1/5 Expediente N.º: EXP202303092 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de febrero de 2023 A.A.A. presentó reclamación con número de registro de entrada REGAGE23e00007593451 ante la Agencia Española de Protección de Datos contra COMUNIDAD PROPIETARIOS ***COMUNIDAD.1 con NIF ***NIF.1. Los motivos en que basa la reclamación son los siguientes: Reclama contra la comunidad de propietarios a la que pertenece por publicar en el tablón de anuncios (abierto) ubicado en el portal, al lado de los buzones, copia del acta de junta extraordinaria urgente celebrada el 14/12/2022, donde no figuran datos de la parte reclamante, y de un listado de movimientos de la cuenta corriente de la comunidad, donde se pueden apreciar nombre, apellidos y propiedad de los ordenantes y perceptores de trasferencias desde de la cuenta corriente de la referida comunidad, con rúbrica manuscrita en cada una de sus hojas. Por otro lado, adjunta acta de junta general ordinaria celebrada el 25/01/2023, donde figura que el hijo y representante de la parte reclamante solicitó, a través de escrito, que las comunicaciones relativas a su madre se le dirijan por correo electrónico. Asimismo, consta en dicha acta que, por defecto, todas las convocatorias o informaciones necesarias se colocan en el tablón de anuncios de la comunidad y que existe un grupo de WhatsApp, al que pertenecen todos los comuneros menos la reclamante, que no ha querido integrarse, que facilita la comunicación y el trabajo, y que fue aprobado en junta. Asimismo, la parte reclamante alega que la administradora cesada le enviaba por WhatsApp toda la información de la comunidad, incluida la copia del acta de junta general ordinaria celebrada el 25/01/2023 y que nunca ha firmado el consentimiento para el tratamiento de sus datos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la comunidad propietarios Rúa Illas Cíes 1, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 21/03/2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 05/04/2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. TERCERO: Con fecha 6 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: El 8 de mayo de 2023, se recibe escrito de contestación del presidente de la Comunidad de Propietarios a la información que se le había solicitado con relación al expediente EXP20230309. En este escrito, afirma que la comunidad está integrada por diez vecinos y que todos se conocen por su nombre y saben la vivienda que ocupa cada cual, datos que, por otra parte, figuran en los buzones de la correspondencia y, en algunos casos, en la puerta de las viviendas. Los propietarios ingresan las cuotas en la cuenta corriente de la Comunidad que se limita a facilitarles el número de la misma. Cada propietario, libremente, en el concepto del ingreso le indica a su banco que ponga su nombre, o la vivienda o ambas cosas. Estos datos son los que figuran en el extracto bancario. Por otra parte, en el tablón de anuncios tradicionalmente se venía colocando la Convocatoria de las Juntas, y más recientemente, el Balance del Ejercicio y el Presupuesto para el año siguiente. Al presidente de la comunidad no le consta que se haya colocado ningún extracto de la cuenta en el tablón de anuncios, al lado de los buzones, en el portal de acceso a las viviendas pero sí le fue facilitado a la reclamante. El referido tablón de anuncios es abierto, tal y como se aprecia en las fotografías que aporta la parte reclamante. Se hace constar también en el escrito que la parte reclamante no reside en el edificio. Otra cuestión a la que se hace referencia es a la solicitud de la parte reclamante de recibir las notificaciones de la comunidad en su correo electrónico. El presidente de la comunidad afirma que la recibió a través de SMS y se fue directamente al “correo no deseado”, tal y como se comprobó en la Junta Ordinaria de 25-01-2023. Al tratarse de una comunicación anónima, ya que el número de teléfono de la parte reclamante no se encuentra grabado en la agenda del teléfono del presidente, el SMS fue catalogado como "spam”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la Comunidad de Propietarios Rúa Illes Cíes, 1 realiza, entre otros tratamientos, la utilización/ difusión de los siguientes datos personales de personas físicas, tales como: nombre y apellidos y dirección de los comuneros, así como el número de teléfono para la realización de envío de mensajes mediante la aplicación WhatsApp. La comunidad de propietarios actúa como responsable del tratamiento, en virtud del artículo 4.7 del RGPD. No consta que tenga un delegado de protección de datos. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
- f)del artículo 5 del RGPD y la exactitud de los datos en el apartado 1.d). III Art. 5.1
- f)El artículo 5 “Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” La difusión de datos personales en espacios de acceso no restringido a los propietarios, en las paredes de los portales o en tablones de uso común, podría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 vulnerar la normativa de protección de datos. Ahora bien, la responsabilidad de una eventual infracción solo podría determinarse si se aportara algún medio de prueba que permitiera acreditar quién difundió los datos personales. En particular, en el caso de que el documento afectado hubiera sido dispuesto, al margen de los casos legalmente previstos, en un tablón cerrado con llave cuya custodia estuviera exclusivamente atribuida a sus órganos de gobierno, sería la Comunidad de Propietarios, constituida por todos sus miembros y no solo las personas que la representan, la que asumiría a todos los efectos la responsabilidad por una posible infracción de la normativa de protección de datos. Este no es el caso de la reclamación recibida donde el tablón de anuncios es abierto y aunque podría haber sido manipulado por cualquier otro miembro de la comunidad, el presidente reconoce colocar en dicho tablón la convocatoria de las Juntas, el balance del ejercicio y el presupuesto del año, pero no un extracto de la cuenta de la comunidad donde aparezcan datos personales, que sí reconoce entregársela a la parte reclamante. La información que contiene ese extracto de la cuenta es el nombre del propietario y el piso (en algún caso ni siquiera aparece el nombre, el ingreso hace referencia simplemente al piso) y constata el pago de la cuota y la fecha de dicho pago. No hay ninguna otra información que no esté presente en los buzones o en las puertas de cada vivienda. No resulta necesario que, en el ámbito interno de la Comunidad, los propietarios consientan el uso de sus propios datos personales. A este respecto, la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional en Sentencia de 14/04/2008, dictada en el recurso 379/2006, entendió que resulta legítimo facilitar a los asociados información sobre la gestión de asuntos que son de interés común para la Comunidad, siempre que la difusión de los datos personales no exceda el ámbito limitado de la relación asociativa propia de la Comunidad, no apreciándose, en el presente caso, indicios documentales suficientes de una vulneración del principio de confidencialidad. No ha quedado acreditado que la comunidad de propietarios Rúa Illes Cíes 1 hubiera actuado de forma negligente ni, mucho menos, con dolo por su parte, por tanto, no cabe entender que se hubiera producido una infracción del artículo 5.1.
- f)RGPD. VII Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a COMUNIDAD PROPIETARIOS RUA ILLAS CIES 1 y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la LPACAP , y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es