Müşteri Uyarı Sistemi ve Para Cezası

1/40

 Expediente N.º: EXP202400905

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 6 de junio de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a GOLDCAR SPAIN,
S.L. (en adelante, GOLDCAR). Notificado el acuerdo de inicio y tras analizar las
alegaciones presentadas, con fecha 16 de mayo de 2025 se emitió la propuesta de
resolución que a continuación se transcribe:

<<

Expediente N.º: EXP202400905

PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, A.A.A.) con fecha 25 de diciembre de 2023 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra GOLDCAR SPAIN, S.L., con NIF B03403169 (en adelante, GOLDCAR).
Los motivos en que basa la reclamación son los siguientes:

A.A.A. ha manifestado que realizó la reserva de un vehículo en GOLDCAR entre las
fechas 09/06/2021 y 16/06/2021 a través de una web y que, al ir a retirar el vehículo
para su uso, se le denegó por la existencia en la base de datos de la entidad de un
aviso por un contrato celebrado en Madrid en 2018. Entiende que sus datos han sido
vinculados, sin su consentimiento, con un incidente previo, siendo incorporado a un
sistema de alerta para impedirle, como cliente, contratar los servicios de GOLDCAR.

Junto a la reclamación se aportó:

- Copia del contrato de alquiler con la tarifa contratada “***REFERENCIA.1” y
número de reserva ***REFERENCIA.2, figurando como cliente el reclamante, y
donde se indica lo siguiente: “(...)” (sic). En el contrato figura el sello de
GOLDCAR SPAIN SLU y una firma manuscrita. Este documento incluye un
apartado relativo a las “Condiciones particulares” con el texto: “No se puede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/40

conducir el vehículo fuera de la península española, o en el caso de alquileres
contratados en Baleares o Canarias no se podrá salir de la isla donde se haya
entregado el vehículo, salvo que haya autorización expresa y firmada de la
empresa en ambos casos y se contrate y se abone la cobertura adicional
extraordinaria correspondiente”.

- Copia de las condiciones generales de alquiler.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), el 17 de enero de 2024 se dio traslado de dicha reclamación a la
parte reclamada, para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 17 de enero de 2024 como
consta en el acuse de recibo que obra en el expediente.

La parte reclamada solicitó el 15 de febrero de 2024 ampliación del plazo para
contestar, que fue ampliado a diez días más.

GOLDCAR respondió al traslado en fecha 29 de febrero de 2024, manifestando que
solicitó al departamento de atención al cliente información sobre los contratos suscritos
por el cliente y posibles reclamaciones de este, señalando: “Según consta en el
informe, A.A.A. reservó un coche de alquiler y la reserva fue referenciada con el
número ***REFERENCIA.2. Reservó el coche para ser recogido en el aeropuerto de
***LOCALIDAD.1 el 09/06/2021 y devuelto a GOLDCAR el 16/06/2021, efectivamente,
el coche no fue entregado, entendemos que fue debido a un error con la reserva.”

Adjunta el documento “Incidencia denegación alquiler de coche” con la siguiente
información:

“En nuestra base de datos de clientes figura que A.A.A., reservó un coche con el
número ***REFERENCIA.2 en el aeropuerto de ***LOCALIDAD.1 entre el
09/06/2021 y el 16/06/2021.

Hemos consultado a nuestro departamento de atención al cliente para conocer si
existen reclamaciones relacionadas con esta reserva o problemas con la entrega
del vehículo.

Según nuestra información interna, la reserva no se ejecutó ya que el coche no
fue entregado al cliente.

Adicionalmente, no tenemos conocimiento de la reclamación de A.A.A. o de
solicitudes de derechos de protección de datos enviadas por este cliente en
relación con esta reserva.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/40

TERCERO: Con fecha 25 de marzo de 2024, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por A.A.A.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

A) Con fecha 02 de abril de 2024 se envía requerimiento de información a GOLDCAR
solicitando:

- El motivo para rechazar la contratación del vehículo en base a la anotación
escrita en el documento de reserva: “(...)”
- Tipo de datos, propios o ajenos, que se consultaron para poner esa anotación.
- En caso de ser datos ajenos, indique con qué legitimación contaba.

Con fecha 08 de abril de 2024 tiene entrada escrito de respuesta de GOLDCAR en el
que se pone de manifiesto lo siguiente:

1. GOLDCAR ha comprobado la información relacionada con el citado contrato
suscrito en abril de 2018 y manifiesta que:

“(…) De acuerdo con nuestra información, hubo un incidente con la devolución
del vehículo alquilado por el reclamante el 28 de abril de 2018, puesto que el
cliente incumplió las condiciones generales de contratación de GOLDCAR. En
particular, incumplió la cláusula 10, al permitir que un tercero condujera el
vehículo sin informar de la existencia de un segundo conductor a GOLDCAR. En
este sentido, dicha cláusula establece expresamente:

“Asimismo, es obligación del cliente no permitir la conducción del vehículo a
ninguna persona distinta a las autorizadas de conformidad con este contrato,
siendo responsable directo el cliente de cualquier daño o perjuicio producido en el
vehículo o a terceros en tal caso."

Como consecuencia del acceso por una tercera persona al vehículo, el vehículo
fue robado o al menos desapareció, sin que el cliente pudiera devolver este en el
periodo del alquiler. El vehículo fue recuperado por la policía en agosto de 2018
en Polonia y GOLCAR tuvo que asumir los costes de repatriación del vehículo, los
servicios de la empresa de gestión de denuncias y recuperación de vehículos, el
abono de las multas impuestas al vehículo durante este periodo, así como de la
limpieza de este.

En atención a este incidente, nuestro departamento de seguros podría haber
redactado una nota interna en la ficha de cliente para gestionar el incumplimiento
del contrato, la recuperación del vehículo y los costes derivados del incidente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/40

Actualmente, no hay ninguna nota en la ficha de cliente, probablemente debido al
tiempo transcurrido desde el incidente, pero sería posible que el agente, en el
momento de tramitar la reserva y entrega del vehículo, pudiera haber visto esta
información en la ficha de cliente y al comprobar que había un incumplimiento de
contrato, decidiese no entregar el coche, de acuerdo con las clausula 10, párrafo
11 de las condiciones particulares de GOLDCAR, las cuales establecen:

“Goldcar se reserva el derecho a cancelar la entrega del vehículo en caso de
dudas fundadas sobre la capacidad financiera del cliente o por antecedentes de
este de impagos o incidentes graves con Goldcar”. (…)”

2. “Los datos de carácter personal para facilitar al cliente una explicación fueran
aquellos incluidos en la ficha de cliente, necesarios para la formalización del
contrato y el control de la ejecución de este, recogidos y tratados de conformidad
con las condiciones generales de contratación de GOLDCAR y su política de
privacidad. Toda la información personal consultada es interna y obtenida
directamente del cliente, excepto el informe de la recuperación del vehículo
emitido por la policía que no aporta información adicional sobre el cliente”.

3. Como se menciona anteriormente, GOLDCAR señala que no accede a datos
personales proporcionados por terceros, siendo los datos tratados en el marco de
la relación contractual.

B) Con fecha 10 de abril de 2024 se le solicita al reclamante y a GOLDCAR copia del
contrato suscrito en 2018.

En dicha fecha tiene entrada respuesta del reclamante. Se aportan dos documentos:

- Contrato_de_alquiler__***REFERENCIA.3__1.pdf: Contrato de alquiler del
vehículo para el período 27-29 de abril de 2018.
- Contrato_de_alquiler__***REFERENCIA.3__2.pdf: Contrato de alquiler del
vehículo para el período 27-30 de abril de 2018.

Ambos documentos incluyen un apartado relativo a las “Condiciones particulares”
cuyo contenido consta reseñado en el Hecho Probado Primero.

Con fecha 16 de abril de 2024 tiene entrada respuesta de GOLDCAR. Aporta los
siguientes documentos:

- Doc_1.pdf: Contrato de alquiler de vehículo nº ***REFERENCIA.4, desde el
27/04/2018 a 29/04/2018, por un importe ***CANTIDAD.1 €.
- Goldcar_Contestacion_requerimiento.pdf: escrito de respuesta al requerimiento
de información.

El contrato aportado incluye las mismas “Condiciones Particulares” que figuran en el
ejemplar del contrato aportado por el reclamante. Además, GOLDCAR acompaña el
detalle de las “Condiciones Generales de Alquiler” estipuladas. Parte de lo señalado en
este documento consta reseñado en el Hecho Probado Primero.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/40

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la parte
reclamada es una gran empresa constituida en el año 1988, y con un volumen de
negocios de 203.880.000 euros en el año 2022.

SEXTO: Con fecha 6 de junio de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a GOLDCAR, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo
83.5.a) del RGPD.

SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), GOLDCAR solicitó el 10 de junio
de 2024 ampliación del plazo para contestar y copia del expediente; ampliación que
fue concedida y copia que le fue trasladada el 12 de junio de 2024.

GOLDCAR presentó escrito de alegaciones el 27 de junio de 2024 en el que solicita el
archivo del presente procedimiento sancionador. Después de reiterar los detalles sobre
la relación mantenida con la parte reclamante, ya manifestados en sus escritos
anteriores, formula las consideraciones siguientes como fundamento de su pretensión:

1. GOLDCAR en todo momento ha realizado un tratamiento legítimo de los datos;
2. GOLDCAR considera lícito el tratamiento de los datos conforme a su interés
legítimo;
3. No procede la apertura del procedimiento sancionador, por cuanto no existe una
intencionalidad o negligencia en el cumplimiento de los deberes como responsable
del tratamiento por parte de GOLDCAR;
4. No se han valorado debidamente las circunstancias para la graduación de la
sanción;
5. GOLDCAR considera que cumple con las previsiones del RGPD y que no es
necesario la adopción de medidas para ajustar el tratamiento a la normativa.

Con su escrito aportó copia de los documentos siguientes:

1. Copia de la ponderación del interés legítimo de GOLDCAR y las libertados y
derechos de sus clientes (documento en idioma inglés y sin fecha).

2. Copia de la política de privacidad de GOLDCAR elaborada, según indica esta
entidad, “como consecuencia del proceso de adaptación al RGPD”. Se aporta la
versión vigente de esta Política de Privacidad actualizada en fecha 1 de mayo de
2024. Parte del contenido de este documento consta reseñado en el Hecho Probado
Quinto.

3. Copia del “protocolo interno” o “procedimiento para la gestión de las incidencias y la
inclusión de avisos en las fichas de clientes” que, según GOLDCAR, “establece los
supuestos tasados en los que sería posible incluir un aviso, las consecuencias y el
periodo de duración de la medida en función de la gravedad de los hechos o el posible
perjuicio para GOLDCAR y el personal autorizado para gestionar las incidencias” (en
idioma inglés y sin fechar).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/40

“Procedimiento de Incidentes de Sigger (Sistema de Alertas)
Este procedimiento definirá la gestión y el uso de los tipos de incidentes que se
encuentran en SIGGER. Este procedimiento define:
1. Las directrices para agregar incidentes
2. Las consecuencias de los incidentes para los clientes y la empresa
3. Quién está autorizado a agregar incidentes en Sigger

El propósito de este protocolo es mantener nuestras bases de datos
actualizadas y reducir el riesgo de impagos y accidentes, así como detener el
alquiler fraudulento de vehículos.

Los tipos de incidentes de Sigger se pueden encontrar en el archivo del cliente
de la siguiente manera:
 Los incidentes positivos se identificarán con una línea azul en el archivo del
cliente
 Los incidentes negativos se identificarán con una línea roja en el archivo del
cliente

Tipos de incidentes

Tipos y restricciones de incidentes de Sigger

Positivo
Este incidente solo indica información sobre el cliente.
El cliente podrá seguir alquilando sin restricciones.

Negativo
Leve (Bajo): Son comentarios/advertencias que el cliente podría tener en
cuenta en su próxima reserva si alquila un vehículo con la empresa. El cliente
podrá alquilar sin restricciones.
Grave (Serio): Son comentarios/advertencias basadas en supuestos
comportamientos de clientes que ya han alquilado con nosotros. Además, si
hay una advertencia policial, de una compañía con deudas o si el cliente tiene
un historial de deudas con la compañía, no podrá volver a alquilar hasta que se
solucione el incidente.
Muy grave: El cliente no podrá volver a alquilar hasta que se solucione el
incidente.

Incidentes y motivos bajos:
Los incidentes bajos justifican que no se le haya entregado el vehículo al
cliente en un alquiler anterior. El gerente de oficina puede usar este tipo de
incidente para explicar por qué se le denegó un vehículo en una reserva.
No se puede denegar un vehículo a un cliente con este nivel de incidente en
futuras reservas.

Motivos de los incidentes bajos
 Cualquier tipo de insulto o provocación (sin agresión física) a los empleados
de la empresa.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/40

 Historial de deudas ya saldadas. En estos casos, los incidentes deben
eliminarse del expediente del cliente.
 Grabaciones de video o fotos de los empleados.
 Cliente que no ha respetado la normativa transfronteriza.
 Si un cliente muestra signos de estar incapacitado por el efecto de drogas o
alcohol, no se le entregará el vehículo por razones de seguridad pública. Si el
cliente insiste en llevarse el vehículo, el gerente de la empresa de alquiler o de
la oficina deberá llamar a la policía.

Motivos de incidentes graves:
Cuando un cliente sufre un incidente grave, no podrá alquilar un vehículo con
nuestra Compañía hasta que se resuelva.
Estos incidentes solo pueden ser resueltos por las personas designadas en la
Sede Central.
 Auditoría interna: Historial de impagos no satisfechos o liquidados dentro de
la Compañía o uso de tarjetas fraudulentas.
 Reclamaciones: Avisos policiales o advertencias de empresas de prevención
de robos o deudas.
 Reclamaciones: Accidentes graves.
 Reclamaciones: Robos o apropiaciones indebidas.
 Gerente de Oficina: Clientes con denuncia policial previa por diferentes
motivos.

Incidentes muy graves:
Cuando un cliente sufre un incidente muy grave, no podrá alquilar un vehículo
con nuestra Compañía.
Estos incidentes solo pueden ser presentados desde el Departamento Legal si
existe una resolución judicial firme en contra del cliente” (traducción no oficial).

(para cada tipo se indica quién puede agregar o eliminar incidentes: Gerente de
Oficina, Departamento de Auditoría Interna, Departamento Legal y de Atención
al Cliente, Departamento de Seguros y Reclamaciones. Los muy graves solo se
pueden agregar desde el Departamento Jurídico si existe una Resolución
Judicial Firme en contra del cliente).

OCTAVO: Con fecha 17 de enero de 2025, el instructor del procedimiento acordó
practicar las siguientes pruebas a GOLDCAR:

- Dar por reproducidos a efectos probatorios la reclamación interpuesta por el
reclamante y su documentación, los documentos obtenidos y generados
durante la fase de admisión a trámite de la reclamación, y el informe de
actuaciones previas de investigación.

- En el escrito de alegaciones al acuerdo de inicio, GODLCAR ha manifestado
en relación con el incidente de denegación del vehículo alquilado a la parte
reclamante que: “el Denunciante no pudo devolver el mismo, puesto que lo
había prestado a un tercer conductor ajeno a la contratación con GOLDCAR y,
el mismo, desapareció o fue robado, de forma que el vehículo fue recuperado
por la policía en Polonia meses después de la finalización del periodo de
alquiler” y que “Como se ha explicado, en el caso que nos ocupa se produjo un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/40

uso no autorizado del vehículo alquilado por el Denunciante, ya que durante la
contratación del vehículo éste dejó el vehículo a un tercero no autorizado en el
contrato de alquiler, lo que provocó la desaparición del vehículo y la
interposición de denuncia ante la policía con atestado ***REFERENCIA.5. El
vehículo fue posteriormente localizado y recuperado por el Cuerpo Nacional de
Policía en Polonia. Por este motivo, a fin de dar cumplimiento a lo previsto en
el contrato en casos de incumplimientos contractuales, es posible que, se
insertara algún aviso o nota en la ficha del cliente por parte de nuestro
departamento de seguros”.

Se solicitó a la parte reclamada que acredite y justifique documentalmente las
citadas manifestaciones y la nota manuscrita que figura en el contrato de
alquiler aportado.

Con fecha 27 de enero de 2025, GOLDCAR proporcionó la siguiente documentación:

- Aporta como Documento nº1 copia del formulario completado y firmado por el
reclamante, de fecha 30 de abril de 2018, en el que se informa a GOLDCAR de
la desaparición del vehículo ***REFERENCIA.3, tras dejar las llaves de este a
una persona no autorizada en el contrato de alquiler, quien a su vez dejó las
llaves escondidas en el paso de rueda del vehículo para que el reclamante las
recogiera. El reclamante acompañó el formulario con la denuncia que efectuó
ante la policía en fecha 30 de abril de 2018 y que se aporta.

- En cuanto a la manifestación de que el vehículo fue recuperado por la policía
en Polonia, aporta como Documento nº2 copia del correo electrónico recibido
con fecha 28 de agosto de 2018 de la Policía Judicial - (...), remitiendo
información sobre la recuperación del vehículo denunciado.

- En cuanto a la manifestación relativa al aviso interno del departamento de
seguros, GOLDCAR señala lo siguiente: “es posible que se hiciera, pero a la
fecha en que se iniciaron las actuaciones, no existe constancia de que se
dispusiera ningún aviso, en la ficha de cliente, puesto que en el caso de que,
en su momento, se pusiera, por el transcurso del tiempo habría sido eliminado.
En todo caso, el incumplimiento de las Condiciones Generales de Contratación
deriva de la propia manifestación efectuada por el reclamante al presentar el
formulario a GOLDCAR. Respecto a la nota manuscrita en el contrato de
alquiler, como ya se ha puesto de manifiesto, no existe dicha nota en la copia
del contrato de la que disponía GOLDCAR y que fue aportada en el marco de
los requerimientos de información efectuados por la AEPD.” Aporta copia del
contrato de alquiler nº ***REFERENCIA.4 de fecha 27 de abril de 2018.

NOVENO: Con fecha 17 de enero de 2025, el instructor del procedimiento acordó
practicar las siguientes pruebas al reclamante:

- El 10 de abril de 2024 el reclamante aportó dos copias de un mismo contrato
de alquiler de vehículo suscrito con GOLDCAR:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/40

1) Contrato de alquiler de vehículo nº ***REFERENCIA.4, inicio y fin de alquiler
(...), para ser disfrutado desde el 27/04/2018 a 29/04/2018, cliente la parte
reclamante, firmado por ambas partes e importe ***CANTIDAD.1 €.

2) Contrato de alquiler de vehículo nº ***REFERENCIA.4, inicio y fin de alquiler
(...), para ser disfrutado desde el 27/04/2018 a 30/04/2018, cliente la parte
reclamante, firmado por ambas partes e importe ***CANTIDAD.2.

Se solicitó al reclamante que informara del por qué y para qué de la existencia
de estas dos copias del contrato con periodos de disfrute distintos.

Con fecha 17 de enero de 2025, el reclamante ha facilitado la siguiente información
requerida:

“- Contrato de alquiler de vehículo nº ***REFERENCIA.4, desde el 27/04/2018
a 29/04/2018, por un importe ***CANTIDAD.1 €. Este es un contrato inicial
vinculado al alquiler del vehículo ***REFERENCIA.3, justificando el inicio y
pago del alquiler, entregado al inicio del alquiler.

- Contrato de alquiler de vehículo nº ***REFERENCIA.4, desde el 27/04/2018 a
30/04/2018, por un importe ***CANTIDAD.2. Se trata del contrato donde figura
la ampliación que se hizo de un día más del alquiler inicial, además constan los
gastos posteriores a la finalización del alquiler, como se observa, una multa de
circulación, entregado posterior a la finalización del alquiler.”

DÉCIMO: Se acompaña como anexo relación de documentos obrantes en el
procedimiento.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: El 27 de abril de 2018 a las 12:58 hr, A.A.A. y GOLDCAR firmaron el
contrato de alquiler de vehículo nº ***REFERENCIA.4, para ser disfrutado desde el 27
de abril de 2018 a 29 de abril de 2018, por un importe ***CANTIDAD.1 € con inicio y
fin del contrato de alquiler en el (...). Dicho contrato con nº ***REFERENCIA.4 fue
posteriormente ampliado hasta el día 30 de abril como consta en la factura de pago de
la liquidación del alquiler del vehículo ***REFERENCIA.3 de fecha 22 de junio de
2018, a las 16:51 hr.

Estos contratos incluyen un apartado relativo a las “Condiciones particulares” con el
contenido siguiente:

“Este contrato está sujeto a un límite de kilómetros de acuerdo a los siguientes
valores: contratos de 1 a 3 días de duración: 350 Km/día; de 4 a 6 días: 250
Km/día; de 7 a 14 días: 150 Km/día y a partir de 15 días: 100 Km/día. A cada
contrato se le aplica solo uno de los límites anteriores: el que corresponda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/40

según su duración. Se cargarán 0,15€ por km sobre el total de kilómetros que
exceda el límite. No se puede conducir el vehículo fuera de la península
española, o en el caso de alquileres contratados en Baleares o Canarias no se
podrá salir de la isla donde se haya entregado el vehículo, salvo que haya
autorización expresa y firmada de la empresa en ambos casos y se contrate y
abone la COBERTURA ADICIONAL extraordinaria correspondiente. No está
permitido sacar el vehículo de España peninsular a África. Si el vehículo recibe
una multa durante el período de validez de este contrato será usted
responsable del importe de la multa, además se realizará un cargo de 45€ en
concepto de gestión de multas. El Cargo de Oficina Premium es del 8,00%”.

Consta en dichos contratos, además, el detalle de las “Condiciones Generales de
Alquiler” estipuladas. De lo señalado en este documento, interesa destacar lo
siguiente:

“10. Uso no autorizado.
Será obligación del cliente usar el vehículo con la debida diligencia, con arreglo
a las características del mismo, respetando la normativa de circulación de
vehículos a motor vigente y evitando, en cualquier caso, cualquier situación
que pudiera provocar daños en el vehículo o a terceros.
Asimismo, es obligación del cliente no permitir la conducción del vehículo a
ninguna persona distinta a las autorizadas de conformidad con este contrato,
siendo responsable directo el cliente de cualquier daño o perjuicio producido en
el vehículo o a terceros en tal caso...”.

“16. Tratamiento informático de los datos personales.
A efectos de lo dispuesto en la normativa vigente relativa a la protección de
datos de carácter personal y servicios de la sociedad de la información y
comercio electrónico, Goldcar le informa de que sus datos personales van a
ser incorporados a un fichero automatizado de datos de carácter personal
creado y bajo la responsabilidad de esta empresa, con domicilio en…, con el
fin de poder gestionar los servicios de alquiler de vehículos contratados, así
como para mantenerle puntualmente informado de todas aquellas ofertas,
productos y promociones, propios o de terceros, que puedan ser de su interés,
bien por correo electrónico, bien por cualquier otro modo equivalente. En el
caso de comunicaciones comerciales a través de correo electrónico o medio
equivalente usted otorga su consentimiento expreso para el envío de
publicidad a través de dicho medio. Dicho consentimiento podrá ser revocado
en cualquier momento mediante petición escrita dirigida a la dirección…, o
mediante correo electrónico a la dirección…
Del mismo modo, sus datos podrán ser cedidos a otras empresas de los
sectores de transporte y turismo que colaboren ahora o en el futuro en las
actividades que lleva a cabo Goldcar, para que desarrollen actividades
promocionales.
Por último, le comunicamos que puede ejercer los derechos de acceso,
modificación o cancelación mediante petición escrita dirigida…”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/40

SEGUNDO: El 30 de abril de 2018 a las 11:21 hr, A.A.A. efectuó la denuncia ante la
Policía Judicial - (...), atestado nº ***REFERENCIA.5, por la desaparición del vehículo
alquilado con matrícula ***REFERENCIA.3, en la que manifiesta lo siguiente:

“Que el dicente se presenta ante esta instrucción como conductor del vehículo
de alquiler con placa de matrícula…, propiedad de la empresa GOLDCAR.
Que se dejó el vehículo perfectamente estacionado y cerrado, en la zona cerca
de Neptuno…
Que las llaves se las entregó el dicente a su novia para que las guardara en el
hostal mientras él iba a trabajar… y quedarían más tarde para que la pudiera
llevar al aeropuerto y dejar el coche de alquiler en el aparcamiento de la
compañía.
Que debido a que el dicente no puede acudir a por su novia para llevarla al
aeropuerto y debido a que la misma no tenía autorización para conducir el
coche y perdería el vuelo en caso de esperar, dicha mujer deja las llaves
escondidas en el paso de rueda del vehículo, avisando posteriormente al
dicente para que recogiera el vehículo y pudiera entregarlo.
Que el dicente se presenta en la zona y no encuentra el vehículo…, comienza
a dar vueltas por las zonas aledañas… no localizándolo.
Que el dicente da aviso a patrullas de policía nacional y policía municipal, los
cuales realizan batidas por la zona, siendo todas las gestiones infructuosas…
Que el dicente da aviso a la compañía GOLDCAR telefónicamente,
informándole que presente denuncia ante las autoridades policiales y
posteriormente se dirija a la oficina de alquiler…”.

Dicha denuncia fue aportada por el reclamante a GOLDCAR junto con un formulario
denominado “INFORMACIÓN AVERIA”, donde figuran los datos del coche, del cliente
y la explicación de cómo se produjo la pérdida del vehículo por el reclamante,
manifestando que dejó las llaves del vehículo a una tercera persona, quien a su vez
las dejó escondidas en el paso de rueda del vehículo para que el reclamante recogiera
el vehículo, el cual desapareció antes de que el reclamante pudiera recogerlo.

TERCERO: El 28 de agosto de 2018 el vehículo alquilado con matrícula
***REFERENCIA.3 fue recuperado por la policía en Polonia, como se constata en el
email enviado por la policía a GOLDCAR con el siguiente contenido: “Como bien ha
indicado empleado de la empresa GOLD CAR, tras llamada realizada, se procede a
comunicar los datos del servicio de la Policía de Polonia que ha procedido a la
recuperación del vehículo ***MARCA.1 de color Blanco con matrícula
***REFERENCIA.3. ** Policía de Polonia: *(...).”

CUARTO: El reclamante realizó la reserva de un vehículo a GOLDCAR con número
***REFERENCIA.2 para ser disfrutado desde el 09 de junio de 2021 a 16 de junio de
2021. Sin embargo, se le denegó el alquiler del vehículo por el motivo que figura en la
nota manuscrita que se hizo constar en el propio documento de la reserva del
vehículo, validada con un estampillado en el que figura el nombre, dirección y “CIF” de
la entidad GOLDCAR. El texto de esta nota indica: “(...)” (sic). La negativa al alquiler
de dicho vehículo fue reconocida por GOLDCAR en la respuesta al requerimiento
formulado por la AEPD con fecha 08 de abril de 2024 (el subrayado es nuestro):

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/40

“(…) De acuerdo con nuestra información, hubo un incidente con la devolución del
vehículo alquilado por el reclamante el 28 de abril de 2018, puesto que el cliente
incumplió las condiciones generales de contratación de GOLDCAR. En particular,
incumplió la cláusula 10, al permitir que un tercero condujera el vehículo sin informar
de la existencia de un segundo conductor a GOLDCAR. En este sentido, dicha
cláusula establece expresamente: “Asimismo, es obligación del cliente no permitir la
conducción del vehículo a ninguna persona distinta a las autorizadas de conformidad
con este contrato, siendo responsable directo el cliente de cualquier daño o perjuicio
producido en el vehículo o a terceros en tal caso."

Como consecuencia del acceso por una tercera persona al vehículo, el vehículo fue
robado o al menos desapareció, sin que el cliente pudiera devolver este en el periodo
del alquiler. El vehículo fue recuperado por la policía en agosto de 2018 en Polonia y
GOLCAR tuvo que asumir los costes de repatriación del vehículo, los servicios de la
empresa de gestión de denuncias y recuperación de vehículos, el abono de las multas
impuestas al vehículo durante este periodo, así como de la limpieza de este.

En atención a este incidente, nuestro departamento de seguros podría haber
redactado una nota interna en la ficha de cliente para gestionar el incumplimiento del
contrato, la recuperación del vehículo y los costes derivados del incidente.

Actualmente, no hay ninguna nota en la ficha de cliente, probablemente debido al
tiempo transcurrido desde el incidente, pero sería posible que el agente, en el
momento de tramitar la reserva y entrega del vehículo, pudiera haber visto esta
información en la ficha de cliente y al comprobar que había un incumplimiento de
contrato, decidiese no entregar el coche…”.

QUINTO: GOLDCAR aportó a las actuaciones copia de su Política de Privacidad, en
su versión vigente actualizada a fecha 1 de mayo de 2024. Según GOLDCAR, dicha
Política de Privacidad se elabora “como consecuencia del proceso de adaptación al
RGPD”. Del contenido de este documento se destaca lo siguiente:

“3. ¿Con qué fines tratamos tus datos personales?
Recabamos y procesamos tus datos personales para distintos fines y sobre las
siguientes bases de legitimación:

Finalidades del tratamiento
La gestión y el mantenimiento del bloqueo de la cuenta de clientes con riesgos
contractuales basados en:

 incidentes de pago que hayan dado lugar a procedimientos judiciales;
 accidentes de vehículos o daños repetidos u ofensas a nuestros empleados;
 uso de nuestros vehículos incumpliendo las condiciones generales de
alquiler de vehículos.

Base de legitimación
Este tratamiento se basa en nuestro interés legítimo, en particular, la defensa
de nuestros derechos, para prevenir los riesgos y el fraude relacionados con la
ejecución de tu contrato de arrendamiento y para prevenir y gestionar las
ofensas hacia nuestros empleados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/40

A este respecto, tratamos de mantener un equilibrio justo entre la necesidad de
tratar sus datos personales y el respeto de sus derechos y libertades, en
particular la protección de la intimidad. Si aparece en nuestro sistema de
alertas de clientes, su solicitud de reserva será rechazada. Puede oponerse a
esta decisión enviando un correo electrónico a la siguiente dirección:
[email protected]”.

“5. ¿Durante cuánto tiempo conservaremos tus datos personales? Sus datos
personales se conservan durante periodos diferentes, en función de los fines
del tratamiento:

Finalidad
La gestión y el mantenimiento de una lista de clientes con riesgos
contractuales basados en:
 incidentes de pago que hayan dado lugar a procedimientos judiciales;
 accidentes de vehículos o daños repetidos u ofensas a nuestros empleados;
 uso de nuestros vehículos incumpliendo las condiciones generales de
alquiler de vehículos

Periodo de retención
3 o 5 años a partir de la fecha de creación o modificación del último alquiler y
dependiendo de la naturaleza del incidente”.

“6. ¿Qué derechos puede ejercer con respecto al tratamiento de sus datos
personales?

Dentro de los límites y condiciones permitidas por la normativa vigente,
puedes:
(…)
oponerte al tratamiento de tus datos personales basado en un interés legítimo
que puedes comprobar revisando la tabla recogida en el apartado “¿Con qué
fines tratamos sus datos personales?” y particularmente en el apartado “Base
de legitimación”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/40

tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como:

“toda información sobre una persona física identificada o identificable («el
interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador,
como por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD, define «tratamiento» como:

“cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjuntos de datos personales, ya sea por procedimientos automatizados o no, como
la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción.”

El artículo 4.7) del RGPD, define «responsable del tratamiento» o «responsable»:

“la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o
junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión
o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros;”

El artículo 4.7) del RGPD, define «encargado del tratamiento» o «encargado»:

“la persona física o jurídica, autoridad pública, servicio u otro organismo que trate
datos personales por cuenta del responsable del tratamiento;”

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que GOLDCAR
realiza, entre otros tratamientos, la recogida y conservación de datos personales de
personas físicas, como: nombre y apellidos, teléfono y dirección, entre otros.

GOLDCAR realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/40

III
Alegaciones al acuerdo de inicio

En relación con las alegaciones aducidas al acuerdo de inicio del presente
procedimiento sancionador, se procede a dar respuesta a las mismas según el orden
expuesto por GOLDCAR:

PRIMERA: Sobre la base de legitimación del tratamiento de datos.

En el presente caso, los tratamientos de datos personales de la parte reclamante que
GOLDCAR lleva a cabo tienen origen en los contratos de alquiler de vehículos que
ambos formalizaron en fechas 27 y 30 de abril de 2018.

Durante el período de uso contratado por la parte reclamante, el vehículo alquilado fue
sustraído por un tercero, siendo finalmente localizado y recuperado por la Policía en
Polonia en fecha 28/08/2018.

Consta en las actuaciones que, con anterioridad a la sustracción del vehículo en
cuestión, la parte reclamante entregó a su pareja las llaves del mismo y que ésta las
dejó escondidas en el paso de rueda del coche para que fueran recogidas por aquél,
cosa que no llegó a ocurrir debido al robo cometido.

Estos hechos fueron valorados por GOLDCAR como un antecedente grave y
determinaron que dicha entidad realizara en la ficha de cliente de la parte reclamante
la oportuna anotación para negarle futuros alquileres de vehículos de su flota, como
así ocurrió en junio de 2021 cuando la parte reclamante pretendió realizar la reserva
de un vehículo de GOLDCAR que consta reseñada en el Hecho Probado Cuarto.

El tratamiento de datos controvertido, que da lugar al presente procedimiento
sancionador, tiene que ver con el registro de la incidencia ocurrida con la devolución
del vehículo alquilado en 2018 y la anotación negativa realizada en la ficha de cliente,
así como con la utilización de estos datos personales realizada en junio de 2021 para
negar a la parte reclamante la reserva que solicitó a GOLDCAR para un nuevo alquiler
de vehículo.

La controversia sobre este tratamiento tiene que ver con su licitud, no con la certeza
de su realización, que está probada fehacientemente, incluso admitida por GOLDCAR.

Este y no otro es el objeto de este procedimiento, de modo que este acto no supone
pronunciamiento alguno sobre otros aspectos que se muestran en las actuaciones,
como la nueva Política de Privacidad de GOLDCAR o el registro de anotaciones
“positivas” en las fichas de clientes dispuesto por esta entidad, entre otros.

a) A este respecto, en primer lugar, GOLDCAR considera que en todo momento ha
realizado un tratamiento legítimo de los datos de acuerdo con la normativa vigente en
cada ocasión. Destaca que se firmó un primer contrato de alquiler del vehículo con el
reclamante por el periodo que iba comprendido entre el 27 y 29 de abril de 2018, esto
es, con carácter previo a la entrada en aplicación del RGPD que se produjo el 25 de
mayo de 2018, siendo la norma vigente en el momento la Ley Orgánica 15/1999, de
Protección de Datos de Carácter Personal (LOPD), que establecía qué información se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/40

debía facilitar a los afectados sobre el tratamiento de sus datos en su artículo 5. En
virtud de este artículo se debía informar de la existencia del fichero, finalidades de la
recogida y destinatarios, así como la posibilidad de ejercicio de los derechos del
afectado y los datos de contacto del responsable del fichero. En consecuencia, no era
necesario informar sobre la base de legitimación para el tratamiento de los datos, ni su
periodo de conservación.

Señala que en el punto 16 de las Condiciones Generales de Alquiler aplicables en el
momento de la contratación, se incluía una cláusula de protección de datos, en la que
se informaba de los extremos requeridos por el citado artículo 5 de la LOPD: “a
efectos de lo dispuesto en la normativa vigente […] GOLDCAR le informa de que sus
datos personales van a ser incorporados a un fichero automatizado de datos de
carácter personal creado y bajo la responsabilidad de esta empresa […] con el fin de
poder gestionar los servicios de alquiler de vehículos contratados (…)”.

De forma que los datos se recogían y trataban para la gestión de los servicios de
alquiler de vehículos contratados, sin recabar consentimiento de acuerdo con el
artículo 6.2 de la LOPD, conforme al cual, el tratamiento con fines contractuales
alcanzaba a las partes de un contrato cuando el tratamiento fuera necesario para el
mantenimiento o cumplimiento de la relación contractual. Las Condiciones Generales
de Contratación, establecían en su clausula 10 que el uso del vehículo por personas
no autorizadas constituía un incumplimiento de la relación contractual y, por otra parte,
la cláusula 10, párrafo 11 de las condiciones particulares, establecían: “Goldcar se
reserva el derecho a cancelar la entrega del vehículo en caso de dudas fundadas
sobre la capacidad financiera del cliente o por antecedentes de este de impagos o
incidentes graves con Goldcar”.

GOLDCAR justifica así que, en el momento de la recogida de datos del reclamante,
recogía y trataba los datos personales del cliente dentro del alcance del contrato y
podía decidir incluir una nota del incidente en caso de incumplimiento de sus términos
y condiciones. Añade que la gestión del incidente y los posibles riesgos futuros
derivados del incumplimiento son tratados de acuerdo con el interés legítimo para
prevenir los riesgos asociados a la prestación de servicios de arrendamiento de
vehículos, en particular, aquellos riesgos relacionados con fraudes, daños personales
consecuencia de accidentes de tráfico, daños a la flota de GOLDCAR y actividades
ilegales llevadas a cabo con vehículos robados o perdidos.

Como bien señala GOLDCAR, la Ley Orgánica 15/1999, de Protección de Datos de
Carácter Personal obligaba a la entidad responsable a informar a los interesados en el
momento de la recogida de los datos sobre la finalidad para la que los mismos serían
tratados. Sin embargo, la información ofrecida a la parte reclamante en el momento de
formalización de los contratos de alquiler de vehículos suscrito en abril de 2018, que
conste íntegramente reproducida en el Hecho Probado Primero, se limitaba a informar
sobre la utilización de los datos para gestionar los servicios de alquiler de vehículos y
con fines promocionales, sin advertir sobre la posibilidad de registrar antecedentes que
dieran lugar al bloqueo de la cuenta de cliente con el fin de que GOLDCAR pudiera
rechazar futuras reservas de vehículos.

Este tratamiento de datos que, como se ha indicado, constituye el objeto del presente
procedimiento, tiene una finalidad distinta a la ejecución del contrato. Nada se incluía
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/40

en aquella cláusula informativa sobre este tratamiento de datos, de modo que la parte
reclamante no tuvo oportunidad de conocer que sus datos personales serían
registrados en los sistemas de GOLDCAR con este propósito.

Por otra parte, si bien no corresponde a esta AEPD decidir sobre el cumplimiento o
incumplimiento de las estipulaciones pactadas por las partes en el contrato de alquiler
de vehículos, si interesa dejar constancia, en lo que aquí interesa, que no consta
probado que el reclamante hubiese incumplido la obligación de no ceder el uso del
vehículo a una persona no autorizada. No consta en las actuaciones, más allá de que
el reclamante hubiese entregado las llaves del coche a su pareja, ninguna prueba de
que esta persona hubiese conducido el vehículo.

Y tampoco consta acreditado que las “condiciones particulares” estipuladas en
aquellos contratos de alquiler de vehículos suscritos en abril de 2018 facultaran a
GOLDCAR para cancelar la entrega de vehículos en alquiler en caso de incidentes o
riesgos graves. Las “condiciones particulares” que se hicieron constar en dichos
contratos constan reseñadas en el Hecho Probado Primero y nada de lo indicado en
las mismas tiene relación con el tratamiento de datos en cuestión.

b) En todo caso, se tiene en cuenta que los datos registrados por GOLDCAR, que
incluyen todos los detalles sobre las circunstancias de hechos descritas en los Hechos
Probados Segundo y Tercero, incluida la sustracción del vehículo mientras estaba
siendo utilizado por el reclamante, así como la “alerta” sobre el bloqueo de
contrataciones futuras, se mantuvo en los sistemas de la entidad responsable, al
menos, hasta conocer la reclamación que ha motivado las actuaciones.

A pesar de ello, GOLDCAR no estableció las medidas oportunas para adaptar estos
tratamientos de datos a las exigencias del RGPD.

GOLDCAR destaca que, durante el proceso de adaptación al RGPD, se revisan las
políticas de conservación de los datos de carácter personal y se incluye esta
información en la política de privacidad de conformidad con los requisitos de
información y transparencia recogidos en el artículo 13 del RGPD; realizando también
una ponderación entre su interés legítimo y de terceros en prevenir riesgos y fraudes
relacionados con los contratos de alquiler, así como prevenir y manejar
comportamientos ofensivos hacia sus empleados y las libertades y derechos de los
afectados (clientes), motivo por el que GOLDCAR llevo a cabo una Evaluación de
Impacto contando en la actualidad con un procedimiento para la gestión de las
incidencias y la inclusión de avisos en las fichas de clientes. Dicho procedimiento
establece los supuestos tasados en los que sería posible incluir un aviso, las
consecuencias y el periodo de duración de la medida en función de la gravedad de los
hechos o el posible perjuicio para GOLDCAR y el personal autorizado para gestionar
las incidencias. GOLDCAR considera, por tanto, que, en caso de haberse producido,
el mantenimiento de la nota del incidente en la ficha del cliente estaba legitimado en
base a la relación contractual existente con el mismo y, posteriormente, en el interés
legítimo de la entidad. Si bien, señala que a la fecha de los distintos requerimientos de
información no existía ningún aviso de incidente en la ficha de cliente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/40

Interesa reiterar que GOLDCAR estaría tratando datos más allá de la finalidad
contractual inicial, al mantener notas o avisos internos sobre incumplimientos sin haber
informado previamente de ese uso adicional.

Además, con la entrada en aplicación del RGPD el 25 de mayo de 2018, GOLDCAR
debía cumplir requisitos más amplios de información establecidos en el 13, entre los
que se incluyen detallar la base jurídica y el período de conservación, así como
realizar una evaluación de impacto y la debida ponderación entre su interés legítimo y
los derechos d ellos interesados.

GOLDCAR ha manifestado haber llevado a cabo esta adecuación y ha aportado
algunos de los documentos elaborados con este propósito, si bien no ha acreditado en
qué momento se realizó dicha adecuación y, lo que es más importante para la
resolución del presente caso, no ha acreditado haber informado debidamente al
reclamante sobre este tratamiento para que pudiera conocer cómo se estaban
utilizando sus datos y pudiera ejercer sus derechos, como el de oposición a los
tratamientos de datos basados en el interés legítimo del responsable, dado que dichos
avisos internos podían conllevar un impacto futuro para el reclamante.

Incluso, aunque GOLDCAR hubiese trasladado al reclamante la información dispuesta,
esta información no asegura que el reclamante hubiese tomado conciencia cierta
sobre el uso de sus datos personales para excluirle de contrataciones futuras en base
a los hechos acontecidos en 2018.

La Política de Privacidad actual elaborada por GOLDCAR, que tiene fecha de 1 de
mayo de 2024, muy posterior a los hechos analizados, contempla “La gestión y el
mantenimiento del bloqueo de la cuenta de clientes con riesgos contractuales basados
en:

. incidentes de pago que hayan dado lugar a procedimientos judiciales;
. accidentes de vehículos o daños repetidos u ofensas a nuestros empleados;
. uso de nuestros vehículos incumpliendo las condiciones generales de alquiler
de vehículos.

Ya se ha dicho anteriormente que no hay certeza sobre el incumplimiento por parte del
reclamante de las condiciones generales o particulares.

Asimismo, los hechos acreditados en relación con los incidentes acaecidos en 2018 no
permiten establecer una relación directa, de causa y efecto, entre la conducta del
reclamante y el robo del vehículo que justifique atribuirle responsabilidad alguna por
este robo. Se puede concluir que el registro de estos incidentes por parte de
GOLDCAR y la anotación efectuada en la ficha de cliente del reclamante para prevenir
o evitar riesgos futuros, que determinó el rechazo del alquiler de un vehículo en 2021,
es el resultado de una valoración subjetiva de los hechos realizada por GOLDCAR, lo
que dificulta que el reclamante pudiera si quiera intuir que sus datos personales serían
tratados con esta finalidad y que, en base a ello, sería objeto de esa exclusión.

Tampoco estos hechos se ajustan a los enunciados contenidos en esa Política de
Privacidad. No constan impagos, ni accidentes o daños en el vehículo que sean

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/40

imputables al reclamante, ni ofensas a empleados de GOLDCAR o incumplimientos
acreditados de las condiciones generales de alquiler de vehículos.

SEGUNDA: Sobre la ponderación del interés legítimo de GOLDCAR y los derechos de
sus clientes.

En relación con la acreditación del interés legítimo, GOLDCAR considera lícito, el
tratamiento de los datos conforme a su interés legítimo señalando que el propio
RGPD, en su considerando 47 dispone lo siguiente: “El tratamiento de datos de
carácter personal estrictamente necesario para la prevención del fraude constituye
también un interés legítimo del responsable del tratamiento de que se trate”. Así
perseguiría la prevención del fraude y la protección de sus empleados, incluso el
interés de terceros en el supuesto de que pudiera producirse un accidente con un
coche robado o perdido y del mismo resultaran daños materiales o personales a
terceros, puesto que las entidades aseguradoras y las pólizas no cubren daños sin
limitaciones.

Alega GOLDCAR que esta necesidad viene derivada del riesgo de la actividad de
arrendamiento de vehículos de alquiler en la que se pueden producir fraudes e, incluso
la comisión de otro tipo de delitos, derivados de información falsa presentada por los
clientes, daños causados a los vehículos, daños materiales o personales producidos
en accidentes con vehículos robados o desaparecidos, el robo de estos con la
posibilidad de que los mismos sean utilizados para la comisión de delitos. Informa que
el alquiler de vehículos está sujeta a las obligaciones de registro documental previstas
en la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana.

Continua GOLDCAR señalando que se adoptaron las siguientes medidas a fin de
minimizar los posibles riesgos:

 “A fin de evitar una posible vulneración de los derechos de los
afectados, se limitaron el tratamiento de los incidentes a supuestos
concretos que supusieran un perjuicio grave para la entidad bien por
suponer un grave perjuicio económico, la posibilidad de que los clientes
cometieran un fraude o delito o pudieran suponer un riesgo para la
integridad física o moral del personal de GOLDCAR.
 En todo caso, se comprueba y asegura que los datos que se recaben o
se utilicen para incluir una nota no estén relacionados o sean recogidos
por razón de nacimiento, raza, sexo, religión, opinión o cualquier otra
condición o circunstancia personal o social, de acuerdo con el artículo
14 de la CE.
 Se informa a los afectados de las consecuencias del tratamiento y de
que tienen derecho a reclamar expresamente esta decisión ante el
DPO de la entidad.
 Se establece un protocolo interno para la gestión de estas situaciones,
en las que se indica expresamente los supuestos en los que se pueden
reflejar las incidencias, esto es, solo se pueden tratar estos datos en
casos de (i) incidentes de pago que hayan dado lugar a procedimientos
judiciales; (ii) accidentes de vehículos o daños repetidos u ofensas a
nuestros empleados y (iii) uso de nuestros vehículos incumpliendo las
condiciones generales de alquiler de vehículos. Asimismo, se prevé que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/40

en función de la gravedad del incidente el periodo de duración de la
anotación se gradúe entre 3 y 5 años.
 Se informa en la política de privacidad de esta posibilidad, así como del
periodo de retención de los datos y de la posibilidad de reclamar la
decisión.
 Los datos deben ser tratados por el personal expresamente autorizado
al efecto.
 Cualquier incidente debe estar documentado, si no es posible su
documentación no será posible el tratamiento de este dato.
 En caso de que se decida incluir un aviso o alerta en la ficha de cliente,
esta es incluida de forma manual por el personal autorizado con la
mínima información de forma que el personal del mostrador no puede
acceder a la información completa del incidente, solo tiene constancia
de la existencia de la nota o aviso en la ficha y la calificación de la
gravedad del incidente.
 Asimismo, en ningún caso, estos datos son compartidos con terceros,
salvo que sea necesario ponerlos en conocimiento de las Fuerzas y
Cuerpos de Seguridad del Estado y/o los juzgados y tribunales
competentes.
 No se recaban datos de fuentes externas en relación con los incidentes,
la única información que se puede contener recibida de terceros será la
facilitada por los juzgados y tribunales o las Fuerzas y Cuerpos de
seguridad en aquellos supuestos en los que el incidente sea objeto de
un procedimiento judicial o una investigación por las autoridades
competentes. En todo caso, esta información no figura en la ficha de
cliente, sino que es tratada por los departamentos competentes en el
seno de la empresa.”

Señala que, en la fecha de la segunda contratación, toda esta información se facilitaba
en las Condiciones Generales de Contratación y en la política de privacidad de
GOLDCAR, sin que el reclamante se pusiera en contacto con nuestro servicio de
atención al cliente o el DPO como se recoge en la política de privacidad.

Asimismo, trae a colación que, por analogía, se podría hablar de “reserva del derecho
de admisión” respecto a los futuros alquileres que podría efectuar el cliente y
menciona que la jurisprudencia exige que las normas sobre las condiciones de
admisión deben estar publicitadas, argumentando que se informa en la política de
privacidad de la existencia del tratamiento, los supuestos tasados en los que puede
producirse y las consecuencias del tratamiento. Adicionalmente, las Condiciones
Generales de Contratación establecen, en el caso que nos ocupa, que prestar el
vehículo a terceros sin la autorización del arrendador es un incumplimiento de las
condiciones de uso del vehículo. Asimismo, en las condiciones particulares se
especifica que, en caso de incumplimientos, la entidad se reserva el derecho a
denegar la entrega del vehículo.

a) En relación con todas estas afirmaciones cabe remitirse a lo expresado en el
apartado anterior, que da respuesta suficiente a las mismas. No obstante, cabe insistir
que la parte reclamante no tenía ninguna razón para conocer las anotaciones que
existían en su ficha de cliente y su finalidad, por lo que no se entiende que GOLDCAR
justifique su conducta atribuyendo al reclamante la responsabilidad de haber
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/40

contactado o no con su servicio de atención al cliente una vez publicó su nueva
política de privacidad, sobre la cual, además, no se conoce si es previa o posterior al
rechazo de la reserva de alquiler de vehículo solicitada por el reclamante en junio de
2021.

b) Asimismo, esta Agencia desea señalar que GOLDCAR alega que su interés legítimo
ampara el tratamiento de datos personales, apoyándose en el considerando 47 del
RGPD, que efectivamente menciona que la prevención del fraude puede constituir un
interés legítimo del responsable, si bien en este caso no existe constancia cierta de
que la parte reclamante cometiese fraude alguno a resultas de los contratos de alquiler
de abril de 2018, más allá de la apreciación de los hechos realizada por la propia
GOLDCAR al respecto.

Además, el artículo 6.1.f) del RGPD exige que el interés legítimo invocado por la
entidad responsable no prevalezca sobre los intereses, derechos y libertades
fundamentales de los interesados que requiera la protección de datos personales, sin
acreditar de forma suficiente la base jurídica del tratamiento que realiza sobre los
datos personales de los clientes cuando incluye alertas internas por incidentes previos.

En relación con la base jurídica del interés legítimo, el artículo 6 del RGPD establece:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño...”.

El Considerando 47 del RGPD precisa el contenido y alcance de esta base
legitimadora del tratamiento:

“(47) El interés legítimo de un responsable del tratamiento, incluso el de un
responsable al que se puedan comunicar datos personales, o de un tercero, puede
constituir una base jurídica para el tratamiento, siempre que no prevalezcan los
intereses o los derechos y libertades del interesado, teniendo en cuenta las
expectativas razonables de los interesados basadas en su relación con el
responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación
pertinente y apropiada entre el interesado y el responsable, como en situaciones en
las que el interesado es cliente o está al servicio del responsable. En cualquier caso,
la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si
un interesado puede prever de forma razonable, en el momento y en el contexto de la
recogida de datos personales, que pueda producirse el tratamiento con tal fin. En
particular, los intereses y los derechos fundamentales del interesado podrían
prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al
tratamiento de los datos personales en circunstancias en las que el interesado no
espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde
al legislador establecer por ley la base jurídica para el tratamiento de datos personales
por parte de las autoridades públicas, esta base jurídica no debe aplicarse al
tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/40

tratamiento de datos de carácter personal estrictamente necesario para la prevención
del fraude constituye también un interés legítimo del responsable del tratamiento de
que se trate. El tratamiento de datos personales con fines de mercadotecnia directa
puede considerarse realizado por interés legítimo”.

Los criterios interpretativos que se extraen de este Considerando son, entre otros, (i)
que el interés legítimo del responsable prevalezca sobre los intereses o derechos y
libertades fundamentales del titular de los datos, a la vista de las expectativas
razonables que éste tenga, fundadas en la relación que mantiene con el responsable
del tratamiento; (ii) será imprescindible que se efectúe una “evaluación meticulosa” de
los derechos e interés en juego, también en aquellos supuestos en los que el
interesado pueda prever de forma razonable, en el momento y en el contexto de la
recogida de datos, que pueda producirse el tratamiento con tal fin; (iii) los intereses y
derechos fundamentales del titular de los datos personales podrían prevalecer frente a
los intereses legítimos del responsable cuando el tratamiento de los datos se efectúe
en circunstancias tales en las que el interesado “no espere razonablemente” que se
lleve a cabo un tratamiento ulterior de sus datos personales.

GOLDCAR no ha justificado este interés legítimo de forma suficiente para permitir la
prueba de ponderación entre el interés del responsable y los derechos del interesado,
necesaria para determinar la licitud de los tratamientos llevados a cabo. En este caso,
además, no consta que la citada entidad hubiese realizado esa prueba de ponderación
con anterioridad a la recogida de los datos del reclamante y la realización de las
anotaciones en su ficha de cliente, ni que haya informado debidamente al reclamante
sobre esta base legitimadora, en ese momento o en otro posterior.

La entidad reclamada no realizó este análisis previo y en ningún momento informó al
reclamante sobre esta base jurídica del tratamiento.

Al faltar la información relativa a la prueba de ponderación, el interesado se ve privado
de su derecho a conocer la base jurídica del tratamiento alegada por el responsable, y
en concreto, al referirse al interés legítimo, se ve privado de su derecho a conocer
cuáles son dichos intereses legítimos alegados por el responsable o de un tercero que
justificarían el tratamiento sin tener en cuenta su consentimiento.

Del mismo modo, el interesado se ve privado de su derecho a alegar por qué causas
dicho interés legítimo alegado por el responsable podría ser contrarrestado por los
derechos o intereses del interesado. No habiéndosele dado oportunidad al interesado
de alegarlos frente al responsable, cualquier sopesamiento que realice el responsable
sin tener en cuenta las circunstancias que pudiera alegar el interesado, a quien no se
la ha permitido hacerlo, estaría viciado, por ser un acto contrario a una norma
imperativa.

Es difícil aceptar que un tratamiento se base en el interés legítimo del responsable
cuando ese tratamiento se lleva a cabo de forma oculta.

No cabe, por tanto, invocar esta base jurídica del interés legítimo “a posteriori”, con
ocasión de la tramitación de unas actuaciones administrativas desarrolladas. Aceptarlo
sería tanto como admitir un interés legítimo sobrevenido, respecto del cual no se han
respetado las exigencias previstas en la normativa de protección de datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/40

y sobre el que no se informó al reclamante.

No obstante, aunque está claro el interés legítimo no es aplicable en el presente caso,
interesa analizar los términos en que debe llevarse a cabo la ponderación que prevé el
artículo 6.1.f) del RGPD entre el legítimo interés del responsable de los datos y la
protección de datos de carácter personal del interesado, es decir, cómo juega dicho
interés legítimo, si fuera aplicable.

El TJUE, en su sentencia de 04/05/2017, C-13/16, Rigas Satskime, apartado 28 a 34,
determinó cuáles son los requisitos para que un tratamiento pueda resultar lícito sobre
la base del interés legítimo. La sentencia TJUE de 29/07/2019, C-40/17, Fashion ID,
haciéndose eco de la sentencia citada, recoge dichos requisitos.

28. A tal respecto, el artículo 7, letra f), de la Directiva 95/46 -(actual artículo 6.1.f) del RGPD)-
fija tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito:
primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen
los datos persigan un interés legítimo; segundo, que el tratamiento sea necesario para la
satisfacción de ese interés legítimo y, tercero, que no prevalezcan los derechos y libertades
fundamentales del interesado en la protección de los datos.

Esta base jurídica requiere la existencia de intereses reales, no especulativos y que,
además, sean legítimos. Y no solo la existencia de ese interés legítimo significa que
puedan realizarse aquellas operaciones de tratamiento. Es preciso también que estos
tratamientos sean necesarios para satisfacer ese interés y considerar la repercusión
para el interesado, el nivel de intrusismo en su privacidad y los efectos que pueden
repercutirle negativamente.

En cuanto al primero de los requisitos, es decir, que el responsable del tratamiento o
terceros persigan un interés legítimo, como es evitar el de prevenir fraudes, nos
encontramos ante un interés que podría considerarse legítimo en sí mismo, si bien
habrá de ser ponderado dicho interés con el de los particulares en base a los
tratamientos de datos personales que conlleve esa prevención del fraude. Esto es,
aunque el responsable tenga dicho interés legítimo, ello no significa, en sí mismo
considerado, que pueda simplemente invocarse esta base jurídica como fundamento
del tratamiento. La legitimidad de este interés es solo un punto de partida, uno solo de
los elementos que deben ponderarse.

En cuanto al segundo de los requisitos, sin embargo, se considera que el tratamiento
de datos personales que realiza GOLDCAR no es necesario o estrictamente necesario
para la satisfacción del interés legítimo alegado (la sentencia citada de 04/05/2017, C-
13/16, Rigas Satskime, en su apartado 30, declara “Por lo que atañe al requisito de
que el tratamiento de datos sea necesario, procede recordar que las excepciones y
restricciones al principio de protección de los datos de carácter personal deben
establecerse sin sobrepasar los límites de lo estrictamente necesario”).

De esta forma, deberán preferirse siempre medios menos invasivos para servir a un
mismo fin. Necesidad supone aquí que el tratamiento resulte imprescindible para la
satisfacción del referido interés, de modo que, si dicho objetivo se puede alcanzar de
forma razonable de otra manera que produzca menos impacto o menos intrusiva, el
interés legítimo no puede ser invocado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/40

El término “necesidad” que utiliza el artículo 6.1 f) del RGPD tiene a juicio del TJUE un
significado propio e independiente en la legislación comunitaria. Se trata de un
“concepto autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C-
524/2006, apartado 52). De otra parte, el Tribunal Europeo de Derechos Humanos
(TEDH) ha ofrecido también directrices para interpretar el concepto de necesidad. En
su Sentencia de 25/03/1983 precisó que, sin perjuicio de que el tratamiento de los
datos de los reclamantes sea “útil”, “deseable” o “razonable”, como precisó el TEDH en
su Sentencia de 25/3/1983, el término “necesario” no tiene la flexibilidad que está
implícita en esas expresiones.

Cuanto más “negativo” o “incierto” pueda ser el impacto del tratamiento, más
improbable es que el tratamiento en su conjunto pueda considerarse legítimo.

Como puede apreciarse, lo expresado anteriormente se ajusta a la doctrina del
Tribunal Constitucional sobre el juicio de proporcionalidad que debe realizarse sobre
una medida restrictiva de un derecho fundamental. Según esta doctrina, deberán
constatarse tres requisitos: idoneidad (si la medida permite conseguir el objetivo
propuesto); necesidad (que no exista otra medida más moderada); proporcionalidad en
sentido estricto (más beneficios o ventajas que perjuicios).

En definitiva, dejando aparte el hecho de que el interesado no conoce para qué fines o
con qué base jurídica se han recogido sus datos, no conoce siquiera el tratamiento
realizado, se entiende que la recogida y utilización de los datos del reclamante que
GOLDCAR lleva a cabo supone un tratamiento de datos personales desproporcionado.
Se tiene en cuenta especialmente que la información conservada por GOLDCAR no
hace referencia de forma cierta a un fraude cometido por el reclamante y los perjuicios
o efectos discriminatorios que el tratamiento provoca en el mismo.

El resultado de las acciones realizadas por GOLDCAR suponen la elaboración de una
“lista negra de clientes”, tratamiento de datos que, como se ha dicho, no queda
amparado por la relación contractual, en la medida en que este tratamiento no finaliza
con el vencimiento de la relación contractual, sino que prosigue con una finalidad
distinta; y requiere de otra base jurídica que lo legitime, así como el cumplimiento de
todos los principios y garantías previstos en el RGPD (transparencia, limitación de la
finalidad, minimización de datos, limitación del plazo de conservación, etc.).

Sobre esta cuestión relativa a las “listas negras” ha tenido ocasión de pronunciarse el
Gabinete Jurídico de esta AEPD. En el Informe 0201/2010, cuyas conclusiones son
perfectamente válidas, se indica lo siguiente:

“La primera cuestión que resulta de la consulta formulada se refiere a qué debe
entenderse por lista negra al no existir en nuestro derecho un concepto legal al que
acudir. A este respecto, el Grupo de Trabajo del Artículo 29, órgano consultivo
independiente de la UE sobre protección de los datos y la vida privada, creado en
virtud de lo previsto en el citado artículo de la Directiva 95/46/CE relativa a la
protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos, en su documento de trabajo sobre
las listas negras de 3 de octubre de 2002, ha abordado de forma genérica un posible
concepto básico de lista negra configurándola como “la recogida y difusión de
determinada información relativa a un determinado grupo de personas, elaborada de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/40

conformidad con determinados criterios dependiendo del tipo de lista negra en
cuestión, que generalmente implica efectos adversos y perjudiciales para las personas
incluidas en la misma, que pueden consistir en discriminar a un grupo de personas al
excluirlas de la posibilidad del acceso a un determinado servicio o dañar su
reputación.”

Señala, este documento, que dado que cualquier operación o conjunto de operaciones
aplicadas a datos personales constituye un tratamiento de datos personales sujeto a la
Directiva 95/46 CEE y a las respectivas normativas en materia de protección de datos
en cada Estado miembro, para que las listas negras puedan existir legalmente
deberán someterse a los principios de legitimación que aparecen en dicha Directiva y
respetar los derechos que a los ciudadanos les confiere la misma, salvo que puedan
acogerse a alguna de las excepciones previstas en ella.

La traslación de estos principios al derecho español se encuentra en el artículo 6 de la
Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter
Personal, según el cual “1. El tratamiento de los datos de carácter personal requerirá
el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.

2. No será preciso el consentimiento cuando los datos de carácter personal se recojan
para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito
de sus competencias; cuando se refieran a las partes de un contrato o precontrato de
una relación negocial, laboral o administrativa y sean necesarios para su
mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad
proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la
presente Ley, o cuando los datos figuren en fuentes accesibles al público y su
tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el
responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre
que no se vulneren los derechos y libertades fundamentales del interesado.”

De esta manera, salvando aquellos supuestos en que las listas negras tienen de
alguna manera una base legal, como sucede en el derecho español con los ficheros
de solvencia patrimonial y crédito regulados en la propia Ley Orgánica 15/1999 y cuyo
fundamento se encuentra en el interés legítimo de preservación y estabilidad del
sistema financiero, o se encuentran legitimadas en alguno de los supuestos previstos
en el artículo 6.2 de la Ley Orgánica 15/1999, la inclusión de datos personales en un
lista negra requeriría el consentimiento del interesado para ser conforme a lo
dispuesto en la normativa de protección de datos”.

Como bien indica este informe, un claro ejemplo de estas listas lo constituyen los
sistemas de información crediticia, cuya regulación establece expresamente los
supuestos de hecho objetivos que determinan la anotación de los datos personales en
dicho sistema, así como la necesidad, como requisito determinante de la licitud del
tratamiento de datos, de informar previamente sobre la posibilidad de registrar los
datos si objetivamente se da el supuesto de hecho que determina la anotación.

En definitiva, el interés legítimo invocado por GOLDCAR no prevalece frente los
derechos y libertades fundamentales del reclamante en la protección de sus datos
personales, por lo que no cabe considerar que el tratamiento de datos personales que
lleva a cabo esté amparado por el interés legítimo que prevé el artículo 6.1.f) del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/40

RGPD.

Y tampoco el interesado presta su consentimiento para dicho tratamiento de datos.
Como se dirá más adelante. De acuerdo con lo expresado en las normas reseñadas,
los tratamientos de datos personales objeto de la reclamación requieren la existencia
de una base legal que lo legitime, como el consentimiento del interesado prestado
válidamente, necesario cuando no concurra alguna otra base jurídica de la
mencionadas en el artículo 6.1 del RGPD o el tratamiento persiga un fin compatible
con aquel para el que se recogieron los datos.

c) GOLDCAR menciona que el alquiler de vehículos está sometido a ciertas
obligaciones documentales según la Ley Orgánica 4/2015, de 30 de marzo, de
protección de la seguridad ciudadana. Sin embargo, esta norma no habilita de forma
generalizada el almacenamiento prolongado de incidentes o la inclusión de alertas
internas sobre clientes por supuestos incumplimientos contractuales, daños, o riesgos
futuros valorados por la propia entidad GOLDCAR. La obligación legal prevista en esa
norma se refiere a facilitar datos concretos a las autoridades cuando sea requerido, no
a mantener bases de datos internas para anticipar incumplimientos. Por tanto, este
argumento no justifica el tratamiento generalizado ni permanente de datos de clientes
conflictivos en el marco del artículo 6 del RGPD.

d) Por otra parte, GOLDCAR enumera varias medidas internas que no sustituyen ni
suplen la falta de una base jurídica válida según el artículo 6 del RGPD respecto del
tratamiento de datos personales del reclamante analizado en este caso. Así, las
garantías adoptadas son relevantes, pero siguen precisando la obligación de cumplir
con la exigencia de que exista una base legal válida para el tratamiento.

e) Por último, esta Agencia desea señalar que la alegación sobre el derecho de
admisión no pertenece al ámbito de protección de datos, sino al derecho contractual y
mercantil. El RGPD no regula si una empresa puede o no admitir a un cliente, sino
cómo trata los datos personales en ese contexto. Por tanto, esta argumentación no es
relevante para justificar el tratamiento conforme al artículo 6 del RGPD.

TERCERA: Sobre el principio de culpabilidad del procedimiento administrativo
sancionador.

GOLDCAR considera que no procede la apertura del procedimiento sancionador, por
cuanto no existe una intencionalidad o negligencia en el cumplimiento de los deberes
como responsable del tratamiento, puesto que, en todo momento, ha pretendido tratar
los datos recabados de su cliente de conformidad con la normativa vigente en cada
momento y cumpliendo con los requisitos exigidos por la normativa de protección de
datos para la recogida y tratamiento de los datos.

Al respecto, esta Agencia considera que no se han adoptado efectivamente las
medidas necesarias para garantizar el cumplimiento del RGPD. Así, la negligencia es
la omisión, el descuido voluntario y, en general, la actuación sin el debido nivel de
cuidado que era exigible según el nivel de responsabilidad propio de su condición y la
normativa aplicable.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/40

CUARTA: Sobre las previsiones de los artículos 83.1 y 83.2 del RGPD a tener en
cuenta para el cálculo de la sanción.

En relación con la naturaleza, gravedad y duración de la infracción, GOLDCAR reitera
que los datos fueron recabados y tratados al amparo de la relación contractual
existente con el cliente, esto es para gestionar la prestación del servicio y su
cumplimiento. Señala que la recogida del vehículo se produjo en 2018 y cualquier
infracción relacionada con la información facilitada al cliente, en dicho momento,
habría prescrito. Adicionalmente, sin perjuicio de cualquier otra consideración, existe
legitimación para tratar los datos relacionados con incidentes basado en el interés
legítimo de GOLDCAR y de terceros, el interés de prevenir riesgos para GOLDCAR,
sus empleados y terceras personas.

GOLDCAR afirma que el plazo para la conservación de los datos que viene siguiendo
es de cinco años tras la contratación, esto es, al menos hasta el fin de la prescripción
de las acciones por responsabilidad contractual, motivo por el que los datos
continuaban en 2021 en su sistema. Al haber una nueva contratación en dicha fecha
los datos vuelven a mantenerse durante un periodo de cinco años desde la última
contratación. Continúa explicando que las anotaciones sobre incidentes en la ficha de
cliente están también sujetas a limitación temporal, pudiendo mantenerse por un
periodo entre 3 y 5 años, en función de la gravedad de los hechos. En este sentido,
debido al tiempo transcurrido no figura nota de incidente en la ficha de cliente. Ahora
bien, se cuenta con la documentación relativa a sus contrataciones e incidentes,
debido a que hubo una segunda contratación y una incidencia con la entrega del
vehículo en 2021, pero esta información esta únicamente disponible para el personal
que necesita acceso a esta información.

En cuanto al agravante relativo a que “la actividad de la entidad presuntamente
infractora está vinculada con el tratamiento de datos de clientes como de terceros”,
GOLDCAR reitera que la única información que se tiene en cuenta para reflejar un
incidente en una ficha de cliente es la obtenida de la relación contractual.

Por último, considera GOLDCAR que no se hace referencia a otras circunstancias que
podrían atenuar, en caso de existir, la responsabilidad como el hecho de que no ha
sido sancionada previamente por la AEPD, que no haya obtenido ningún tipo de
beneficio de la comisión de la infracción, o que no se causó ningún perjuicio grave al
interesado.

En relación a la alegación referida a que la recogida de datos personales en 2018 y
que, por tanto, cualquier infracción vinculada a ese momento estaría prescrita, esta
Agencia considera que los hechos objeto del presente procedimiento sancionador
ocurrieron el 9 de junio de 2021, momento en que se denegó la entrega del vehículo
alquilado debido a una anotación interna relativa a los hechos sucedidos en 2018. En
consecuencia, el tratamiento de datos se mantuvo durante todo ese período, de modo
que el plazo de tres años establecido en el artículo 72 de la LOPDGDD para la
prescripción de la infracción por falta de legitimación prevista en el artículo 6 no se
había cumplido en el momento en que se notificó a GOLDCAR la apertura del
presente procedimiento sancionador.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/40

En cuanto al plazo de cinco años de conservación de las anotaciones al que hace
referencia GOLDCAR, esta Agencia advierte que se trata de una cuestión ajena al
objeto de las actuaciones.

Respecto a que se considere como agravante el hecho de que la actividad de
GOLDCAR esté vinculada a la realización de tratamientos de datos personales, esta
Agencia desea señalar que el artículo 83.2 del RGPD dispone que “Al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se tendrá
debidamente en cuenta: (…) k) cualquier otro factor agravante o atenuante aplicable a
las circunstancias del caso…”.

En este sentido, el legislador español ha considerado incluir en el artículo 76 de la
LOPDGDD que: “2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento
(UE) 2016/679 también podrán tenerse en cuenta:
(…)
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.”

Esta Agencia simplemente toma en consideración esa circunstancia, prevista por el
legislador, a la hora de decidir la imposición de la multa administrativa.

Cabe destacar que, por supuesto, no puede tener a los efectos de decidir la imposición
de una multa administrativa la misma consideración una infracción producida por una
persona física o una empresa pequeña no habituada al tratamiento de datos
personales, que una empresa como GOLDCAR, acostumbrada al tratamiento de datos
personales de cientos de clientes. Por supuesto que se considera que la infracción es
más grave a los efectos de imponer una multa si el responsable del tratamiento se
encuentra entre los segundos, como es el caso de GOLDCAR. Así lo ha señalado la
Audiencia Nacional en su SAN 65/2017, de siete de febrero de dos mil diecisiete, al
recoger la doctrina del Tribunal Supremo, "en la valoración del grado de diligencia ha
de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de
que, en el caso examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y exquisito
cuidado por ajustarse a las prevenciones legales al respecto".

Por último, en relación con la manifestación de GOLDCAR de que no se hace
referencia a otras circunstancias que podrían atenuar la responsabilidad como el
hecho de que no ha sido sancionada previamente por la AEPD, que no haya obtenido
ningún tipo de beneficio de la comisión de la infracción, o que no se causó ningún
perjuicio grave al interesado, esta Agencia desea señalar que no pueden considerarse
dichas circunstancias como atenuantes. Ello de acuerdo con la Sentencia de la
Audiencia Nacional, de 05/05/2021, rec. 1437/2020, que indica: “Considera, por otro
lado, que debe apreciarse como atenuante la no comisión de una infracción anterior.
Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la
imposición de la multa administrativa, entre otras, la circunstancia "e) toda infracción
anterior cometida por el responsable o el encargado del tratamiento". Se trata de una
circunstancia agravante, el hecho de que no concurra el presupuesto para su
aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni
permite, como pretende la actora, su aplicación como atenuante”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/40

Las sanciones deberán ser “en cada caso individual” efectivas, proporcionadas y
disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD. Así, valorar el hecho
de que GOLDCAR no haya sido sancionada previamente por la AEPD, no haya
obtenido ningún tipo de beneficio de la comisión de la infracción, o no haya causado
un perjuicio grave al interesado como atenuantes anularía el efecto disuasorio de la
multa, en la medida en que minora el efecto de las circunstancias que inciden
efectivamente en su cuantificación, reportando al responsable un beneficio al que no
se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a
entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere,
no le producirá un efecto negativo proporcional a la gravedad del hecho infractor.

En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo
establecido en su artículo 83.2, se imponen en función de las circunstancias de cada
caso individual y no se estima que la ausencia de beneficios sea un factor de
graduación adecuado y determinante para valorar la gravedad de la conducta
infractora.

Además, en este caso no puede decirse que no se ha causado perjuicio al reclamante.
Por todo lo anteriormente expuesto, se desestima la presente alegación.

QUINTA: Sobre la adopción de medidas.

GOLDCAR considera que cumple con las previsiones del RGPD y que no es necesario
la adopción de medidas para ajustar el tratamiento a la normativa. Asimismo, señala
que cualquier sugerencia de mejora de los procedimientos internos o de tratamiento de
los datos por parte de la AEPD será bienvenida por parte de GOLDCAR.

Al respecto, esta Agencia valora positivamente las medidas implementadas respecto a
la modificación de la política de privacidad y los protocolos internos para mitigar el
riesgo de que un caso como el de la presente reclamación pudiera volver a producirse.

No obstante, en relación con la adopción de medidas, corresponde a la empresa
GOLDCAR, de forma proactiva, garantizar el cumplimiento de la normativa de
protección de datos para lo cual se mantiene la obligación de acreditar la legitimación
para el tratamiento de los datos de conformidad con el artículo 6 del RGPD.

IV
Obligación incumplida: Infracción del artículo 6.1 del RGPD

El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales:

“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/40

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”

Asimismo el Considerando 40 del mencionado RGPD, dispone que «Para que el
tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento
del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya
sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los
Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de
cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de
ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas
a instancia del interesado con anterioridad a la conclusión de un contrato.»

El artículo 6 del RGPD, relativo a la “Licitud del tratamiento”, determina en su apartado
1 los supuestos en los que la normativa permite realizar el tratamiento de datos
personales de un tercero, que se denominan como “bases de licitud”. Si no concurre
alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o
considerado lícito por el RGPD.

De conformidad con dicho artículo, además del consentimiento, existen otras posibles
bases que legitiman el tratamiento de datos sin necesidad de contar con la
autorización de su titular. En particular, cuando sea necesario para la ejecución de un
contrato en el que el afectado es parte o para la aplicación, a petición de este, de
medidas precontractuales, o cuando sea necesario para la satisfacción de intereses
legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del afectado que requieran la protección de tales datos. El tratamiento
también se considera lícito cuando sea necesario para el cumplimiento de una
obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.

El reclamante ha manifestado que el vehículo que había reservado, a través de la web
de la parte reclamada, no le fue entregado al figurar en el contrato suscrito la
anotación “No se le entrega el vh al cliente por una alerta muy grave de un contrato de
Madrid de 2018”.

GOLDCAR, por su parte, ha manifestado que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/40

“De acuerdo con nuestra información, hubo un incidente con la devolución del
vehículo alquilado por el reclamante el 28 de abril de 2018, puesto que el
cliente incumplió las condiciones generales de contratación de GOLDCAR. En
particular, incumplió la cláusula 10, al permitir que un tercero condujera el
vehículo sin informar de la existencia de un segundo conductor a GOLDCAR.
En este sentido, dicha cláusula establece expresamente:

“Asimismo, es obligación del cliente no permitir la conducción del vehículo a
ninguna persona distinta a las autorizadas de conformidad con este contrato,
siendo responsable directo el cliente de cualquier daño o perjuicio producido en
el vehículo o a terceros en tal caso."
Como consecuencia del acceso por una tercera persona al vehículo, el
vehículo fue robado o al menos desapareció, sin que el cliente pudiera
devolver este en el periodo del alquiler. El vehículo fue recuperado por la
policía en agosto de 2018 en Polonia y GOLCAR tuvo que asumir los costes de
repatriación del vehículo, los servicios de la empresa de gestión de denuncias
y recuperación de vehículos, el abono de las multas impuestas al vehículo
durante este periodo, así como de la limpieza de este.

En atención a este incidente, nuestro departamento de seguros podría haber
redactado una nota interna en la ficha de cliente para gestionar el
incumplimiento del contrato, la recuperación del vehículo y los costes derivados
del incidente.

Actualmente, no hay ninguna nota en la ficha de cliente, probablemente debido
al tiempo transcurrido desde el incidente, pero sería posible que el agente, en
el momento de tramitar la reserva y entrega del vehículo, pudiera haber visto
esta información en la ficha de cliente y al comprobar que había un
incumplimiento de contrato, decidiese no entregar el coche, de acuerdo con las
clausula 10, párrafo 11 de las condiciones particulares de GOLDCAR, las
cuales establecen:

“Goldcar se reserva el derecho a cancelar la entrega del vehículo en caso de
dudas fundadas sobre la capacidad financiera del cliente o por antecedentes
de este de impagos o incidentes graves con Goldcar”.

Se puede concluir que los datos tratados provienen de la propia GOLDCAR que han
sido conservados como consecuencia de un incidente ocurrido en el 2018.

En el presente caso, GOLDCAR ha llevado a cabo el tratamiento de los datos de
carácter personal del reclamante sin legitimación, al estar vinculados con una alerta
derivada de un contrato celebrado de 2018, lo que constituye una vulneración de la
normativa en materia de protección de datos de carácter personal.

Para fundamentar esta conclusión, sirven todos los argumentos expresados en los
Fundamentos de Derecho anteriores, según los cuales este tratamiento de datos del
reclamante, realizados para bloquear posibles alquileres de vehículos de la entidad
GOLDCAR, no encuentran amparo en la relación contractual ni en el interés legítimo
de esta entidad. La única base de legitimación en este caso solo puede resultar del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/40

consentimiento del interesado, válidamente prestado, si bien GOLDCAR no ha
acreditado disponer de esta base de legitimación, la cual, por otra parte, no ha sido
siquiera invocada por dicha entidad.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de propuesta de resolución de procedimiento sancionador, se considera que los
hechos conocidos son constitutivos de una infracción, imputable a GOLDCAR, por
vulneración del artículo 6 del RGPD.

V
Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de
prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;"

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679."

VI
Propuesta de sanción por la infracción del artículo 6 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/40

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/40

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de multa, además de la adopción de medidas, si
procede.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD; y que para
garantizar estos principios se tiene en cuenta, con carácter previo, el volumen de
negocio de la parte reclamada, que en el ejercicio 2022 ascendió a 203.880.000 euros.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
propuesta de resolución de procedimiento sancionador, se considera que procede
graduar la sanción a imponer de acuerdo con las circunstancias siguientes,
contempladas en los preceptos antes citados.

Con carácter previo, se estima que concurren las circunstancias siguientes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(artículo 83.2, letra a), del RGPD): Los hechos puestos de manifiesto afectan
gravemente a una cuestión primordial en materia de protección de datos como es el
principio de licitud que la norma sanciona con la mayor gravedad, careciendo de
legitimación para el tratamiento de los datos de carácter personal que permanecían en
sus sistemas vinculados por la parte reclamada con una alerta en el año 2021
derivada de un incidente ocurrido con ocasión de un contrato celebrado de 2018. Se
tiene en cuenta, además, que el propósito del tratamiento está ligado a la elaboración
de una lista de exclusión de clientes, con los efectos que ello conlleva.

- Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD):
GOLDCAR ha actuado con grave falta de diligencia en su actuación. Conectado con el
grado de diligencia que el responsable del tratamiento está obligado a desplegar en el
cumplimiento de las obligaciones que le impone la normativa de protección de datos
puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del
RGPD, su pronunciamiento es perfectamente extrapolable al supuesto que
analizamos. La sentencia, después de aludir a que las entidades en las que el
desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y
terceros han de observar un adecuado nivel de diligencia, precisaba que “(...) el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado
por ajustarse a las prevenciones legales al respecto”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/40

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales (artículo 76.2, letra b), de la LOPDGDD): En la actividad de la entidad
reclamada es imprescindible el tratamiento de datos de carácter personal para la
prestación del servicio, así, GOLDCAR lleva tratando continuamente desde 1988 datos
identificativos, de contacto, financieros, así como datos relativos al permiso de
conducción.

No se aprecia la concurrencia de circunstancias atenuantes.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 6.1 del RGPD, permite proponer una sanción de multa administrativa de
100.000,00 euros.

VII
Adopción de medidas

De confirmarse la infracción, se propone imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de propuesta de resolución de
procedimiento sancionador, se propone que en la resolución que se adopte se requiera
a GOLDCAR para que, en el plazo de 6 meses, a contar desde la fecha de
ejecutividad de la resolución finalizadora de este procedimiento, adopte las
medidas siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/40

- Acreditar la legitimación para el tratamiento de los datos objeto de las
actuaciones, de conformidad con el artículo 6.1 del RGPD, con la consiguiente
eliminación de aquellos tratamientos de datos personales que conlleven la
exclusión de personas como posibles clientes, con el alcance expresado en
este acto.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

A la vista de lo expuesto se procede a emitir la siguiente

PROPUESTA DE RESOLUCIÓN

Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
GOLDCAR SPAIN, S.L., con NIF B03403169, por una infracción del Artículo 6.1 del
RGPD, tipificada en el Artículo 83.5.a) del RGPD, con una multa de 100.000 euros.

Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a
GOLDCAR SPAIN, S.L., con NIF B03403169, que en virtud del artículo 58.2.d) del
RGPD, en el plazo de 6 meses, acredite haber adoptado las medidas requeridas en el
Fundamento de Derecho VI, en relación con la acreditación de la legitimación para el
tratamiento de los datos de conformidad con el artículo 6.1 del RGPD.

Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 80.000 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.

En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.

En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/40

presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.

926-100325
R.R.R.
INSPECTOR/INSTRUCTOR

ANEXO
Índice del expediente EXP202400905
(…)

>>

SEGUNDO: En fecha 2 de junio de 2025, GOLDCAR ha procedido al pago de la
sanción en la cuantía de 80.000,00 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.

TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera
al responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/40

presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/40

III
Pago voluntario

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 80.000,00 euros y su
pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.

Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, GOLDCAR, en fecha 2 de junio de 2025, procedió a realizar el pago
voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del
artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva de la propuesta de resolución transcrita en la
presente resolución.

La suma de las citadas cuantías arroja una cantidad total de 100.000,00 euros.

Tras haber procedido GOLDCAR SPAIN, S.L. al pago voluntario, aunque sin
reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP,
a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de
80.000,00 euros.

La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202400905, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a GOLDCAR SPAIN, S.L. para que en el plazo de 6 meses
desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho de la
propuesta de resolución transcrita en la presente resolución.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/40

CUARTO: NOTIFICAR la presente resolución a GOLDCAR SPAIN, S.L..

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, la presente resolución será firme en vía administrativa y
plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
1331-200325

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es