A-00074-2016

1/17 Procedimiento Nº: A/00074/2016 RESOLUCIÓN: R/01156/2016 En el procedimiento A/00074/2016, instruido por la Agencia Española de Protección de Datos a la entidad COMUNIDAD DE PROPIETARIOS COMPLEJO INMOBILIARIO XXXXX de ***LOCALIDAD.1, vista la denuncia presentada por DOS DENUNCIANTES y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 21/05/2015 se recibe correo electrónico de DENUNCIANTE 1 (identificado en ANEXO GENERAL para denunciada, y ANEXO 1 para DENUNCIANTE 1) en el que indica que la Comunidad en la que reside (XXXXX, ***LOCALIDAD.2, Murcia), se ha instaurado un sistema de pulseras para el uso de la piscina e instalaciones deportivas, y se están tratando datos personales sin respeto de la normativa. Señala que no está de acuerdo que al recoger la misma, se debía presentar copia de pasaporte o algún documento identificativo a una `persona miembro del “Comité”, que lo fotocopiaba y lo guardaba. El miembro del Comité entiende que accede a datos de propietarios haciendo uso del ordenador con el que trabajaba, pudiendo ver la información que los Administradores tienen en su sistema, pudiendo ser la recogida de datos excesivos. Proporciona la dirección de contacto de los Administradores, ADMIBURGOS- MURCIA, página web admiburgos.com. Con fecha 15/06/2016, se recibe correo electrónico en ingles de DENUNCIANTE 2 (identificado en ANEXO GENERAL para la denunciada, y ANEXO 2 para DENUNCIANTE 2) en el que manifiesta residen también en XXXXX y remitió un correo electrónico a los Administradores el 30/04, poniendo de manifiesto las circunstancias de desacuerdo en el modo de la recogida de sus datos para la entrega de pulseras, y la falta de información de dicha recogida, sin que obtuviera respuesta. SEGUNDO: A la vista de los hechos denunciados, se solicita el 21/07/2016 a los denunciantes en subsanación y mejora de solicitud, que aporten copia de contrato de Administrador entre XXXXX y ADMIBURGOS Administración. En fecha 8/07/2015 DENUNCIANTE 2 envía un correo electrónico en inglés al Área Internacional, solicitando información sobre su denuncia que se responde que se ha derivado a Inspección de Datos. En fecha 6/08/2015, DENUNCIANTE ADMIBURGOS copia del contrato”. 1 indica que “ha solicitado a Detalla los datos de denominación de la Comunidad “LA XXXXX” y que los Administradores son ADMIBURGOS, sin proporcionar el CIF por desconocerlo. Acota lo sucedido con las pulseras a la fecha de 15/05/2015. Acompaña copia de correo electrónico dirigido a ADMIBURGOS el 19/05/2015 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 por otra propietaria en la que en ingles solicita aclaración de la recogida de datos llevada a cabo. Aporta copia de correo electrónico de la Junta Directiva de la Comunidad de 25/05/2015, remitido por ADMIBURGOS con literal “Le adjuntamos un comunicado de la Junta Rectora de la comunidad de Propietarios” en el que lo más destacable es:

1. a)Comienza indicando que para que se pueda disfrutar de las piscinas y pistas deportivas y otros servicios se han de poner al corriente en las deudas los propietarios, y precisa que “Hemos seguido pidiendo un documento identificativo con foto cuando se solicitan las pulseras. Este puede ser un bono bus, el carnet de conducir pasaporte etc. Los documentos fotocopiados se guardan en lugar seguro y se destruyen cuando pensamos que no se van a repartir más pulseras. En España es una práctica habitual pedir identificación para asuntos como este. Nuestro Abogado ha confirmado que tenemos derecho legal a hacerlo. ..Las normas para dejar una fotocopia del documento se publicaron y explicaron a lo largo del programa y son las mismas utilizadas en 2014…Las dos señoras que llevan a cabo el reparto de pulseras lo hacen sin coste alguno para la Comunidad… complementando el trabajo de ADMIBURGOS.”
2. b)Continua relatando los hechos acaecidos el 18/05 cuando DENUNCIANTE 1 acudió a retirar las pulseras mostrando su descuerdo en tener que entregar copia de su pasaporte denunciando la falta de información en la recogida de datos. Añade el denunciante que la “XXXXX” no tiene ningún fichero inscrito en la Agencia según el buscador de la página web de la Agencia, y que la copia de la documentación en el proceso de entrega de pulseras se hizo por personal no autorizado a entrar en contacto con los datos personales, para lo que se ha de contar con un contrato de artículo 12 de la LOPD. La Junta Rectora calificó a esas personas como personal voluntario y eran vecinos del Resort.
3. c)No existe documento de seguridad de los ficheros ni se aporta evidencia alguna al respecto. TERCERO: Consultada la aplicación del Registro Mercantil en la web no figura empresa alguna con el nombre de ADMIBURGOS, obteniéndose impresión. En la web admiburgos.com se obtiene en “Quienes somos” los nombres de los socios de la entidad, alguno coincide con los citados en algún correo de las denuncias. En “Aviso legal” figura que la web admiburgos.com es titularidad de SERVICIOS E INVERSIONES CASTMAR SL. Se consulta el Registro Mercantil y figura que dicha entidad tiene como objeto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 social “Prestación de servicios al consumidor y actividades inmobiliarias”. CUARTO: Consultada la aplicación de la Subdirección General de Protección de datos, a “LA XXXXX” con CIF H****** no le constan antecedentes de procedimientos anteriores. QUINTO: Consultada la aplicación que gestiona la inscripción de ficheros de la Agencia, figuran tres ficheros inscrito con el CIF H******, “Comunidad de propietarios”, “Videovigilancia” y “Nóminas y personal y recursos humanos” bajo la responsabilidad de COMUNIDAD de PROPIETARIOS COMPLEJO INMOBILIARIO XXXXX DE ***LOCALIDAD.1. Como encargado de tratamiento del primero consta: SERVICIOS E INVERSIONES CASTMAR, S.L SEXTO: Con fecha 15/03/2016, la Directora de la Agencia Española de Protección de Datos acuerda someter a trámite de audiencia la infracción imputada del artículo 4.1 de la LOPD contra COMUNIDAD de PROPIETARIOS COMPLEJO INMOBILIARIO XXXXX DE ***LOCALIDAD.1 tipificada como grave en el artículo 44.3.
4. c)de dicha LOPD. SÉPTIMO: Con fecha 13/04/2016 se reciben alegaciones de DENUNCIANTE 1, que manifiesta: 1) Interpone recurso de reposición contra el acuerdo de audiencia pese a que figure en el mismo que no cabe contra el mismo. La denuncia se dirigía también frente al Administrador de la Comunidad, ADMIBURGOS o SERVICIOS E INVERSIONES CASTMAR SL, encargado del tratamiento. El acuerdo decide sobre la no responsabilidad del denunciado, al no pronunciarse sobre la misma, y no es un acto de trámite sino que decide el fondo del asunto imputando a la Comunidad. Solicita sea imputado el Administrador. 2) En la denuncia se contemplan otros artículos infringidos sobre las que el acuerdo no se pronuncia: a. Inexistencia de ficheros en el momento de la denuncia. Solicita como prueba que se certifique si están inscritos y desde cuándo. Inexistencia de documento de seguridad. b. Acceso a los datos por parte de los voluntarios del comité que se ocupaban de despachar las pulseras (número de cuenta etc.). c. Falta de información sobre el tratamiento de los datos. d. Impedimento y obstaculización de derechos de acceso, rectificación etc. pues no se dio respuesta al correo electrónico de una propietaria interesándose por múltiples cuestiones sobre los datos que se pretendían recabar y su tratamiento, documento 1 de la denuncia. Solicita se realicen actuaciones previas de investigación para dilucidar si estas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 infracciones fueron cometidas. 3) A efectos de prueba considera que se han de tener en cuenta la aportada en las denuncias, entre otras las manifestaciones de la Junta Rectora en documento 2 o los correos intercambiados que figuran en documento 3. 4) Además, aporta: – Un documento 2 que contiene copia de algunos mensajes vertidos en el foro digital de ***FORO.1, en el que se expresan opiniones de los vecinos y en el que se aprecia el descontento y manifestaciones de ilegalidad en la recogida de datos al quedarse con copia del DNI o preguntarse donde se guardan. Las hojas que aporta no indican el origen ni contienen dirección de web o fechas. –Copia de un documento (en inglés) titulado: Asunto de Pulseras 2016, “Procedimiento de entrega” que se ha elaborado por la COMUNIDAD y que ha recibido recientemente del Presidente de la Urbanización, aunque no está aprobado. Según manifiesta, puede verse que nuevamente se encarga la recogida de datos y entrega de pulseras a un Comité de voluntarios. De una somera lectura del documento que comprende dos hojas y media, se desprende que el procedimiento se fija para hacer la entrega a los propietarios que están al día en el pago de las cuotas comunitarias. Se indica que el proceso se llevara a cabo por voluntarios, de modo gratuito y que el documento se expondrá al público. También se detalla que las pulseras se entregaran cada año, debiendo entregar las del año anterior. Se indica que se requerirá una identificación con fotografía para que sea mostrada por el propietario o una tercera persona en orden a recoger la pulsera. Se requerirá firmar un documento de consentimiento cuyo formulario se enviara a cada propietario por e-mail y además estará disponible en una web. Se indica que a los que se mande el formulario vía email, el titular propietario habrá de cumplimentar y devolver vía e-mail proporcionándole en ese momento una referencia: plot number (número de parcela) que debe ser citada por el individuo que vaya a recoger la pulsera. La muestra del documento que lleve foto ha de ser del titular que cumplimenta el consentimiento (vale DNI, licencia de conducir, pasaporte). El documento será comprobado y marcado como que se ha visto (no indica que se queden con copia de los documentos). Continúa explicando el proceso indicando que cuando se identifica el propietario con la referencia, se comprobara que esta persona no aparece en el listado de deudores, pudiendo utilizarse para ello un ordenador. No queda claro quien verifica este proceso de comprobación con listado de deudores ni en que formato se accede al listado de deudores. Se indica que de la recogida de las pulseras se firmará por el interesado en el formulario, quedando la referencia y número de pulseras entregadas anotadas, luego el formulario queda en poder de la Comunidad. 5) Finaliza indicando que el personal de ADMIBURGOS será responsable del control diario y de evaluación del proceso y solicita que se recabe testimonio a la Sra. A.A.A.que conforme se señalaba en la denuncia formaba parte del Comité de voluntarios encargados de entregar las pulseras y recabar los datos, detallando las preguntas que ha de contestar, si bien no señala la dirección en la que se le ha de enviar. OCTAVO: Con fecha 14/04/2016 tiene entrada escrito del representante de la Comunidad denunciada en el que manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 1) El sistema de pulseras se instaura para que personas ajenas al Complejo o morosos utilicen las instalaciones en un Complejo con 2.700 viviendas. Se basa en Acuerdos válidamente adoptados en sucesivas Juntas Generales desde 2009. Para ello reconoce que se estableció la acreditación previa de identidad con el fin de garantizar la seguridad del resort. 2) En el año 2014 se produjo una masiva falsificación e ilegal venta de pulseras de control de acceso a las instalaciones del Complejo que se vendieron a terceros y a propietarios deudores de la Comunidad. Aportan copia de denuncia presentada ante la Policía el 18/09/2014 formulada por una persona de la Administración de fincas SERVICIOS E INVERSIONES CASTMAR. Para acceder al uso de algunas zonas comunes ha de pasarse un control de seguridad en la que en algunas ocasiones ha sido imposible verificar la autenticidad de las pulseras, habiendo recogido varias que no son auténticas. En el año 2015 se registró oficialmente el modelo de pulsera comunitario en la Oficina de Patentes y Marcas, aportan copia documento 2. Al mismo tiempo, se reforzó el protocolo de entrega con el fin de que no se repitiesen los hechos denunciados. Indica que por recomendación de las Fuerzas y Cuerpos de Seguridad del Estado se estableció el requisito de presentar un documento de identificación al solicitante de las pulseras y la conveniencia “siempre que fuera posible, de dejar una copia de dicha identificación”, “tal y como figura literalmente recogido en el protocolo y formulario acordados para 2015”, precisamente al que se refieren los denunciantes. Aportan copia del mismo como documento tres, Comunicado “reparto de pulseras 2015” en el que destaca: -Establece la obligatoriedad de portar pulseras en la piscina y pistas de tenis, dejando de ser válidas las de 2014 desde el 19/06/2015. Se indica que las pulseras son de la Comunidad, no del propietario, establece la recogida en la “caseta portátil en ***FORO.1 de entradas”, y la fecha de comienzo 27/04/2015 hasta 3/07/2015. -El reparto lo llevaran a cabo personas voluntarias. -Todos los propietarios deben rellenar el formulario de consentimiento adjunto en este mail. También hay una copia en la página web Latorreinfo.com y además en la caseta. El formulario se debe enviar por adelantado a una dirección de correo electrónico que indican, o traerlo por quien vaya a recoger las pulseras. “El formulario pide al propietario facilitar documento identificativo con fotografía y el nombre de la persona que vaya a recoger las pulseras en su nombre”. La persona que recoja las pulseras también debe mostrar identificación con foto y si es posible, dejar una copia de dicha identificación”. “Si la vivienda está a nombre de varios titulares asegúrese de que la persona que recoge las pulseras este registrada en la base de datos de ADMIBURGOS”. -Acompaña el formulario de consentimiento para retirar pulseras 2015 en el que existen huecos para cumplimentar datos personales del propietario, número de teléfono, dirección de correo electrónico con el literal “Accedo a que mi dirección de correo electrónico les sea facilitada al Presidente de mi Subcomunidad o al Presidente del resort para asuntos relativos a ***FORO.1”. Debajo consta un apartado para cumplimentar el número de pulseras que se piden y debajo otro apartado para cumplimentar datos de la persona que se autoriza a recoger las pulseras. En el pie del documento consta “Recuerde que se pedirá identificación con foto tanto del propietario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 como de la persona que recoja las pulseras. “Los propietarios pueden enviar este documento a... (Dirección de correo electrónico) antes de recoger las pulseras”. -Acompaña copia de un escrito informativo, sin fecha en el que se informa de la campaña de renovación de pulseras identificativas para uso de servicios comunitarios. -Indica que la exigencia de acreditar previamente la identificación de los peticionarios de las pulseras se ha acordado por la Comunidad unánimemente durante años. -El requisito de obtener copia del documento identificativo se requiere siempre que fuera posible, y en 2015 se llevó a cabo por distintos voluntarios elegidos entre los propios comuneros, quienes actuaron con más o menos rigurosidad, si bien en algún caso concreto sí que se extremara la exigencia identificativa por algún comunero voluntario, “nunca se constituyó ningún tipo de archivo” o depósito para el tratamiento, custodia, control o tenencia de documentos de identidad entregados por los peticionarios de pulseras ya que todas las recibidas por entrega voluntaria fueron oportunamente destruidas una vez finalizado el periodo de reparto. Declara que dicho extremo figura en el Acta de la Junta de la Comunidad de 24/10/2015. De la copia de la misma, documento cuatro en el punto 12.1 consta: “Por parte del Administrador se explica a los presentes que todos los DNIS y pasaportes se destruyen tras el periodo de entrega de las pulseras y que la finalidad de tal exigencia no es otra que tratar de identificar a todos los solicitantes ya que, como bien conocen todos los presentes en los últimos años se han producido hechos lamentables que han sido denunciados, como la venta ilegal de pulseras.” Manifiesta que ninguno de los Comuneros voluntarios encargados de la entrega de las pulseras de acceso, tuvo ni tiene acceso a la base de datos de los propietarios integrantes de la Comunidad, que siempre ha estado a cargo solamente de los empleados de la Administradora de fincas. Manifiesta que DENUNCIANTE 1, como Presidente de la Subcomunidad U 30 estuvo presente en la Junta General de Propietarios de la Comunidad celebrada en la Junta General de Propietarios de 24/10/2015 y en la misma se votó favorablemente el nuevo protocolo propuesto por la Junta Directiva para la retirada de pulseras en el que se estimó oportuno prescindir totalmente de la previa solicitud de ningún tipo de fotocopia del pasaporte o DNI. En el punto 12.1) párrafo cuatro, se indica ante dicha aprobación, que “El Presidente de la Subcomunidad U 30 y su Abogado, Sr. B.B.B., se comprometen expresamente a retirar la denuncia una vez el acuerdo anterior conste en acta. Se debe indicar que esta propuesta se efectúa de cara a la entrega de pulseras de 2016.” Se desprende que no muestra desacuerdo ni solicita aclaración alguna por parte de DENUNCIANTE 1 ante la indicación de que las pulseras las va a entregar personal voluntario. En los puntos siguientes se contiene en castellano el protocolo de reparto de las pulseras, destacando:
5. a)De la entrega se encargaran personas que actúan voluntariamente (no se indica si son propietarios o ajenos a dicha condición).
6. b)Para la entrega se necesitará mostrar un documento identificativo que incluya fotografía del titular, tanto a los propietarios como en su caso a los terceros.
7. c)La fecha inicial prevista es el día del mes de abril que se acuerde cada año. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17
8. d)La fecha final un día de julio que se anunciará. Se informará a los propietarios en un e mail.
9. e)Los propietarios deberán cumplimentar y firmar un formulario de consentimiento. Se enviara una copia del mismo a cada propietario que podrá enviarse por anticipado a la dirección de e mail especificada. También se prevé que figuren en la web “Latorreinfo.com” y en cada instalación afectada. Dicho formulario contendrá también el nombre de las personas que en su caso recogerán las pulseras, a quienes se exigirá mostrar el documento de identidad con fotografía a la recogida de las pulseras. Se acota que el documento identificativo puede ser tanto un pasaporte como cualquier otro oficial que posea fotografía.
10. f)Solicita el archivo del procedimiento al no haberse recogido y almacenado datos para un ulterior tratamiento de los peticionarios de las pulseras, limitándose a su identificación y entrega. Aporta asimismo certificado del Administrador que indica que denunciante 2 vendió su parcela el 30/10/2015