1/6 Procedimiento Nº: A/00107/2018 RESOLUCIÓN: R/00772/2018 En el procedimiento A/00107/2018, instruido por la Agencia Española de Protección de Datos a la entidad MEGAFINCAS BURGOS S.L.P., vista la denuncia presentada por la Oficina Municipal de Información al Consumidor del Ayuntamiento de Burgos, y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de noviembre de 2017, tiene entrada en esta Agencia una denuncia presentada por la Oficina Municipal de Información al Consumidor del Ayuntamiento de Burgos, en la que expone lo siguiente: Que MEGAFINCAS BURGOS ha entregado escritos a los propietarios de viviendas a las que administra como administrador de fincas. Los datos personales tratados por ésta empresa, le han sido facilitados por los interesados con la finalidad de la administración de la comunidad a la que pertenecen sus viviendas, sin que conste que hayan autorizado su tratamiento con la finalidad de ofrecer sus servicios para la gestión de una reclamación contra la entidad bancaria con la que suscribieron un préstamo hipotecario. Aportan copia de uno de los escritos entregados, de febrero de 2017, en el que la empresa, como administrador de su vivienda, ofrece sus servicios de mediación para reclamar a la entidad bancaria los gastos de la hipoteca. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: MEGAFINCAS BURGOS ha remitido a la Agencia la siguiente información: 1. El fichero del que se obtuvieron los datos de los destinatarios del escrito es el denominado GESFINCAS, del que aporta copia de su inscripción en el Registro General de Protección de Datos, cuya finalidad es la “Gestión de Fincas”. Aunque el fichero consta inscrito con otra denominación social, en la Tarjeta de Identificación Fiscal que aportan, consta el nombre de MEGAFINCAS BURGOS S.L., y el CIF que coincide con el de la inscripción del fichero. 2. El escrito objeto de la denuncia, fue remitido por correo electrónico a las direcciones aportadas por los propios interesados, a través de un modelo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 solicitud debidamente cumplimentado y firmado. Solo se remitió el escrito a aquellas personas que habían firmado dicho modelo, en total 50 personas. 3. Aporta copia del formulario en el que los propietarios de las fincas que administran, facilitan sus datos a MEGAFINCAS BURGOS, entre ellos, la dirección de correo electrónico en el que consta la siguiente leyenda informativa: “Los datos personales recogidos, serán incorporados y tratados en el fichero “Propietarios”, cuya finalidad es la gestión de la Comunidad de Propietarios (direcciones de las comunidades) que será inscrito en el Registro de Ficheros de datos personal de la Agencia Estatal de Protección de Datos, y no podrán ser cedidos salvo casos previstos en la Ley, el Responsable del fichero es la Comunidad de Propietarios (direcciones) y la dirección donde el interesado podrá ejercer los derechos de acceso, rectificación, cancelación y oposición ante el mismo es en la oficina del Administrador sita en (dirección), todo lo cual se informa en cumplimiento del art. 5 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de carácter personal”. TERCERO: Consultada la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado, no le constan registros previos. CUARTO: Con fecha 26 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00107/2018. Dicho acuerdo fue notificado al denunciado. CUARTO: Con fecha 19 de abril de 2018, se recibe en esta Agencia escrito del denunciado en el que reitera las manifestaciones realizadas con anterioridad. Aporta copia de la solicitud remitida a los propietarios de las viviendas de las Comunidades que administra para enviarles publicidad; añadiendo que solo a los que le autorizaron les envió la carta objeto de este procedimiento. HECHOS PROBADOS PRIMERO: MEGAFINCAS BURGOS ha remitido escritos a los propietarios de viviendas a las que administra como administrador de fincas. Los datos personales tratados para este envío, le han sido facilitados por los interesados con la finalidad de la administración de la comunidad a la que pertenecen sus viviendas, sin que conste que hayan autorizado su tratamiento con la finalidad de ofrecer sus servicios para la gestión de una reclamación contra la entidad bancaria con la que suscribieron un préstamo hipotecario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 SEGUNDO: Los escritos remitidos, de febrero de 2017, MEGAFINCAS BURGOS, como administrador de su vivienda, ofrece sus servicios de mediación para reclamar a la entidad bancaria los gastos de la hipoteca. TERCERO: MEGAFINCAS BURGOS remitió un formulario en el que se incluían los datos de la Comunidad de Propietarios y del titular de la propiedad, solicitando expresamente la autorización de envío de información comercial. Se incluye la leyenda siguiente: “Los datos personales recogidos, serán incorporados y tratados en el fichero “Propietarios”, cuya finalidad es la gestión de la Comunidad de Propietarios (direcciones de las comunidades) que será inscrito en el Registro de Ficheros de datos personal de la Agencia Estatal de Protección de Datos, y no podrán ser cedidos salvo casos previstos en la Ley, el Responsable del fichero es la Comunidad de Propietarios (direcciones) y la dirección donde el interesado podrá ejercer los derechos de acceso, rectificación, cancelación y oposición ante el mismo es en la oficina del Administrador sita en (dirección), todo lo cual se informa en cumplimiento del art. 5 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de carácter personal”. CUARTO: El envío que se realizó se dirigía a los propietarios de viviendas, ofreciéndoles sus servicios para la gestión de una reclamación contra la entidad bancaria con la que suscribieron un préstamo hipotecario. Añade el responsable de Megafincas que solo se remitió el escrito a aquellas personas que habían firmado dicho modelo, en total 50 personas. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II En el presente supuesto, se inició este procedimiento por una infracción de lo establecido en el artículo 6 de la LOPD, por haber enviado publicidad a los clientes de la Asesoría, sin que constase el preceptivo consentimiento para dicho tratamiento de datos debidamente prestado por los afectados. Dicho artículo 6, en su apartado 1, dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En este caso, la entidad Megafincas Burgos ha acompañado un formulario en el que solicita el consentimiento expreso para que pueda enviar publicidad a los propietarios de las Comunidades que administra. Alega el representante de la mercantil que solo envió 50 correos electrónicos a los propietarios que habían contestado autorizando expresamente el envío de publicidad. Dado que la denuncia que nos aportaron junto con el escrito de denuncia no incluye los datos personales del destinatario del correo facilitado no podemos acreditar si el concreto receptor autorizó el envío de publicidad; si bien el medio para obtener el consentimiento es acorde a las exigencias de la normativa de protección de datos. III El artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. De las actuaciones previas de investigación llevadas a cabo por esta Agencia y tras la instrucción de este procedimiento no se derivan elementos probatorios de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 que se infiera que la sociedad denunciada resulte responsable de los hechos constitutivos de infracción que se le imputan. En este orden de ideas, debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En este sentido se ha pronunciado reiteradamente el Tribunal Constitucional, entre otras en SSTC 120/1994 y 76/1990, señalando en esta última que “… la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular”. Expone también el Tribunal Constitucional en la Sentencia 76/1990 que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Por otra parte, la Sentencia del Tribunal Constitucional de 20/02/1989 afirma que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” Así mismo, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. En el presente caso, en aplicación del principio de presunción de inocencia, que impide imponer una sanción en el caso de que exista una falta de pruebas respecto de un hecho concreto y determinante, no procede, al no estar acreditada la comisión de la infracción imputada, la solución procedente en derecho es el archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00107/2018) a MEGAFINCAS BURGOS S.L.P., con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.b de la citada Ley Orgánica. 2.- NOTIFICAR el presente Acuerdo a MEGAFINCAS BURGOS S.L.P. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es