1/7 Procedimiento Nº: A/00263/2015 RESOLUCIÓN: R/00486/2016 En el procedimiento A/00263/2015, instruido por la Agencia Española de Protección de Datos a Ann Markem, S.L., y Doña A.A.A., vista la denuncia presentada por Doña B.B.B., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha de 10 de octubre de 2014, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito remitido por Doña B.B.B., en el que manifiesta que el día 29 de septiembre de 2014 solicitó a la agencia inmobiliaria TEMPOASA modelo de contrato de arrendamiento y recibió un contrato con nombres y apellidos de otras personas y de otro piso distinto al que iba a alquilar. Se adjunta con el escrito de denuncia la siguiente documentación: Propuesta de contrato de arrendamiento, de fecha 29 de agosto de 2014, formulario cumplimentado a mano, a nombre de la denunciante, constando como arrendador Doña C.C.C.y firmado por ambas partes. En el encabezamiento del formulario consta: TEMPOCASA, “servicios inmobiliarios, Atendiendo a la Ley 15/1999, la red de franquicias informa que sus datos formaran parte de sus ficheros de clientes (…). Asimismo, le informamos de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición, dirigiéndose a TEMPO HISPANIA, S.L.” En el pie de página figura la leyenda “CADA AGENCIA TIENE SU PROPIO TITULAR”. Impresión del correo electrónico recibido en la dirección <.......@gmail.com> de la dirección <......@tempocasa.es>, de fecha 1 de septiembre de 2014 13:08, Asunto: contrato de arrendamiento, en el cuerpo del mensaje figura el siguiente texto: Adjunta contrato, los datos no son los correctos. TEMPOCASA (C/......1) <......@tempocas.es> Contrato de Arrendamiento, de fecha 19 de agosto de 2014, en el que constan como arrendador y arrendatario dos personas físicas distintas a la denunciante: nombre, apellidos, NIE/NIF, domicilio postal, teléfonos de contacto y cuenta corriente del arrendador, así como la dirección postal del domicilio a arrendar, referencia catastral y la firma de uno de ellos. HOJA DE RECLAMACIONES de la Generalitat Valenciana, cumplimentada de forma manuscrita, a nombre de la denunciante, contra la inmobiliaria TEMPOCASA por aspectos económicos. SEGUNDO: A la vista de los hechos denunciados, en fase previa de investigación, por los Servicios de Inspección de esta Agencia se llevaron a cabo tuvo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 1. La Inspección de Datos ha remitido sendos escritos con objeto de solicitar diversa información a la denunciante que fueron entregados en destino con fecha 19 de junio y 4 de agosto de 2015, no habiéndose obtenido respuesta hasta la fecha. 2. La Inspección de Datos ha verificado, con fecha de 15 de junio de 2015, que en la página web de TEMPOCASA consta entre la red de oficinas la de razón social Annmarkem, S.L. cuya dirección de correo electrónico es <......@tempocasa.es> y como administradora solidaria figura Doña A.A.A.. Dichas circunstancias se detallan en la Diligencia de fecha 15 de junio de 2015. 3. La Inspección de Datos ha remitido requerimientos solicitando información sobre los hechos denunciados a las siguientes personas: Tempo Hispania, S.L.: a la dirección que consta en el formulario Propuesta de contrato de arrendamiento, habiendo sido devueltos ambos a su origen por “desconocido”. TEMPOCASA: Doña C.C.C.habiendo sido entregados en destino, el día 19 de junio y el día 3 de agosto de 2015, no habiéndose obtenido respuesta hasta la fecha. ANN MARKEM, S.L. TEMPOCASA Doña A.A.A., habiendo sido devuelto a su origen el primero con fecha de 22 de junio de 2015, por “desconocido” y el segundo entregado en destino el día 3 de agosto de 2015, no habiéndose obtenido respuesta hasta la fecha. 4. De las actuaciones realizadas en el establecimiento de Doña A.A.A., el día 8 de septiembre de 2015, se desprende lo siguiente: Que utiliza como franquiciado la marca TEMPOCASA, desde hace años, no disponiendo en este momento de copia de dicho contrato, si bien la titularidad de la agencia que presta servicios inmobiliarios es exclusivamente de Doña A.A.A.. En todo caso, la agencia como franquiciado no remite ningún tipo de datos personales de sus clientes al franquiciador. Que Doña C.C.C.es una colaboradora de la agencia inmobiliaria. Que la dirección de correo electrónico <......@tempocasa.es> es de titularidad de la agencia inmobiliaria y utilizado para la gestión de su actividad. Los inspectores de la AEPD han verificado que en la dirección de correo electrónico <......@tempocasa.es>, entre los mensajes enviados, consta un mensaje, enviado desde la dirección <......@tempocasa.es> a la dirección de destino <.......@gmail.com>, Asunto: contrato de arrendamiento, en el cuerpo del mensaje figura el siguiente texto: Adjunto contrato, los datos no son los correctos. TEMPOCASA (C/......1) <......@tempocas.es> También, contiene un documento adjunto que lleva por nombre “Contrato de Arrendamiento milagrosa 32.doc”. El contenido del citado contrato coincide con el aportado por la denunciante, se adjunta anexo al Acta de Inspección impresión de lo anteriormente descrito. TERCERO: Con fecha 18/09/2015, el Director de la Agencia Española de Protección de Datos acordó someter a Doña A.A.A. a trámite de audiencia previa al apercibimiento, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), por la presunta infracción del artículo 10 de la citada LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica, en relación con la entrega de un contrato de arrendamiento a la denunciante con datos personales de arrendador y arrendatario. CUARTO: Con fecha 15 de septiembre de 2015, Doña A.A.A. remitió un escrito indicando que Doña D.D.D. visitó la vivienda sita en la calle (C/......1), con la finalidad de arrendarla. Tras confirmar con su hermana B.B.B. que la vivienda era de su interés hizo una propuesta de arrendamiento, entregando una señal para dicho arrendamiento. La propietaria de la vivienda no aceptó la propuesta y comunicaron a Doña D.D.D. que procedían a devolverle la señal. Procedieron al arrendamiento de otra vivienda, en la (C/......2), y al enviarles el contrato para ver las condiciones se envió erróneamente el de la vivienda anteriormente reservada de la (C/......1). QUINTO: El acuerdo de apertura reseñado en el Antecedente Tercero fue notificado a Doña A.A.A. siguiendo el procedimiento previsto en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. El plazo concedido a dicha entidad para formular alegaciones previas a la resolución del procedimiento de apercibimiento transcurrió sin que en esta Agencia se haya recibido escrito alguno. HECHOS PROBADOS 1. Con fecha de 10 de octubre de 2014, Doña B.B.B., denunció que el día 29 de septiembre de 2014 solicitó a la agencia inmobiliaria TEMPOASA modelo de contrato de arrendamiento y recibió un contrato con nombres y apellidos de otras personas y de otro piso distinto al que iba a alquilar. 2. La denunciada aportó copia de una propuesta de contrato de arrendamiento de la vivienda situada calle (C/......1), a nombre de Doña D.D.D. y la dueña de dicha vivienda, fechado el 18 de agosto de 2014 y en el que figura “Devolución fianza” 3. La denunciada aportó copia de otra propuesta de contrato de arrendamiento de la vivienda situada (C/......2), a nombre de Doña D.D.D. y la dueña de dicha vivienda, fechado el 29 de agosto de 2014. 4. Al solicitar Doña D.D.D. copia del contrato de arrendamiento que se iba a formalizar, el de la (C/......2), por error, se envió el que se había formalizado el 19 de agosto de 2014, de la calle (C/......1), entre la dueña del mismo y el arrendador. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta de la divulgación de un contrato de arrendamiento a una tercera persona, en concreto a la denunciante y su hermana. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
- g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso, Doña A.A.A., titular de una agencia de Tempocasa, remitió a la denunciante un contrato de arrendamiento que no se refería a la vivienda que habían arrendado, sino a una vivienda por la que se habían interesado; en dicho contrato figuraban los datos personales del inquilino y la propietaria, según el detalle que consta en los hechos probados, sin que los titulares de los datos hubiesen prestado su consentimiento para ello. Por tanto, queda acreditado que por parte de Doña A.A.A., se vulneró el deber de secreto, garantizado en el artículo 10 de la LOPD, al haber posibilitado el acceso no restringido por terceros a datos personales sin contar con el consentimiento del titular de tales datos. La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
- d)de la LOPD. En este precepto se establece lo siguiente: “
- d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de las partes de un contrato de arrendamiento fueron facilitados a una tercera persona, no habiendo acreditado que dispusiera del consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada se ajusta a la tipificación prevista en el 44.3.
- d)de la LOPD. III El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 y
- b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la persona imputada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, que no consta una vinculación relevante de la actividad de la misma con la realización de tratamientos de datos de carácter personal, el volumen de tratamientos, la ausencia de beneficios y su volumen de negocio o actividad. En el presente caso, se trata de un hecho puntual que ha llevado a facilitar datos de terceras personas a la denunciante, por lo que procede apercibir a la denunciada. Se le requiere que adopte las medidas de orden interno que estime adecuadas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 10 de la LOPD, estableciendo unas normas internas que garanticen el respeto al principio de la confidencialidad de los datos, comprometiéndose expresamente a respetar el deber de secreto. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00263/2015) a Doña A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica, y de conformidad con lo establecido en los artículos 36 y 37.a),
- f)y
- n)de la LOPD, que atribuye la competencia a la Directora de la Agencia Española de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a Doña A.A.A. para que adopte las medidas que estime adecuadas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 10 de la LOPD, estableciendo unas normas internas que garanticen el respeto al principio de la confidencialidad de los datos, comprometiéndose expresamente a respetar el deber de secreto. 3.- NOTIFICAR el presente Acuerdo a Ann Markem, S.L., a Doña A.A.A., vista la denuncia presentada por Doña B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es