E-01119-2013

1/6 Expediente Nº: E/01119/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad HOPELEX, S.L. y JUNTA DE COMPENSACION DEL PARAJE DEL ARZOBISPO en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 8 de marzo de 2012, el Director de la Agencia Española de Protección de Datos -AEPD- da traslado de la denuncia formulada por Dª A.A.A. ( en lo sucesivo la denunciante) a la extinta Agencia de Protección de Datos de la Comunidad de Madrid (en adelante APDCM), habida cuenta de la naturaleza administrativa de la Entidad Urbanística Junta de Compensación del Paraje del Arzobispo de Ribatejada de Madrid (en adelante Junta de Compensación). SEGUNDO: La denunciante manifiesta en escrito de 11 de enero de 2012 que recibe publicidad de empresas de arreglos, inversión, seguros y otras a nombre de su marido que es el único que aparece como titular en la Junta de Compensación, si bien no aporta acreditación documental de la publicidad recibida. TERCERO: Por parte de la APDCM se produjo la apertura de actuaciones con referencia, E/068/2012, y en el ámbito de las mismas la Junta de Compensación comunica lo siguiente: - En el Registro General de Protección de Datos se encuentran inscritos tres ficheros titularidad de la misma, entre otros, el denominado “PROPIETARIOS”, que contiene los datos personales de los propietarios como son: nombre, apellidos, domicilio de la urbanización, otros domicilios a efectos de notificaciones, teléfonos de contacto y cuenta corriente. El nivel de seguridad de dicho fichero es el básico y adjuntan Documento de Seguridad. - Que a dichos datos tienen acceso una empleada y, en su caso, la administradora de fincas de la empresa contratada HOPELEX, S.L. y que únicamente son comunicados a la entidad financiera a los efectos del cobro de los recibos. Por parte de la denunciante se alega, con fecha de 5 de septiembre de 2012 que la administración contrató a la empresa HOPELEX, S.L. si bien, con fecha de 3 de julio de 2012, se produjo la venta a la empresa Ade Asesores de Empresa, S.L. y no han sido comunicadas dichas circunstancias a los copropietarios a los que prestan los servicios de administración de fincas. Con fecha de 31 de octubre de 2012, se procede por parte del Director de la APDCM al Acuerdo de inicio de procedimiento de Infracción de Administraciones Públicas a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Junta de Compensación por presunta comisión de dos infracciones: - Una infracción grave por proceder a la creación de ficheros de titularidad pública sin autorización de disposición general, tipificada en el artículo 44.3a) de la Ley Orgánica 15/1999. - Una infracción leve por transmisión de datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales, tipificada en el artículo 44.2d) de la Ley Orgánica 15/1999. La Propuesta de Resolución del Procedimiento de Infracción de Administraciones Públicas se realizó con fecha de 27 de noviembre de 2012 en los mismos términos que el Acuerdo de inicio. CUARTO: Con fecha de 28 de enero de 2013, tiene entrada en la AEPD la documentación obrante en el expediente E/068/2012 que se tramitaba en la APDCM con motivo de la extinción del citado Ente de Derecho Público, previsto en el artículo 61 de la Ley 82/2012, de Medidas Fiscales y Administrativas de la Comunidad de Madrid. Y con fecha de 18 de febrero de 2013 se procede por parte del Subdirector General de Inspección de Datos de la AEPD a la apertura de las presentes actuaciones con referencia, E/01119/2013. QUINTO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En el Registro General de Protección de Datos figura inscrito el fichero denominado “PROPIETARIOS”, con el código ***COD.1, siendo responsable la Junta de Compensación, de titularidad privada, cuya finalidad es “gestión de los datos de los propietarios” y como encargado del tratamiento figura la compañía HOPELEX, S.L. 2. En el Registro Mercantil Central figura información de la compañía HOPELEX, S.L. cuyo objeto social es “el asesoramiento global y jurídico a empresas y particulares y administración de fincas” y el 15 de junio de 2012 se inscribe la declaración de unipersonalidad socio único, Ade Asesores de Empresa, S.L.,. 3. Del análisis de la documentación remitida por el Administrador de la Junta de Compensación a la Inspección de Datos, con fecha de 4 de noviembre de 2013, Se desprende lo siguiente: - En la Asamblea General Ordinaria de la Junta de Compensación, celebrada el día 27 de noviembre de 2011, en el punto 5º “ Renovación contrato de Administración” se especifica lo siguiente: Queda renovado por mayoría la renovación del contrato de administración con la empresa HOPELEX, S.L. (nombre comercial Lawoman Asesoría y Gestión). - En la Asamblea General de la Junta de Compensación, celebrada el día 2 de diciembre de 2012, en el punto 3º “Renovación contrato prestación de servicios de Administración de fincas consta lo siguiente: “Queda aprobada la renovación con la empresa HOPELEX, S.L. para la prestación del servicio de Administración de Fincas” . - La Junta de Compensación y la empresa HOPELEX, S.L. suscribieron un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 contrato con fecha de 11 de diciembre de 2008, mediante el cual la citada empresa prestara servicios de administración de la Junta de Compensación consistentes en contabilidad, confección de presupuestos y seguimiento de contratos de mantenimiento. En la cláusula sexta se especifica lo siguiente: <<HOPELEX reconoce que la legislación sobre protección de datos personales (Ley Orgánica 15/1999) establece una serie de obligaciones en el tratamiento de datos de carácter personal, entre las que destaca la prohibición de realizar cesiones de datos de carácter personal sin la correspondiente autorización del titular de los datos personales. Por ello se compromete: Utilizar los datos de carácter personal a los que tenga acceso única y exclusivamente para cumplir sus obligaciones contractuales. Observar y adoptar cuantas medidas de seguridad sean necesarias para asegurar la confidencialidad, secreto e integridad de los datos de carácter personal a los que tenga acceso, así como a adoptar cuantas medidas de seguridad sean exigibles por la ley y la normativa existente con el fin de preservar el secreto, confidencialidad e integridad en el tratamiento automatizado de datos personales. A no ceder en ningún caso a terceras personas los datos de carácter personal a los que tenga acceso, ni tan siquiera a efectos de su conservación Estas obligaciones son extensibles, a los empleados, colaboradores y subcontratistas de HOPELEX, S.L., siendo la duración de las obligaciones de confidencialidad de carácter indefinido y manteniéndose aun con posterioridad a la finalización de la relación entre HOPELEX, S.L. y su cliente. - Añaden que el contrato vigente en 2012 es el correspondiente a 2008 por renovación tácita en los años sucesivos. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD en su artículo 20, recoge: “1. La creación, modificación o supresión de los ficheros de las Administraciones Públicas sólo podrán hacerse por medio de disposición general publicada en el “Boletín Oficial del Estado” o diario oficial correspondiente. 2. Las disposiciones de creación o de modificación de ficheros deberán indicar:
2. a)La finalidad del fichero y los usos previstos para el mismo.
3. b)Las personas o colectivos sobre los que se pretenda obtener datos de carácter personal o que resulten obligados a suministrarlos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6
4. c)El procedimiento de recogida de los datos de carácter personal.
5. d)La estructura básica del fichero y la descripción de los tipos de datos de carácter personal incluidos en el mismo.
6. e)Las cesiones de datos de carácter personal y, en su caso, las transferencias de datos que se prevean a países terceros.
7. f)Los órganos de las Administraciones responsables del fichero.
8. g)Los servicios o unidades ante los que pudiesen ejercitarse los derechos de acceso, rectificación, cancelación y oposición.
9. h)Las medidas de seguridad con indicación del nivel básico, medio o alto exigible”. Pues bien, en la inspección se comprueba que figura inscrito en el Registro General de Protección de Datos desde el 9/05/2012 el fichero, entre otros, denominado “PROPIETARIOS” , siendo responsable la Junta de Compensación, de titularidad privada, cuya finalidad es “gestión de los datos de los propietarios” y como encargado del tratamiento figura la compañía HOPELEX, S.L., es decir, con anterioridad a que entrara el expediente en esta Agencia, por lo que, procede separarse de la Propuesta de la extinta APDM y declarar la inexistencia de infracción en cuanto a la obligación de declaración de ficheros. III Respecto a la alegación consistente en la cesión de los datos por la Junta de Compensación a la empresa HOPELEX, S.L. y que, con fecha de 3 de julio de 2012, se produjo la venta a la empresa Ade Asesores de Empresa, S.L. y no han sido comunicadas dichas circunstancias a los copropietarios a los que prestan los servicios de administración de fincas se señala lo siguiente: El artículo 12 de la LOPD, dispone: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Pues bien, en el Registro Mercantil Central figura inscrita la compañía HOPELEX, S.L. cuyo objeto social es “el asesoramiento global y jurídico a empresas y particulares y administración de fincas”. y el 15 de junio de 2012 Las Asambleas Generales Ordinarias de la Junta de Compensación, celebrada el día 27 de noviembre de 2011 y 2 de diciembre de 2012, se acuerda renovar el contrato de prestación de servicios con la empresa HOPELEX, S.L. para la prestación del servicio de administración de fincas y está acreditado que entre las partes suscribieron un contrato, de fecha de 11 de diciembre de 2008, mediante el cual aquélla prestará servicios de administración de la Junta de Compensación consistentes en contabilidad, confección de presupuestos y seguimiento de contratos de mantenimiento, tal y como se recoge en la siguiente clausula: <<HOPELEX reconoce que la legislación sobre protección de datos personales (Ley Orgánica 15/1999) establece una serie de obligaciones en el tratamiento de datos de carácter personal, entre las que destaca la prohibición de realizar cesiones de datos de carácter personal sin la correspondiente autorización del titular de los datos personales. Por ello se compromete: Utilizar los datos de carácter personal a los que tenga acceso única y exclusivamente para cumplir sus obligaciones contractuales. Observar y adoptar cuantas medidas de seguridad sean necesarias para asegurar la confidencialidad, secreto e integridad de los datos de carácter personal a los que tenga acceso, así como a adoptar cuantas medidas de seguridad sean exigibles por la ley y la normativa existente con el fin de preservar el secreto, confidencialidad e integridad en el tratamiento automatizado de datos personales. A no ceder en ningún caso a terceras personas los datos de carácter personal a los que tenga acceso, ni tan siquiera a efectos de su conservación Estas obligaciones son extensibles, a los empleados, colaboradores y subcontratistas de HOPELEX, S.L., siendo la duración de las obligaciones de confidencialidad de carácter indefinido y manteniéndose aun con posterioridad a la finalización de la relación entre HOPELEX, S.L. y su cliente>> . Por ello, procede separarse de la Propuesta de la extinta APDM y declarar la inexistencia de “cesión” de datos entre la Junta de compensación y la mercantil HOPELEX S.L. Finalmente, en lo concerniente a la alegación de que HOPELEX S.L. fue vendida a la compañía Ade Asesores de Empresa S.L. y no fueron comunicadas dicha circunstancia a los copropietarios, señalar que, como recoge la información del Registro Mercantil, la modificación consistió en que la empresa Ade Asesores de Empresa S.L. se quedó como Administrador único de la mercantil HOPELEX S.L., no encontrándonos en el supuesto del artículo 19 del RLOPD que exige al responsable del fichero en los casos de fusión, escisión, cesión global de activos y pasivos se informe a los clientes del artículo 5 de la LOPD Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: - PROCEDER AL ARCHIVO de las presentes actuaciones. - NOTIFICAR la presente Resolución a HOPELEX, S.L., JUNTA COMPENSACION DEL PARAJE DEL ARZOBISPO y a D.ª A.A.A.. DE De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es