← España

AI-00336-2023

1/8 Expediente N.º: EXP202310416 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de julio de 2023, se presentó reclamación ante la Agencia Española de Protección de Datos contra BUFETE LÓPEZ CASTRO, S.L. con NIF B74110115 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que con fecha 05/07/2023 en el grupo de WhatsApp de su Comunidad de propietarios se publicó, desde el número de teléfono ***TELÉFONO.1, una Nota Simple expedida por el Registro de la Propiedad de ***LOCALIDAD.1, que incluye sus datos personales (nombre, apellidos y número de DNI). Aporta pantallazo de la aplicación de mensajería instantánea WhatsApp y copia de la Nota Simple publicada. La nota simple la solicitó el abogado que da nombre al bufete y que aparece como remitente en WhatsApp. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 5 de agosto de 2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 8 de agosto de 2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Con fecha 14 de agosto de 2023 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8  Que la información se vierte en un grupo cerrado de WhatsApp, nunca con carácter público sino privado y cerrado.  Que WhatsApp es un sistema de comunicaciones entre personas concretas, y por tanto privado. Así que el uso de lo que se diga debe restringirse a ese ámbito en principio. Que el grupo de WhatsApp sea más o menos grande no quita el carácter privado  Que a dicha información tienen acceso todos los propietarios en los archivos comunitarios, incluso en las actas donde figuran todos ellos con nombre y apellidos (datos estos que se denuncia haber sido divulgados).  Que la finalidad era perfectamente lícita y legítima, cual tratar el punto consabido del orden del día.  Que en ello no hay dato alguno relativo a la intimidad, imagen, honor, secreto comunicaciones (simplemente nombre y apellidos que ya figuran en la comunidad.  Que se cuenta con un interés legítimo, entendiendo que se trata de un hecho noticiable o de interés para los partícipes del grupo y copropietarios en aras a decidir un punto concreto de la convocatoria.  Que la información revelada además no afecta a la reputación o buen nombre de la persona ni es de contenido íntimo,  Que por tanto estamos hablando de un verdadero hecho noticiable, ya que ello puede llegar a permitir dicha revelación TERCERO: Con fecha 4 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De acuerdo con lo previsto en la normativa de protección de datos, se considera lícito el tratamiento de datos personales, en particular, cuando el afectado dio su consentimiento explícito con uno o más de los fines especificados, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. Las Comunidades de propietarios son responsables de los tratamientos de datos personales que realizan de acuerdo con la regulación contenida en la Ley 49/1960, de 21 de julio, sobre de Propiedad Horizontal (LPH). El Presidente de la Comunidad, como representante de la misma, según el artículo 13.3 de la LPH, y el Secretario y/o el Administrador, como custodio de la documentación de la Comunidad, según el artículo 20, están facultados para el tratamiento de los datos de los miembros, para las finalidades previstas en la LPH. El acceso a los datos personales de los propietarios por terceros que actúen por cuenta de la Comunidad, particularmente las administraciones de fincas, deberá ajustarse a lo previsto en el contrato en el que se definen los términos del encargo recibido. A este respecto, debe señalarse que esta Agencia no es competente para valorar el posible incumplimiento del contrato o las controversias surgidas en el marco de la relación contractual. Tampoco es competente la Agencia para valorar las posibles discrepancias de los comuneros, particularmente las relacionadas con la certeza o la exactitud de la cuantía de una deuda, o las consecuencias que pudieran tener eventuales impugnaciones en el nombramiento de los órganos de gobierno o en la vinculación no deseada de la comunidad con otras comunidades, mancomunidades o entidades urbanísticas de conservación. Todas estas cuestiones deben ser planteadas ante los órganos jurisdiccionales competentes o, en su caso, ante el correspondiente Colegio Profesional de Administradores de Fincas. De la misma manera, son ajenos a la competencia de la Agencia los posibles tratamientos de datos con carácter doméstico que pudieran efectuar los vecinos al margen de las comunicaciones oficiales del órgano de gobierno de la Comunidad, particularmente la remisión de mensajes electrónicos relacionados con posibles desacuerdos en el seno de la comunidad. Debe señalarse que, con carácter general, no resulta preciso que, en el ámbito interno de la Comunidad, los propietarios consientan el uso de sus propios datos personales. A este respecto, la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional en Sentencia de 14/04/2008, dictada en el recurso 379/2006, entendió que resulta legítimo facilitar a los asociados información sobre la gestión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 asuntos que son de interés común para la Comunidad, siempre que la difusión de los datos personales no exceda el ámbito limitado de la relación asociativa propia de la Comunidad. En este sentido, los propietarios podrían conocer legítimamente, en particular, las direcciones de contacto de otros miembros de la Comunidad. En relación con la morosidad, los artículos 16.2 y 19 de la LPH habilitan la inclusión de los datos identificativos de los propietarios deudores en las Convocatorias de Junta y en sus Actas, al señalar: “La convocatoria contendrá una relación de los propietarios que no estén al corriente en el pago de las deudas vencidas a la comunidad…”. La LPH también prevé la instalación de “tablones de anuncios”, a los efectos de posibilitar la notificación de los actos de interés de la Comunidad, cuando los intentos previos de notificación hayan resultado infructuosos. El artículo 9.
  3. h)de la LPH establece entre las obligaciones del propietario la de indicar un domicilio a efectos de notificaciones y citaciones. En su defecto, se tendrá por tal el piso o local perteneciente a la Comunidad. Ahora bien, añade: “Si intentada una citación o notificación al propietario fuese imposible practicarla en el lugar prevenido [...], se entenderá realizada mediante la colocación de la comunicación correspondiente en el tablón de anuncios de la comunidad, o en lugar visible de uso general habilitado al efecto, con diligencia expresiva de la fecha y motivos por los que se procede a esta forma de notificación, firmada por quien ejerza las funciones de secretario de la comunidad con el visto bueno del presidente. La notificación practicada de esta forma producirá plenos efectos jurídicos en el plazo de tres días naturales.” La difusión de datos personales en espacios de acceso no restringido a los propietarios, en las paredes de los portales o en tablones de uso común, podría vulnerar la normativa de protección de datos. Ahora bien, la responsabilidad de una eventual infracción solo podría determinarse si se aportara algún medio de prueba que permitiera acreditar quién difundió los datos personales. En particular, en el caso de que el documento afectado hubiera sido dispuesto, al margen de los casos legalmente previstos, en un tablón cerrado con llave cuya custodia estuviera exclusivamente atribuida a sus órganos de gobierno, sería la Comunidad de Propietarios, constituida por todos sus miembros y no solo las personas que la representan, la que asumiría a todos los efectos la responsabilidad por una posible infracción de la normativa de protección de datos. Por otra parte, si entre los datos publicados solo constara la identificación de la finca, pero no los datos de su propietario, esta Agencia únicamente podría entrar a conocer del asunto en el caso de que la documentación aportada junto a la denuncia permitiera acreditar que el propietario afectado resulta identificable. Debe señalarse que el derecho a la protección de los datos personales no es un derecho absoluto, sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio, con arreglo al principio de proporcionalidad, con otros derechos fundamentales, en particular el derecho a la tutela judicial efectiva y a un juicio justo. En este sentido, el tratamiento de los datos personales relativos a la parte contraria en un litigio es subsumible en el derecho de todos los ciudadanos a utilizar todos los medios de prueba pertinentes para su defensa, en el ejercicio de sus derechos e intereses legítimos, sin que, en ningún caso, pueda producirse indefensión, como señala el artículo 24.2 del Texto Constitucional, consideración que resulta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 aplicable no solo al ámbito judicial sino también al administrativo. Todo ello resulta también aplicable a los tratamientos realizados por los abogados y procuradores que ejercen las funciones de representación y defensa establecidas en la legislación procesal. Debe saber, no obstante, que el derecho de protección de datos es independiente de los derechos que otorga la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, los cuales pueden ejercitar los afectados no ante esta Agencia, sino ante la instancia jurisdiccional competente. La normativa de protección de datos pone a disposición de los afectados varios mecanismos para la resolución de las cuestiones relativas al tratamiento de sus datos personales. Si alberga dudas al respecto o desea ejercitar sus derechos puede, a través de los canales de contacto expresamente previstos, dirigirse directamente al responsable del tratamiento. En el caso de que el responsable no haya resuelto las cuestiones planteadas, puede alcanzar una solución amistosa, poniéndose en contacto con el Delegado de Protección de Datos (DPD) que, en su caso, haya designado el responsable o el encargado de tratamiento, entre cuyas funciones figura la de supervisar en su ámbito el cumplimiento de la normativa de protección de datos. También puede, sin perjuicio de las acciones ejercitables ante los Tribunales de Justicia, hacer uso de los mecanismos de mediación, procedimientos extrajudiciales y otros procedimientos de resolución de conflictos previstos para resolver las controversias surgidas con los responsables del tratamiento. A través de www.aepd.es puede obtener información adicional, incluyendo formularios para el ejercicio de sus derechos. En el presente caso, tras el análisis realizado sobre los documentos aportados y las circunstancias concurrentes, no se aprecian indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos. III Valoración jurídica de los hechos denunciados El artículo 6.1 del Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), prevé que el tratamiento será lícito si se cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Así, con carácter general, no resulta preciso que, en el ámbito interno de la Comunidad, los propietarios consientan el uso de sus propios datos personales y datos que les conciernen, en virtud de la jurisprudencia ya indicada, pudiéndose amparar en el interés legítimo algunos de los tratamientos efectuados por la Comunidad, en particular, los que persiguen el interés común. Por otra parte, el artículo 5.1 (
  10. f)del RPGD establece que los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los mismos, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. El artículo 5 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, prevé que los responsables y encargados del tratamiento de datos, así como todas las personas que intervengan en cualquier fase de éste, estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1
  11. f)del RGPD. Esta obligación general será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. Las obligaciones se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento. En el supuesto objeto de análisis, el reclamante denuncia que con fecha 05/07/2023 en el grupo de WhatsApp de su Comunidad de propietarios se publicó, desde el número de teléfono ***TELÉFONO.1, una Nota Simple expedida por el Registro de la Propiedad de ***LOCALIDAD.1, que incluye sus datos personales (nombre, apellidos y número de DNI). A este respecto, de la documentación aportada no se desprende que la difusión de la documentación haya excedido el ámbito limitado de la relación asociativa propia de la Comunidad, ni que el conocimiento de dicha circunstancia no resulte de interés común para los propietarios, ya que se difundió en un grupo de WhatsApp en el que solo hay propietarios, por lo que no habiéndose aportado indicios suficientes de la existencia de un tratamiento de datos contrario a la normativa de protección de datos y, en concreto, al artículo 6 del RGPD, al principio de confidencialidad transcrito o que suponga una revelación de datos fuera del ámbito de la Comunidad. Se ha de tener en cuenta que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. No en vano, el artículo 53.2
  12. b)de la LPACAP C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 reconoce el derecho de los presuntos responsables a “la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Pues bien, el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido considerados contrarios a la normativa de protección de datos los hechos denunciados, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BUFETE LÓPEZ CASTRO, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  13. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.