1/6
- Expediente N.º: EXP202201247
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 14 de enero de 2022, A.A.A. (en adelante, la parte reclamante)
interpuso reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra AUTOMOVILES FERSAN, S.A. con NIF A03071248
(en adelante, la parte reclamada).
Los motivos en que basa la reclamación son los siguientes:
La reclamante manifiesta que la reclamada ha hecho uso de sus datos personales
para incluirlos en un contrato de compra de un vehículo sin su consentimiento.
La reclamante manifiesta que se utilizaron sus datos personales sin su consentimiento
para avalar la compraventa de un vehículo adquirido por su hermana, en la tramitación
para su financiación.
Señala que su hermana realizó la compra del vehículo con la entidad reclamada, para
lo cual, dicha entidad gestionó los trámites para formalizar un contrato de préstamo
financiado por BMW BANK GMBH, sirviéndose de los datos de la reclamante, para
obtener el aval suficiente y sacar adelante la operación.
Cuando se produce un impago por la parte compradora, la entidad financiera exige el
pago a la reclamante, y al exigir esta última justificación por el cobro requerido dicha
financiera aporta documentos, calificados por la reclamante como falsos, en los que
además de los datos personales de su hermana, como compradora del vehículo, se
añaden también los datos personales de la reclamante, así como su firma.
Aporta demanda judicial, y contrato de crédito exclusivo a nombre de B.B.B. (hermana
de la reclamante)
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), el 3 de febrero de 2022, se dio traslado de dicha reclamación a
la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/6
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 4 de febrero de 2022 como
consta en el acuse de recibo que obra en el expediente.
Con fecha 3 de marzo de 2022 se recibe en esta Agencia escrito de respuesta
indicando que AUTOMÓVILES FERSÁN, a través de BMW Group Financial Services,
dispone de un protocolo claro sobre la documentación que se debe solicitar cuando
una persona solicita financiación, dicho protocolo se aplica de manera estricta por
parte del concesionario, y esta se aplica a todos sus comerciales.
En esta operación intervienen en diferentes momentos los cuatro hermanos de la
familia (…), apareciendo como avalistas de la operación.
Se manifiesta que la operación quedó aprobada y resultó viable, con la cotitularidad de
Dña. B.B.B. y Dña. A.A.A..
La relación de Dña. A.A.A. y su familia con AUTOMÓVILES FERSÁN, SA desde un
punto de vista cronológico es el siguiente:
25 de octubre de 2018. Dña. C.C.C. (Hermana de Dña. A.A.A.) pide un
presupuesto a AUTOMÓVILES FERSÁN, planteando el contrato de compraventa del
vehículo a nombre de una sociedad que se va a constituir.
29 de octubre de 2018, Dña. C.C.C. envía el alta censal y nómina de Dña.
B.B.B..
08 de noviembre de 2018 – D. D.D.D. (Hermano de la reclamante) envía por
mail la renta 2017 (modelo100) de Dña. B.B.B..
09 de noviembre de 2018, 9:00. Dado que la operación requería una entrada
muy alta se valora la opción de que existan avalistas que avalen la operación.
09 de noviembre de 2018 - – D. D.D.D. envía por mail las nóminas y el alta de
Dña. B.B.B. y el escribe a (…) (empleado de la entidad reclamada):
"Hola (…), te adjunto las nóminas y el alta.
Cuando te pidan avalista dime qué tengo que aportar de documentación.
Un saludo".
09 de noviembre de 2018, 18:45. Una vez realizado el estudio de Dña. B.B.B.
(hermana de la reclamante) tienen que aportar aval o entrada de ***CANTIDAD.€.
TERCERO: Con fecha 14 de abril de 2022, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 20 de julio de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/6
QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que, en síntesis, manifestaba textualmente lo siguiente:
(…).
Ver Anexo I. (…)
Se remite Anexo II. (…).
(…):
(…).
(…).
(…).
(…).
(…).
(…).
SEXTO: Con fecha 11 de agosto de 2022, el instructor del procedimiento acordó dar
por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y
su documentación, los documentos obtenidos y generados durante la fase de admisión
a trámite de la reclamación, y el informe de actuaciones previas de investigación que
forman parte del procedimiento. Asimismo, se da por reproducido a efectos
probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador
referenciado, presentadas por la entidad reclamada y la documentación que a ellas
acompaña.
SEPTIMO: Con fecha 30 de agosto de 2022 se formuló propuesta de resolución,
proponiendo que por la Directora de la Agencia Española de Protección de Datos se
sancione a AUTOMOVILES FERSAN, S.A. con NIF A03071248, por una infracción
del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, y a efectos de
prescripción, por el artículo 72.1 b) de la LOPDGDD, con una multa de 5.000 euros
(cinco mil euros)
OCTAVO: Con fecha 9 de septiembre de 2022, la entidad reclamada presenta
alegaciones a la propuesta de resolución señalando que la reclamación, en ningún
momento se realiza como avalista sino como cotitular.
Se manifiesta además que:
• (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/6
• (…).
(…)
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: La reclamante afirma que sus datos personales han sido utilizados por la
parte demandada sin su consentimiento para avalar la compraventa de un vehículo
adquirido por su hermana
Aporta demanda judicial, y contrato de crédito exclusivo a nombre de B.B.B. (hermana
de la reclamante)
SEGUNDO: La entidad reclamada manifiesta que la reclamante es cotitular, ya que
compró junto con su hermana el vehículo objeto de conflicto.
Aporta:
(…)
(…)
(…)
(…)
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver
este procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/6
II
El artículo 4.11 del RGPD define el consentimiento del interesado como “toda
manifestación de voluntad libre, específica, informada e inequívoca por la que el
interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen”.
En este sentido, el artículo 6.1 de la LOPDGDD, establece que “de conformidad con lo
dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consenti-
miento del afectado toda manifestación de voluntad libre, específica, informada e ine-
quívoca por la que este acepta, ya sea mediante una declaración o una clara acción
afirmativa, el tratamiento de datos personales que le conciernen”.
Por su parte el artículo 6 del RGPD, establece lo siguiente:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condicio-
nes:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos intere-
ses no prevalezcan los intereses o los derechos y libertades fundamentales del intere-
sado que requieran la protección de datos personales, en particular cuando el intere-
sado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
III
En el presente caso, la parte reclamante denuncia a AUTOMOVILES FERSAN, S.A.
porque le reclaman en concepto de avalista el pago de un vehículo que adquirió su
hermana B.B.B. pese a que, en el contrato de financiación, solo aparece su hermana y
no ella.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/6
La entidad reclamada ha aportado documentación que permite acreditar que la
reclamante es cotitular del vehículo causante de la deuda requerida y que por tanto, se
le requiere el pago no en concepto avalista sino de cotitular. En concreto, aporta la
reclamación judicial por impago, en la que se demanda tanto a la reclamante como a
B.B.B. como titulares del vehículo y del contrato de financiación.
Por lo tanto, tras acreditarse que la reclamante es cotitular del vehículo y aclararse en
concepto de qué se le reclama la deuda, hemos de considerar que la entidad
reclamada se encuentra legitimada para el uso de los datos personales de la
reclamante, en función de la previa celebración de un contrato de compraventa, y por
tanto no se habría cometido una infracción del artículo 6 del RGPD indicado en el
fundamento de derecho II.
Por lo tanto, tras tener conocimiento de estos hechos, la Directora de la Agencia
Española de Protección de Datos RESUELVE:
PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones.
SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, y de conformidad con lo establecido en los
arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán
interponer, potestativamente, recurso de reposición ante la Directora de la Agencia
Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición
adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción
Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente
a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es