junio de 2023 (BOE núm. 163/2023, de 10 de julio), donde se detallan los requisitos establecidos en los distintos modelos de presentación de reclamaciones. En el presente caso, tras el análisis realizado sobre los documentos aportados y las circunstancias concurrentes, no se aprecian indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, por lo que, de acuerdo con lo previsto en el artículo 65.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, SE ACUERDA inadmitir la reclamación.” III Contestación a las alegaciones presentadas Debe señalarse, en primer lugar, que el artículo 118.1 de la LPACAP establece que “No se tendrán en cuenta en la resolución de los recursos, hechos, documentos o alegaciones del recurrente, cuando habiendo podido aportarlos en el trámite de alegaciones no lo haya hecho”. En este sentido, la documentación que se aporta ahora junto al recurso podía haber sido aportada junto a la reclamación original, en la medida en que ya obraba en manos de la parte reclamante en aquel momento, y hubiera servido para poder determinar con absoluta precisión cuáles fueron los términos y alcance de la reclamación inicial. No cabe valorar en la presente fase de recurso, por tanto, las informaciones y los documentos que, pudiendo haberse acompañado a la reclamación, no fueron aportados en esa fase para que la Agencia pudiera determinar si constituían verdaderos indicios racionales de infracción. No obstante, debe señalarse que la documentación ahora aportada tampoco habría modificado el sentido de la resolución dictada. De acuerdo con lo previsto en el artículo 6.1 del RGPD, se considera lícito el tratamiento de datos personales, si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. El artículo 8 de la LOPDGDD prevé que el tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.
- c)del RGPD, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del RGPD. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1
- e)del RGPD, cuando derive de una competencia atribuida por una norma con rango de ley. El texto refundido de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial (TRTV), aprobado por el Real Decreto Legislativo 6/2015, de 30 de octubre, prevé en el artículo 86.1 que el procedimiento sancionador se incoará de oficio por la autoridad competente que tenga noticia de los hechos que puedan constituir infracciones tipificadas en esta ley, por iniciativa propia o mediante denuncia de los agentes de la autoridad encargados de la vigilancia del tráfico en el ejercicio de las funciones que tienen encomendadas o de cualquier persona que tenga conocimiento de los hechos. El artículo 87.2 determina que en las denuncias por hechos de circulación deberá constar, en todo caso:
- a)la identificación del vehículo con el que se haya cometido la presunta infracción,
- b)la identidad del denunciado, si se conoce,
- c)una descripción sucinta del hecho, con expresión del lugar o tramo, fecha y hora,
- d)el nombre, apellidos y domicilio del denunciante o, si es un agente de la autoridad o un empleado que sin tener esa condición realiza tareas de control de zonas de estacionamiento regulado, su número de identificación profesional aportado por la administración competente. El artículo 82 del TRTV dispone que la responsabilidad por las infracciones a lo dispuesto en esta ley recaerá directamente en el autor del hecho en que consista la infracción. No obstante, el apartado
- d)establece que en los supuestos en que no tenga lugar la detención del vehículo y este no tuviese designado un conductor habitual, será responsable el conductor identificado por el titular o el arrendatario a largo plazo, de acuerdo con las obligaciones impuestas en el artículo 11. El artículo 11.
- a)determina que el titular del vehículo tiene la obligación de facilitar a la Administración la identificación del conductor del vehículo en el momento de cometerse una infracción. El artículo 93.1 del citado texto refundido, prevé que, notificada la denuncia, ya sea en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 acto o en un momento posterior, el denunciado dispondrá de un plazo de veinte días naturales para realizar el pago voluntario con reducción de la sanción de multa, o para formular las alegaciones y proponer o aportar las pruebas que estime oportunas. En el supuesto de que no se haya producido la detención del vehículo, el titular, el arrendatario a largo plazo o el conductor habitual, en su caso, dispondrán de un plazo de veinte días naturales para identificar al conductor responsable de la infracción, contra el que se iniciará el procedimiento sancionador. De la documentación aportada junto al recurso se desprende que los datos controvertidos han sido tratados por la parte reclamada en el ejercicio de las competencias que tiene atribuidas, no desprendiéndose del citado tratamiento infracción alguna de la normativa de protección de datos, particularmente del principio de confidencialidad, como se señalaba en la resolución recurrida. El artículo 64 de la LOPDGDD, que regula la forma de iniciación de los procedimientos en caso de posible vulneración de la normativa de protección de datos y su duración, prevé, en su apartado 1, que si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de la ley orgánica, tanto si el procedimiento se refiere exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, como si tiene por objeto la determinación de la posible existencia de alguna otra infracción de lo dispuesto en el RGPD y en la ley orgánica. El artículo 65 de la LOPDGDD, sobre la admisión a trámite de las reclamaciones, establece que, cuando se presentase ante la Agencia Española de Protección de Datos una reclamación, esta deberá evaluar su admisibilidad a trámite, de conformidad con las previsiones de este artículo, inadmitiendo las reclamaciones presentadas cuando, en particular, no aporten indicios racionales de la existencia de una infracción. A este respecto, señala el artículo 77.1 de la LPACAP: “Los hechos relevantes para la decisión de un procedimiento podrán acreditarse por cualquier medio de prueba admisible en Derecho, cuya valoración se realizará de acuerdo con los criterios establecidos en la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil”. Y el artículo 283.2 de la Ley 1/2000 establece: “Tampoco deben admitirse, por inútiles, aquellas pruebas que, según reglas y criterios razonables y seguros, en ningún caso puedan contribuir a esclarecer los hechos controvertidos”. En la resolución que se pretende impugnar se concluía que, del análisis realizado sobre los documentos aportados y las circunstancias concurrentes, no se apreciaban indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Por esta razón, no se consideró preciso el uso de los poderes correctivos atribuidos a la Agencia en el apartado 2 del artículo 58 del RGPD y en el artículo 47 de la LOPDGDD, no resultando procedente el inicio de un procedimiento en el que pudiera acordarse la obligación de atender un derecho solicitado, ni la realización de actuaciones de investigación con carácter previo al inicio de un procedimiento para el ejercicio de la potestad sancionadora. Las citadas apreciaciones no se han visto alteradas al analizar las alegaciones formuladas a través del recurso de reposición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 La Audiencia Nacional, en Sentencia de 15 de marzo de 2023 (rec. 1736/2021), ha considerado: “En cuanto al fondo de la controversia y si bien es cierto que la AEPD no llevó a cabo actuación ni investigación ninguna, y se limitó a analizar la denuncia y la documentación adjuntada con la misma dictando, sin más, una resolución de inadmisión, tal posibilidad así se prevé en el artículo 65 de la LO 3/2018, […] Precepto que contempla una inadmisión a limine, es decir, de oficio y en un momento inicial, sin analizar el fondo de la posible controversia planteada y sin necesidad de ninguna otra actuación en los supuestos, entre otros, en que la cuestión planteada carezca manifiestamente de fundamento. Considera esta Sala, por otra parte, y contrariamente a lo argumentado en la demanda, que la resolución impugnada sí se encuentra suficientemente motivada en cuan[t]o da adecuada respuesta a las razones que llevan a dicha AEPD a tomar la decisión de inadmitir la reclamación basada[s], esencialmente, en no existir indicio alguno de un tratamiento ilegitimo de datos personales del reclamante, […]”. En Sentencia de 28 de septiembre de 2023 (rec. 21/2022), la Audiencia Nacional ha valorado asimismo que: <<La presentación de una reclamación ante la Agencia Española de Protección de Datos no determina, sin más, la iniciación de alguno de los procedimientos contemplados en la LOPDGDD sino que, conforme a lo dispuesto en el artículo 65.1, la Agencia está obligada (“deberá” dice el texto legal) a evaluar su admisibilidad y está obligada a inadmitir determinada clase de reclamaciones (art. 65.2) o puede inadmitir otras (art. 65.3). Así, una decisión de inadmisión no supone necesariamente dejación de funciones o falta de uso de los poderes atribuidos a la Agencia de Protección de Datos por el artículo 47 de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, en relación con los artículos 57 y 58 del RGPD, pues tales poderes y facultades han de ejercitarse en la forma establecida en dichas normas; al respecto, el art. 57.4 (RGPD) permite adoptar una decisión de no actuar en relación a las solicitudes que sean manifiestamente infundadas; por su parte, el artículo 64.2 de la LOPDGDD dispone que, “si el procedimiento se fundase en una reclamación formulada ante la AEPD, con carácter previo ésta decidirá sobre su admisión a trámite”. En este marco, las reclamaciones presentadas deben aportar cuantos datos puedan apoyar su realidad, las circunstancias de hecho que las rodean y su relación con la normativa de protección de datos de modo que la Agencia disponga de los elementos necesarios para hacer esa evaluación previa a la que le obliga la ley…>> IV Conclusión Por tanto, dado que, en el presente recurso de reposición, no se han aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, y que la finalidad del recurso es revisar la legalidad de la actuación administrativa, procede acordar su desestimación. V Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada en fecha 18 de junio de 2025, acordando la inadmisión a trámite de la reclamación en el expediente n.º EXP202509478. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid 868-071125 www.aepd.es sedeaepd.gob.es