← España

A-00009-2015

1/9 Procedimiento Nº: A/00009/2015 RESOLUCIÓN: R/00809/2015 En el procedimiento A/00009/2015, instruido por la Agencia Española de Protección de Datos a la entidad NOVAURBE DEL SUR S.L., S.L., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11 de febrero de 2014 tiene entrada en esta Agencia un escrito de A.A.A., en adelante el denunciante en el que manifiesta lo siguiente: 1. El 22 de diciembre de 2008 solicitó participar en una convocatoria de sorteo para la adjudicación de una vivienda en régimen de protección oficial en el edificio Tablada promovida por la sociedad NOVAURBE DEL SUR SL, en adelante NOVAURBE. En la solicitud proporcionaba sus datos personales pero a pesar de que en el punto sexto del documento se indica que el firmante ha sido informado sobre el tratamiento de sus datos conforme a lo dispuesto en la LO 15/1999, dicha información no fue proporcionada. 2. El 29 de enero de 2009 se le notifica que ha resultado adjudicatario provisional de una de las viviendas y se le solicita documentación que acredite el cumplimiento de los requisitos exigidos para acceder a las viviendas y para el estudio de financiación. En dicho documento se informa de que los datos son entregados a NOVAURBE, se especifican las finalidades con las que se recogen y se solicita la autorización expresa para entregar al Banco Santander Central Hispano, en adelante BSCH, sus datos con el fin de que dicha entidad proceda al estudio que permita obtener un préstamo con el que financiar la vivienda. El denunciante aportó documentación de índole financiera a tal fin. 3. El 10 de marzo de 2009 se firma el documento de aceptación y adjudicación provisional de la vivienda. 4. El 15 de enero de 2011, debido a un cambio en su situación laboral, no puede hacer frente a la operación y se ve obligado a renunciar a la vivienda. 5. Entiende que la información que le facilitaron al recabar sus datos y al cederlos al BSCH no cumple con lo exigido en el artículo 5 de la LOPD. 6. Han existido cesiones no previstas a otras empresas del grupo empresarial de NOVAURBE como VEGAREAL INNOVA SL, en adelante VEGAREAL, que se deducen de algunos correos electrónicos que obran en su poder. 7. Después de recibir una llamada comercial en la que erróneamente le identificaban como el propietario de la vivienda decidió ejercer sus derechos ante NOVAURBE y fue cuando comprobó que en el Registro General de Protección de Datos, en adelante RGPD, no constan ficheros a nombre de esa sociedad ni con el de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 VEGAREAL no con el del resto de sociedades del grupo, con lo que incumplen el artículo 26.1 dela LOPD. 8. Dado que en el sitio web de la empresa matriz www.vegarealinnova.es no cumple con la información que debe proporcionar en el formulario de contacto o con respecto a las cookies sospecha que las cláusulas de los documentos que firmó no suponen un cumplimiento real de la normativa. Junto con el escrito de denuncia se aporta copia de:

  1. a)Documentación relativa a la solicitud, aceptación y adjudicación provisional de la vivienda.
  2. b)Copia de correos electrónicos en los que se evidencia la cesión a VEGAREAL SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican Diligencias teniendo conocimiento de los siguientes extremos: 1. En la solicitud, fechada el 22 de diciembre de 2008, para participar en el sorteo de una vivienda firmada por el denunciante se indica que mediante dicha firma éste manifiesta (cláusula sexta) “Que ha sido informado que los datos facilitados en el presente documento, serán tratados de conformidad con lo dispuesto en la Ley Orgánica 15/199 de Protección de Datos de Carácter Personal (LOPD),”. La cláusula tercera del documento indica que los resultados del sorteo serán expuestos en “…las oficinas de Novaurbe del Sur SL, en el tablón de anuncios de la Delegación Provincial de la Consejería de Viviendas y en la Web de Vegareal Innova SL (www.vegarealinnova.es).”. En el documento aportado consta la razón social y el NIF de NOVAURBE pero no se informa explícitamente sobre la finalidad o finalidades concretas para las que se recogen los datos ni sobre los derechos de acceso, rectificación, cancelación y oposición que asisten al titular de los datos o la forma de ejercerlos. 2. El documento de adjudicación provisional de la vivienda que aporta el denunciante, firmado por éste el 25 de febrero de 2009, informa de que los datos proporcionados por el firmante serán incluidos en un fichero del que es titular NOVAURBE con las finalidades de “…gestión, tramitación, valoración de la solicitud de vivienda, así como la obtención de datos genéricos para informes estadísticos.” e informa sobre la dirección en la que se podrán ejercer los derechos de acceso, rectificación, cancelación y oposición. En el documento, firmado por el denunciante, éste autoriza expresamente a NOVAURBE a entregar copia de la documentación o de los datos entregados a fin de que el BSCH pueda proceder a la formalización de un prestamos hipotecario. 3. Excepto en uno de ellos, en el resto de los documentos presentados en relación con la adquisición de la vivienda NOVAURBE figura como promotora y vendedora de la vivienda adjudicada por sorteo al denunciante. La excepción es un documento en el que VEGAREAL se presenta como promotora de la vivienda. El documento en cuestión es un justificante de la documentación entregada por el denunciante para continuar con la adquisición de la vivienda. El documento en cuestión lleva un sello con la razón social el CIF de NOVAURBE. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 4. El último documento acreditativo de la relación establecida entre el denunciante y las entidades denunciadas es el acuerdo de resolución de fecha 15 de enero de 2013. 5. El dominio vegarealinnova.es está registrado a nombre de A.A.A.. En el sitio web asociado al dominio, se indica que “Vegareal Innova, S.L. participa en dos sociedades inmobiliarias. El Mirador de Lora S.L. y Novaurbe del Sur S.L. La gestión de proyectos desarrollados por estas dos sociedades es desarrollada de forma integral por Vegareal Innova, S.L.” y que VEGAREAL y sus empresas matrices poseen el 100 % del accionariado de NOVAURBE. El 16 de junio de 2014 se realizó una acceso al sitio web en el que no se halló ninguna “política de privacidad”, “Política de cookies” u otra página que incluyese información relativa al tratamiento de datos de carácter personal o a la descarga de DARD a pesar de que sí que se descargaron DARD y de que se halló un formulario de contacto en el que se recogían los siguiente datos: nombre, correo electrónico, empresa, ciudad, código postal, teléfono y texto del mensaje. 6. Según los datos que constan en el Registro Mercantil Central, los administradores mancomunados de VEGAREAL Y NOVAURBE son las mismas personas. El correo electrónico ...@...., que figura como remitente de los correos electrónicos aportados por el denunciante con la intención de acreditar la cesión de los datos entre las sociedades, es el utilizado por uno de dichos administradores. 7. El 18 de junio de 2014 se remite solicitud de información a VEGAREAL en la que se requiere a la entidad los datos que posea del denunciante y justificación del origen de éstos. En respuesta a dicha solicitud se recibió un escrito del administrador de ambas entidades en el que respondía en nombre de NOVAURBE al entender que las cuestiones habían sido planteadas por error a VEGAREAL. El escrito de respuesta acompañaba documentación acreditativa de la relación establecida entre el denunciante y NOVAURBE para la compra de un inmueble. Puesto en contacto telefónico en Subinspector actuante con el administrador de ambas entidades el 5 de noviembre de 2014 le informa de que las cuestiones no se plantearon por error a VEGAREAL y que es la relación de dicha entidad con los datos del denunciante lo que interesa aclarar por lo que reitera la solicitud de información realizada previamente. En respuesta a dicha conversación se recibe un correo electrónico remitido por el administrador de la entidad en el que se aporta nueva información y copia de un contrato firmado el 1 de marzo de 2008 entre NOVAURBE y VEGAREAL. De lo manifestado por el administrador de las entidades y la documentación aportada a través de los correos electrónicos recibidos el 6 y 10 de noviembre de 2014 se desprenden los siguientes hechos: 7.1. El administrador de la entidad manifiesta que:  C/ Jorge Juan, 6 28001 – Madrid NOVAURBE se creó con el exclusivo fin de promover la construcción de un inmueble con una participación al 50% entre dos entidades, VEGAREAL y una segunda entidad que debido a la crisis abandono el proyecto y cuya participación adquirió VEGAREAL. Debido a ello NOVAURBE es propiedad al 100% de NOVAURBE. www.agpd.es sedeagpd.gob.es 4/9  VEGAREAL es la gestora que se encarga de la efectiva construcción de los inmuebles promovidos por NOVAURBE.  NOVAURBE no tiene ni ha tenido nunca empleado alguno ni dispone de medios físicos o informáticos (p.e. un dominio propio) ya que no los requiere. Los inmuebles promovidos por la entidad siempre han sido comercializados a través del sitio web de VEGAREAL.  Todos los contactos entre el denunciante y NOVAURBE se han realizado a través de personal y medios informáticos de VEGAREAL.  VEGAREAL dispone pues de los datos de nombre, apellidos, fecha de nacimiento, domicilio, teléfonos, cuenta de correo electrónico y cuenta corriente del denunciante en virtud del contrato previamente citado. 7.2. El contrato firmado tiene como objeto la prestación de “servicios de asesoramiento urbanístico y consultoría integral relativos al sector inmobiliario para la promoción a desarrollar en la parcela A2…..” Entre los servicios a prestar que se detallan se encuentran (punto 4.2 del contrato) “Redacción, en su caso, de Contratos de Adjudicación para su presentación a la Delegación de Obras Públicas y Transporte de la Junta de Andalucía.”. 7.3. En el contrato no consta ninguna cláusula relativa al tratamiento de datos de carácter personal. 8. A fecha del presente informe, no consta fichero alguno inscrito en el Registro General de Protección de Datos en el que consten como responsables NOVAURBE o VEGAREAL. TERCERO: Con fecha 21 de enero de 2015, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00009/2015. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 25/02/2015 se recibe en esta Agencia escrito del denunciado en el que comunica: El denunciante durante el proceso de adquisición de una vivienda firmo diversos documentos donde aparecía el nombre de la entidad VEGAREAL INNOVA, S.L. y conocía la actuación de dicha entidad por multitud de escritos, anuncios, etc., donde se hacía constar. NOVAURBE promovía las viviendas y VEGAREAL INNOVA, S.L. era la empresa que gestionaba los trámites de adjudicación. En el documento de adjudicación provisional se informaba de que los datos facilitados a NOVAURBE se incorporarían a su fichero con la finalidad para la gestión, tramitación, valoración de la solicitud de la vivienda, así como para la obtención de los daos genéricos para informes estadísticos. Asimismo se prevé la posibilidad de negarse a que la documentación sea comunicada al BSCH y el ejercicio de los derechos ARCO. NOVAURBE y VEGAREAL INNOVA,S.L., tienen un contrato de prestación de servicios. VEGAREAL dispone de los datos del denunciante en calidad de entidad gestora de la adjudicación de unas viviendas y han sido proporcionados por el denunciante durante la relación negocial C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 En cuanto a la inscripción del fichero, reconocen la ausencia de inscripción y en la actualidad constan inscritos. QUINTO: De las actuaciones han resultado acreditado los siguientes, HECHOS PROBADOS UNO.- En fecha de 22/12/2008 el denunciante solicitó participar en el proceso de adjudicación de viviendas de VPO promovido por la entidad NOVAURBE, firmando una solicitud cuya leyenda informativa relativa a la LOPD era la siguiente: “he sido informado que los datos facilitados en el presente documento, serán tratados de conformidad con lo dispuesto en la Ley Orgánica 15/199 de Protección de Datos de Carácter Personal” DOS.- En fecha de 25/02/2009 el denunciante firma un documento de adjudicación provisional donde figura la siguiente leyenda relativa a la LOPD: informa de que los datos proporcionados por el firmante serán incluidos en un fichero del que es titular NOVAURBE con las finalidades de “…gestión, tramitación, valoración de la solicitud de vivienda, así como la obtención de datos genéricos para informes estadísticos.” e informa sobre la dirección en la que se podrán ejercer los derechos de acceso, rectificación, cancelación y oposición. En el mismo documento se autoriza a expresamente a NOVAURBE a entregar copia de la documentación o de los datos entregados a fin de que el BSCH pueda proceder a la formalización de un prestamos hipotecario. TRES.- En fecha de 1/03/2008 NOVAURBE y VEGAREAL INNOVA, S.L. firman un contrato de arrendamiento de servicios, en virtud del cual aquella encarga a ésta los servicios de asesoramiento urbanístico y consultoría integral relativos al sector inmobiliario para la promoción de viviendas en Sevilla. En el contrato aportado a las actuaciones no consta clausula relativa al acceso a datos de carácter personal por parte de VEGAREAL INNOVA, S.L. y la comunicación que pudiera realizar de dichos datos NOVAURBE. CUATRO.- En fechas de 16/06/2014 y 11/11/2014 se accedió al Registro General de Protección de Datos no encontrándose ficheros inscritos cuyo responsable sea NOVAURBE. CINCO.- NOVAURBE y VEGAREAL comparten administrador que ha manifestado que VEGAREAL dispone de los datos de nombre, apellidos, fecha de nacimiento, domicilio, teléfonos, cuenta de correo electrónico y cuenta corriente del denunciante en virtud del contrato de fecha 1/03/2008 con NOVAURBE. SEIS.- Según aporta del denunciado consta una solicitud de INSCRIPCION DE CREACION DE FICHERO de fecha 20/11/2014 a nombre de NOVAURBE. En fecha de 06/04/2015 se realiza consulta en la web de la AGPD encontrándose un fichero inscrito a nombre de NOVAURBE. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Dispone el art. 11.1 de la LOPD: Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. En cuanto al consentimiento del interesado, este admite distintas formas, es decir, expreso, tácito o presunto, con un requisito imprescindible, que sea informado, debiéndose deducir de distintos elementos aportados al expediente. NOVAURBE alega en su descargo que constan diversos documentos en los que aparece VEGAREAL como entidad gestora de la promoción, así como anuncios y publicaciones de donde se deduce con claridad la participación de esta en la adjudicación de las viviendas. Frente a tales manifestaciones es preciso señalar, que efectivamente existen elementos respecto de los que se puede deducir la participación de VEGAREAL en la promoción de las viviendas en cuestión, sin embargo no es posible deducir de tales elementos las exigencias informativas derivadas del deber de información previsto en el art. 5 de la LOPD, respecto del que el titular de los datos, conozca quien y para qué van a ser tratados sus datos personales por un tercero, en principio ajena a la relación jurídico-negocial primaria, entre aquel y el responsable del fichero, en este caso entre el denunciante y NOVAURBE. En la leyenda informativa que consta en el documento de febrero de 2009, consta la finalidad del tratamiento al que van a ser sometidos los datos del denunciante por parte de NOVAURBE, pero nada consta respecto de la cesión a VEGAREAL. Por lo que en modo alguno se puede entender prestado el consentimiento por parte del denunciante para la cesión de sus datos a VEGAREAL. Y en este punto es donde hay que analizar la relación entre NOAURBE y VEGAREAL en la medida que no consta habilitación legal (derivada de la existencia de un contrato en los términos del art. 12 LOPD) para el tratamiento de los datos de aquellas personas que voluntariamente decidieron formar parte en el proceso de adjudicación de viviendas antes citado. Asimismo debe señalarse que la leyenda informativa que consta en la solicitud de 22/12/2008, no cumple con las exigencias del art. 5 de la LOPD, pues no puede conocerse ni quien va a tratar los datos, para qué se van a tratar y frente a quien ejercer los derechos ARCO. III Considera infracción grave el art. 44.3 k de la LOPD: La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 En fechas de 16/06/2014 y 11/11/2014 se constató la inexistencia de inscripción de fichero por parte de NOVAURBE, incumpliéndose el art. 26 de la LOPD que dispone que: Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos. V Considera infracción leve el art. 44.2
  4. b)de la LOPD: No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos. VI Dispone el art. 45.6 de la LOPD: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  5. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  6. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  7. a)y
  8. b)del citado apartado 6. VII En relación a las medidas correctoras requeridas desde esta Agencia Española de Protección de Datos, conviene destacar que NOVAURBE ha adoptado ya medidas tendentes a subsanar la inicial vulneración del 26 de la LOPD, por lo que de acuerdo con lo dispuesto en las Sentencias de la Audiencia Nacional 455/2011 de fecha 29/11/2013 y 166/2013 de fecha 10/06/2014 que señalan que la figura del Apercibimiento tiene que llevar aparejada medidas concretas para el sujeto apercibido, ya que de otro modo se otorgaría al apercibimiento una suerte de naturaleza sancionadora, y nos hallaríamos ante la imposición de una sanción no prevista en la LSSI vulnerando los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, la actuación administrativa procedente en Derecho es el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, respecto del precepto citado. Respecto de la vulneración del art. 11 LOPD en relación con el deber de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 información previsto en el art. 5 LOPD y su conexión con el principio de consentimiento, ya sea para el tratamiento, ya sea para la cesión o comunicación de datos, conviene destacar con carácter general, la necesidad de adecuación de las leyendas informativas utilizadas por NOVAURBE a las exigencias del art. 5 de la LOPD y especialmente la constancia de circunstancias específicas respecto de las cesiones de datos que se pudieran producir con indicación de las empresas cesionarias y la finalidad de dicha cesión. En relación al acceso por parte de terceros a los ficheros de NOVAURBE o las posibles comunicaciones que se pretendan realizar en el marco de un servicio prestado por un tercero (ya sea VEGAREAL o cualquier entidad), es preciso introducir las cláusulas que cumplan las exigencias del art. 12 de la LOPD. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00395/2014) a NOVAURBE DEL SUR S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3 b
  9. f)de la citada Ley Orgánica. SEGUNDO.- REQUERIR a NOVAURBE DEL SUR S.L.,. de acuerdo con lo establecido en el citado artículo 45.6 LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el art. 5 y 12 de la LOPD, para lo que se insta a la denunciada incluir en los formularios o documentos de recogida de datos, información que permita conocer a los titulares de los datos el tratamiento al que van a ser sometidos, incluyendo las cesiones previstas y el acceso de terceros. Asimismo en cuanto a la contratación de servicios con terceros que suponga la cesión o comunicación de los datos que tenga en su condición de responsable del fichero o tratamiento, deberá incluir en el contrato las previsiones contenidas en el art. 12 de la LOPD. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/02189/2015 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello. TERCERO.- NOTIFICAR el presente Acuerdo a D. NOVAURBE DEL SUR S.L., y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.