La Agencia Española de Protección de Datos ha dictado resolución en el procedimiento de derechos EXP202506814, estimando la reclamación formulada contra la Dirección General de Tráfico por vulneración del artículo 15 del RGPD, al no facilitar de manera individualizada la información sobre el tratamiento de datos exigida por dicho precepto.
Antecedentes del caso
El reclamante recibió en septiembre de 2024 un requerimiento de pago relacionado con impagos de peajes en Portugal correspondientes a un vehículo matriculado a su nombre. Sin embargo, en las fechas en que se produjeron las infracciones, el reclamante no era propietario del vehículo, habiendo adquirido el mismo mediante contrato de compraventa celebrado en marzo de 2024 con un concesionario.
Tras presentar una reclamación ante la DGT exponiendo esta circunstancia, el reclamante ejercitó el 11 de marzo de 2025 el derecho de acceso para obtener información relativa a los destinatarios a los que se habían comunicado sus datos personales.
La DGT contestó el 19 de marzo de 2025 facilitando los datos personales del reclamante (nombre, apellidos, DNI, domicilio, historial de domicilios, permiso de conducción, condiciones restrictivas, matrículas de vehículos, expedientes sancionadores y créditos disponibles), pero en lo relativo a los cesionarios de los datos, se limitó a remitir al interesado a una página web donde podía consultar el Registro de Actividades de Tratamiento de la DGT.
El reclamante consideró insatisfactoria esta respuesta al no aclararse cómo y por qué se habían cedido sus datos personales a la empresa que le reclamaba el pago de los peajes.
Alegaciones de la DGT
La DGT explicó que el artículo 100 bis de la Ley de Seguridad Vial, introducido por la Ley 18/2021, habilita a la Jefatura Central de Tráfico para facilitar a las entidades responsables de recaudar peajes los datos sobre los posibles responsables de los impagos producidos en territorio de la Unión Europea.
Respecto al funcionamiento del sistema, la DGT indicó que el Sistema Europeo de Información de Vehículos y Licencias de Conducir (EUCARIS) permite a las autoridades de los países europeos intercambiar información sobre vehículos. Sin embargo, señaló que dicho sistema no dispone actualmente de la capacidad de proporcionar información sobre titularidades de vehículos en fechas concretas, por lo que la consulta se realiza sobre el titular actual del vehículo en el momento de la solicitud.
La DGT reconoció que las infracciones fueron cometidas aproximadamente dos años antes, período durante el cual el vehículo cambió de titular, sin que el organismo tuviera conocimiento de la demora en la consulta ni de sus causas. Indicó asimismo que el sistema está en proceso de actualización para permitir en el futuro consultas de titularidad en fechas concretas.
Durante la tramitación del procedimiento, la DGT remitió al reclamante dos comunicaciones adicionales. En la primera, de 9 de octubre de 2025, incluyó un listado genérico de destinatarios del tratamiento “Registro de vehículos” (Juzgados y Tribunales, Defensor del Pueblo, Ministerio Fiscal, Cuerpos Policiales, Comunidades Autónomas, Entidades Locales, Agencias Tributarias, Autoridades públicas de países de la Unión Europea, entre otros). En la segunda, de 29 de octubre de 2025, explicó el funcionamiento del sistema EUCARIS y las razones de la incidencia producida.
Fundamentos jurídicos de la resolución
La AEPD fundamenta su decisión en el artículo 15 del RGPD y en las Directrices 01/2022 del Comité Europeo de Protección de Datos sobre el derecho de acceso, que establecen que este derecho incluye tres componentes: la confirmación de si se tratan datos sobre la persona, el acceso a dichos datos personales, y el acceso a la información sobre el tratamiento (fines, categorías de datos, destinatarios, duración, derechos de los interesados y garantías en caso de transferencias a terceros países).
La resolución constata que la respuesta inicial de la DGT de 19 de marzo de 2025 facilitó los dos primeros componentes (confirmación del tratamiento y acceso a los datos), pero en relación con el tercero (información sobre el tratamiento), se limitó a realizar una remisión general al Registro de Actividades de Tratamiento publicado en la página web del Ministerio del Interior.
La AEPD invoca las Directrices 01/2022, que establecen que el derecho de acceso exige atender la información del artículo 15.1 a) a h) y 15.2 del RGPD mediante una respuesta individualizada sobre el tratamiento concreto de los datos del interesado. La publicación de información general constituye una medida de transparencia, pero no satisface las obligaciones derivadas de un ejercicio del derecho de acceso.
Las Directrices precisan que determinados tipos de información, como la relativa a los destinatarios, las categorías y la fuente de los datos, pueden variar en función de quién realice la solicitud y de cuál sea su alcance. En el contexto de una solicitud de acceso, la información sobre el tratamiento debe actualizarse y adaptarse a las operaciones realmente realizadas en relación con el interesado que presente la solicitud. La referencia a la formulación de una política de privacidad no sería suficiente para facilitar la información exigida, a menos que la información personalizada y actualizada sea la misma que la información facilitada al inicio del tratamiento.
Valoración de la AEPD
La Agencia determina que ninguna de las respuestas facilitadas por la DGT, ni la inicial de 19 de marzo de 2025 ni las dos comunicaciones posteriores durante la tramitación del procedimiento, incluye de manera específica la información a la que hacen referencia los artículos 15.1 a) a h) y 15.2 del RGPD, esto es, la información relativa a los fines, las categorías de datos, los destinatarios (indicando, en su caso, en qué supuestos se facilitan para el cumplimiento de las obligaciones del responsable), así como el resto de elementos señalados por dichos preceptos.
La resolución señala que el listado genérico de destinatarios incluido en la comunicación de 9 de octubre de 2025 no respondería a la manera en que el responsable debe facilitar la información prevista en el RGPD a los interesados, según describen las Directrices. Por otra parte, la explicación sobre el funcionamiento del sistema EUCARIS contenida en la comunicación de 29 de octubre de 2025, si bien explicaría la incidencia ocurrida en relación con el vehículo del reclamante, excedería lo relativo al derecho de acceso objeto del procedimiento.
Pronunciamiento
La Presidencia de la AEPD resuelve estimar la reclamación, declarando la infracción del artículo 15 del RGPD, e insta a la Dirección General de Tráfico a que, en el plazo de diez días hábiles desde la notificación, remita al reclamante certificación en la que se atienda el derecho solicitado, facilitando de manera individualizada la información prevista en los artículos 15.1 y 15.2 del RGPD, o se deniegue motivadamente indicando las causas por las que no procede atender la petición.
La resolución advierte que el incumplimiento podría constituir una infracción del artículo 83.6 del RGPD, calificada como muy grave a efectos de prescripción conforme al artículo 72.1.m) de la LOPDGDD.