A-00104-2014

1/6 Procedimiento Nº: A/00104/2014 RESOLUCIÓN: R/02056/2014 En el procedimiento A/00104/2014, instruido por la Agencia Española de Protección de Datos a la entidad COMUNIDAD DE PROPIETARIOS XXXXXX 2ª FASE, vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Consta que en fecha 3 de junio de 2013 tiene entrada en esta Agencia un escrito de D. A.A.A., en el que ponía de manifiesto que, tras el cambio de administrador acordado por Junta Extraordinaria en fecha 25 de enero de 2013, y al requerirse al administrador saliente la documentación de la Comunidad, este alegó que no podía entregar la documentación relativa a datos personales de acuerdo con lo dispuesto en la Ley Orgánica de Protección de Datos. Posteriormente, y tras ser requerido al denunciante sobre si podía aportar el contrato entre la comunidad y el administrador en el que figure el art. 12 de la LOPD, este alegó que no podía aportarlo, manifestando que la comunidad no dispone de contrato alguno. SEGUNDO: Con fecha 19 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00104/2014. Dicho acuerdo fue notificado al denunciante, que a su vez es el Presidente de la Comunidad responsable. TERCERO: En fecha 20 de mayo de 2014, se intentó la notificación del citado acuerdo de audiencia previa al procedimiento de apercibimiento a la Comunidad de Propietarios denunciada, siendo devuelto y figurando en el acuse de recibo “ausente”. Se repitió nuevamente el intento de notificación el día el 23 de mayo de 2014, figurando nuevamente en el acuse de recibo “ausente”, y “no retirado”. Con fecha 18 de junio de 2014, se envió al Ayuntamiento de VILLAGARCIA DE AROSA el citado acuerdo de audiencia previa al procedimiento de apercibimiento al denunciado, para su exposición en el Tablón de edictos del citado Ayuntamiento y al Boletín Oficial del Estado, publicándose en este último en fecha 23 de junio de 2014, otorgándose al denunciado plazo para efectuar alegaciones a dicho acuerdo, acabando el mismo sin que por parte de éste se presentara escrito alguno. Con fecha 25 de agosto de 2014, tuvo entrada en esta Agencia la diligencia del Ayuntamiento de VILLAGARCIA DE AROSA, en la que hace constar que el edicto, correspondiente a la notificación del acuerdo de audiencia previa al procedimiento de apercibimiento al denunciado, estuvo expuesto en el Tablón de edictos del Ayuntamiento de VILLAGARCIA DE AROSA desde el 19 de junio al 14 de julio de 2014, ambos inclusive. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 CUARTO: Con fecha 2 de junio de 2014 se recibe en esta Agencia escrito del Presidente de la Comunidad de Propietarios responsable, en el que comunica su total desconocimiento con respecto a la obligación de firmar el contrato, y que, en el caso de que lo firmara el anterior Presidente, tampoco se le entregó copia del mismo. Asimismo, considera que, como la Comunidad se constituyó en el año 2008, y él fue nombrado Presidente en el año 2011, considera que la infracción estaría prescrita. Adjunta a su escrito, entre otros documentos, copia del contrato de Tratamiento de Datos Personales por cuenta de Tercero, firmado con el nuevo administrador. HECHOS PROBADOS PRIMERO: Consta que en fecha 3 de junio de 2013 tiene entrada en esta Agencia un escrito de D. A.A.A., en el que ponía de manifiesto que, tras el cambio de administrador acordado por Junta Extraordinaria en fecha 25 de enero de 2013, y al requerirse al administrador saliente la documentación de la Comunidad, este alegó que no podía entregar la documentación relativa a datos personales de acuerdo con lo dispuesto en la Ley Orgánica de Protección de Datos. Posteriormente, y tras ser requerido al denunciante sobre si podía aportar el contrato entre la comunidad y el administrador en el que figure el art. 12 de la LOPD, este alegó que no podía aportarlo, manifestando que la comunidad no dispone de contrato alguno. SEGUNDO: Consta que la Comunidad de Propietarios responsable tenía contratado con la entidad ACSA-ADMINISTRADOR DE FINCAS un contrato para la realización de las funciones de administrador, desde el año 2008 que finalizó el 25 de enero de 2013. TERCERO: Consta que, entre la Comunidad de Propietarios y la entidad ACSAADMINISTRADOR DE FINCAS, no se firmó el contrato de acceso a los datos por cuenta de terceros, que recoge el art. 12 LOPD. CUARTO: Consta que en fecha 25 de enero de 2013 cesó en el cargo de administrador la entidad ACSA-ADMINISTRADOR DE FINCAS, siendo nombrado un nuevo administrador. QUINTO: Consta que, en fecha 27 de enero de 2013 se firmó el contrato para el Tratamiento de Datos por Cuenta de Tercero, entre la Comunidad de Propietarios y la nueva entidad encargada de la administración, MANFER COMUNIDADES Y SEGUROS, S.C. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 En primer lugar, el representante de la entidad responsable manifiesta que la infracción que se le imputa a la Comunidad estaría prescrita, puesto que el momento en que se inicia la relación con el administrador es del año 2008, y su nombramiento como Presidente es del año 2011. Con relación a esta cuestión es necesario señalar que la actuación que llevan a cabo las personas o entidades que realizan las funciones de administración son actuaciones que se conforman con una pluralidad de acciones, en la medida en que no se efectúa un único tratamiento de datos, sino varios, lo que da lugar, en este caso, a una infracción continuada en el tiempo. Por ello, se considera que la prescripción no puede comenzar a contar en la fecha de iniciación de la relación, sino en el momento de finalizar dicha relación, que en este caso, de acuerdo con la documentación incorporada al expediente, fue el 25 de enero de 2013. Por otra parte, el art. 47.1 LOPD establece que “las infracciones muy graves prescriben a los tres años, las graves a los dos años, y las leves al año.” En el caso que nos ocupa, la infracción del art. 12 se encuentra tipificada como leve en el art. 44.2.
2. d)el cual establece que “son infracciones leves la transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el art. 12 de esta Ley.” Por tanto, en el caso que nos ocupa, la infracción imputada a la Comunidad se encuentra prescrita, porque el cese del administrador se produjo el 25 de enero de 2013, y el acuerdo de audiencia previa al apercibimiento se produjo el 23 de mayo de 2014, habiendo transcurrido el plazo de un año que recoge la normativa, procediendo por tanto el archivo de estas actuaciones. III No obstante lo anterior, procede analizar la infracción que se imputa a la COMUNIDAD DE PROPIETARIOS XXXXXX 2ª FASE. El artículo 12.1, 2 y 3 de la LOPD, en relación al “acceso a datos por cuenta de terceros”, establece que: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 o documentos en que conste algún dato de carácter personal objeto de tratamiento”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución, al responsable del tratamiento. En este sentido, la Audiencia Nacional en su Sentencia de 19/11/2003 ha declarado que <<para tener la condición legal de encargado del tratamiento, al que por cierto le es de aplicación el régimen sancionador que establece la Ley Orgánica 15/1999, según dispone el artículo 43.1 de la expresada Ley, es necesario cumplir una serie de exigencias necesarias, que operan a modo de garantías, establecidas en el artículo 12 de la Ley Orgánica 15/1999. Así es, cuando el tratamiento se realice por cuenta de un tercero debe constar “por escrito o en alguna otra forma que permita acreditar su celebración y contenido”, por lo que no basta con acreditar que existe una relación jurídica entre el responsable del fichero y el encargado del tratamiento, sino que ésta ha de constar por escrito o por otra forma que permita acreditar su “celebración y contenido”. En este sentido, la propia Ley prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de estipulaciones necesarias, a saber, seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas (artículo 12.2 párrafo primero), estipular las medidas de seguridad del artículo 9 (artículo 12.2 párrafo segundo) y cumplida la prestación destruir los datos o proceder a su devolución al responsable del tratamiento (artículo 12.3). Pues bien en el caso examinado, la repetición de una práctica reiterada mensualmente en la impresión de nóminas pudiera, en el mejor de los casos, acreditar una relación contractual, pero no de la naturaleza y características que establece el artículo 12, pues no acredita el contenido de la relación, ni expresamente contiene la advertencia de que el encargado del tratamiento “únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con un fin distinto al que figure en dicho contrato, ni los comunicará (...) a otras personas”, párrafo segundo del citado precepto>>. En el caso que nos ocupa, ha quedado acreditado que la Comunidad de Propietarios, tenía contratado con la entidad ACSA-ADMINISTRACION DE FINCAS, la realización de las funciones de administración, función que finalizó 25 de enero de 2013. De acuerdo con la normativa señalada con anterioridad, para la realización de este tipo de actuaciones es necesaria la realización de un contrato de prestación de servicios, con el contenido que recoge el art. 12 LOPD, y que en este caso concreto no se ha producido. No obstante, esta infracción se encuentra prescita, de acuerdo con lo señalado en el Fundamento Jurídico anterior. Por otro lado, desde fecha 25 de enero de 2013 se entiende que la realización de la función de administración se realiza con la entidad MANFER COMUNIDADES Y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 SEGUROS, S.C. Tras recibirse el acuerdo de audiencia previa al apercibimiento por parte de la Comunidad denunciada, el Presidente de la misma, actuando en nombre y representación de la Comunidad, ha procedido a presentar un contrato de acceso a datos por cuenta de terceros con dicha entidad, que daría cumplimiento a lo dispuesto en el art. 12 LOPD, y por tanto, con relación a esta cuestión no se aprecia infracción del art. 12. Por tanto, en este caso ha quedado acreditado que la COMUNIDAD DE PROPIETARIOS, tenía contratado con la entidad ACSA-ADMINISTRACION DE FINCAS la realización de las funciones de administración, sin que existiera la realización de un contrato en el que se contengan las previsiones del art. 12 LOPD, aunque esta infracción se encuentra prescrita. Con relación a la entidad que en la actualidad se encuentra realizando las funciones de administración si consta que se haya efectuado el contrato previsto en el art. 12 LOPD. En consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00104/2014) El Procedimiento abierto a LA COMUNIDAD DE PROPIETARIOS XXXXXX 2ª FASE con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 12 de la LOPD, tipificada como leve en el artículo 44.2.
3. d)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a LA COMUNIDAD DE PROPIETARIOS XXXXXX C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 2ª FASE. 3.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es