AI-00173-2024

1/6  Expediente N.º: EXP202316028 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de septiembre de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00060930389 ante la Agencia Española de Protección de Datos contra MADRID ALOJA, ASOCIACIÓN DE VIVIENDAS DE ALQUILER TURÍSTICO con NIF G87080446 (en adelante, la parte reclamada/MADRID ALOJA). Los motivos en que basa la reclamación son los siguientes: La reclamante denuncia la presunta inclusión de sus datos (en particular, de su número de teléfono móvil) en una lista de exclusión (lista negra) a la que acceden administradores de alojamientos turísticos de Madrid, y en la que se registran datos de inquilinos no deseados. Sus datos habrían sido comunicados a esa supuesta lista, presuntamente, por parte del propietario de un alojamiento miembro de la asociación reclamada. La parte reclamante afirma que fue consciente de su inclusión en la citada lista al comunicárselo el propietario de otro inmueble. La parte reclamante se ha dirigido a la reclamada, mediante el envío de un mensaje de correo electrónico a info@madridaloja.org, dirección informada en su sitio web, detallando los hechos expuestos. Dice que no ha recibido respuesta. Junto a la notificación se aporta dos capturas de WhatsApp que reflejan, por un lado, que el primer propietario pone "su caso en conocimiento de la comunidad de Madrid Aloja", y un segundo propietario le informa de que "Los propietarios de pisos turísticos y vacacionales de Madrid compartimos una aplicación donde comentamos experiencias e introducimos los teléfonos de los clientes, y tu teléfono me ha dado una alerta, a qué es debido SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 24/11/2023 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 El traslado, fue reiterado conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), y recogido en fecha 03/03/2025 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 12 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: La reclamante denuncia la presunta inclusión de sus datos (en particular, de su número de teléfono móvil) en una lista de exclusión (lista negra), por parte de la asociación reclamada, a la que acceden administradores de alojamientos turísticos de Madrid, y en la que se registran datos de inquilinos no deseados. Sus datos habrían sido comunicados a esa supuesta lista, presuntamente, por parte del propietario de un alojamiento socio de la asociación reclamada. La parte reclamante fue consciente de su inclusión en la citada lista al comunicárselo el propietario de otro inmueble. Aporta dos capturas de WhatsApp que reflejan, por un lado, que el primer propietario pone "su caso en conocimiento de la comunidad de Madrid Aloja", y un segundo propietario le informa de que "Los propietarios de pisos turísticos y vacacionales de Madrid compartimos una aplicación donde comentamos experiencias e introducimos los teléfonos de los clientes, y tu teléfono me ha dado una alerta, a qué es debido". La parte reclamante se ha dirigido a MADRID ALOJA, mediante el envío de un mensaje de correo electrónico a info@madridaloja.org, dirección informada en su sitio web, detallando los hechos expuestos. Dice que no ha recibido respuesta. A requerimiento de la Inspección de Datos, los respectivos operadores de las líneas telefónicas móviles con las que la reclamante mantuvo las conversaciones de WhatsApp han informado que el titular de la primera conversación es investigado 1 y el de la segunda conversación es investigado 2. Con fecha 19/4/2024 se solicitó información a la asociación MADRID ALOJA, teniendo entrada con fecha 8/7/2024 escrito de respuesta en el que se pone de manifiesto lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid “Recibimos un email de A.A.A. con fecha 10.09.2023 a las 13:46. En el mismo, ponía de manifiesto un suceso acecido durante la reserva en una página web de una estancia ajena a nuestra asociación Decía que había cancelado y que la persona responsable de la reserva le había dicho iba a incluir sus datos en una lista. No identificó a esa persona a la que en www.aepd.es sedeaepd.gob.es 3/6 cualquier caso intentamos localizar con el móvil de la página web que facilitó en su email la reclamante, no lo conseguimos y aunque buscamos en nuestra base de datos no pudimos encontrar dicho teléfono”. o “Respondimos al correo electrónico de la reclamante, con otro de nuestra parte, con fecha 14.09.2023 a las 14:40 indicando que no podíamos localizar a ese supuesto asociado y que en cualquier caso no teníamos ni una lista, ni el teléfono, ni un nombre”. o “Desde nuestra Asociación no se facilitan los datos de los asociados, bajo ningún concepto, sin excepciones”. o “Decidimos responder a la reclamante después de verificar que no se habían recibido sus datos personales y se lo comunicamos.” o “Es una incidencia ajena a nuestra gestión de datos, entendemos que la reclamante se sintiera desprotegida pero sus afirmaciones no son veraces. Nuestra asociación sólo tiene como miembros una quinta parte aproximadamente de las viviendas turísticas de la Comunidad de Madrid y por supuesto no puede tener ningún control sobre las futuras reservas que la reclamante quiera hacer. Las amenazas de un supuesto miembro de la Asociación, no puede resultar en una imposibilidad de realizar nuevas reservas, no hay relación entre gestores y propietarios.” Con fecha 25/3/2025 se requirió a investigado 1, a la dirección postal facilitada por el operador, para que aporte la siguiente información: 1. Datos identificativos del responsable o responsables de los tratamientos de datos personales que se realizan a través la aplicación que comparte y acceden administradores y propietarios de alojamientos turísticos de Madrid (nombre o razón social y NIF). 2. Copia del Registro de Actividad de dichos tratamientos. 3. Base legal que ampara la licitud de los tratamientos realizados con esta aplicación. 4. Aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. 5. Finalidad de la Aplicación, número de usuarios que tienen acceso a la misma. 6. Documentación acreditativa de la información que se facilita a los interesados cuyos datos personales son tratados, respecto a los tratamientos y derechos de protección de datos. 7. Periodo de conservación de los datos registrados. Base legal para su conservación. 8. Cualquier otra que considere relevante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 La notificación fue devuelta por el servicio de correos por desconocido. Con fecha 13/4/2025 se solicitó nuevamente información a la dirección postal obtenida del padrón. No se ha obtenido respuesta en esta Agencia. Con fecha 13/4/2025 se solicitó la misma información a investigado 2 a la dirección postal que consta en el padrón, constando acuse de recibo en fecha 6 de mayo de 2025. No se ha obtenido respuesta en esta Agencia. De lo indicando se desprende lo siguiente: - No se ha podido constatar la existencia de tratamientos de datos personales del reclamante realizados por parte de la asociación reclamada. - La parte reclamada manifiesta que no se localiza como miembro de la asociación al propietario del alojamiento turístico que manifestó a la reclamante incluir sus datos en la posible lista negra. - No se ha podido constatar la existencia de tratamientos de datos personales realizados por parte de la asociación reclamada para la posible creación de listas negras en el marco de las actividades de tratamientos de datos realizados por la asociación reclamada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la presunta realización de un tratamiento de datos personales, toda vez que /la parte reclamada realiza, entre otros tratamientos, la recogida, registr,o organización, conservación, difusión datos personales de personas físicas, tales como datos identificativos de inquilinos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 En los términos indicados por la reclamación, la parte reclamada realizaría esta actividad en su condición de responsable del tratamiento, dado que es quien determinaría los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. III Principios relativos al tratamiento El artículo 5.1.
3. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” El artículo 5 del Reglamento General de Protección de Datos (RGPD) establece los principios fundamentales que deben regir cualquier tratamiento de datos personales, exigiendo que dicho tratamiento sea lícito, leal y transparente, y que se realice únicamente para fines determinados, explícitos y legítimos, con datos adecuados, pertinentes y limitados a lo necesario, garantizando su exactitud, seguridad y confidencialidad. Además, para apreciar la existencia de una infracción, resulta imprescindible que el tratamiento de datos haya sido efectivamente realizado, que carezca de base jurídica válida, y que sea imputable a una persona física o jurídica identificada en calidad de responsable o encargado del tratamiento. En el presente expediente, la reclamante denuncia que sus datos personales, en concreto su número de teléfono móvil, habrían sido incluidos sin su consentimiento en una lista de exclusión compartida por administradores de alojamientos turísticos de Madrid, a la que supuestamente habría tenido acceso la asociación reclamada. La reclamante sostiene que tuvo conocimiento de dicha inclusión a raíz de las comunicaciones mantenidas con dos propietarios de inmuebles turísticos, aportando capturas de conversaciones mantenidas vía WhatsApp. Durante las actuaciones de investigación realizadas por esta Agencia, se ha requerido información tanto a la asociación reclamada como a los titulares de las líneas telefónicas desde las que se mantuvieron los contactos. La asociación MADRID ALOJA ha manifestado que no dispone de listas de exclusión o listas negras, que no tiene constancia de haber tratado los datos personales de la reclamante, y que, tras revisar su base de datos, no ha podido identificar como asociado al propietario que supuestamente incluyó los datos. Además, ha indicado que respondió al correo de la reclamante informando de la inexistencia de tratamiento alguno relativo a sus datos personales. Por otro lado, los requerimientos cursados a los titulares de las líneas telefónicas identificadas no han permitido obtener información adicional que permita confirmar la existencia de dicha lista ni identificar responsables concretos de un eventual tratamiento de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 A la vista de los hechos, no se ha podido acreditar que la asociación MADRID ALOJA haya realizado tratamiento alguno de los datos personales de la reclamante, ni que haya participado en la elaboración o mantenimiento de listas negras o de exclusión con los datos de la interesada. Igualmente, no ha sido posible identificar a ninguna persona física o jurídica concreta que pueda ser considerada responsable de un tratamiento ilícito de datos personales en los términos exigidos por el RGPD. Por tanto, al no constatarse la existencia de un tratamiento de datos imputable a la asociación reclamada ni a un responsable debidamente identificado, procede el archivo de las actuaciones al no apreciarse infracción acreditada de la normativa de protección de datos personales. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a MADRID ALOJA, ASOCIACIÓN DE VIVIENDAS DE ALQUILER TURÍSTICO y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
5. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es