PA-00008-2024

1/8  Expediente N.º: EXP202402267 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 24 de diciembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la COMUNIDAD DE PROPIETARIOS B.B.B. con NIF ***NIF.1 (en adelante, CP B.B.B.). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: La parte reclamante expone que con fecha 28/12/2022 se publicó en el tablón de anuncios de la comunidad de propietarios reclamada (de las fotos aportadas no se puede determinar si es abierto o cerrado) una comunicación que contiene nombre, apellidos y dirección, así como el importe de las cuotas que figuraban como impagadas por la parte reclamante y donde se le requiere el pago de la deuda, firmada de forma manuscrita por el presidente y la secretaria. Publicación que se llevó a cabo, según especifica la comunicación, por no haberse podido notificar fehacientemente. La parte reclamante alega que no se ha respetado el plazo de 30 días para retirar el burofax de fecha de imposición 25/11/2022. Burofax que retiró de la oficina postal el 23/12/2022, contestando a éste mediante otro burofax de fecha de imposición 28/12/2022, que fue recibido por la reclamada el 30 de dicho mes. Asimismo, afirma que el requerimiento de pago estuvo expuesto en el tablón del 28/12/2022 al 01/01/2023. Aporta, fotografías del requerimiento de pago, Sentencia nº (...), del Juzgado de Primera Instancia nº X de ***LOCALIDAD.1 declarando nulo el acuerdo de la Junta de Propietarios de fecha 13/10/2022 que declaraba moroso a la parte reclamante y de los dos burofaxes nombrados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CP B.B.B., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogida por la parte reclamada, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 24/02/2024, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó por medios electrónicos, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 12/03/2024. En dicha notificación, se le recordaba a la parte reclamada su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 24 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 20 de noviembre de 2024, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 5.1.

1. f)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5.
2. a)del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas LPACAP, fue recogida en fecha 20/11/2024, como consta en el acuse de recibo que obra en el expediente. SEXTO: Una vez transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 HECHOS PROBADOS PRIMERO: El 28/12/2022 se publicó en el tablón de anuncios de la comunidad de propietarios reclamada una comunicación firmada de forma manuscrita por la secretaria y el presidente de la comunidad, donde se expone el nombre, apellidos y dirección, así como el importe de las cuotas que figuraban como impagadas por la parte reclamante y donde se le requiere el pago de la deuda. SEGUNDO: En esta publicación se especifica la imposibilidad de practicar la debida notificación y requerimiento de pago en la persona del propietario habiendo resultado infructuoso los intentos efectuados por medio del envío de burofax, de fecha de imposición 25/11/2022. TERCERO: La parte reclamante alega que no se ha respetado el plazo de 30 días para retirar el burofax de fecha de imposición 25/11/2022. Este burofax fue retirado por él de la oficina postal el 23/12/2022, contestando a este mediante otro burofax de fecha de imposición 28/12/2022, que fue recibido por la reclamada el 30 de dicho mes. CUARTO: El requerimiento de pago estuvo expuesto en el tablón de anuncios de la comunidad desde el 28/12/2022 al 01/01/2023 sin contar con habilitación legal para realizar esta publicación. QUINTO: Aporta, fotografías del requerimiento de pago, Sentencia nº (...), del Juzgado de Primera Instancia nº X de ***LOCALIDAD.1 declarando nulo el acuerdo de la Junta de Propietarios de fecha 13/10/2022 que declaraba moroso a la parte reclamante y de los dos burofaxes nombrados. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CP B.B.B. realiza, entre otros tratamientos, la utilización de los siguientes datos personales de personas físicas, tales como: nombre y apellidos y dirección de los comuneros, número de identificación y datos económicos en relación con la Comunidad de propietarios, entre otros tratamientos. CP B.B.B. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. IV Obligación incumplida. Principios relativos al tratamiento La letra
3. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8
4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." Este principio atribuye a CP B.B.B., como responsable del tratamiento de datos personales, la obligación de impedir tratamientos no autorizados o ilícitos de estos datos, su pérdida o destrucción. Por lo tanto, no debería tratar datos personales si no está en disposición de garantizar la confidencialidad e integridad de estos e impedir que un tercero acceda a datos que no le conciernen, así como evitar su pérdida o destrucción. El responsable del tratamiento está obligado a tratar los datos personales de tal modo que garantice su confidencialidad mediante la aplicación de medidas técnicas u organizativas apropiadas. Para que se produzca una vulneración del art. 5.1.
5. f)del RGPD, debe de haberse producido una pérdida de confidencialidad o de integridad. En el presente caso se ha vulnerado el principio de confidencialidad en el tratamiento de los datos personales. Dichos datos, que estaban bajo la responsabilidad de la parte reclamada, fueron publicados en el tablón de anuncios de la comunidad de propietarios del edificio, siendo difundidos. En las imágenes aportadas por la parte reclamante figura la publicación en el tablón de anuncios, fechada el 28 de diciembre de 2022 y firmada de forma manuscrita por la secretaria y el presidente de la comunidad, donde se expone el nombre, apellidos y dirección, así como el importe de las cuotas que figuraban como impagadas por la parte reclamante y donde se le requiere el pago de la deuda. En esta publicación se especifica la imposibilidad de practicar la debida notificación y requerimiento de pago en la persona del propietario habiendo resultado infructuoso los intentos efectuados por medio del envío de burofax y que con fecha 28 de diciembre de 2022 se inserta el presente anuncio en el tablón de anuncios visible de la Comunidad de Propietarios. Sin embargo, la parte reclamante aporta copia del burofax que remitió el 28/12/2022 a la CP B.B.B. y en el que consta “el pasado día 23 recibí un burofax por el que se me requiere para que en el plazo de 15 días proceda al pago de una supuesta deuda que tengo con esa comunidad relativa a cuotas y derramas que asciende a la cantidad de 422,40 euros de los que 352 euros corresponden a cuotas y 70,40 euros a intereses de mora” y copia de la sentencia n.º (...) del Juzgado de Primera Instancia nº X de ***LOCALIDAD.1 en la que se recoge “una vez reclamada el 23 de noviembre de 2022 por la Comunidad la supuesta deuda, el aquí actor remitió el 28 de diciembre de 2022 a la Comunidad de Propietarios un burofax insistiendo que dicha deuda no existe, anunciando que, en el caso que no se rectificara, se emprenderían acciones judiciales, de modo que se ha obligado a la parte actora a acudir a los tribunales, generando los consiguientes gastos, lo que conduce a apreciar la mala fe prevista en el art. 395.1 Lec”, por lo que no se ha respetado el plazo de un mes para retirar el burofax de fecha de imposición 25/11/2022 y que retiró de la oficina postal el 23/12/2022 y que no se contaba con habilitación legal para publicar la comunicación en el tablón de anuncios de la comunidad desde el 28/12/2022 al 01/01/2023. La exposición de datos personales en el tablón de anuncios de la comunidad debe reunir los requisitos en cada caso señalados para dicha exposición y ser sus funciones las de notificación o citación. Según señala el artículo 21.3) de la Ley de Propiedad Horizontal (LPH): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 “3. Para instar la reclamación a través del procedimiento monitorio habrá de acompañarse a la demanda un certificado del acuerdo de liquidación de la deuda emitido por quien haga las funciones de secretario de la comunidad con el visto bueno del presidente, salvo que el primero sea un secretario-administrador con cualificación profesional necesaria y legalmente reconocida que no vaya a intervenir profesionalmente en la reclamación judicial de la deuda, en cuyo caso no será precisa la firma del presidente. En este certificado deberá constar el importe adeudado y su desglose. Además del certificado deberá aportarse, junto con la petición inicial del proceso monitorio, el documento acreditativo en el que conste haberse notificado al deudor, pudiendo también hacerse de forma subsidiaria en el tablón de anuncios o lugar visible de la comunidad durante un plazo de, al menos, tres días. Se podrán incluir en la petición inicial del procedimiento monitorio las cuotas aprobadas que se devenguen hasta la notificación de la deuda, así como todos los gastos y costes que conlleve la reclamación de la deuda, incluidos los derivados de la intervención del secretario administrador, que serán a cargo del deudor”. En este caso, la exposición de datos de carácter personal en el citado tablón de anuncios no parece obedecer a los supuestos expuestos en la LPH, no pareciendo que exista necesidad ni habilitación legal para exponer en el mismo la comunicación objeto de reclamación. En el presente caso, la CP B.B.B. ha vulnerado lo dispuesto en el artículo 5.1.
6. f)del RGPD, al haberse producido una falta de confidencialidad en el tratamiento de los datos de carácter personal, consecuencia de esta exposición en el tablón de anuncios de la comunidad. El principio de confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos personales no consentidas por los titulares de estos. Por las razones expuestas, se considera que los hechos conocidos son constitutivos de una infracción, imputable a CP B.B.B., por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
7. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
10. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”. El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo anteriormente mencionado procede dirigir a CP B.B.B. un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a la COMUNIDAD DE PROPIETARIOS B.B.B., con NIF ***NIF.1, por una infracción del artículo 5.1.
11. f)del RGPD, tipificada en el artículo 83.5.
12. a)del RGPD. SEGUNDO: NOTIFICAR PROPIETARIOS B.B.B.. la presente resolución a la COMUNIDAD DE De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
13. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es