En resolución publicada (enlace) el día 25 de octubre de 2022 por la Agencia Española de Protección de datos (AEPD) en su web, vemos una vez más como el ser capaces de acreditar la legitimidad del tratamiento de datos le libra de una sanción de 5.000€, propuesta inicialmente por AEPD, a un concesionario de automóviles.

En este caso, también le ayudó poder presentar la documentación necesaria tras cumplir con los protocolos de gestión implantados respecto a sus operaciones de compra venta y financiación de un automóvil.

La denuncia y la propuesta inicial de la Agencia:

Según la reclamante, el concesionario usó sus datos personales para incluirlos en un contrato de compra de un vehículo adquirido por su hermana sin su consentimiento y al objeto de avalar su financiación.

Denuncia que le reclaman en concepto de avalista el pago del vehículo adquirido por su hermana pese a que, en el contrato de financiación, solo aparece su hermana y no ella.

Todo, tras reclamar el concesionario el impago a la reclamante (como cotitular y no como avalista).

La reclamante exige justificación de dicho cobro y la financiera aporta documentos (incluida su firma), que la reclamante dice que son falsos.

La Agencia inicialmente estima posible infracción del artículo 6.1 del RGPD y acuerda iniciar procedimiento sancionador, proponiendo 5.000€ de sanción.

Estas fueron las Alegaciones respecto a los protocolos seguidos por el concesionario para aprobar una financiación y el caso concreto:

  1. Las alegaciones del concesionario se basaron en que disponen de un protocolo claro sobre la documentación que se debe solicitar cuando una persona solicita financiación.
  2. Que dicho protocolo se aplica de manera estricta por parte del concesionario, es decir, por todos sus comerciales (que sus empleados conocen dicho protocolo).
  3. Aporta intercambio de emails cronológicamente documentado desde la solicitud del presupuesto, el envío de distintos documentos e intercambio de conversaciones.
  4. Finalmente aclara que la reclamación en ningún momento se realiza como avalista sino como cotitular.

¿Cómo acreditó la legitimidad del tratamiento de los datos personales, que pruebas aportó?

Con los documentos aportados por el concesionario, éste pudo acreditar que la reclamante es cotitular del vehículo y que, por tanto, se le requiere el pago de la deuda no en concepto de avalista sino de cotitular.

Por tanto, el concesionario se encuentra legitimado para tratar los datos personales tras lograr aclarar en concepto de qué se le reclama la deuda, es decir, en función de la previa celebración de un contrato de compraventa amparado en el artículo 6.1.b) del RGPD que legitima el uso de los datos personales de la reclamante.

La Agencia archiva tras acreditarse todo ello en base a las alegaciones presentadas por el concesionario y la documentación que aportó.

¿Qué dice la normativa respecto a la licitud del tratamiento de datos y conclusiones a extraer de la presente resolución?:

Recordemos que el artículo 6.1 del RGPD, establece que: ”el tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

  1. el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  2. el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  3. el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  4. el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  5. el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  6. el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que ….”.

Conclusión:

En definitiva, el concesionario estaba legitimado para el uso de los datos personales de la reclamante, en función del contrato de compraventa, y por tanto no hubo infracción del artículo 6 RGPD.

Recordemos que siempre, y tras una reclamación deberemos poder acreditar que “hemos cumplido” y que el personal siga los procedimientos establecidos para la gestión y el tratamiento de datos personales es clave para lograr acreditarlo.

Artículo publicado por:

Rafael Varela
EUROVIMA CONSULTING