E-07920-2020

1/13  Expediente N.º: E/07920/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de octubre de 2018, tiene entrada en la Agencia Española de Protección de Datos escrito de la Agencia Catalana de Protección de Datos, asunto “Traslado de la información previa núm. IP ***IP.1”, por la existencia de una presunta vulneración de la legislación en materia de protección de datos por parte de FUSTER ADMINISTRADORES, S.L. con NIF B65387029 (en adelante, la parte reclamada) al utilizar los datos personales de Dña. A.A.A. (en adelante, la parte reclamante) para cambiar a su nombre la titularidad de un contrato de suministro de agua y mantenimiento de contador en un inmueble del que era arrendataria, cuando únicamente consintió el tratamiento del dato personal de su cuenta bancaria por la parte reclamada, para proceder al cambio de domiciliación de recibos del citado suministro. Acompaña copia del expediente y copia de la resolución de fecha 8 de octubre de 2018, adoptada en la referida información previa, que a continuación se reproduce en su literalidad: “Identificación del expediente Información previa núm. IP ***IP.1, referente a Aqualogy Solutions, SAU Antecedentes 1. En fecha 27/06/2018, tuvo entrada a la Autoridad Catalana de Protección de Datos (APDCAT) un escrito de una persona que formulaba una denuncia de la Sra. A.A.A. contra Aqualogy Solutions, SAU (en adelante, MUSA), con motivo de un presunto incumplimiento de la normativa sobre protección de datos de carácter personal. En concreto, la persona denunciante exponía que en fecha 01/06/2018 suscribió con el propietario de un determinado inmueble situado en ***PROVINCIA.1, un contrato de arrendamiento. Añadía que convino con el propietario y el administrador de fincas no modificar la titularidad del contrato del agua (el titular sería el administrador de fincas, según la persona denunciante), pero sí autorizó al administrador para que procediera a efectuar el cambio de domiciliación bancaria con la empresa suministradora del servicio de abastecimiento de agua. Seguidamente, la persona denunciante indicaba que en fecha 27/06/2018 recibió, en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 domicilio, un contrato de MUSA, donde ya constaban sus datos personales (como el nombre y apellidos, DNI, dirección o número IBAN de la cuenta corriente). La persona denunciante aportaba diversa documentación relativa a los hechos denunciados. 2. La Autoridad abrió una fase de información previa (IP ***IP.1), de acuerdo con lo previsto en el artículo 7 del Decreto 278/1993, de 9 de noviembre, sobre el procedimiento sancionador de aplicación a los ámbitos de competencia de la Generalitat, y el artículo 55.2 de la Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las administraciones públicas (en adelante, LPAC), a fin de determinar si los hechos eran susceptibles de motivar la incoación de un procedimiento sancionador, la identificación de la persona o personas que pudieran ser responsables y las circunstancias relevantes que concurrían.. 3. En fecha 29/06/2018, en el seno de esta fase de información previa, el Área de Inspección de la Autoridad hizo una serie de comprobaciones a través de Internet sobre los hechos objeto de denuncia. En concreto, se accedió at apartado "Plantillas" de la web de Aqualogy Soiutions, SAU (***URL.1). Dentro de este apartado se consultaron los siguientes documentos: - Plantilla de "SUBROGACIÓ CONTRACTE", empleada en caso de cambio de titular. - "POLÍTICA DE PRIVACITAT". 4. En la misma fecha, el Área de Inspección de la Autoridad también accedió al apartado "Contractar el Servei" de la web Aigües de ***PROVINCIA.1, Empresa Metropolitana de Gestión del Ciclo Integral del Agua, SA (***URL.2). Dentro de este apartado se consultaron los siguientes documentos, que se adjuntan a la presente diligencia: Contrato de "Subministrament d'aiguan. "Carta d'autorització per contractar", versión "Particulars". 5. En esta fase de información, en fecha 03/07/2018 se requirió a MUSA que informara, entre otros, sobre la fuente de donde se han obtenido los datos de la persona denunciante (nombre y apellidos, DNI, dirección e IBAN); cuál era la base jurídica concreta que fundamentaba el tratamiento de datos objeto de denuncia; así como los motivos por los que en la política de privacidad se informa a las personas interesadas de la posibilidad de presentar una denuncia, únicamente ante la Agencia Española de Protección de Datos. 6. También en el marco de la fase de información, en fecha 03/07/2018 se requirió a Aigües de ***PROVINCIA.1, Empresa Metropolitana de Gestión del Ciclo Integral del Agua, SA (en adelante, Aigües de ***PROVINCIA.1) para que informara, entre otros, sobre si había comunicado los datos de la persona denunciante a MUSA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 7. En fecha 17/07/2018, MUSA respondió el requerimiento mencionado a través de un escrito en el que exponía, entre otros, lo siguiente: - Que en fecha 05/06/2018, a través del número de atención al cliente de Aigües de ***PROVINCIA.1 se recibe una llamada de una persona que se identifica como la señora A.A.A., solicitando realizar un cambio de titularidad y de cuenta corriente del contrato de suministro de agua. - Que, en el transcurso de la llamada, esta persona consiente subrogarse en el contrato de mantenimiento del equipo de medida de agua con MUSA; así como también la comunicación de sus datos a MUSA. - Que la actividad comercial de MUSA no reviste la naturaleza de servicio público; así como que ésta se desarrolla en todo el territorio español. La entidad denunciada adjuntaba al escrito documentación diversa; así como el audio de la llamada controvertida 3. En fecha 17/07/2018, Aigües de ***PROVINCIA.1 respondió el requerimiento mencionado a través de un escrito en el que exponía, entre otros, Io siguiente: Que en fecha 05/06/2018, a las 13:31 horas, se recibió en el servicio telefónico de atención al cliente de Aigües de ***PROVINCIA.1, la petición de cambio de titularidad y de cuenta bancaria del suministro objeto de denuncia. Que la persona solicitante facilitó los datos necesarios para efectuar dichas gestiones. Que se preguntó explícitamente si la persona solicitante sería la nueva titular del contrato, respondiendo ésta que sí, e identificándose cómo la señora A.A.A.. Que esta persona consintió subrogarse en el contrato de mantenimiento del contador con MUSA. Por este motivo, Aigües de ***PROVINCIA.1 comunicó a MUSA los datos de la persona denunciante. La entidad denunciada adjuntaba al escrito documentación diversa y el audio de la llamada. 9. En fecha 19/07/2018 y aún en el marco de esta fase de información previa, el Área de Inspección de la Autoridad efectuó las siguientes comprobaciones: 9.1 Respecto la grabación de la llamada aportada por Aigües de ***PROVINCIA.1, se constata lo siguiente: - Que una persona llama al servicio de atención de Aigües de ***PROVINCIA.1, solicitando el cambio de titularidad y de cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 corriente del contrato de suministro al inmueble arrendado por la persona denunciante. Esta persona facilita el número del contrato de suministro de agua a la empleada de Aigües de ***PROVINCIA.1 en dos ocasiones (***CONTRATO.1). - Que la empleada de Aigües de ***PROVINCIA.1 solicita a la interlocutora quién es el titular actual de contrato de suministro, respondiendo ésta que 'Fuster Administradores SCA. - Que después de que la empleada solicite la dirección del contrato de suministro, se mantiene la siguiente conversación: Empleada de Aigües de ***PROVINCIA.1 (AB): "Será Usted la nueva titular del agua. Interlocutora (l): "Sí" AB: "Dígame su DNI para registrarla como nueva titular del agua l: "***NIF.1" AB: "¿Sus nombres y apellidos, por favor? l: "A.A.A." - Seguidamente, la empleada de Aigües de ***PROVINCIA.1 solicita a la interlocutora si quiere subrogarse en el contrato de mantenimiento del contador del agua con MUSA. La interlocutora responde afirmativamente, así como que consiente la comunicación de sus datos a MUSA. - La empleada de Aigües de ***PROVINCIA.1 también solicita un número de teléfono, proporcionando el ***TELÉFONO.1, así como el número de cuenta bancaria (... 1324). 9.2 Se busca a través de Google el teléfono que facilita la interlocutora a la trabajadora de Aigües de ***PROVINCIA.1 (***TELÉFONO.1), constatando que el primer resultado se vincula a "Fuster Administradores SC". 9.3 También a través de Google, se busca "fuster administradores". La información que muestra el buscador, vinculada al servicio Google Maps, vincula esta empresa al número de teléfono que la interlocutora proporcionó durante la llamada controvertida. 9.4 El personal inspector llama la persona denunciante, constatándose que su voz difiere de la persona que llamó al servicio de atención al cliente de Aigües de ***PROVINCIA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 Fundamentos de derecho 1 De acuerdo con el artículo 5 de la Ley 32/2010, de 1 de octubre, de la Autoridad Catalana de Protección de Datos, y el artículo 15 del Decreto 48/2003, de 20 de febrero , por el que se aprueba el Estatuto de la Agencia Catalana de Protección de Datos, la directora de la Autoridad Catalana de Protección de Datos es el órgano competente para ejercer la potestad de inspección y la potestad sancionadora en relación con los tratamientos de datos personales llevados a cabo por las entidades comprendidas en el artículo 156 del Estatuto de Autonomía de Cataluña y en el artículo 3 de la Ley 32/2010. En este caso, sin embargo, la entidad que podría ser responsable del tratamiento de los datos personales objeto de denuncia no está comprendida dentro de los supuestos que son competencia de esta Autoridad, según lo previsto en los preceptos mencionados. En la denuncia se identificaba como entidad denunciada MUSA, entidad comprendida dentro del ámbito competencial de esta Autoridad. Ahora bien, como se ha adelantado a los antecedentes, esta Autoridad ha verificado que el tratamiento de datos personales a que se refiere la denuncia no sería atribuible a la entidad denunciada, sino a la entidad Fuster Administradores SL que, según se infiere de las actuaciones de investigación efectuadas, habría llamado al servicio de atención al cliente de Aigües de ***PROVINCIA.1 suplantando la identidad de la persona aquí denunciante. En el transcurso de esta llamada, la interlocutora aseveraba ser la persona denunciante, y consintió la subrogación en el contrato de mantenimiento del equipo de medida. Así pues, la determinación de las eventuales responsabilidades en que hubiera podido incurrir Fuster Administradores SC, por los tratamientos de datos personales objeto de denuncia, quedarían fuera del ámbito competencial de la Autoridad Catalana de Protección de Datos. 2 De acuerdo con lo expuesto en el fundamento de derecho 1, y dado que de conformidad con el artículo 141 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público, las administraciones públicas están obligadas a respetar el ejercicio legítimo de las competencias de las otras administraciones, se considera procedente trasladar estas actuaciones previas a la Agencia Española de Protección de Datos, a efectos de dilucidar las eventuales responsabilidades en que se haya podido incurrir. 3 Seguidamente, procede abordar la actuación de Aigües de ***PROVINCIA.1 y MUSA, dado que el tratamiento de datos personales efectuado por estas entidades sí que estaría comprendido en el ámbito competencial de esta Autoridad. En este sentido, la Audiencia Nacional, en su sentencia de 13/10/2017 (recurso ***RECURSO.1), en un supuesto en que se había suplantado la identidad de la persona denunciante, expone que: "Considera sin embargo esta Sala, según se desprende de la documental incorporada a autos, que los datos personales de la denunciante fueron tratados sin su consentimiento por Gas Natural Sur al tramitar un cambio de titular del contrato de electricidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 una vivienda a su nombre, que no ha quedado acreditado ni mediante contratación escrita ni tampoco a través de grabación de la conversación telefónica que se invoca por la entidad actora. Con posterioridad, además, se emitieron hasta cinco facturas por el contrato del suministro eléctrico a nombre de dicha denunciante, correspondiente a la vivienda de la que era arrendataria, por el periodo comprendido entre el 21/03/13 y el 17/1 1/13. GNS trató los datos personales de la persona denunciante incorporándolos a su base de datos y emitiendo facturas a su nombre. Es necesario que la persona titular de los datos permita su tratamiento de forma inequívoca y en este caso no se ha acreditado el consentimiento del denunciante a ese tipo de tratamientos. " En el presente supuesto, procede destacar que fue la persona interlocutora de la entidad Fuster Administradores SC, quien haciéndose pasar por la persona aquí denunciante, facilitó sus datos personales a Aigües de ***PROVINCIA.1 para la subrogación en el contrato de mantenimiento del equipo de medida (en este último supuesto, Aigües de ***PROVINCIA.1 actuaba como encargada de MUSA), lo cual queda acreditado a través de la grabación de la llamada que ha sido aportada. En esta conversación, la persona quien suplantaba la personalidad del aquí denunciante facilitó su nombre y apellidos y DNI (“A.A.A." con DNI "***NIF.1"), el número de contrato de suministro del agua (***CONTRATO.1), el hasta entonces titular del contrato (Fuster Administradores SC) y la dirección del suministro, por lo que no se puede exigir a Aigües de ***PROVINCIA.1 una falta de diligencia en la verificación de la identidad de la persona de quien recogía sus datos. A su vez, MUSA actuó con la diligencia debida en el tratamiento objeto de denuncia, dado que remitió el contrato de cambio de titular del contrato de mantenimiento del equipo de medida de agua en la dirección de la persona aquí denunciante a la que se refería el contrato, a fin de rubricarlo con su firma y tener así acreditado el consentimiento inequívoco de la persona interesada. Es necesario decir, que en la grabación aportada también consta que Aigües de ***PROVINCIA.1 enviaría el contrato de cambio del titular del suministro del agua en la dirección del suministro. De conformidad con todo lo expuesto, y dado que durante la información previa no se ha acreditado que haya indicios racionales que permitan imputar ningún hecho que pueda ser constitutivo de alguna de las infracciones previstas en la legislación aplicable, procede acordar el archivo de estas actuaciones, sin perjuicio de las medidas que se requieren en el fundamento de derecho 4º. El artículo 89 de la LPAC, en consonancia con los artículos 10.2 y 20.1 del Decreto 278/1993, prevé que procede archivar las actuaciones cuando en la instrucción del procedimiento se pone de manifiesto lo siguiente: "

1. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 4. El artículo 58.2.
2. d)del RGPD faculta a las autoridades de control, en ejercicio de sus poderes correctivos, para ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones de esta norma. A su vez, el artículo 8.2.
3. c)de la Ley 32/2010 faculta a la directora de la Autoridad para requerir a los responsables ya los encargados del tratamiento la adopción de las medidas necesarias para la adecuación del tratamiento de datos personales objeto de investigación a la legislación vigente. Es en virtud de esta facultad que, a pesar de la decisión de archivo basada en los argumentos expresados anteriormente, se considera procedente requerir MUSA para que, en el plazo máximo de 10 días a partir del día siguiente de la notificación de la presente resolución, lleve a cabo las siguientes actuaciones: 4.1 Sobre el derecho de información En el marco de las actuaciones previas se ha constatado que MUSA informa a los interesados de la posibilidad de presentar una denuncia únicamente ante fa Agencia Española de Protección de Datos. Al respecto, MUSA considera que realiza una actividad comercial que no reviste la naturaleza de servicio público, ya que ninguna normativa tipifica la venta y mantenimiento de contadores como una actividad de servicio público de titularidad de una administración catalana. Además, MUSA expone que desarrolla su actividad en todo el territorio español. Pues bien, tal y como se recoge en el contrato suscrito entre Aigües de ***PROVINCIA.1 y MUSA de 01/01/2016 (aportado por MUSA, en respuesta al requerimiento de la Autoridad), uno de los elementos materiales del servicio público de suministro de agua son los equipos de medida (art. 26
4. de)Reglamento del Servicio Metropolitano del Ciclo Integral del agua). De hecho, la medida de los consumos a través de los equipos de medida de agua, ¡es e! que sirve de base para la facturación del suministro de agua por parte de la entidad suministradora (art. 45 del Reglamento mencionado). Asimismo, es necesario decir que Aigües de ***PROVINCIA.1 en su escrito de 17/07/2018, también confirma que "la correcta prestación del servicio de suministro implica, necesariamente, el adecuado mantenimiento
5. de)contador o equipo de medida." Así pues, procede concluir que la actividad que ejerce MUSA debe considerarse inherente
6. a)servicio público de abastecimiento de agua, y por lo tanto el tratamiento de datos efectuado en el marco de la prestación de este servicio está comprendido en los supuestos sobre los que tiene competencia esta Autoridad (art. 3 de la Ley 32/2010). Por otra parte, la circunstancia invocada por MUSA relativa a que preste servicios en todo el estado español, no fe exime de facilitar la información correcta a las personas afectadas, a resultas de la distribución competencial existente. Y, en cualquier caso, en los documentos que el personal inspector C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 accedió en fecha 29/06/2018 (indicados en el antecedente 3º), son constantes tas referencias al Reglamento del Servicio Metropolitano del Ciclo Integra' del Agua, por la que es obvio que el ámbito territorial de estos documentos se restringe en el Área Metropolitana de ***PROVINCIA.1. Así pues, procede requerir MUSA para que, en el plazo antes mencionado, modifique la información que proporciona a los usuarios en relación con los tratamientos vinculados a la prestación del servicio de suministro de agua en Cataluña, en lo referente al derecho a presentar una reclamación ante la Autoridad Catalana de Protección de Datos. 4.2 Sobre el tratamiento de los datos. Dado que en las presentes actuaciones se ha constatado que no fue la persona afectada quien efectivamente consintió subrogarse en el contrato de mantenimiento del equipo de medida, procede requerir MUSA para que en el plazo antes mencionado, suprima (sin perjuicio de su bloqueo) los datos de la persona denunciante vinculadas al contrato de mantenimiento del equipo de medida, a menos que se hubiera obtenido su consentimiento (en caso de que hubiera firmado el contrato enviado a su domicilio para su firma). Una vez se hayan adoptado las medidas correctoras descritas en el plazo señalado, en el plazo de los 10 días siguientes MUSA informará a la Autoridad, sin perjuicio de la facultad de inspección de esta Autoridad para efectuar las verificaciones correspondientes. 5. Tal como se ha expuesto en el anterior fundamento de derecho, la normativa de protección de datos de carácter personal faculta a la directora de la Autoridad para ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a la legislación vigente. Es en virtud de esta facultad que, a pesar de la decisión de archivo basada en los argumentos expresados anteriormente, se considera procedente requerir Aigües de ***PROVINCIA.1 para que en el plazo máximo de 10 días a partir del día siguiente a la notificación de 'a presente resolución, revierta el cambio de titularidad del contrato de suministro del agua, a menos que se hubiera obtenido el consentimiento de la persona denunciante (en caso de que hubiera firmado el contrato enviado a su domicilio). En este sentido, en las presentes actuaciones se ha constatado que no fue la persona afectada quien efectivamente consintió el cambio de titularidad del contrato de suministro del agua. Sin embargo, la persona denunciante admitía en su escrito de denuncia que sí había autorizado al administrador de fincas a gestionar el cambio de domiciliación bancaria. Es por este motivo que, si bien estos datos los facilitó una persona que suplantaba la personalidad del aquí denunciante que estaría vinculada a la administración de fincas, Aigües de ***PROVINCIA.1 podría continuar tratando los datos personales de la persona denunciante necesarias para efectuar el cobro del suministro del agua a su cuenta bancaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 Una vez se hayan adoptado las medidas correctoras descritas en el plazo señalado, en el plazo de los 10 días siguientes Aigües de ***PROVINCIA.1 informará a la Autoridad, sin perjuicio de la facultad de inspección de esta Autoridad para efectuar las verificaciones correspondientes. Por todo ello, Resuelvo: 1. Trasladar las actuaciones referenciadas a la Agencia Española de Protección de Datos, con testimonio de esta resolución traducida al español, en lo referente al tratamiento de datos personales del aquí denunciante, efectuado por la entidad Fuster Administradores. 2. Archivar las actuaciones de información previa número IP ***IP.1, en lo referente a Aqualogy Solutions, SA y Aigües de ***PROVINCIA.1, Empresa Metropolitana de Gestión del Ciclo Integral del Agua, SA. 3. Requerir MUSA que adopte las medidas correctoras señaladas en el fundamento de derecho 4º y acredite ante esta Autoridad las actuaciones llevadas a cabo por cumplirlas. 4. Requerir Aigües de ***PROVINCIA.1 para que adopte las medidas correctoras señaladas en el fundamento de derecho 5º y acredite ante esta Autoridad las actuaciones llevadas a cabo por cumplirlas. 5. Notificar esta resolución a MUSA y Aigües de ***PROVINCIA.1; y comunicarla a la persona denunciante. 6. Ordenar la publicación de la resolución en la web de la Autoridad (***URL.3), de conformidad con el artículo 17 de la Ley 32/2010, de 1 de octubre. Contra esta resolución, que pone fin a la vía administrativa de acuerdo con el artículo 14.3 del Decreto 48/2003, de 20 de febrero, por el que se aprueba el Estatuto de la Agencia Catalana de Protección de Datos, el entidad denunciada puede interponer, con carácter potestativo, recurso de reposición ante la directora de la Autoridad Catalana de Protección de Datos, en el' plazo de un mes a contar desde el día siguiente de su notificación, de acuerdo con (o previsto en el artículo 123 y siguientes de la Ley 39/2015. También puede interponer directamente recurso contencioso administrativo ante los juzgados contenciosos administrativos, en el plazo de dos meses a contar desde el día siguiente de su notificación, de acuerdo con los artículos 8, 14 y 46 de la Ley 29/1998, de 13 de julio, reguladora de la jurisdicción contenciosa administrativa. Igualmente, la entidad denunciada puede interponer cualquier otro recurso que considere conveniente para defender sus intereses.” SEGUNDO: En virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, y en fecha 13 de octubre de 2020, dirigió requerimiento de información a la parte reclamada del que consta su recepción en la misma fecha, según acuse de recibo que obra en el expediente, requerimiento que no fue atendido por esta. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
7. f)y
8. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Principios relativos al tratamiento El RGPD dispone lo siguiente: “Artículo 6 Licitud del tratamiento 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
9. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; (…)” “Artículo 83 Condiciones generales para la imposición de multas administrativas … 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” En el presente caso, la parte reclamante manifestó que en fecha 1 de junio de 2018 suscribió un contrato de arrendamiento, conviniendo con el propietario y con el administrador de fincas (la parte reclamada), no modificar la titularidad del contrato de suministro de agua, que se encontraba a nombre de la parte reclamada, autorizando únicamente a esta a efectuar el cambio de domiciliación bancaria con la empresa suministradora del servicio de abastecimiento de agua (Aigües de ***PROVINCIA.1). En fecha 27 de junio de 2018 recibió, en su domicilio, un contrato de MUSA, donde ya constaban sus datos personales (como el nombre y apellidos, DNI, dirección o número IBAN de la cuenta corriente). La información previa llevada a cabo por la APDCAT concluye que, en fecha 5 de junio de 2018 una persona perteneciente a la parte reclamada, llamó al servicio de atención al cliente de Aigües de ***PROVINCIA.1, y, facilitando los datos de la parte reclamante (nombre y apellidos, DNI, dirección o número IBAN de la cuenta corriente) así como del vigente contrato de suministro de agua (titular y número del contrato), procedió al cambio de titularidad del referido contrato y a autorizar la subrogación en el contrato de mantenimiento del contador, ambos titularidad de la parte reclamada. La conducta de la parte reclamada, consistente en comunicar a Aigües de ***PROVINCIA.1 (que a su vez los comunicó a MUSA, encargada de tratamiento por cuenta de la primera), los datos personales de la reclamante sin su consentimiento, para el cambio de titularidad a su nombre de los contratos de suministro de agua y mantenimiento de contador, supuso un tratamiento ilícito de datos según lo señalado en el mencionado artículo 6.1.
11. a)del RGPD, que encuentra su tipificación en el artículo 83.5.
12. a)del referido RGPD. No obstante, lo anterior, hay que señalar que la LOPDGDD establece: “Artículo 72. Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
13. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.
14. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” Artículo 75. Interrupción de la prescripción de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reiniciándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. (…)” III Conclusiones Considerando que el 5 de junio de 2018 se produjo el tratamiento sin consentimiento de los datos personales de la parte reclamante al ser comunicados por la parte reclamada a Aigües de ***PROVINCIA.1 (que a su vez los comunicó a MUSA, encargada de tratamiento por cuenta de la primera), la presunta infracción se encontraría prescrita conforme a la normativa anteriormente mencionada, habida cuenta que, conforme al artículo 30.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, “el plazo de prescripción de las infracciones comienza a contarse desde el día en que la infracción se hubiera cometido”, habiendo transcurrido al plazo de tres años sin que se iniciara un procedimiento sancionador. Sin perjuicio de lo anterior, hay que recordar que la resolución adoptada por la AGPCAT en fecha 8 de octubre de 2018 requirió a Aigües de ***PROVINCIA.1 para que, en el plazo máximo de 10 días a partir del día siguiente a su notificación, revirtiera el cambio de titularidad del contrato de suministro del agua, a menos que se hubiera obtenido el consentimiento de la parte reclamante mediante la firma de nuevo contrato enviado a su domicilio. En los mismos términos requirió a MUSA para que suprimiera sus datos personales vinculados al contrato de mantenimiento del equipo de medida, a menos que se hubiera obtenido su consentimiento mediante la firma de nuevo contrato enviado a su domicilio. Así pues, el tratamiento de datos de la parte reclamante, sin su consentimiento, que trajo como consecuencia el cambio de titularidad del contrato de suministro de agua (Aigües de ***PROVINCIA.1), y el contrato de mantenimiento del contador (MUSA), cabe presumir, no produjo efectos más allá del plazo impuesto por la referida resolución de la APDCAT para revertir la titularidad de ambos contratos, habida cuenta que no se ha producido nueva reclamación de la parte reclamante en relación con este tratamiento. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a FUSTER ADMINISTRADORES, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es