← España

REPOSICION-PS-00190-2014

1/13 Procedimiento nº.: PS/00190/2014 ASUNTO: Recurso de Reposición Nº RR/00790/2014 Examinado el recurso de reposición interpuesto por la entidad Vehicles and Aluminium on the Ground, S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00190/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha de 16/07/2012, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a la entidad BBVA Autorenting, S.A., con la que no ha tenido relación alguna, por haber facilitado sus datos personales al Ayuntamiento de Madrid señalándolo como conductor de un vehículo con el que se cometió una infracción de tráfico en fecha 09/04/

  1. Añade que sus datos personales fueron facilitados a BBVA Autorenting, S.A. por Autorola Spain, S.L. SEGUNDO: A la vista de los hechos denunciados, por la Agencia Española de Protección de Datos se iniciaron actuaciones previas de investigación señaladas con el núm. E/05291/2012, que fueron archivadas por resolución del Director de fecha 30/07/2013, por el transcurso del plazo de doce meses establecido como duración máxima de dichas actuaciones en el artículo 122 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, a contar desde la fecha de la denuncia. TERCERO: En la resolución de 30/07/2013 reseñada en el Antecedente Segundo se acordó, asimismo, el inicio de nuevas actuaciones de investigación, para lo que se abrió el expediente E/04472/2013, al no estimar prescrita la presunta infracción a la LOPD denunciada y para proceder a seguir recabando la información necesaria a las entidades implicadas. El resultado de estas nuevas actuaciones previas de investigación determinó la apertura del procedimiento sancionador de referencia, señalado con el núm. PS/00190/2014, que tuvo lugar mediante acuerdo de 07/04/2014, notificado a Vehicles and Aluminium on the Ground, S.L. el 10/04/
  2. CUARTO: Con fecha 29/09/2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00190/2014, en virtud de la cual se imponía a la entidad Vehicles and Aluminium on the Ground, S.L., una sanción de 4.000 euros (cuatro mil euros), por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, notificada en fecha 02/10/2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 QUINTO: Como hechos probados del citado procedimiento sancionador, PS/00190/2014, quedó constancia de los siguientes: <<
  3. Con fecha 11/04/2012, la entidad Vehicles and Aluminium adquirió el vehículo con matrícula B.B.B. de la entidad Autorola Spain, S.L., que a su vez lo compró a la entidad BBVA Autorenting, S.A.
  4. Con fecha 19/04/2012, se cometió una infracción de tráfico con el vehículo reseñado en el Hecho Probado Primero.
  5. Con fecha 01/06/2012, el denunciante compró a la entidad Vehicles and Aluminium el vehículo con matrícula B.B.B..
  6. La infracción de tráfico reseñada en el Hecho Probado Segundo dio lugar a la emisión por el Ayuntamiento de Madrid de una notificación de denuncia y e incoación de expediente sancionador, de fecha 11/06/2012, que fue remitida a la entidad BBVA Autorenting, S.A.
  7. Con fecha 27/06/2012, mediante correo electrónico, la entidad BBVA Autorenting, S.A. solicitó a la entidad Autorola Spain, S.L. la identidad del titular del vehículo con matrícula B.B.B. con el que se cometió la infracción reseñada en el Hecho probado Segundo. En la misma fecha y por el mismo medio, la entidad Autorola Spain, S.L. solicitó dicha información a la entidad Vehicles and Aluminium, que facilitó a la misma los datos personales del denunciante señalándolo como conductor del vehículo en el momento en que se cometió la citada infracción de tráfico, también mediante correo electrónico de la misma fecha indicada (27/06/2012). En este correo remitido por Vehicles and Aluminium a Autorola Spain, S.L. se indica lo siguiente: “El conductor y propietario de este coche es D… (nombre y apellidos del denunciante) con domicilio en calle… localidad… provincia…, DNI…”.
  8. Mediante escrito de fecha 27/06/2012, la entidad BBVA Autorenting, S.A. informó al denunciante sobre el requerimiento de información efectuado por el Ayuntamiento de Madrid para la identificación del conductor del vehículo matricula B.B.B. con motivo de una infracción de tráfico cometida el día 19/04/2012, señalando que ha facilitado los datos del denunciante en cumplimiento de la obligación legal de identificar al responsable de una infracción de tráfico.
  9. Con fecha 10/07/2012, la entidad BBVA Autorenting, S.A. remitió un correo electrónico a la entidad Autorola Spain, S.L. informando a la misma sobre una llamada recibida del denunciante en la que éste manifestó que no era el conductor del vehículo en el momento en que se cometió la infracción de tráfico reseñada en el Hecho Probado Segundo.
  10. Mediante correo electrónico de fecha 11/07/2012, la entidad Autorola Spain, S.L. solicitó a Vehicles and Aluminium confirmación de los datos del titular del vehículo con matrícula B.B.B. en el momento en que se cometió la infracción de tráfico reseñada en el Hecho Probado Segundo. Vehicles and Aluminium respondió mediante correo electrónico de fecha 12/07/2012, en el que asume el error cometido al facilitar los datos del denunciante y aporta los correspondientes a un tercero, identificando a éste como el conductor que efectivamente cometió la infracción. En este correo remitido por Vehicles and Aluminium a Autorola Spain, S.L. se indica lo siguiente: “… es cierto que la multa no es del señor ya que ha sido una equivocación por nuestra parte a la hora de la identificación, ya que de la fecha de la infracción a la venta que le hicimos del coche al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 señor pasaron unos días solamente y dimos por hechos que fue él, siendo nosotros los infractores”.
  11. Con fecha 13/07/2012, la entidad BBVA Autorenting, S.A. remitió un escrito al denunciante, en respuesta a una reclamación de éste, en el que se indica lo siguiente: “… Queremos comentarle que a la recepción del requerimiento de datos por parte del Ayuntamiento de Madrid, por sanción por circular por zona restringida de fecha 19/04/2012, verificamos que a fecha de infracción el vehículo matrícula B.B.B. ya no era de nuestra propiedad, ya que fue vendido a nuestro comprador AUTOROLA, por lo que según protocolo se procedió a la solicitud de datos del conductor al comprador. Fue AOTOROLA quien nos aportó por escrito sus datos, por lo que a su recepción se procedió a su identificación, entendiendo por nuestra parte que los datos aportados por el comprador del vehículo eran veraces y contaban con su consentimiento… A la recepción de su escrito nos hemos vuelto a poner en contacto con AUTOROLA para que nos explicasen lo ocurrido y tras verificar que no era Ud. El propietario del vehículo a fecha de infracción, nos han informado que a ellos se les ha facilitado de forma errónea sus datos. Hemos dado orden de abonar la sanción…”.
  12. Con fecha 16/07/2012, el Ayuntamiento de Madrid remitió al domicilio del denunciante una notificación de denuncia y e incoación de expediente sancionador por la infracción cometida con el vehículo matrícula B.B.B. en fecha 19/04/2012>>. SEXTO: Con fecha 20/10/2014, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad Vehicles and Aluminium on the Ground, S.L. (en lo sucesivo la recurrente), recibido en esta Agencia Española de Protección de Datos en fecha 22/10/2014, en el que solicita que se declare la caducidad de las actuaciones previas por el transcurso del plazo de doce meses establecido como duración máxima de las mismas en el artículo 122 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 diciembre, considerando que la denuncia se interpone el 16/07/2012 y el acuerdo de apertura del procedimiento impugnado (PS/00190/2014) no tuvo lugar hasta el 11/04/2014, casi dos años después. Por otra parte, considera que la infracción ha prescrito, una vez se anule el procedimiento sancionador y la resolución impugnada por la declaración de caducidad de las actuaciones previas. En este caso, se imputa una infracción grave cometida el 27/06/2012, que prescribe a los dos años contados desde esa fecha, conforme a lo establecido en el artículo 47 de la LOPD. Subsidiariamente, insiste en la falta de responsabilidad de la entidad recurrente, por las mismas razones ya alegadas durante la tramitación del procedimiento, que se reproducen literalmente en el escrito de recurso. Vehicles and Aluminium considera que no existe prueba de que haya comunicado los datos al Centro de Tratamiento de Denuncias que se indica en la propuesta de resolución, sino únicamente un correo remitido en fecha 27/06/2012 a la entidad Autorola Spain, S.L., y que consta en el expediente que la comunicación de los datos del denunciante se realizó por BBVA Autorenting, S.A. Reitera nuevamente que en la fecha en que comunica los datos el denunciante era el titular del vehículo, por lo que la información facilitada responde al principio de calidad de datos y que, posteriormente, es BBVA Autorenting, S.A. quien los utiliza con infracción de dicho principio al identificar al titular del vehículo con el conductor en el momento en que se cometió la infracción de tráfico, desprendiéndose una total falta de diligencia por su parte a la hora de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 comprobar el origen de los datos y su veracidad. Finalmente, invoca los principios de culpabilidad y proporcionalidad y solicita la imposición de una multa por el importe mínimo previsto conforme a las mismas alegaciones planteadas durante la tramitación del procedimiento, como son el reducido número de datos tratados, la inexistencia de beneficios y los escasos perjuicios causados, así como el hecho de que el denunciante era el titular del vehículo en la fecha en que se solicita la información a la entidad. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La recurrente solicita que se declare la caducidad de las actuaciones previas por el transcurso del plazo de doce meses establecido como duración máxima de las mismas en el artículo 122 del Reglamento de desarrollo de la LOPD, contados desde la interposición de la denuncia, que tuvo lugar el 16/07/2012, y hasta el acuerdo de apertura del procedimiento el 11/04/2014, casi dos años después. El artículo 122 del citado Reglamento establece lo siguiente: “Artículo
  13. Iniciación.
  14. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso.
  15. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano.
  16. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador.
  17. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 La norma de desarrollo reglamentario ha limitado el plazo temporal para la realización de actuaciones inspectoras incrementando las garantías de los responsables de ficheros de tratamientos. En este caso, con fecha 16/07/2012 se formuló denuncia que motivó la iniciación actuaciones previas de investigación señaladas con el núm. E/05291/2012, que fueron archivadas por resolución del Director de fecha 30/07/2013, por el transcurso del plazo de doce meses reseñado, a contar desde la fecha de la denuncia. No obstante, para seguir recabando la información necesaria, en la citada resolución de 30/07/2013 se acordó, asimismo, el inicio de nuevas actuaciones de investigación, para lo que se abrió el expediente E/04472/2013, cuyo resultado determinó la apertura del procedimiento sancionador de referencia, señalado con el núm. PS/00190/2014, que tuvo lugar mediante acuerdo de 07/04/2014, notificado a Vehicles and Aluminium on the Ground, S.L. el 10/04/
  18. Por tanto, cuando se dicta el acuerdo de apertura y se lleva a cabo su notificación a la imputada no había transcurrido el plazo de doce meses de las actuaciones previas E/04472/2013, acordadas mediante resolución de 30/07/
  19. Respecto de la apertura de un nuevo procedimiento, el Tribunal Supremo, en Sentencia de 12 de junio de 2003 (RJ 2003, 4602) dictada en un recurso de casación en interés de ley, fijó la siguiente doctrina legal: “La declaración de caducidad y archivo de actuaciones establecidas para los procedimientos en que la administración ejercite potestades sancionadoras, art. 44.2 LRJPAC no extinguen la acción de la administración para ejercitar las potestades aludidas en este precepto, siéndoles plenamente aplicable el art. 92.3 de la misma ley”. Con anterioridad a esta Sentencia, la jurisprudencia del alto Tribunal, se había ya mostrado decididamente partidaria de la posibilidad de reinicio de un nuevo expediente sancionador para el caso de que la infracción no haya prescrito (STS 16 de julio de 2001, 29 de octubre de 2001, 5 de noviembre de 2001, o 5 de diciembre de 2001). Tampoco se ha producido la prescripción de la infracción alegada por la recurrente. Conforme dispone el artículo 47.1 de la LOPD, las infracciones graves (entre las que se encontraría la cometida en este caso) prescriben a los dos años, computándose este plazo, según el citado artículo en su apartado 2, desde el día en que la infracción se hubiera cometido. Como señala el artículo 132.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, “El plazo de prescripción de las infracciones comenzará a contarse desde el día que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador”. La entidad Vehicles and Aluminium on the Ground, S.L. facilitó los datos personales del denunciante, incumpliendo el principio de calidad de datos, mediante correo electrónico de 27/06/2012 dirigido a la entidad Autorola Spain, S.L., señalándolo como conductor del vehículo en el momento en que se cometió la infracción de tráfico en cuestión. Y la iniciación de expediente sancionador se formalizó mediante acuerdo de 07/04/2014, notificado a la recurrente el 10/04/2014, con anterioridad al cumplimiento del plazo de dos años previsto en el artículo 47.1 de la LOPD. Por otra parte, cabe señalar que las excepciones invocadas por la recurrente, sobre la caducidad de las actuaciones previas de investigación y la prescripción de la infracción, no fueron alegadas durante la tramitación del procedimiento impugnado. A este respecto, el artículo 112 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 la LRJPAC establece que no se tendrán en cuenta en la resolución de los recursos hechos, documentos o alegaciones del recurrente, cuando habiendo podido aportarlos en el trámite de alegaciones no lo hubiese hecho. III En relación con las manifestaciones efectuadas por la entidad recurrente, que reproducen, básicamente, las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a IV de la Resolución recurrida, R/02165/2014, de 29/09/2014, en la que se considera que la entidad Vehicles and Aluminium on the Ground, S.L. incumplió lo dispuesto en el artículo 4.3 de la LOPD y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indica lo siguiente: <<II Se imputa en el presente procedimiento a la entidad Vehicles and Aluminium una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado, como ocurre en el caso enjuiciado, en el que se han incoado indebidamente al denunciante hasta siete procedimientos sancionadores por infracciones de tráfico por parte del Ayuntamiento de Madrid… … el hecho imputado consiste en asociar un nombre y apellidos con un vehículo determinado, con el que se habían cometido determinadas infracciones de tráfico, y tal asociación de datos de carácter personal era claramente inexacta como el propio recurrente reconoce, ya que la persona a la que corresponden el nombre y apellidos facilitados al Ayuntamiento no era conductora de tal vehículo…>>. En este caso, ha quedado acreditado que el Ayuntamiento de Madrid, con fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 11/06/2012, emitió una notificación de denuncia y e incoación de expediente sancionador por una infracción de tráfico cometida con el vehículo matrícula B.B.B. en fecha 19/04/2012, que fue remitida a la entidad BBVA Autorenting, S.A., la cual había sido titular de dicho vehículo dos meses antes. Asimismo, consta que con este motivo, BBVA Autorenting, S.A. comunicó al citado Ayuntamiento los datos personales del denunciante, identificándolo como conductor de dicho vehículo en el momento en que se cometió la infracción de tráfico señalada, en cumplimiento de la obligación legal de identificar al conductor dispuesta en el Real Decreto Legislativo 339/1990, de 20 de marzo, por el que se aprueba el texto articulado de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial. Dicha comunicación, sin embargo, se realiza por la entidad BBVA Autorenting, S.A. después de haber confirmado los datos ante la entidad Autorola Spain, S.L., a la que había trasferido la titularidad del vehículo, y ésta a su vez ante Vehicles and Aluminium, que lo adquirió de Autorola Spain, S.L. en fecha 11/04/
  20. Constan incorporadas al procedimiento las copias de los correos electrónicos remitidos por BBVA Autorenting, S.A. a Autorola Spain, S.L. y por ésta a Vehicles and Aluminium, así como las respuestas respectivas, incluidas las cabeceras de Internet de todos ellos con los detalles del envío y recepción de los mismos. Concretamente, según se recoge en el Hecho Probado Quinto, con fecha 27/06/2012, mediante correo electrónico, la entidad BBVA Autorenting, S.A. solicitó a la entidad Autorola Spain, S.L. la identidad del titular del vehículo con matrícula B.B.B. con el que se cometió la infracción de tráfico reseñada. En la misma fecha y por el mismo medio, la entidad Autorola Spain, S.L. solicitó dicha información a la entidad Vehicles and Aluminium, que facilitó a la misma los datos personales del denunciante señalándolo como conductor del vehículo en el momento en que se cometió la citada infracción de tráfico, también mediante correo electrónico de la misma fecha indicada (27/06/2012). En este correo remitido por Vehicles and Aluminium a Autorola Spain, S.L. se indica lo siguiente: “El conductor y propietario de este coche es D… (nombre y apellidos del denunciante) con domicilio en calle… localidad… provincia…, DNI…”. Vehicles and Aluminium conoció que la información se facilitaba para aportarla al Ayuntamiento de Madrid en cumplimento de la obligación legal de identificar al conductor en una infracción de tráfico, considerando que el correo electrónico que le fue remitido por Autorola Spain, S.L. solicitando los datos del conductor, al que la imputada respondió con el reseñado anteriormente, detallaba el número de expediente, la fecha de la infracción (19/04/2012), el hecho denunciado, el importe de la sanción y el organismo sancionador. Por lo tanto, no es cierto lo alegado por Vehicles and Aluminium cuando señala que facilitó la identidad del titular del vehículo en el momento en que le fue requerida la información. A pesar de ello, Vehicles and Aluminium señaló al denunciante como autor de la infracción de tráfico cometida en fecha 19/04/2012 con el vehículo con matrícula número B.B.B., propiedad de la citada entidad en esa fecha, con el detalle de sus datos personales relativos a nombre, apellidos, DNI y domicilio. Así, los datos comunicados por Vehicles and Aluminium a Autorola Spain, S.L. para que fuesen trasladados al Ayuntamiento de Madrid no respondían con veracidad y exactitud a la situación del afectado o denunciante en la fecha del 19/04/2012, cuando aún no era titular del vehículo en cuestión. Se entiende que las entidades Autorola Spain, S.L. y BBVA Autorenting, S.A. consideraron correcta la información facilitada por Vehicles and Aluminium, que figuraba en los datos de facturación de aquellas como la efectiva titular del vehículo, y comunicaron al repetido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Ayuntamiento los datos del denunciante. Asimismo, Vehicles and Aluminium alega que fue BBVA Autorenting, S.A. la que informó a la autoridad que inició el expediente por infracción de tráfico. Sin embargo, según lo expuesto, Vehicles and Aluminium es la entidad responsable de que los datos personales del denunciante se asociaran a dicha infracción de tráfico y se siguiera contra el mismo el expediente sancionador respectivo, a pesar de que el vehículo en cuestión no era conducido por el denunciante (con fecha 16/07/2012, el Ayuntamiento de Madrid remitió al domicilio del denunciante una notificación de denuncia y e incoación de expediente sancionador por la infracción cometida con el vehículo matrícula B.B.B. en fecha 19/04/2012). En consecuencia, los datos personales del denunciante fueron indebidamente asociados al vehículo citado, señalándolo como conductor del mismo y autor de una infracción de tráfico cometida con anterioridad a la fecha en que adquirió dicho vehículo por compra a la entidad Vehicles and Aluminium, que era la titular del mismo en la fecha de la infracción de tráfico. Esto constituye una vulneración del principio de calidad de datos plenamente imputable a la entidad Vehicles and Aluminium. La comunicación de los datos del denunciante a la entidad Autorola Spain, S.L. para que ésta, a su vez, los trasladara a BBVA Autorenting, S.A., que había sido requerida por el Ayuntamiento de Madrid para el cumplimiento de la obligación legal de identificar al conductor de un vehículo con el que se cometió una infracción de tráfico, sin haber acreditado que el vehículo hubiese sido efectivamente conducido por el mismo, constituye una vulneración del “principio de calidad de datos” pues Vehicles and Aluminium tenía conocimiento de la inexactitud de los datos y conocía que el destino de esa información era la autoridad de tráfico, en cumplimiento de la obligación legal antes reseñada, así como las consecuencias que se derivarían de su conducta. Pruebe de ello es que, en repuesta a un correo electrónico que le fue remitido por Autorola Spain, S.L. después de que el denunciante hubiese manifestado ante BBVA Autorenting, S.A. que no era el conductor del vehículo en el momento en que se cometió la infracción de tráfico, la propia entidad Vehicles and Aluminium respondió mediante correo electrónico de fecha 12/07/2012 asumiendo el error cometido al facilitar los datos del denunciante y aportando los correspondientes a un tercero, identificando a éste como el conductor que efectivamente cometió la infracción. En este correo remitido por Vehicles and Aluminium a Autorola Spain, S.L. se indica lo siguiente: “… es cierto que la multa no es del señor ya que ha sido una equivocación por nuestra parte a la hora de la identificación, ya que de la fecha de la infracción a la venta que le hicimos del coche al señor pasaron unos días solamente y dimos por hechos que fue él, siendo nosotros los infractores”. Vehicles and Aluminium actuó con total falta de diligencia, de acuerdo a la normativa de protección de datos. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/
  21. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, Vehicles and Aluminium incumplió el mandato legal de que los datos respondan con exactitud a la situación real del denunciante, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD, y es responsable de que se comunicaran datos inexactos del mismo al Ayuntamiento de Madrid. Tales hechos constituyen una vulneración de lo dispuesto en el artículo 4.3 de la LOPD de la que ha de responder la entidad Vehicles and Aluminium conforme a las circunstancias expresadas. III La vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.c) de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves: c) Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.c) de la LOPD por parte de Vehicles and Aluminium, que trató datos inexactos del denunciante, al comunicar tales datos a la entidad Autorola Spain, S.L. para que fueran trasladados al Ayuntamiento de Madrid, señalándolo como conductor del vehículo con el que se cometió una infracción de tráfico, a pesar de que ha quedado acreditado que el denunciante no era el conductor de dicho vehículo en el momento en que se cometió dicha infracción, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. El principio de calidad de los datos se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. Concretamente, por lo que ahora interesa, el artículo 4.3 de la LOPD recoge el citado principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Por tanto, la conducta de Vehicles and Aluminium vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de datos inexactos del denunciante, lo que encuentra su tipificación en el artículo 44.3.c) de la LOPD. IV El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “
  22. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros.
  23. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “
  24. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a) El carácter continuado de la infracción. b) El volumen de los tratamientos efectuados. c) La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d) El volumen de negocio o actividad del infractor. e) Los beneficios obtenidos como consecuencia de la comisión de la infracción. f) El grado de intencionalidad. g) La reincidencia por comisión de infracciones de la misma naturaleza. h) La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i) La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j) Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “
  25. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a) Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b) Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c) Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d) Cuando el infractor haya reconocido espontáneamente su culpabilidad. e) Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<… no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando que la actuación de Vehicles and Aluminium ha dañado de forma limitada el bien jurídico protegido, que ha quedado afectado únicamente en una ocasión (con motivo de la infracción de tráfico cometida en fecha 19/04/2012), así como por la ausencia de reincidencia, la relevancia de los perjuicios causados y el volumen de tratamientos efectuados. Procede, por tanto, la aplicación de lo dispuesto en el artículo 45.5, imponiendo una sanción en cuantía correspondiente a la escala relativa a las infracciones leves. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 900 y 40.000 euros, en aplicación de lo previsto en el apartado 2 del citado artículo 45 de la LOPD, al tener la infracción imputada la consideración de grave y por aplicación de lo dispuesto en el apartado 5 del mismo artículo. En relación con los criterios establecidos en el artículo 45.4 de la LOPD para determinar la cuantía de la sanción impuesta, se tiene en cuenta, por un lado, la actividad de Vehicles and Aluminium y su escasa vinculación con la realización de tratamientos de datos de carácter personal, y por otro lado, el grado de intencionalidad apreciado en su conducta, considerando que el vehículo fue adquirido por la misma unos días antes de cometerse la infracción de tráfico y no fue transmitido al denunciante hasta casi dos meses después; por lo que procede la imposición de una multa por importe de 4.000 euros. De acuerdo con las circunstancias expresadas, no cabe estimar la solicitud formulada por la entidad Vehicles and Aluminium para que se imponga una sanción por el importe mínimo establecido, que fundamenta en los criterios que ya han sido tenidos en cuenta para declarar aplicable al presente supuesto lo previsto en el artículo 45.5 de la LOPD, como son el volumen de tratamientos, la ausencia de beneficios y los escasos perjuicios producidos>>. IV Según ha quedado expuesto, en cuanto al fondo del asunto, el escrito de recurso reproduce literalmente las alegaciones formuladas a la propuesta de resolución, que ya fueron analizadas y desestimadas en los Fundamentos de Derecho transcritos. En concreto, el Fundamento de Derecho II se refiere a la responsabilidad de la recurrente en la comunicación de datos inexactos al Ayuntamiento de Madrid. Es cierto, según se detalla en la Resolución impugnada, que fue la entidad BBVA Autorenting, S.A. quien facilitó los datos del denunciante identificándolo como conductor del vehículo con el que se cometió la infracción de tráfico. Sin embargo, el origen de estos datos inexactos y la responsable de los hechos denunciados es la entidad Vehicles and Aluminium on the Ground, S.L. A este respecto, en la propia resolución se indicó lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 “Vehicles and Aluminium conoció que la información se facilitaba para aportarla al Ayuntamiento de Madrid en cumplimento de la obligación legal de identificar al conductor en una infracción de tráfico, considerando que el correo electrónico que le fue remitido por Autorola Spain, S.L. solicitando los datos del conductor, al que la imputada respondió con el reseñado anteriormente, detallaba el número de expediente, la fecha de la infracción (19/04/2012), el hecho denunciado, el importe de la sanción y el organismo sancionador. Por lo tanto, no es cierto lo alegado por Vehicles and Aluminium cuando señala que facilitó la identidad del titular del vehículo en el momento en que le fue requerida la información. A pesar de ello, Vehicles and Aluminium señaló al denunciante como autor de la infracción de tráfico cometida en fecha 19/04/2012 con el vehículo con matrícula número B.B.B., propiedad de la citada entidad en esa fecha, con el detalle de sus datos personales relativos a nombre, apellidos, DNI y domicilio. Así, los datos comunicados por Vehicles and Aluminium a Autorola Spain, S.L. para que fuesen trasladados al Ayuntamiento de Madrid no respondían con veracidad y exactitud a la situación del afectado o denunciante en la fecha del 19/04/2012, cuando aún no era titular del vehículo en cuestión”. “… Vehicles and Aluminium es la entidad responsable de que los datos personales del denunciante se asociaran a dicha infracción de tráfico y se siguiera contra el mismo el expediente sancionador respectivo, a pesar de que el vehículo en cuestión no era conducido por el denunciante”. En cuanto a la graduación de la sanción impuesta, Vehicles and Aluminium on the Ground, S.L. reitera lo ya manifestado durante el procedimiento que dio lugar a la Resolución impugnada sin considerar la fundamentación y circunstancias de hecho recogidas en la misma, que ya tiene en cuenta las circunstancias alegadas por dicha entidad. Según consta en la Resolución impugnada, se estimó aplicable lo establecido en el artículo 45.5 de la LOPD, que admite la imposición de una sanción según la escala relativa a las infracciones leves, por la concurrencia de varios de los criterios enunciados en el artículo 45.4 de la misma norma, incluidos los señalados por la recurrente, entre otros la ausencia de reincidencia, la relevancia de los perjuicios causados y el volumen de tratamientos efectuados. Por otra parte, para la graduación de la multa, que quedó fijada en 4.000 euros según esa escala, se tuvieron en cuenta los criterios establecidos en el citado artículo 45.4, en concreto, la escasa vinculación de la recurrente con la realización de tratamientos de datos de carácter personal. No obstante, también se tuvo en cuenta el grado de intencionalidad apreciado en su conducta, considerando que el vehículo fue adquirido por la misma unos días antes de cometerse la infracción de tráfico y no fue transmitido al denunciante hasta casi dos meses después. En el recurso interpuesto, por tanto, Vehicles and Aluminium on the Ground, S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procediendo la desestimación del recurso. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Vehicles and Aluminium on the Ground, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 29 de septiembre de 2014, en el procedimiento sancionador PS/00190/
  26. SEGUNDO: NOTIFICAR la presente resolución a la entidad Vehicles and Aluminium on the C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Ground, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.