AI-00412-2022

1/8  Expediente N.º: EXP202206857 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 14 de junio de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra CONAFDIN, S.L.U., con NIF B80831936 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Reclama contra la administración de fincas que gestiona la comunidad de propietarios a la que perteneció hasta el 31 de enero de 2017, fecha en la que vendió el bien inmueble mediante escritura notarial. Refiere que, en diciembre de 2021, al acceder por primera vez de forma telemática a su banco, descubre que puede ver, además de su cuenta corriente, la de la comunidad de vecinos a la que perteneció; estando ambas cuentas abiertas en la misma entidad bancaria. Manifiesta que desde diciembre de 2021 se ha dirigido en varias ocasiones a la administración reclamada exponiendo la situación y que le han informado de que en febrero de 2022 se celebraría la junta de propietarios y se comunicaría el cambio de titulares en dicha cuenta corriente. Junta que todavía no se ha celebrado por lo que han informado al reclamante. A fecha de la reclamación sigue pudiendo acceder a la cuenta corriente de la comunidad de propietarios a la que ya no pertenece. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó a la parte reclamada conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29 de junio de 2022, como consta en el acuse de recibo que obra en el expediente. Con fecha 22 de julio de 2022, se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “Recibida reclamación contra la Administración de la finca de la Comunidad de Propietarios de ***COMUNIDAD.1, tal y como es conocido por el reclamante la entidad bancaria obliga a acudir de forma presencial a cada uno de los propietarios para anular la firma de acceso a la cuenta corriente de la Comunidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 El problema radica en que la entidad bancaria exige la presencia conjunta de todos los propietarios. Resultando casi imposible a pesar de nuestros esfuerzos que los propietarios salientes y entrantes pidan permisos en sus puestos de trabajo para la gestión, por ello se ha recomendado al reclamante que anule el acceso a la cuenta de forma presencial a través de su la sucursal de su cuenta particular, por tanto los hechos denunciados no se deben a una dejadez en nuestras funciones o negligencia en el tratamiento de los datos del despacho, ya que el reclamantes fue dado de baja en la base de datos de CONADFIN, en cuanto comunicó la venta”. TERCERO: Con fecha 14 de septiembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En las manifestaciones contenidas tanto en la reclamación presentada por la parte reclamante como en la contestación al traslado realizada por la parte reclamada se reconoce que la parte reclamante tenía acceso a la cuenta de la Comunidad de Propietarios ***COMUNIDAD.1 Con fecha 2 de diciembre de 2022 se emitieron tres requerimientos de información dirigidos a la Comunidad de Propietarios de ***COMUNIDAD.1; a la parte reclamada, como Administrador de dicha Comunidad de Propietarios; y a la parte reclamante. Con fecha 17 de diciembre de 2022 se recibió la contestación al requerimiento de información de CONAFDIN, como administrador de la Comunidad de Propietarios, en el que tras indicar que aporta copia del CIF de la Comunidad de Propietarios de ***COMUNIDAD.1, y realiza las siguientes manifestaciones: “PRIMERA.- Antecedentes El 14 de junio de 2022 el reclamante, D. A.A.A. manifestó que solicitó a su entidad bancaria que le facilitasen las claves “on-line” de su cuenta bancaria para acceder vía telemática a los movimientos de su cuenta corriente. Cuando se conectó a esta plataforma “on-line”, observó que tenía acceso a la cuenta bancaria de la Comunidad de Propietarios de ***COMUNIDAD.1 pese a que transmitió la propiedad del inmueble que poseía en dicha comunidad el 31 de enero de 2017. Manifiesta así mismo que posteriormente se personó en las dependencias de CONADFIN S.L., UNIPERSONAL, donde él dice que se le argumentó que “figuraban 3 propietarios y que no habían procedido a realizar el cambio en la entidad bancaria porque no se habían dado cuenta, que a finales del mes de febrero de 2022 había programada una reunión de propietarios y que después de eso se pasarían por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 banco para hacerles entrega del Acta de la Reunión y pudieran proceder a eliminar al dicente de la cuenta bancaria de la Comunidad”. Prosigue el reclamante diciendo que, en el mes de marzo de 2022, volvió a contactar con CONADFIN S.L. UNIPERSONAL y se le manifestó que “aún no habían realizado la reunión y que la celebrarían el mes de mayo de 2022” y posteriormente en el mes de mayo manifiesta que se le dijo que “aún no se había celebrado la reunión y que en cuanto se celebre, le llevarían el acta a la entidad bancaria” Pues bien, en el Acta de la Reunión que se celebró el 5 de Mayo de 2022, por la que se reunieron los propietarios en segunda convocatoria en Junta General Ordinaria, tal y como prescribe la LPH, en el punto TERCERO “Renovación de Junta de Gobierno”, se manifiesta lo siguiente: “3º.- Renovación de Junta de Gobierno por cumplir su periodo anual, cesa en su puesto la actual Junta de Gobierno, cargos que pasan a ser ocupados según el sistema de elección por turno establecido en la comunidad por los siguientes propietarios: PRESIDENTE: D. B.B.B. VICEPRESIDENTA: Dª C.C.C. Dichos propietarios dispondrán con su firma de la cuenta corriente de la comunidad junto a la de cualquier otro propietario, según se acordó en junta anterior al objeto de validar los talones. Dado que el acuerdo existente mantenía la firma de varios propietarios y uno de ellos vendió la propiedad, se precisa proceder al cambio de firmas cuanto antes, por lo que se ruega a los componentes de la Junta cuadren la visita a la entidad Ibercaja donde tienen la Comunidad, se recuerda que deben acudir juntos a requerimiento de la entidad bancaria.” Se aporta como DOCUMENTO Nº2 el Acta de la Reunión de fecha 5 de mayo de 2022. Así mismo, aportamos como DOCUMENTO Nº3 el Acta de la Reunión de fecha 24 de marzo de 2008, por el que se acuerda que “todos los propietarios cuenten con firma en la cuenta corriente de la comunidad” SEGUNDA.- Imposibilidad material de la atención a la petición del reclamante, D. A.A.A. por causas ajenas a nuestra voluntad tal y como se refleja en el Acta de Reunión de fecha 5 de mayo de 2022, CONADFIN S.L., ya se requirió y solicitó telefónicamente previa a la Junta Ordinaria de ***COMUNIDAD.1 a la entidad financiera Ibercaja el bloqueo y supresión de los datos del reclamante, tal y como dispone la Ley Orgánica 5/2018 de 5 de Diciembre de Protección de Datos Personales y Garantía de los derechos digitales, tras lo cual la entidad financiera nos manifestó el imperativo de acudir los titulares presencialmente a la entidad financiera de IBERCAJA para rectificar el acceso que el reclamante tenía a la cuenta corriente de ***COMUNIDAD.1. A mayores de las conversaciones telefónicas mantenidas con la entidad financiera, se les requirió con correos electrónicos de 13 de julio de 2022 y 5 de septiembre de 2022 a que se procediese al bloqueo, rectificación y supresión de los datos, requiriendo a Ibercaja expresamente que la Junta de Gobierno de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Comunidad era de reciente creación, que se precisaba anular con urgencia la anulación de la firma y acceso de las cuentas de la Comunidad del reclamante, reiterando la urgencia de la reclamación ante la pasividad de la entidad financiera así como la imposibilidad material de la exigencia de que todos los titulares acudan a firmar juntos presencialmente para la retirada de las firma, en atención a la edad y circunstancias personales de los integrantes de la ***COMUNIDAD.1. Se adjunta como DOCUMENTO Nº4 los correos citados anteriormente. Tras nuestros requerimientos, el 8 de septiembre de 2022 la entidad financiera finalmente procede a la eliminación de la firma del reclamante. Se adjunta como DOCUMENTO Nº5 la actualización del contrato de la cuenta corriente de la ***COMUNIDAD.1”. En fecha 22 de de diciembre de 2022 se recibió la contestación al requerimiento de información de la Comunidad de Propietarios de ***COMUNIDAD.1, en la que se contiene las mismas manifestaciones que realizadas por la parte reclamada CONADFIN S.L., arriba transcritas y que se tienen por aquí reproducidas. Añadiéndose, además en dicho escrito que “Con anterioridad a esta junta ya se había informado al Banco del cambio de propietario de la vivienda (…), registrándose como nueva titular a Dª. D.D.D., tal y como consta en el acta de fecha de 01/03 2017 que en su momento se envió al Banco. A pesar de ello la entidad bancaria no debió dar de baja al antiguo titular, D. A.A.A., no teniendo conocimiento de ello la comunidad y la administración, CONADFINSLU, ni tan siquiera el propio reclamante, quien detecta que continúa como autorizado solidario en la cuenta de la comunidad cuando le dan de alta en la APP de Ibercaja tras la apertura de una cuenta corriente personal. Y aportándose como documentos a este escrito el Acta de la Reunión de fecha 24 de marzo de 2008, por el que se acuerda que, “todos los propietarios cuenten con firma en la cuenta corriente de la comunidad” y el Acta de fecha 1 de marzo de 2017, donde figura la nueva titular del inmueble. En fecha 16 de enero de 2023 la parte reclamante presenta escrito de contestación al requerimiento en el que manifiesta que se limita a manifestar que: “Cuando accede telemáticamente a su cuenta bancaria ya no ve en pantalla los motivos y saldo de dicha Comunidad. La administración de fincas que gestiona los temas de esa Comunidad ha debido de solventarlo con su entidad bancaria debido a la cantidad de veces que he contactado con ellos para que resolvieran este asunto. Por tanto, y por los motivos expuestos anteriormente le agradecería sean tan amables de proceder a cerrar este expediente, dejando así zanjado el asunto.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
3. a)la seudonimización y el cifrado de datos personales;
4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 III Principios relativos al tratamiento La letra
7. d)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
8. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); IV Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
9. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
10. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
11. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
12. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
13. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
14. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
15. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
16. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
17. c)y e), deberá ser establecida por:
18. a)el Derecho de la Unión, o
19. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
20. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
21. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
22. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
23. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
24. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." V Conclusión La entidad reclamada, CONAFDIN, como encargada del tratamiento de la Comunidad de Propietarios a la que perteneció el reclamante, estaba legitimada para tratar sus datos. Una vez que vendió el inmueble el reclamante ubicado en la Comunidad administrada por la reclamada, se comunicó al Banco en el que está domiciliada la cuenta corriente de dicha Comunidad. En el momento en que el reclamante comunicó que al acceder a su Banco (el mismo en el que esta domiciliada la cuenta de la Comunidad) podía ver los movimientos de la cuenta comunitaria, la reclamada convocó una reunión de propietarios para que fueran al Banco los nuevos elegidos como Presidente y Secretario y dar de baja a los salientes. Hecho que se produjo en mayo de 2022, esto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 es, antes incluso de la presentación de la reclamación, y que impide que el reclamante pueda acceder a los datos de la cuenta de la Comunidad de Propietarios. Por lo demás, el reclamante ha mostrado su acuerdo con la solución del problema y comunicado que por su parte no se insistía en la reclamación presentada. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CONAFDIN, S.L.U., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
25. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es