PA-00007-2026

1/9  Expediente N.º: EXP202602043 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24 de mayo de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por hechos que podrían ser constitutivos de una infracción imputable a A.A.A. con NIF ***NIF.1 (en adelante, A.A.A.). La parte reclamante manifiesta que la entidad FINCAS VALBEN le representó en el trámite de compraventa de una vivienda de su propiedad con un tercero. Para ello facilitó sus datos personales con el fin de confeccionar un contrato de reserva con el comprador, si bien éste finalmente decidió no concretar la venta. Tras ello, la reclamante manifiesta que solicitó a FINCAS VALBEN la aportación del contrato de reserva suscrito y el acceso a sus datos mediante carta certificada, solicitud recibida según acuse de recibo expedido por Correos, sin haber obtenido contestación. Junto a su escrito aporta copia del escrito remitido solicitando copia del contrato de reserva, solicitud de acceso a sus datos, prueba de envío y acuse de recibo expedido por Correos. SEGUNDO: Con fecha 24 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Se ha cotejado en la web de Correos (www.correos.

1. es)el documento de acuse de recibo aportado por la reclamante. De dicho documento se desprende que en fecha 19/04/2024 se realiza un envío por correo certificado de la parte reclamante, dirigido a FINCAS VALBEN, que es recibido con fecha 22/04/2024. En la prueba de entrega expedida por Correos figura como receptora “A.A.A.”, con documento identificativo “***NIF.1”. Asimismo, se requirió información a IDEALISTA S.A. solicitando los datos de su cliente, la empresa FINCAS VALBEN, que identifica como responsable de la misma a A.A.A., con número de identificación fiscal ***NIF.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 Con fechas 30/09/2024 y 16/10/2024 se requirió información a A.A.A. notificándose el requerimiento a la dirección aportada. Con fecha 28/10/2024 se requirió notificando a la dirección del local de FINCAS VALBEN. Finalmente, con fecha 11/11/2024 se requirió información notificando a la dirección que figuraba para A.A.A. en el padrón municipal, siendo todas las notificaciones devueltas. Con fecha 13/12/2024 la Agencia Española de Protección de Datos acordó abrir el Procedimiento Sancionador PS/00538/2024 a A.A.A. por falta de atención a los requerimientos de información. Tras la emisión del Acuerdo de Inicio de dicho procedimiento sancionador, con fecha 23/12/2024, se recibieron tres escritos de respuesta en los que la reclamada realiza las siguientes manifestaciones: Afirma que “el inmueble publicitado consta de varios titulares, siendo la persona con la que se han realizado todas las gestiones B.B.B., titular que firmó el consentimiento expreso de clientes de FINCAS VALBEN (…)”. Aporta el documento “CONSENTIMIENTO EXPRESO CLIENTES FINCAS VALBEN”. Dicho documento consta firmado por B.B.B.. Afirma asimismo que “existió una persona interesada en adquirir dicho inmueble (…) la parte interesada suscribió el pertinente documento de “RESERVA DE FINCA”, en el que FINCAS VALBEN sí que actuó como representante directo de C.C.C.. (…) La mencionada cantidad de la reserva (1.000 euros) nunca llegó a ser abonada (…), por lo que dicha reserva se anuló”. Aporta el documento “RESERVA DE FINCA”. En el encabezado de dicho documento se lee lo siguiente: “Fincas ValBen, actuando como mandatario de C.C.C., propietario de la casa (…)” Afirma también que “el requirente (C.C.C.) solicitó vía WhatsApp (…). De la misma forma, el requirente le instó a la parte hoy requerida a que le entregase copia del documento de RESERVA DE FINCA, documentación que, al tener datos de carácter personal no se envían vía WhatsApp, sino que se le informó que si acudía a la oficina de la inmobiliaria se le entregaría (hecho que nunca realizó el requirente).” En relación con la solicitud de ejercicio de derechos, señala C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 “Esta parte no ha recibido solicitud formal previa alguna, para el ejercicio de derecho de protección de datos por parte del recurrente, hasta que no ha recibido la comunicación de esta AEPD. Las solicitudes realizadas por el requirente lo eran vía WhatsApp (…)” Afirma asimismo que “Tras el requerimiento de esta AEPD, los datos del reclamante han sido bloqueados, quedando guardados en los archivos de esta Inmobiliaria por un plazo de cinco años, pero no dándose acceso a los mismos, al haber retirado el anuncio y ya no trabajar para el requirente.” En relación con las decisiones adoptadas a raíz de la reclamación indican lo siguiente: “en la actualidad los clientes son informados de que, cualquier tipo de dato, copia, o documento que se requiera, debe ser solicitado de forma presencial en la oficina, y no por vía WhatsApp, dada la baja seguridad de dicha aplicación. Del mismo modo se les reitera e informa de que los documentos de RESERVA DE FINCA son anulados cuando el potencial comprador no hace el abono de la señal en el plazo de 24 horas.” En relación con la falta de coincidencia entre los datos que figuran en el documento de consentimiento del tratamiento y los datos del mandatario que figuran en el documento de reserva, afirma lo siguiente: “Al ser varios propietarios, se le informó a B.B.B. (quien firmó la protección de datos) de los extremos que implicaba la falta de abono de la reserva, quien se lo comunicó al reclamante (aunque esta parte también le explicó dichos extremos), siendo la parte reclamante parte interesada C.C.C. fue la persona de contacto, pero no con la que se hicieron las gestiones. También informarnos respecto al extremo de que, el cliente que contacte con esta inmobiliaria que quiera vender un inmueble, se le hace firmar un “CONSENTIMIENTO EXPRESO CLIENTES FINCAS VALBEN”, donde se le informa de como serán tratados sus datos personales, nunca, se incluyen los datos del potencial vendedor del inmueble, así como tampoco los datos de la finca, porque, dada las características del servicio, los inmuebles que se le pueden ofertar no se limitan únicamente a una finca en particular, ya que en la base de inmuebles disponibles pueden existir muchos otros que casen con las características del interesado comprador.” CUARTO: Con fecha 18 de febrero de 2026, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: La notificación del citado acuerdo de inicio, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogido por el responsable; reiterándose por correo postal certificado, y fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 finalmente notificado de acuerdo con lo dispuesto en el art. 44 de la LPACAP mediante publicación en el Boletín Oficial del Estado (BOE) en fecha 4 de marzo de 2026. SEXTO: Una vez transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta un tratamiento de los datos personales del reclamante, incluidos en el documento “RESERVA DE FINCA”, en el que el que FINCAS VALBEN figura como mandatario del reclamante y que A.A.A. firma en nombre de FINCAS VALBEN. Dicho documento incorpora datos personales del reclamante, tales como su nombre y apellidos, así como dirección y referencia de la vivienda de su propiedad. SEGUNDO: Con fecha 19/04/1024 el reclamante ejerció el derecho de acceso a sus datos personales contenidos en dicho documento ante FINCAS VALBEN, por correo certificado. TERCERO: Con fecha 22/04/2024 la solicitud de acceso anterior fue recibida de forma efectiva, según consta en la prueba de entrega expedida por correos, figurando como receptora de dicha comunicación “A.A.A.”, con documento identificativo “***NIF.1” y responsable de FINCAS VALBEN. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que A.A.A. realiza, entre otros tratamientos, la recogida, conservación y comunicación de los datos personales de personas físicas, sus clientes, en particular su nombre y apellidos, documento identificativo, datos de contacto e información relativa a los inmuebles de que son propietarios. A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida. Derecho de acceso del interesado El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
2. a)los fines del tratamiento;
3. b)las categorías de datos personales de que se trate; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9
4. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
5. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
6. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
7. f)el derecho a presentar una reclamación ante una autoridad de control;
8. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
9. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." En el presente caso, ha quedado constancia de que se realizó un tratamiento de los datos del reclamante, que figuraba como mandatario en el documento “RESERVA DE FINCA”, que A.A.A. firma en nombre de FINCAS VALBEN. El reclamante afirma que, en relación con dicho tratamiento, solicitó a la reclamada el acceso a sus datos y, en particular, a dicho documento, no siendo su solicitud atendida. Frente a esa afirmación, A.A.A. alega que dicha solicitud fue realizada por mensaje de WhatsApp, que fue respondido indicándole al reclamante que no enviaba esa información por esa vía, sino que debía solicitarlo de forma presencial. A pesar de dicha afirmación, consta en el expediente que el reclamante habría remitido un escrito a FINCAS VALBEN con fecha 19/04/1024, por correo certificado que, según consta en la prueba de entrega expedida por correos, fue recibido en fecha 22/04/2024, figurando como receptora de dicha comunicación “A.A.A.”, con documento identificativo “***NIF.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 En el presente caso, se habría procedido al bloqueo sabiendo que el interesado quería acceder a esos datos. Pero cabe recordar que el bloqueo de datos no puede suponer una restricción de los derechos que el RGPD reconoce en el tratamiento de datos personales, como son los de acceso, rectificación, cancelación y oposición. Por tanto, de conformidad con los hechos probados, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo transcrito anteriormente, al no atender el ejercicio del derecho de acceso realizado por el reclamante. IV Tipificación de la infracción del artículo 15 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
11. b)los derechos de los interesados a tenor de los artículos 12 a 22;
12. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
13. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
14. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
15. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 V Apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
16. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción de los artículos anteriormente mencionados procede dirigir a A.A.A. un apercibimiento. VI Medidas correctivas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte apercibida, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con los hechos probados se requiere a A.A.A. para que, en el plazo máximo de tres meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 15 del RGPD. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución de apercibimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 Por lo tanto, de acuerdo con la legislación aplicable y valoradas las infracciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: ORDENAR a A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
17. d)del RGPD, en el plazo de tres meses desde que la presente resolución sea firme y ejecutiva, acredite haber adoptado las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 15 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
18. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-230126 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es