1/6 Expediente N.º: EXP202311081 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21 de junio de 2023, se presentó reclamación con número de registro de entrada (...) ante la Agencia Española de Protección de Datos contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, BBVA o parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, para realizar el cambio de personas autorizadas en la cuenta bancaria de la comunidad de propietarios de la que es administrador y autorizado, BBVA le solicita la aportación de copia del acta de la Comunidad de Propietarios, contraviniendo así lo establecido en el Informe 0303/2009, emitido por el Gabinete Jurídico de esta Agencia. En este informe se aclara que la solicitud del acta de la reunión contiene datos de carácter personal de los demás propietarios de la finca, incluso de terceras personas, que son innecesarios para la finalidad concreta perseguida. Afirma que dicha finalidad en este caso consiste en la comunicación al BBVA de los nuevos cargos autorizados para la cuenta bancaria; y que para conseguir este objetivo resulta idónea y suficiente la certificación que comunique los nuevos cargos electos. Añade la parte reclamante que ha facilitado a la parte reclamada certificados relativos al acta, pero que la cuenta sigue bloqueada y la parte reclamada reitera que debe aportar copia del acta vigente. Junto a la reclamación aporta copia de la respuesta de la parte reclamada dirigida a la parte reclamante, de fecha 8 de junio de 2023, en la que se indica, entre otros aspectos, lo siguiente: "Le confirmamos que desde este Servicio hemos contactado tanto con la oficina (...) de ***DIRECCIÓN.1 como con el departamento responsable desde donde nos trasladan que para validar los cargos de representación actuales de la Comunidad de Propietarios ***COMUNIDAD.1 es necesario que sea aportada el acta vigente". SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido el 11/08/2023 como consta en el acuse de recibo que obra en el expediente. El 12/09/2023 se recibe en esta Agencia escrito de respuesta indicando que BBVA está buscando una solución adecuada para la cuestión planteada por su cliente. TERCERO: El 21/09/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: El 22/09/2023, BBVA escribió a la parte reclamante que su asesoría jurídica aceptaba la certificación del Administrador de Fincas para cambiar la titularidad de la cuenta corriente, en lugar del acta inicialmente solicitada, habiendo quedado ya registradas las firmas de los nuevos representantes de la Comunidad de Propietarios. Dicho documento fue aportado a esta AEPD en fecha 25/09/2023 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1.- La parte reclamada requirió, mediante escrito de fecha 08/06/2023, a la parte reclamante la aportación del acta vigente de la Comunidad de Propietarios ***COMUNIDAD.1 para poder validar los cargos actuales de dicha Comunidad. 2.- Que, tras el traslado de la reclamación y al día siguiente de su admisión a trámite, la parte reclamada, en fecha 22/09/2023, comunicó a la parte reclamante que por parte de la oficina (...) de ***DIRECCIÓN.1 que se había procedido ya al bastanteo de la nueva documentación presentada, habiendo quedado ya registradas las firmas de los nuevos representantes de la Comunidad, una vez que éstos han acudido a la oficina. 3.- Que dicha comunicación fue presentada por la parte reclamada ante esta Agencia en fecha 25/09/2023, si bien en el escrito de contestación se indicaba erróneamente que esa documentación correspondía al (…) y no al (…) que es el objeto de las presentes actuaciones de investigación y al que iban dirigidas FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Minimización de datos La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" En el INFORME 303/2009, de 02/02/2010, del Gabinete Jurídico de la Agencia Española de Protección de Datos, en relación con una consulta sobre la licitud de la solicitud del libro de actas de la comunidad de propietarios que efectúan ciertas entidades financieras a los administradores de las mismas, con la finalidad de formalizar la apertura de una cuenta corriente o para el cambio anual de firmas de los nuevos cargos de la comunidad, se indica que: “(…) para la finalidad pretendida, no será necesario la comunicación de datos de carácter personal referidos a los propietarios de la Comunidad en cuestión, comunicación o cesión que se produciría si se le facilitase a la entidad financiera o el Acta de la Junta en que se produjo la renovación y nombramiento de nuevos órganos de gobierno de la Comunidad o el pretendido Libro de actas, lo que requeriría el consentimiento de los propietarios afectados, pues no podría ampararse una cesión inconsentida en ninguno de los supuestos referidos del artículo 11.2, ni siquiera en el 11.2. c), por cuanto es la Comunidad de propietarios la parte de la relación jurídica entablada con la entidad financiera, y no cada uno de los propietarios que la componen. En el presente supuesto, es clara la finalidad para la que la entidad financiera requiere los datos personales del que ostente la representación legal de la Comunidad de propietarios y de quien tenga poder de firma para intervenir en los diferentes movimientos de la cuenta bancaria de dicha Comunidad. Ahora bien, tales datos le pueden ser comunicados mediante la correspondiente certificación expedida por el secretario-administrador de dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 Comunidad u otro documento de apoderamiento legal, de cuya exactitud y veracidad responderán dichos órganos de gobierno de la Comunidad ante la entidad financiera, sin que corresponda a la entidad financiera fiscalizar la legalidad del funcionamiento de la Comunidad de propietarios, sin perjuicio de que pueda exigir a ésta la responsabilidad en los supuestos que procediere. Como conclusión, cabe entender que la solicitud del Libro de actas, que contiene datos de carácter personal de los demás propietarios de la finca, incluso de terceras personas, para la finalidad concreta perseguida, es innecesaria ya que la certificación aludida puede cumplir con similar eficacia dicha finalidad y ser idónea, y no supera el juicio de proporcionalidad en sentido estricto, en el sentido de que resulta desequilibrada, por derivarse de ella más desventajas para el interés general o respecto de otros derechos en conflicto, como sería el derecho fundamental a la protección de datos de las personas que se citen en las actas de la Junta, que beneficios. Proporcionalidad, que, pese a ser un concepto jurídico indeterminado, la Sentencia del Tribunal Constitucional 207/1996 determina que se trata de “una exigencia común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales.” La parte reclamada se aviene a las pretensiones en el sentido expresado; es decir, en que la aportación del acta de la reunión resulta excesiva para su finalidad, y que los nuevos cargos de la Comunidad de Propietarios pueden ser comunicados mediante la correspondiente certificación expedida por el secretario-administrador de dicha Comunidad u otro documento de apoderamiento legal, de cuya exactitud y veracidad responderían los propios órganos de gobierno de la Comunidad ante la BBVA. Por su parte, en relación con la admisión de las reclamaciones, el artículo 65.4 in fine de la LOPDGDD, establece lo siguiente (el subrayado es nuestro): “Artículo 65. Admisión a trámite de las reclamaciones. 4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento, al organismo de supervisión establecido para la aplicación de los códigos de conducta o al organismo que asuma las funciones de resolución extrajudicial de conflictos a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes. Si como consecuencia de dichas actuaciones de remisión, el responsable o encargado del tratamiento demuestra haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá inadmitir a trámite la reclamación.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En este caso, consta que BBVA, como responsable del tratamiento de los datos objeto de la reclamación adoptó las medidas que acreditaban el cumplimiento de la normativa aplicable con anterioridad a la admisión a trámite de la reclamación, sin perjuicio de que la recepción de la medida haya llegado un día después a la parte reclamante. Posteriormente, BBVA remitió su contestación a la AEPD acreditando la adopción de dichas medidas cuatro días después, pero haciendo referencia a un número de entrada distinto de la referencia de la reclamación, motivo por el que no se pudo tomar en cuenta en ese momento Es por ello que esta autoridad considera oportuno el archivo de las actuaciones. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, si bien se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, ha quedado acreditado que el responsable del tratamiento ha adoptado las medidas para corregir el incumplimiento como consecuencia de las actividades de remisión de la AEPD y atendió la reclamación con ocasión del trámite de traslado. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Presidente de la Agencia de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es