1/9 Expediente N.º: EXP202406686 (PA/00016/2024) RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 29 de marzo de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que alquiló una vivienda situada en la localidad de Xixona, provincia de Alicante, a través de la página web http://www.sicucasa.es, cuya titular es B.B.B., parte reclamada. Refiere a continuación la parte reclamante que, en la mencionada página web, a través de la cual procedió al alquiler del inmueble, no consta en modo alguno referencia a su política de protección de datos, motivo por el cual se ve privado de la posibilidad de ejercer sus derechos. Junto a la reclamación se aporta la siguiente documentación: ─ Burofax de 07/03/2024 enviado por el mandatario verbal del reclamante a la parte reclamada. En el burofax se comunica la voluntad del reclamante de desistir del contrato de arrendamiento que lo vincula con la parte reclamada. Según se indica, ello obedece al incumplimiento por parte de la reclamada, en su condición de arrendadora, de la obligación de realizar, con carácter urgente, diversas reparaciones en el inmueble del reclamante que resultan necesarias para asegurar la habitabilidad el mismo con arreglo a lo establecido en el artículo 21 de la Ley 29/1994, de 24 de noviembre, de Arrendamientos Urbanos y en el artículo 1554.2º del Código Civil. ─ Burofax de 27/03/2024, enviado por el mandatario verbal del reclamante a la parte reclamada, en el que se reitera lo expuesto en el burofax anterior de 07/03/2024. ─ Copia de denuncia presenta por el reclamante, el 28/03/2024, ante la Comandancia de la Guardia Civil de Xixona por un delito de daños. En la denuncia el reclamante hace constar que la vivienda que tiene alquilada en la localidad de Xixona está en condiciones insalubres para vivir y, que habiéndolo puesto en conocimiento de la inmobiliaria SICU CASA, en varias ocasiones, ésta ha hecho caso omiso del problema. Asimismo, manifiesta que ha solicitado a la inmobiliaria la devolución de los importes de la fianza y otros sin haber obtenido respuesta. Añade, además, que esta situación ha agravado sus problemas de salud. ─ Copia de informe médico del reclamante de 07/03/2024 en el que se refleja su estado de salud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación postal, resultando “Devuelto a Origen por dirección incorrecta” el 16/05/2024. La notificación se reiteró por correo postal certificado, resultando “Devuelto a Origen por Sobrante”, (No retirado en oficina) el 05/08/2024: 1º Intento de entrega el 24/07/2024, ha resultado “ausente”. 2º Intento de entrega el 26/07/2024 ha resultado “ausente”. Se dejó Aviso en buzón. TERCERO: Con fecha 29 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 29 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en adelante RGPD), tipificada en el artículo 83.5.
- b)del RGPD. La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la LPACAP mediante correo postal certificado, fue devuelta por “ausente”; reiterándose por el mismo medio, se notifica el día 14/11/2024. QUINTO: En fecha 27 de noviembre de 2024 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: “Primero. – Presunta infracción del Art. 13 del RGPD (…). No obstante, no debemos confundir dominio con sitio web, ya que NUNCA ha estado publicada página web alguna bajo dicho dominio. Si acceden al mismo observarán una simple portada que no permite ningún tipo de interactividad, no presenta campo alguno para la recogida de datos, ni incluye siquiera enlaces externos, cookies o una simple dirección de email de contacto. Esta portada constituye el único “contenido” que ha estado publicado en relación con dicho dominio desde que se contrató. Se adjunta captura de pantalla como Doc. 1. El primer contacto que tuvo el reclamante conmigo fue el (…), a través del portal inmobiliario Idealista, y no a través del sitio web sicucasa.es, ya que esto era simplemente imposible, como acabo de comentar. Todas las comunicaciones posteriores se llevaron a cabo través de llamadas telefónicas y WhatsApp. Por lo tanto, es evidente que el reclamante no dice la verdad, ya que ni vio la vivienda que alquiló publicada en sicucasa.es, ni aportó dato o documentación alguna a través de dicha web, ni mucho menos contrató ningún servicio, como pretende hacer creer. Y todo ellos sencillamente porque la web no ha estado operativa en ningún momento desde la contratación del dominio. Aporto como Doc. 2 trascripción literal de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 primeros mensajes intercambiados con el reclamante por WhatsApp, en los que se le informa, mediante enlace a la web de Idealista, sobre los detalles de la vivienda que posteriormente alquiló. La documentación que aportó vía WhatsApp para justificar la solvencia necesaria para el alquiler de la vivienda en la que estaba interesado además no era suya, sino de su pareja. Dicha documentación personal fue transferida a un ordenador personal y archivada de forma local, siendo borrada inmediatamente de WhatsApp. Aporto como Doc. 3 un extracto del chat en esta plataforma que acredita que el medio utilizado por el reclamante para remitir la documentación utilizada fue WhatsApp y no la web www.sicucasa.es, así como que dicha documentación fue eliminada posteriormente de la misma. Tanto el reclamante como su pareja fueron informados con anterioridad a la puesta a disposición de sus datos personales de que los mismos eran imprescindibles para el análisis de su solvencia económica, así como que éstos serían utilizados únicamente con la finalidad de determinar si eran aptos o no para el arrendamiento de la vivienda en la que estaban interesados, consintiendo de facto desde el mismo momento en que hacen entrega de los mismos. Los datos personales del reclamante no han sido cedidos a terceros ni usados con ningún otro fin que el expuesto previamente. La legitimidad para dicha solicitud de información está claramente acreditada desde mi posición como agente inmobiliaria, trabajando bajo mandato de encargo para la propiedad de un inmueble que el reclamante y su pareja deseaban alquilar. El reclamante ha conocido desde el primer momento y por todas las vías posible sobre mis datos de identificación y de contacto, como la persona encargada de la custodia y análisis de la documentación facilitada. Prueba de ello son los escritos remitidos a mi nombre por el abogado de la reclamante, así como el hecho de que me encuentro perfectamente identificada en el presente procedimiento. Segundo. – Hechos en relación con el estado de la vivienda arrendada. (…). CONCLUSIONES Considero que ha quedado acreditado que le reclamante ha mentido al afirmar que se interesó en el alquiler de una vivienda tras ver su anuncio publicado en el sitio sicucasa.es, así como que envió documentación personal a través de dicha web, hechos que no solo no han ocurrido, sino que además eran imposible, dado que no ha existido jamás publicación alguna bajo dicho dominio. El reclamante no ha acreditado en modo alguno haber visto mermados sus derechos en relación con la protección de sus datos personales, ni como esta circunstancia puede haberle supuesto algún tipo de perjuicio. En relación con los demás hechos manifestados por el reclamante, considero acreditado que la vivienda se entregó en perfecto estado, a falta de finalizar unos trabajos de carácter meramente estético, que ya se estaban desarrollando con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 anterioridad a la toma de posesión, y de los cuales tanto él, como su pareja, conocían perfectamente.” El escrito de alegaciones se acompaña de la siguiente documentación: ─ Doc. 1. Captura de pantalla del sitio web www.sicucasa.es con la leyenda “Página en mantenimiento”. ─ Doc. 2. Transcripción de conversación por WhatsApp, de fecha 28/07/2023 entre las 13:10h y las 13.50h, entre el reclamante y SICU CASA Gestión Inmobiliaria, relativa al posible alquiler de un piso. ─ Doc. 3. Transcripción de conversación por WhatsApp, de fecha 28/07/2023 entre las 13:52h y las 17.28h, entre el reclamante y SICU CASA Gestión Inmobiliaria, en la éste aporta documentación con relación al alquiler de una vivienda. En el hilo de la conversación aparece un mensaje a las 13:52h en el que el reclamante solicita a la parte reclamada que cuando tenga los documentos le avise para eliminarlos por razones de seguridad ya que se trata de documentos privados. Posteriormente, la parte reclamada, le informa, a las 14h, que ya se ha descargado los documentos adjuntos y que puede eliminarlos. La parte reclamada aporta este documento con objeto de acreditar que el medio utilizado por quien reclama para remitir la documentación necesaria para el alquiler de la vivienda fue la aplicación de mensajería instantánea WhatsApp y que dicha documentación fue eliminada. ─ Doc. 4. Copia de la comunicación remitida, con fecha 22 de abril de 2024, por SICU CASA Gestión Inmobiliaria al Despacho de Abogados (LAL Abogados) de la parte reclamante, en respuesta a un escrito de 11 de abril de 2024. En esta comunicación la parte reclamada informa sobre su condición de intermediario en el contrato de arrendamiento que quien reclama firmó en agosto de 2023 con la propietaria del inmueble y unas supuestas reparaciones urgentes en la vivienda arrendada. ─ Doc. 5. Imagen de anotaciones manuscritas en las que se relacionan los “Arreglos Pendientes Ático”. ─ Doc. 6. Copia de un email, de 28/05/2024, remitido por SICU CASA a la dirección de correo electrónico ***EMAIL.1 relativo a la rescisión del contrato de arrendamiento suscrito entre la parte reclamante y la propietaria de la vivienda arrendada. ─ Doc. 7. Transcripción de conversación por WhatsApp, mantenida los días 18, 27 y 28 de mayo de 2024, entre SICU CASA Gestión Inmobiliaria y la parte reclamante. La conversación versa sobre la firma del acuerdo de finalización del contrato y la entrega de las llaves de la vivienda arrendada. ─ Doc. 8. Copia del presupuesto de reparación de los daños provocados por la parte reclamante en la vivienda arrendada elaborado por una empresa de construcción, reformas y multiservicio. ─ Doc. 9. Copia del contrato de arrendamiento suscrito, el 25 de agosto de 2023, entre la parte reclamante y la propietaria de la vivienda. ─ Doc. 10. Copia de la Resolución de la Concejalía Delegada de Vivienda y Urbanismo del Ayuntamiento de Jijona, de fecha 27 de marzo de 2023, en la que se declara que la vivienda cumple la normativa técnica de habitabilidad ajustándose a las condiciones técnicas y de seguridad exigibles para el uso al que se destina que es el de vivienda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 ─ Doc. 11. Copia de reportaje fotográfico realizado, a modo de inventario, en la vivienda arrendada en el momento de su entrega. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamada es responsable del sitio web http://www.sicucasa.es, una agencia inmobiliaria a través de la cual la parte reclamante alquiló una vivienda, situada en la localidad de Xixona (Alicante), tras firmarse, el 25 de agosto de 2023, el correspondiente contrato de arrendamiento con la propietaria del inmueble. SEGUNDO: Con fecha 07/03/2024 y 27/03/2024, el mandatario verbal del reclamante envía dos burofaxes a la parte reclamada en los que le comunica, entre otras cosas, la voluntad del reclamante de desistir del contrato de arrendamiento. A fecha 29/03/2024, fecha de entrada de la reclamación objeto de este expediente en el registro de esta Agencia, no consta que la parte reclamada hubiese contestado a estos burofaxes. TERCERO: La parte reclamada ha dado respuesta al Acuerdo de Inicio mediante escrito, de fecha 27 de noviembre de 2024, en el que informa que nunca ha estado publicada página web alguna bajo el dominio www.sicucasa.es. Aporta, al efecto, captura de pantalla del sitio web www.sicucasa.es con la leyenda “Página en mantenimiento”. A este respecto, se ha comprobado, que no se permite la consulta a través de www.sicucasa.es al encontrarse la página “En Mantenimiento”· CUARTO: Se constata, a partir de las evidencias recabadas por esta Agencia, con fecha 09/04/2024, durante la admisión a trámite de la reclamación, que el sitio web www.sicucasa.es estaba operativo y en él se recogía un formulario de contacto que permitía recabar datos personales, en particular, nombre y mail del usuario. Sin embargo, la página web carecía de política de privacidad o texto legal equivalente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 II Contestación a las alegaciones presentadas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento de apercibimiento, descritas en el antecedente de hecho QUINTO, esta Agencia comprueba que el sitio web www.sicucasa.es se encuentra actualmente “en mantenimiento”. Sin embargo, ello no invalida el hecho de que, en la fecha de la reclamación, el sitio web de la entidad reclamada estuviese operativo y en él se recogiera un formulario de contacto que permitía recabar datos personales careciendo de la política de privacidad exigible o texto legal equivalente. III Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
- f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." IV Tipificación y calificación de la infracción De conformidad con los hechos probados en el presente momento de resolución del procedimiento de apercibimiento, se considera que la parte reclamada es responsable del sitio web http://www.sicucasa.es, una agencia inmobiliaria a través de la cual la parte reclamante alquiló una vivienda situada en la localidad de Xixona (Alicante). Y en dicho sitio web no se ofrecía información relacionada con el tratamiento de datos personales, al carecer de política de privacidad o texto legal equivalente. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, según lo dispuesto en el artículo 13 del RGPD, transcrito en el fundamento anterior. Tal infracción está tipificada en el artículo 83.5.
- b)del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
- b)los derechos de los interesados a tenor de los artículos 12 a 22;” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: Artículo 72. Infracciones consideradas muy graves. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. V Apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo. En el presente caso, atendidas las circunstancias concurrentes, se estima que por la infracción cometida procede dirigir un apercibimiento a la parte reclamada. Por lo tanto, a tenor de lo anteriormente expuesto, la Presidencia de la Agencia Española de Protección de Datos, RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 PRIMERO: DIRIGIR UN APERCIBIMIENTO a B.B.B., con NIF ***NIF.1, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
- b)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es