1/15
Expediente Nº: PS/00371/2021
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo
IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del
Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la
cooperación administrativa transfronteriza, la asistencia mutua entre los Estados
miembros y el intercambio de información, se recibió en esta Agencia Española de
Protección de Datos (AEPD) una reclamación de fecha 29 de julio de 2019, formulada
por un interesado ante la autoridad de protección de datos de Berlín (Alemania). El
traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido
en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Conse-
jo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta
al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo su-
cesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es
competente para actuar como autoridad de control principal.
La citada reclamación se formula contra HERTZ DE ESPAÑA, S.L. (en adelante HER-
TZ), con sede social y establecimiento único en España, en relación con el alquiler de
coches Firefly Car Rental, del que fue cliente en Málaga, el cual le enviaba repetida-
mente notificaciones sobre sanciones de tráfico, violaciones de límite de velocidad,
etc., provocados por terceros, a su dirección de correo electrónico ***USUARIO.1.
Había informado al servicio al cliente a través de fireflycustomercarespain@fireflyca-
rrental.com sobre el correo electrónico erróneo y la violación de la protección de datos,
y se le prometió una corrección a principios de julio.
Aporta correo electrónico remitido a su dirección a nombre de A.A.A. ***DIRECIÓN.1.
Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Esta-
dos miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad
con lo establecido en el artículo 60 del RGPD, se han declarado interesadas en el pre-
sente procedimiento, además de la autoridad de control de Berlín (Alemania), las auto-
ridades de control de: Dinamarca, Noruega, Renania- Palatinado (Alemania), Baja Sa-
jonia (Alemania), Suecia, Portugal, Francia e Italia.
SEGUNDO: A la vista de los hechos expuestos, la Subdirección General de Inspección
de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los
poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del
RGPD, teniendo conocimiento de los siguientes extremos:
Antecedentes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/15
B.B.B., con dirección: ***DIRECCIÓN.2, presentó una reclamación contra Hertz Espa-
ña, S.L., con NIF B28121549 y domicilio en C/ JACINTO BENAVENTE, nº 2- EDF B-3ª
PLANTA - 28232 MADRID (MADRID).
Motivo por el que se han remitido las sanciones a la cuenta de correo ***USUARIO.1
Los representantes de HERTZ manifiestan que han constatado un error en la base de
datos de contratos, donde Dª. A.A.A., tenía asignado como correo electrónico de con-
tacto en su contrato de alquiler, número (...) el correo electrónico ***USUARIO.1.
Este correo electrónico pertenece a la parte reclamante, D. B.B.B. y no a Dª A.A.A..
Consecuentemente, existió un error en la base de datos, donde la persona titular del
contrato de alquiler tenía asignada una dirección de correo electrónico, ***USUARIO.1,
que pertenecía a un tercero, la parte reclamante, D. B.B.B..
Este error se produjo en el momento de recogida de los datos en el punto de alquiler,
ubicado en el Aeropuerto de Barcelona – El Prat.
Por ello, cuando la entidad recibió las sanciones de tráfico obrantes en el expediente,
remitió los correos informativos a la dirección de correo asignada al contrato de alqui-
ler, que resultó errónea.
Motivo por el que no se ha atendido correctamente el derecho de rectificación solicita-
do por la parte reclamante
D. B.B.B. se puso en contacto con el Servicio de Atención al Cliente de la marca de
Hertz España, S.L., Firefly Car Rental, el día 5 de julio de 2019, una vez recibió el pri-
mero de los correos informativos con una sanción de tráfico, recibiendo respuesta a su
solicitud de rectificación el día 9 de julio de 2019, a las 13:09 horas.
En la respuesta remitida desde el correo electrónico fireflycus-
[email protected], le pidieron disculpas a D. B.B.B. y se le informó
que se había suprimido la dirección de correo electrónico del expediente de Dª.
A.A.A..
La supresión del correo electrónico del fichero de sanciones y del programa de gestión
de contratos Car+ no se produjo hasta el día 30 de julio, lo que hizo que, el día 29 de
julio, se remitiera un segundo correo electrónico a la dirección ***USUARIO.1, con una
segunda sanción vinculada al contrato de Dª A.A.A..
Según manifiestan los representantes de la entidad, en el ánimo de no incurrir en dila-
ciones indebidas, desde el Servicio de Atención al Cliente se informó a D. B.B.B. de
que el dato correspondiente al correo electrónico había sido rectificado, como así fue
en el archivo gestionado directamente por este Servicio, si bien, y en paralelo, el Servi-
cio de Atención al Cliente, siguiendo el procedimiento establecido, había requerido la
rectificación del dato a los departamentos oportunos (fichero de sanciones y programa
de gestión de contratos Car+), que no implementaron el cambio hasta el día 30 de julio
de 2019, por lo que, en esta ocasión, las prisas por no incurrir en dilaciones, conlleva-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/15
ron que se comunicara a D. B.B.B. la rectificación del dato requerido días antes de
que se produjera la efectiva supresión del dato en todos sus sistemas.
Al no haber dado tiempo a la supresión del dato del correo electrónico en el fichero de
sanciones y del programa de gestión de contratos, cuando se recibió la segunda san-
ción, el día 29 de julio, fue enviada la comunicación informativa a D. B.B.B., implemen-
tándose la definitiva rectificación del dato, en todos los sistemas, el día 30 de julio.
Detalle de las medidas adoptadas para atender el derecho de rectificación y para evi-
tar que se envíen nuevas sanciones de tráfico relativas a otros clientes
Las medidas adoptadas por la entidad para la completa supresión del dato objeto de
rectificación solicitado por D. B.B.B., esto es, la supresión de su correo electrónico
***USUARIO.1, fueron las siguientes:
i. Día 9 de julio de 2019, supresión del correo electrónico del expediente
asignado por parte del Servicio de Atención al Cliente al contrato (...),
cuyo titular es Dª. A.A.A., en el que aparecía vinculado erróneamente el
correo electrónico de la parte reclamante, D. B.B.B..
Ese mismo día 9 de julio, se cursó petición por parte del Servicio de
Atención al Cliente para la supresión del correo electrónico en el fichero
de gestión de multas y en el programa de gestión de contrato de alquiler
Car+.
i. El día 30 de julio de 2019 se suprimió el dato del correo electrónico en
el fichero de gestión de contratos Car+.
iii. El día 30 de julio de 2019 se suprimió el dato del correo electrónico en
el fichero de gestión de las multas vinculadas al contrato (...), en su mo-
mento suscrito por Dª. A.A.A..
TERCERO: Con fecha 21 de agosto de 2020, la Directora de la AEPD adoptó un
proyecto de decisión de archivo de las actuaciones. Siguiendo el proceso establecido
en el artículo 60 del RGPD, el 31/08/2020 se transmitió a través del sistema IMI este
proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían
cuatro semanas desde ese momento para formular objeciones pertinentes y
motivadas. Dentro del plazo concedido a tal efecto, la autoridad de control de Berlín
presentó sus objeciones pertinentes y motivadas a los efectos de lo previsto en el
artículo 60 del RGPD, en el sentido de que consideraba que no procedía un archivo de
las actuaciones sino que se analizara el caso y se dirigiera un apercibimiento dado que
se había producido una infracción del RGPD.
CUARTO: Con fecha 19 de julio de 2021, la Directora de la AEPD adoptó un proyecto
revisado de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso es-
tablecido en el artículo 60 del RGPD, ese mismo día se compartió este documento en
el sistema IMI y se les hizo saber a las autoridades de control interesadas que tenían
dos semanas desde ese momento para formular objeciones pertinentes y motivadas.
Transcurrido el plazo a tal efecto, las autoridades de control interesadas no presenta-
ron objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/15
las autoridades de control estaban de acuerdo con dicho proyecto revisado de decisión
y estaban vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del
artículo 60 del RGPD.
QUINTO: Con fecha 16 de agosto de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a HERTZ DE ESPAÑA,
S.L., con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de oc-
tubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del artículo 32 del RGPD y del artículo
5.1.f) del RGPD, tipificadas, respectivamente, en el artículo 83.4 y 83.5 del RGPD.
SEXTO: Con fecha 14 de enero de 2022, la Directora de la Agencia Española de
Protección de Datos dictó resolución de rectificación de errores del citado acuerdo de
inicio de procedimiento sancionador y otorgó a HERTZ DE ESPAÑA, S.L un nuevo
plazo para que formule las alegaciones y proponga las pruebas que considere proce-
dentes, de acuerdo con lo preceptuado en el apartado f) del artículo 64.2 de la LPA-
CAP.
SÉPTIMO: Notificada la citada resolución de rectificación de errores del acuerdo de
inicio, HERTZ presentó escrito de alegaciones en el que, en síntesis, manifestaba que:
PRIMERO.- SOBRE EL SUPUESTO ERROR EN LA BASE DE DATOS DE
CONTRATOS
Tras una exhaustiva investigación interna para ahondar en qué ocurrió, HERTZ tiene
dudas de la existencia del error por lo siguiente:
- El contrato número (...) con Dª A.A.A., cuya dirección postal, según indicó
esta, es ***DIRECCIÓN.1, es de fecha 21 de mayo de 2019, habiendo sido
esta persona quien proporcionó motu proprio la dirección de correo electrónico
***USUARIO.1.
- Posteriormente, la dirección de correo electrónico ***USUARIO.1 aparece en
la base de datos de contratos de HERTZ en una fecha muy posterior, el 7 de
febrero de 2020, pero esta vez asociada a D. C.C.C. en el contrato (...), cuya
dirección postal, según indicó éste, es ***DIRECCIÓN.2, habiendo sido
proporcionada por D. B.B.B. y que figuraba como conductor adicional (se
adjunta impresión de pantalla del registro del contrato en la base de datos
como Documento 2).
- El hecho de la singularidad de esta dirección de correo electrónico, que
combina letras y números, correspondiéndose las letras a las iniciales de la
parte reclamante, nos lleva a concluir que es muy poco probable que el error se
diera al momento de introducirlos en la base de datos por el personal de
HERTZ, sino que fue aportada por quien suscribió el contrato número (...), de
fecha 21 de mayo de 2019.
- ¿Cómo es factible que se manden multas de tráfico por infracciones que
ocurren en 2019 a una dirección de correo que se proporciona en 2020? Es del
todo punto imposible.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/15
A partir de lo anterior, cabe señalar que cualquier comunicación que se tuvo que llevar
a cabo, como es el caso de las notificaciones de sanciones de tráfico por las corres-
pondientes infracciones cometidas por Dª A.A.A., se hizo a la dirección de correo elec-
trónico proporcionada en el momento de contratar el alquiler del coche (año 2019), sin
que fuera posible un error dada la singularidad de la dirección de correo electrónico
mencionada.
Esto implica que cabría descartar el error en la asignación de la dirección de correo
electrónico ***USUARIO.1 al contrato (...) con Dª A.A.A..
SEGUNDO.- SOBRE LA SINGULARIDAD DEL CASO. INEXISTENCIA DE REITERA-
CIÓN DE CONDUCTAS POR PARTE DE HERTZ ESPAÑA. HECHO AISLADO, SUB-
SANADO Y COMUNICADO AL CLIENTE.
Como señala la Agencia en el Acuerdo de Inicio (pág. 10, párrafo): “se trató de un
caso concreto (del cual no constan antecedentes similares en esta Agencia” y que se
explicaría por el hecho de que Dª A.A.A. proporcionase la dirección de correo electró-
nico ya mencionada.
Además, como le consta a la Agencia, HERTZ procedió a actuar de inmediato con la
finalidad de intentar dar una solución lo antes posible a la reclamación hecha por la
parte reclamante. En concreto, la cronología de actuaciones llevadas a cabo por HER-
TZ fue la siguiente:
- El 5 de julio de 2019 la parte reclamante envió un correo electrónico a atención
al cliente indicando que la dirección de correo electrónico ***USUARIO.1 es in-
correcta puesto que no es para A.A.A..
- El 9 de julio de 2019 (i) se responde a su correo electrónico indicando que se
ha borrado la dirección de correo electrónico y se le piden disculpas y (ii) se so-
licita que se suprima el correo electrónico en el fichero de gestión de multas y
en su programa de gestión de contratos de alquiler Car+.
A pesar de que la parte reclamante haya recibido dos correos electrónicos, entende-
mos que es también relevante el hecho de que no se haya producido esta situación en
ningún otro caso, ni que la parte reclamante haya planteado ninguna otra reclamación
contra HERTZ en relación con este asunto.
Por tanto, no se ha producido un daño a la parte reclamante cuya dirección de correo
electrónico aparecía vinculada a Dª A.A.A., que la habría proporcionado en 2019, me-
ses antes de que la parte reclamante proporcionase esa misma dirección en otro con-
trato de alquiler de vehículo que no está relacionado en modo alguno con el primero.
Es difícil mantener con estos nuevos datos, que fue un error en la introducción de la di-
rección de correo electrónico en el contrato (...), sino que la dirección de correo elec-
trónico fue proporcionada a HERTZ, lo que explicaría la singularidad del caso.
Aun admitiendo que lo fuera (lo que no se hace), coincidimos con la Agencia en que se
trata de un supuesto de muy menor entidad, que no ha causado perjuicio alguno y que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/15
fue solventado prácticamente de manera inmediata.
TERCERO.- SOBRE LO SOLICITADO POR LA AUTORIDAD DE CONTROL DE BER-
LÍN EN SUS OBJECIONES.
Entendemos que existe una disparidad entre lo que la Autoridad de Berlín solicita y lo
que la Agencia acuerda.
La propia Agencia expresa en su Resolución lo que solicitaba la autoridad de control
de Berlín en sus objeciones pertinentes y motivadas es que: (sic) “se analizara el caso
y se dirigiera un apercibimiento” (Hecho Tercero, pág.5), no que se iniciase un procedi-
miento sancionador contra HERTZ.
La autoridad de Berlín ha presentado una objeción en un caso que, como le consta a
la propia Agencia, no sería grave, siendo necesario recordar también que inicialmente,
la Agencia había propuesto el archivo de las actuaciones.
Si la autoridad de control de Berlín no solicitó la apertura de procedimiento sanciona-
dor, cabría considerar que, con los poderes de investigación que tiene atribuidos la
Agencia, y habiendo obtenido previamente de HERTZ “toda la información necesaria
para el ejercicio de sus funciones” (artículo 58.2.1) del RGPD), podría dirigir un aperci-
bimiento a HERTZ conforme al poder correctivo que tiene atribuido por el artículo
58.2.b) del RGPD. No obstante, entendemos perfectamente que la Agencia tenga que
actuar a través de los mecanismos disponibles en nuestro ordenamiento jurídico y
agradecemos también el hecho de que considere dirigir un apercibimiento en los térmi-
nos indicados en el Acuerdo de Inicio.
OCTAVO: Con fecha 16 de febrero de 2022, la instructora del procedimiento formuló
propuesta de resolución, en la que propuso que por la Directora de la AEPD se dirija
un apercibimiento a HERTZ DE ESPAÑA, S.L., con NIF B28121549, por una infracción
del artículo 32 del RGPD y del artículo 5.1.f) del RGPD, tipificadas, respectivamente,
en el artículo 83.4 y 83.5 del RGPD. Y que se ordene a HERTZ DE ESPAÑA, S.L., con
NIF B28121549, a adoptar, en el plazo de treinta días, las medidas tendentes a garan-
tizar que no se vuelvan a producir situaciones como la del objeto de la presente recla-
mación. Asimismo, se otorgaba a HERTZ un plazo de alegaciones de DIEZ DÍAS para
que pudiera alegar cuanto considerase en su defensa y presentar los documentos e
informaciones que considerase pertinentes.
Notificada la citada propuesta de resolución y transcurrido el plazo a tal efecto, se ha
constatado que no se ha recibido alegación alguna por parte de HERTZ.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes
HECHOS PROBADOS
PRIMERO: El 5 de julio de 2019 a las 11:36 hs se recibe un correo electrónico desde
la dirección [email protected] a la dirección ***USUARIO.1, con el asunto
“Notificación de multa de tráfico”, dirigido a A.A.A., domicilio ***DIRECIÓN.1 y el si-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/15
guiente texto (en inglés):
“Madrid 05-07-2019
Estimado cliente,
Le escribimos en relación a su alquiler con Firefly en España (Matrícula
***NÚMERO.1) desde el 05/21/2019 al 05/25/2019.
Hemos recibido una notificación de una autoridad local ((REMESA) SERVEI CATALA
DE TRANSIT TARRAGONA) sobre una violación de tráfico durante su período de al-
quiler. Por favor, encuentre adjunta una copia de la sanción (Es solamente informativa
y recibirá la notificación oficial en su domicilio).
Por tanto, le informamos que en cumplimiento del Artículo 11 del Real Decreto Legisla-
tivo 6/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley sobre
Tráfico, Circulación de Vehículos a Motor y Seguridad Vial, le hemos identificado a us-
ted como el conductor del vehículo.
Por tanto, procederemos a cargarle en su tarjeta de crédito la suma de XX,XX euros
(más IVA, total: XX euros) correspondientes a los cargos de Hertz por la identificación
mencionada tal y como se indica en los Términos y Condiciones del Contrato de Alqui-
ler.
En el caso de no Cargar esta cantidad en su tarjeta de crédito, procederemos formal-
mente a exigir el importe del dinero mencionado anteriormente en la cuenta bancaria
de Hertz de España, S. L en el número de cuenta: 0000-0000-00-0000000000 (IBAN
CODE: ES00 0000-0000-00-0000000000, SWIFT CODE: (…)XXX).
Ahora queda a discreción de las autoridades si emiten una notificación para el pago de
la multa propiamente dicha. Le informamos que no estamos en condiciones de revisar
o litigar sobre ningún aspecto de estos casos. Cualquier posible litigio debe plantearse
directamente ante la autoridad competente, en caso de que se ponga en contacto con
usted directamente. Gracias por elegir Firefly. Saludos cordiales”.
SEGUNDO: El 5 de julio de 2019 a las 12:45 hs se envía un correo electrónico de res-
puesta desde la dirección de correo electrónico de la parte reclamante a fireflycusto-
[email protected] con el siguiente texto (en inglés): “Perdone, siem-
pre utilizan el correo electrónico equivocado, por favor corrijan sus datos, esta direc-
ción de correo electrónico no es de A.A.A. ***DIRECIÓN.1”.
TERCERO: El 21 de mayo de 2019 Dª. A.A.A. alquiló un coche con Firefly Car Rental
(HERTZ DE ESPAÑA, S.L.), del 21/05/2019 al 25/07/2019, contrato de alquiler número
(...).
Este contrato tenía asignado en la base de datos de HERTZ, como correo electrónico
de contacto, el correo electrónico ***USUARIO.1, la cual pertenece a la parte recla-
mante.
CUARTO: El 9 de julio de 2019 a las 13:09 hs se envió un correo electrónico desde la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/15
dirección [email protected] a la dirección ***USUARIO.1
con el siguiente texto (en inglés):
“Buenos días, Sr. B.B.B.;
Gracias por contactar con Firefly Spain.
Hemos eliminado su dirección de correo electrónico del perfil de Dª. A.A.A..
No sabemos por qué estaba añadido a él.
Pedimos disculpas por cualquier inconveniente.
Saludos cordiales”
QUINTO: El 9 de julio de 2019 se suprimió el correo electrónico del expediente asigna-
do por parte del Servicio de Atención al Cliente al contrato (...), cuyo titular es Dª.
A.A.A., en el que aparecía vinculado erróneamente el correo electrónico de D. B.B.B..
Ese mismo día 9 de julio, se cursó petición por parte del Servicio de Atención al Clien-
te para la supresión del correo electrónico en el fichero de gestión de multas y en el
programa de gestión de contrato de alquiler Car+.
La supresión del correo electrónico del fichero de sanciones y del programa de gestión
de contratos Car+ no se produjo hasta el día 30 de julio de 2019, lo que hizo que el día
29 de julio de 2019 se remitiera un segundo correo electrónico a la dirección ***USUA-
RIO.1, con una segunda sanción vinculada al contrato de la Sra. A.A.A.. También el
30 de julio de 2019 se suprimió el dato del correo electrónico en el fichero de gestión
de las multas vinculadas al contrato (...), en su momento suscrito por Dª. A.A.A..
SEXTO: La dirección de correo electrónico ***USUARIO.1 aparece en la base de da-
tos de contratos de HERTZ el 7 de febrero de 2020, asociado a D. C.C.C. en el contra-
to (...), cuya dirección postal, según indicó este, es ***DIRECCIÓN.2, habiendo sido
proporcionada por D. B.B.B. y que figuraba como conductor adicional.
FUNDAMENTOS DE DERECHO
I
Competencia y normativa aplicable
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Re-
glamento General de Protección de Datos, en adelante RGPD), otorga a cada autori-
dad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los dere-
chos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este
procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos trami-
tados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/15
el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones regla-
mentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter sub-
sidiario, por las normas generales sobre los procedimientos administrativos.”
II
Cuestiones previas
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales, toda vez que HERTZ realiza, en-
tre otros tratamientos, la recogida, conservación, consulta y supresión de datos perso-
nales de sus clientes, tales como: nombre y apellidos, domicilio y dirección de correo
electrónico.
HERTZ realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.
Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integri-
dad y confidencialidad de los datos personales se garantiza en el apartado 1.f) del ar-
tículo 5 del RGPD, mientras que la seguridad del tratamiento de estos datos viene re-
gulada en el artículo 32 del RGPD.
III
Alegaciones aducidas
En relación con las alegaciones aducidas al acuerdo de inicio del presente procedi-
miento sancionador, se procede a dar respuesta a las mismas según el orden expues-
to por HERTZ.
PRIMERO.- SOBRE EL SUPUESTO ERROR EN LA BASE DE DATOS DE
CONTRATOS
HERTZ alega que duda de que se hubiera producido un error por su parte al grabar la
dirección de correo electrónico de la parte reclamante en el contrato de Dª. A.A.A.,
dado que este contrato es de fecha 21 de mayo de 2019 y que la parte reclamante
figura como conductor adicional en el contrato (...), de fecha 7 de febrero de 2020. Y
que, por tanto, Dª A.A.A. habría facilitado el correo electrónico de la parte reclamante
motu proprio.
Al respecto, esta Agencia quiere señalar que no se ha comprobado en el presente
procedimiento la razón por la cual el correo de la parte reclamante figuraba asociado al
contrato de Dª. A.A.A.. Y que sí ha quedado acreditado que el correo electrónico en
cuestión pertenece a la parte reclamante.
En cualquier caso, consta que se han enviado dos correos electrónicos con datos
personales relativos a una infracción de tráfico a una dirección de correo electrónico
titularidad de la parte reclamante. Y uno de estos correos fue enviado con
posterioridad a que la parte reclamante hubiera avisado a HERTZ de esta situación.
SEGUNDO.- SOBRE LA SINGULARIDAD DEL CASO. INEXISTENCIA DE REITERA-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/15
CIÓN DE CONDUCTAS POR PARTE DE HERTZ ESPAÑA. HECHO AISLADO, SUB-
SANADO Y COMUNICADO AL CLIENTE
Alega HERTZ que se trató de un caso concreto y que se explicaría por el hecho de
que Dª A.A.A. proporcionase la dirección de correo electrónico ya mencionada. No
obstante, esta Agencia desea destacar que tal extremo no ha sido acreditado y que re-
sulta irrelevante a los fines de determinar la existencia o no de las infracciones en
cuestión.
Además, alega HERTZ que procedió a actuar de inmediato con la finalidad de intentar
dar una solución lo antes posible a la reclamación hecha por la parte reclamante. Y
que resulta relevante que no se hubiera producido esta situación en ningún otro caso,
ni que la parte reclamante haya planteado ninguna otra reclamación contra HERTZ en
relación con este asunto.
Afirma que no se ha producido un daño a la parte reclamante. Y que es difícil mante-
ner que fue un error en la introducción de la dirección de correo electrónico en el con-
trato (...), sino que la dirección de correo electrónico fue proporcionada a HERTZ, lo
que explicaría la singularidad del caso.
Al respecto, esta Agencia desea señalar nuevamente que los motivos de por qué la di-
rección de correo electrónico de la parte reclamante resultó asociada al contrato (...),
no ha quedado acreditado y que resulta irrelevante a los fines de determinar la existen-
cia de las infracciones en cuestión.
También alega HERTZ que, aun admitiendo que lo fuera (lo que no se hace), coincide
con esta Agencia en que se trata de un supuesto de muy menor entidad, que no ha
causado perjuicio alguno y que fue solventado prácticamente de manera inmediata.
Al respecto, esta Agencia no tiene más nada que añadir.
TERCERO.- SOBRE LO SOLICITADO POR LA AUTORIDAD DE CONTROL DE BER-
LÍN EN SUS OBJECIONES
HERTZ entiende que existe una disparidad entre lo que la Autoridad de Berlín solicita
y lo que esta Agencia acuerda, dado que la autoridad de control de Berlín en sus obje-
ciones pertinentes y motivadas solicita que: (sic) “se analizara el caso y se dirigiera un
apercibimiento” (Hecho Tercero, pág.5), no que se iniciase un procedimiento sanciona-
dor contra HERTZ.
Y alega que, si la autoridad de control de Berlín no solicitó la apertura de procedimien-
to sancionador, cabría considerar que, con los poderes de investigación que tiene atri-
buidos esta Agencia, podría dirigir un apercibimiento a HERTZ conforme al poder co-
rrectivo que tiene atribuido por el artículo 58.2.b) del RGPD. No obstante, también aña-
de que entiende perfectamente que la Agencia tenga que actuar a través de los meca-
nismos disponibles en nuestro ordenamiento jurídico y agradece también el hecho de
que considere dirigir un apercibimiento en los términos indicados en el Acuerdo de Ini-
cio.
Al respecto, esta Agencia desea señalar que, efectivamente, debe actuar a través de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/15
los mecanismos disponibles en nuestro ordenamiento jurídico (en concreto, la LO-
PDGDD), razón por la cual está tramitando el presente procedimiento sancionador, al
no existir otro procedimiento diferente.
IV
Integridad y confidencialidad de los datos personales
El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos per-
sonales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su
pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u
organizativas apropiadas («integridad y confidencialidad»).”
De conformidad con las evidencias de las que se dispone en el presente momento de
resolución del procedimiento sancionador, se considera que los datos personales de
uno de los clientes (Dª A.A.A.), obrantes en la base de datos de HERTZ, fueron inde-
bidamente expuestos a un tercero (la parte reclamante), vulnerando los principios de
integridad y confidencialidad, en dos ocasiones.
Los hechos conocidos se consideran constitutivos de una infracción, imputable a HER-
TZ, por vulneración del artículo 5.1.f) del RGPD.
V
Tipificación de la infracción del artículo 5.1.f) del RPGD
La citada infracción del artículo 5.1.f) del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándo-
se de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consenti-
miento a tenor de los artículos 5, 6, 7 y 9; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contra-
rias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy gra-
ves” de la LOPDGDD indica:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/15
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías estableci-
dos en el artículo 5 del Reglamento (UE) 2016/679. (…)”
VI
Medidas de seguridad
El artículo 32 “Seguridad del tratamiento” del RGPD establece:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturale-
za, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad
y gravedad variables para los derechos y libertades de las personas físicas, el respon-
sable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apro-
piadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso inclu-
ya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resi-
liencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de
las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuen-
ta los riesgos que presente el tratamiento de datos, en particular como consecuencia
de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmi-
tidos, conservados o tratados de otra forma, o la comunicación o acceso no autoriza-
dos a dichos datos”.
De conformidad con las evidencias de las que se dispone en el presente momento de
resolución del procedimiento sancionador, se considera que el factor decisivo para que
se produzca un incumplimiento de las obligaciones de seguridad es la falta de garan-
tías respecto a la seguridad de los datos tratados. Esto siempre se asumirá si no se
implementaron medidas técnicas y organizativas de seguridad o si las medidas adop-
tadas no se consideran suficientes. En el presente caso, la parte reclamante recibió un
segundo correo electrónico, incluyendo nuevamente datos personales de otro cliente -
con información sobre sanciones- el 29 de julio de 2019, casi tres semanas después
de que HERTZ le hubiera confirmado que sus datos habían sido rectificados. De
acuerdo con HERTZ, esto fue debido a un malentendido entre los departamentos de
Atención al Cliente y el de sanciones y gestión de contratos. Si se hubieran adoptado
medidas técnicas y organizativas suficientes, podría asumirse en un primer momento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/15
que el correo electrónico se habría asignado al cliente correspondiente en la base de
datos y que, además, la rectificación de esta dirección de correo electrónico en la base
de datos de clientes y en todos los sistemas relevantes de la organización podía ha-
berse implementado en menos tiempo, por lo que la parte reclamante no habría recibi-
do un segundo correo electrónico con información adicional.
Por tanto, los hechos conocidos se consideran constitutivos de una infracción, imputa-
ble a HERTZ, por vulneración del artículo 32 del RGPD.
VII
Tipificación de la infracción del artículo 32 del RGPD
La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones ti-
pificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para
la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándo-
se de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Consti-
tuyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6
del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a
la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se con-
sideran graves y prescribirán a los dos años las infracciones que supongan una vulne-
ración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
(…)
f) La falta de adopción de aquellas medidas técnicas y organizativas que resul-
ten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del
tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE)
2016/679”. (…)
VIII
Sanción por la infracción del artículo 5.1.f) y artículo 32 del RGPD
Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone
en el apartado 2.b) del artículo 58 “Poderes” lo siguiente:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indi-
cados a continuación:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/15
(…)
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el pre-
sente Reglamento; (…)”
Por su parte, el considerando 148 del RGPD indica:
“En caso de infracción leve, o si la multa que probablemente se impusiera constituye-
se una carga desproporcionada para una persona física, en lugar de sanción mediante
multa puede imponerse un apercibimiento. Debe no obstante prestarse especial aten-
ción a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a
las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsa-
bilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de
control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordena-
das contra el responsable o encargado, a la adhesión a códigos de conducta y a cual-
quier otra circunstancia agravante o atenuante.”
De conformidad con las evidencias de que se dispone en el presente momento de re-
solución de procedimiento sancionador, se considera que la infracción en cuestión es
leve a los efectos del artículo 83.2 del RGPD dado que en el presente caso, atendien-
do a que se trató de un caso concreto, consecuencia de un error puntual (del cual no
constan antecedentes similares en esta Agencia), y que se corrigió a la brevedad, per-
mite considerar una disminución de la culpa en los hechos, por lo que se considera
conforme a Derecho, no imponer sanción consistente en multa administrativa y susti-
tuirla por dirigir un apercibimiento a HERTZ.
IX
Imposición de medidas
Entre los poderes correctivos que dispone el artículo 58 “Poderes” del RGPD, en el
apartado 2.d) se establece que cada autoridad de control podrá “ordenar al responsa-
ble o encargado del tratamiento que las operaciones de tratamiento se ajusten a las
disposiciones del presente Reglamento, cuando proceda, de una determinada manera
y dentro de un plazo especificado…”.
En sentido, se estima procedente dirigir un apercibimiento y con la medida correctora
del artículo 58.2.d) del RGPD, para que en el plazo de 30 días proceda a adoptar me-
didas tendentes a garantizar que no se vuelvan a producir situaciones como la del ob-
jeto de la presente reclamación.
En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y
los hechos que han dado lugar a la vulneración de la normativa de protección de da-
tos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de
que el tipo de procedimientos, mecanismos o instrumentos concretos para implemen-
tarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien
conoce plenamente su organización y ha de decidir, en base a la responsabilidad pro-
activa y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de gradua-
ción de las sanciones cuya existencia ha quedado acreditada,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/15
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DIRIGIR a HERTZ DE ESPAÑA, S.L., con NIF B28121549, por una infrac-
ción del artículo 32 del RGPD y del artículo 5.1.f) del RGPD, tipificadas,
respectivamente, en el artículo 83.4 y 83.5 del RGPD, un apercibimiento.
ORDENAR a HERTZ DE ESPAÑA, S.L., con NIF B28121549, que se adopten, en el
plazo de treinta días, las medidas tendentes a garantizar que no se vuelvan a producir
situaciones como la del objeto de la presente reclamación.
SEGUNDO: NOTIFICAR la presente resolución a HERTZ DE ESPAÑA, S.L.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los inte-
resados podrán interponer, potestativamente, recurso de reposición ante la Directora
de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde
el día siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicio-
nal cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-
administrativa, en el plazo de dos meses a contar desde el día siguiente a la notifica-
ción de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesa-
do manifiesta su intención de interponer recurso contencioso-administrativo. De ser és-
te el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Re-
gistro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a
través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminis-
trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente
resolución, daría por finalizada la suspensión cautelar.
938-100322
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es