RGPD para talleres mecánicos: guía práctica

En una frase. Un taller mecánico trata datos personales aunque crea que solo maneja vehículos: la matrícula y el número de bastidor están vinculados al titular, y el taller es responsable del tratamiento de esos datos, de los partes que envía a aseguradoras y peritos, de la videovigilancia de sus instalaciones y del historial de reparaciones de cada cliente.

El sector de la automoción cree a menudo que «trabaja con coches, no con datos». Es falso: cada orden de reparación conecta un vehículo con una persona identificable, y cada parte a una aseguradora es una cesión de datos. Este artículo aterriza las obligaciones RGPD reales de un taller en 2026.

Puntos clave

• La matrícula y el bastidor son datos personales cuando permiten identificar al titular; el taller es responsable del tratamiento.
• Los partes a aseguradoras y peritos son cesiones de datos con base contractual o legal, no envíos libres.
• Videovigilancia del taller y la campa: cartel, 30 días de conservación y sin grabar la vía pública.
• El historial de reparaciones se conserva por obligaciones fiscales y de garantía, no indefinidamente.
• El marketing de revisiones y recordatorios de ITV exige consentimiento o interés legítimo bien documentado.

1. Por qué un taller trata datos personales

La AEPD y la jurisprudencia consideran la matrícula un dato personal cuando, directa o indirectamente, permite llegar al titular del vehículo. No es necesario que el taller disponga por sí mismo de la base de la DGT: basta con que exista un medio razonable para asociar la matrícula a una persona, algo que ocurre siempre que el vehículo se vincula a un cliente identificado. Un taller que abre una orden de reparación asocia matrícula, bastidor, nombre, teléfono y a veces datos de pago: es un tratamiento de datos personales en toda regla. La situación es la misma que la de cualquier pyme en su cumplimiento básico, con especialidades por las cesiones a terceros.

2. Cesiones a aseguradoras y peritos

Cuando la reparación la cubre un seguro, el taller intercambia datos con la compañía y con el perito: presupuesto, fotografías del daño, datos del asegurado y del vehículo. Esta comunicación es una cesión que necesita base jurídica —normalmente la ejecución del contrato de reparación y la gestión del siniestro— y debe limitarse a lo necesario.

La aseguradora es un responsable independiente, no un encargado del taller: cada uno responde de su propio tratamiento. La relación completa del sector asegurador se explica en la guía de RGPD en compañías de seguros. Todos estos flujos deben reflejarse en el registro de actividades de tratamiento.

3. Videovigilancia del taller y la campa

Las cámaras que vigilan la nave, la zona de trabajo y la campa de vehículos son legítimas para seguridad, con las reglas habituales: cartel informativo homologado, conservación máxima de 30 días (salvo ilícito comunicado a las autoridades), prohibición de audio y, sobre todo, no grabar la vía pública más allá de lo imprescindible para proteger el acceso. Si hay empleados, la videovigilancia laboral añade la información previa exigida por los arts. 89-90 de la LOPDGDD.

4. Historial de reparaciones y conservación

El taller conserva órdenes de reparación, facturas y datos del cliente por varias razones: obligaciones fiscales (facturas, normalmente 4 años y hasta 6 por el Código de Comercio), garantía legal de la reparación y prueba frente a reclamaciones. Pasados esos plazos, no hay base para conservar los datos con nombres y apellidos: procede eliminarlos o disociarlos. Mantener un fichero histórico de clientes «de siempre» sin plazo ni finalidad vulnera la limitación de la conservación.

5. Marketing: recordatorios de ITV y revisiones

Muchos talleres envían avisos de ITV, cambio de aceite o revisión estacional. A clientes propios con una relación previa, estos avisos pueden ampararse en el interés legítimo con opción de oposición; a contactos comprados o sin relación, se necesita consentimiento. Comprar bases de datos de titulares de vehículos es casi siempre una infracción. Enviar publicidad sin base es una de las conductas que la AEPD sanciona con más frecuencia, como recoge la guía de sanciones RGPD.

Mantener al día el registro de tratamientos, los avisos de conservación y las bases de cada cesión es trabajo repetitivo que una plataforma como Legiscope automatiza, aunque un taller pequeño puede empezar con plantillas básicas.

6. Empleados, proveedores y vehículos de sustitución

El taller es también empleador: trata datos de sus mecánicos y personal administrativo (nóminas, control horario, formación) sujetos a las garantías laborales de la LOPDGDD, y la videovigilancia interior que capte a los trabajadores exige información previa y no puede instalarse en zonas de descanso. A ello se suman los proveedores de recambios y las plataformas de gestión de citas y facturación, que actúan como encargados del tratamiento cuando acceden a datos de clientes.

Un caso frecuente que se olvida es el del vehículo de sustitución o cortesía: al prestarlo, el taller trata datos del cliente (permiso de conducir, datos de contacto) para una finalidad distinta de la reparación, con su propia base contractual, y debe informar de ello. Igualmente, la gestión de un siniestro que implique lesiones puede introducir datos de salud, que exigen un tratamiento reforzado y no deben conservarse más allá de lo necesario para la reclamación.

7. Kit mínimo de cumplimiento

• Cláusula informativa del art. 13 en la orden de reparación.
• Política de privacidad en la web y en el mostrador.
• Registro de actividades con las cesiones a aseguradoras y peritos.
• Videovigilancia con cartel, 30 días y sin vía pública.
• Política de conservación por tipo de documento.
• Consentimiento u oposición para los avisos comerciales.

Véase también, para sectores con obligaciones de protección de datos similares: RGPD para comercio minorista, RGPD para agencias de viajes y RGPD para peluquerías y centros de estética.

Preguntas frecuentes

¿La matrícula de un coche es un dato personal?

Sí, cuando permite identificar al titular directa o indirectamente. Un taller que asocia la matrícula a un nombre, un teléfono o una factura está tratando datos personales y es responsable del tratamiento, con todas las obligaciones del RGPD.

¿Puede el taller enviar mis datos a la aseguradora sin pedirme permiso?

Sí, cuando es necesario para gestionar la reparación cubierta por el seguro. Esa comunicación se ampara en la ejecución del contrato y la gestión del siniestro, pero debe limitarse a los datos estrictamente necesarios. La aseguradora responde después de su propio tratamiento.

¿Cuánto tiempo puede guardar el taller mi historial de reparaciones?

Mientras exista una base: obligaciones fiscales (4-6 años), garantía de la reparación o una reclamación abierta. Superados esos plazos, el taller debe eliminar o disociar los datos identificativos, no conservarlos indefinidamente «por si el cliente vuelve».

¿Puede el taller mandarme recordatorios de la ITV?

A un cliente con relación previa, normalmente sí, amparándose en el interés legítimo y ofreciendo siempre la posibilidad de oponerse. A quien no es cliente, o con datos comprados, hace falta consentimiento previo para enviar comunicaciones comerciales.

Conclusión

El taller mecánico es un ejemplo de negocio que trata datos personales sin ser consciente. Los puntos críticos son las cesiones a aseguradoras y peritos, la videovigilancia y la conservación del historial. Informar en la orden de reparación, documentar cada cesión en el registro de actividades y fijar plazos de conservación resuelven la mayor parte del riesgo con un esfuerzo asumible incluso para un taller pequeño.