1/4 Procedimiento Nº: E/09277/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante D. A.A.A., en virtud de reclamación presentada por D. B.B.B. (en adelante, el reclamante) y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por el reclamante tiene entrada con fecha 20 de julio de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra D. A.A.A., con NIF ***DNI.1 (en adelante, el reclamado), y se basa en que el reclamado es el administrador de su comunidad, para ejercer su actividad dispone de una web con un apartado para todos los propietarios y se accede a ella con un usuario genérico, donde se encuentra información como las Actas, que recogen sus datos personales, por lo que entiende que no cumplen con la normativa de protección de datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Con fecha 2 de noviembre de 2018, el reclamado remite la siguiente información, en contestación al traslado:
- Aportan copia del escrito remitido al reclamante, con fecha 29 de octubre de 2018, en contestación a su reclamación, en el que le indican que: a. Consideran que, en ningún caso, se ha producido una vulneración de la normativa de protección de datos, ya que, la información a la que se tiene acceso a través de la plataforma informática existente es única y exclusivamente a la que el conjunto de propietarios de la comunidad, por su condición de tales, pueden y deben acceder, de acuerdo con lo establecido en la normativa vigente de Propiedad Horizontal. b. Esta plataforma informática, solo proporciona un mecanismo adicional y más operativo a la documentación que se distribuye a todos los propietarios (actas y circulares), de acuerdo con lo establecido en el art.20 de la LPH “Corresponde al administrador: e)actuar, como secretario de la Junta y custodiar a disposición de los titulares la documentación de la Comunidad”. c. La actuación que puede realizar un vecino en la plataforma es de mera consulta, sin que pueda llevar a cabo modificaciones o actualización de los datos recogidos. d. No obstante, con objeto de mejorar el funcionamiento de la página web, se está desarrollando por el suministrador informático de la plataforma, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 la creación de un usuario y contraseña individualizada para cada propietario. e. Respecto al hecho de que no ha recibido contestación a sus comentarios enviados a la administración, alegan de que le informaron, a través del correo electrónico de fecha 20 de julio de 2018, que le adjuntan, en el que le ofrecen mantener una reunión junto con el Presidente de la Comunidad para dar respuesta a todas sus preguntas y le informan de que temporalmente la web esta fuera de servicio, esperando las mejoras que se realizan en la misma. Con fecha 31 de diciembre de 2018, el reclamado remite la siguiente información adicional a la que había remitido como contestación al traslado de la denuncia:
- La información a la que accedían los propietarios en la plataforma informática es la establecida por la normativa de propiedad horizontal: Actas, cuentas anuales aprobadas y circulares.
- No obstante, como actuación preventiva ante la reclamación, se dejó la web sin servicio de forma temporal y cuando se ha vuelto a poner en funcionamiento, se ha deshabilitado el acceso a los propietarios y se ha suprimido la documentación que se publicaba en la misma. Aportan copia impresa de las pantallas de la plataforma que acreditan lo indicado.
- Los únicos usuarios que tenían acceso a la plataforma eran los propietarios de la comunidad y el administrador. En la actualidad solo puede acceder el administrador.
- Tras mantener varias conversaciones con la empresa desarrolladora de la plataforma, se les indicó que el establecimiento de contraseñas individualizadas por cada propietario, no se podía llevar a cabo, ya que la plataforma no dispone de esa funcionalidad. Por tanto, se toma la decisión de que ningún propietario pueda acceder a la misma. Esta modificación se ha realizado aproximadamente con fecha 6 de noviembre de
- FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por D. A.A.A. contra D. B.B.B. por una presunta vulneración del artículo 5 f) del RGPD que regula los principios de integridad y confidencialidad en el tratamiento de los datos personales. En concreto se denuncia que los datos del reclamante están incluidos en la página Web comunitaria, a la que tienen acceso los demás propietarios de la finca. Sobre este particular, debemos señalar que, en respuesta al requerimiento efectuado por la Agencia Española de Protección de Datos, el reclamado manifiesta que la empresa desarrolladora de la plataforma, les manifestó que el establecimiento de contraseñas individualizadas por cada propietario, no se podía llevar a cabo, ya que la plataforma no dispone de esa funcionalidad. Por tanto, tomaron la decisión de que ningún propietario pudiera acceder a la misma, llevándose a cabo dicho cambio aproximadamente con fecha 6 de noviembre de
- Por este motivo, la Directora de la Agencia Española de Protección de Datos acuerda el archivo de estas actuaciones, al haberse resuelto la reclamación presentada. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 implanten de manera efectiva las medidas anunciadas por dicha entidad para evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es