1/10 Expediente N.º: EXP202407020 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 25 de abril de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la COMUNIDAD DE PROPIETARIOS A.A.A., con NIF ***NIF.1 (en adelante, la parte reclamada o LA COMUNIDAD). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: La parte reclamante expone que la administradora de fincas de LA COMUNIDAD ha revelado al resto de comuneros su número de cuenta bancaria sin contar con su consentimiento ni existir interés legítimo para facilitar esta información, que se adjuntó a un acta de la Junta de Propietarios. Junto al escrito, se aportaron los siguientes documentos: - - Poder notarial de representación en favor de quien presenta la reclamación en nombre de la parte reclamante. Acta de la junta general ordinaria de LA COMUNIDAD celebrada el 4/04/2024, en la que se adjunta copia del acuerdo extrajudicial suscrito por la parte reclamante y la parte reclamada en el que constaban, además del nombre y apellidos de la parte reclamante, el número completo de su cuenta bancaria. Nota administrativa referente a LA COMUNIDAD fechada el 04/04/2024 en la que se indica: “En relación con el siniestro producido en el local de (…), se adjunta la siguiente documentación: factura de reparación de la arqueta (…) y el acuerdo extrajudicial firmado entre la comunidad de propietarios y la propietaria afectada por el pago de la indemnización de los daños interiores (…)”. - Factura a nombre de la comunidad de propietarios con fecha 14/11/2023 a la que se hace referencia en el párrafo anterior. Copia del acuerdo extrajudicial anteriormente mencionado, dirigido al ***JUZGADO.1 en relación con el ***JUICIO.1 en el que se recoge que LA COMUNIDAD: “(…) se compromete a abonar a la demandante (…) la cantidad de (…) en el número de cuenta ES00000000000000000000 (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/10 (…) Por lo que se (…) se solicita a este Juzgado la terminación del presente procedimiento judicial por satisfacción extraprocesal y el archivo de las actuaciones (…)”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 21/06/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 28/06/2024 se recibió en esta Agencia escrito de respuesta indicando: «(…) El pasado el pasado día 12/04/2024 se remitió a todos los vecinos (un total de 18), copia del acta de la junta de propietarios, celebrada el día 04/04/2024. Junto con dicha acta, se envió el acuerdo extrajudicial alcanzado entre la comunidad y una de las vecinas, en el cual – por error- se incluyó el número de cuenta bancaria de la misma. Este error ha traído causa de la reclamación que nos ocupa. Toda vez que ese número de cuenta es información confidencial y que su conocimiento no es relevante para el resto de vecinos, se han adoptado las medidas pertinentes para mitigar los perjuicios que ello haya podido ocasionar: En el día de ayer, 27 de junio, se le remitió un correo electrónico a la afectada, en el que se hacía constar que en la comunicación se había incluido su número de cuenta por error y se le hacía saber que se iba a realizar una nueva comunicación a los vecinos. Se adjunta copia del correo electrónico (…). En el mismo día de ayer, 27 de junio, se remitió un correo a la totalidad de los vecinos, haciendo constar el error cometido y solicitando procedieran al borrado de la comunicación anterior, sustituyéndola por la que se les realizaba en ese momento, en la cual ya se omitía convenientemente el número de cuenta de la reclamante. Se adjunta copia del correo electrónico remitido a la totalidad de los vecinos (…). También se adjuntan a continuación el contenido del primero de los anexos remitidos, el que lleva por nombre NOTA RECTIFICACIÓN ANEXOS ACTA. (…) Por otra parte, se traslada a continuación copia parcial del archivo (…) Y ANEXO RECTIFICADO, en el que puede comprobarse que, en este caso, en la copia del acuerdo transaccional ya no figura visible el número de cuenta de la reclamante (…).» En el propio escrito anteriormente reproducido se introducen las capturas de pantalla de los siguientes elementos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/10 - Correo electrónico de ***EMAIL.1 a ***EMAIL.2 que contiene como documento adjunto una comunicación con fecha 27 de junio de 2024 de la administradora de fincas a la parte reclamante expresando sus disculpas por el error cometido. En el mismo se indica: “(…) toda vez que el conocimiento de esa información no es relevante para el resto de los vecinos, se va a remitir un nuevo escrito a la comunidad, solicitando el borrado del anterior y en el cual se omitirá el dato de su número de cuenta (…)” - Correo electrónico de 27 de junio de 2024 dirigido a los comuneros con dos documentos adjuntos (…) y NOTA RECTIFICACIÓN ANEXOS (…). En estos se señala: “Sr. Propietario. El pasado día 12/04/2024 se les remitió copia del acta de la junta de vecinos celebrada el día 04/04/2024. Junto con dicha acta, se envió se envió el acuerdo extrajudicial alcanzado entre la comunidad y una de las vecinas, en el cual -por error- se incluyó el número de cuenta bancaria de la misma (…). Se ruega se proceda al borrado de la comunicación anterior y que se tenga la misma sustituida por la que a continuación se adjunta (…)”. - Copia del acuerdo extrajudicial en el que se ha eliminado el número de cuenta. TERCERO: Con fecha 25 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 19 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 06/05/2025 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 12/05/2025 se recibió escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: - Que como medidas correctivas para cesar en el incumplimiento de la legislación y garantizar que no se produzcan hechos semejantes en el futuro, se han llevado a cabo las siguientes actuaciones:
- a)Con fecha 27/06/2024, remisión de un correo electrónico a la totalidad de vecinos (dieciocho en total), informando del error cometido y solicitando procedieran al borrado de la comunicación anterior, sustituyéndola por la que se les realizaba en ese momento, en la cual se omitía el número de cuenta de la reclamante, tal y como consta en el expediente (páginas noventa y seis y noventa y siete). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/10
- b)Que se ha facilitado por escrito nuevas directrices al personal de la ***EMPRESA.1, entidad que actúa como encargada del tratamiento de la comunidad, en las que se establece un procedimiento específico para el envío de comunicaciones generales a los vecinos. Junto a las alegaciones se aportó la siguiente documentación: - Documento de fecha 12/05/025, que la parte reclamante refiere haber facilitado al personal de la ***EMPRESA.1. Dicho documento contiene la comunicación al personal de dicha ***EMPRESA.1, del incumplimiento de la normativa sobre protección de datos de carácter personal como consecuencia la remisión del referido correo electrónico, revelando a todos los vecinos de la comunidad, los datos de carácter personal de un miembro de la misma. En el documento se sostiene que se ha procedido a reforzar las medidas de seguridad para el tratamiento de datos, ampliando la política interna que afecta todo el despacho. Por último, en el citado documento, se recoge el procedimiento específico a seguir para el envío de las convocatorias y actas de junta, así como para el envío de otras comunicaciones. En referencia al procedimiento específico a seguir para el envío de convocatorias de junta, el citado documento recoge las siguientes consideraciones: En primer lugar, que “las convocatorias de junta no podrán incluir datos de carácter personal, exceptuando el caso de que existan vecinos con cuotas pendientes de pago. En este supuesto, de acuerdo con lo previsto en el artículo 16.9 de la Ley de propiedad horizontal, la convocatoria contendrá “la convocatoria contendrá una relación de los propietarios que no estén al corriente en el pago de las deudas vencidas a comunidad”. En segundo lugar, “En el caso de que se coloque en el tablón de anuncios de la comunidad, la copia de la convocatoria expuesta no contendrá la relación de vecinos deudores”. Y, finalmente se recoge que “los envíos postales se realizarán sobre cerrado y los envíos por correo electrónico mediante copia oculta.” En cuanto al procedimiento para el envío de actas de junta, el documento referido expone: En primer lugar, que: “Las actas de junta no podrán incluir datos de carácter personal, exceptuando lo previsto en el artículo 19 de la Ley de Propiedad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/10 Horizontal, que establece que se incluya la relación de asistentes, los autores de la convocatoria y el sentido del voto de los asistentes”. En segundo lugar, que “En el caso de que se coloque en el tablón de anuncios de la comunidad, la copia del acta será parcial y no tendrá datos de carácter personal”. Y, finalmente en el documento consta: “Que los envíos postales se realizarán en sobre cerrado y los envíos por correo electrónico mediante copia oculta”. Respecto al procedimiento para el envío de otras comunicaciones, el documento aludido expone que “el resto de las comunicaciones que se realicen con carácter general una comunidad de propietarios, no contendrán datos de carácter personal, exceptuando que se cuente con el consentimiento expreso del afectado”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 12/04/2024 la parte reclamada remitió a la totalidad de vecinos de LA COMUNIDAD (dieciocho en total), un correo electrónico en el que se incluía copia del acta de la junta de propietarios celebrada el 04/04/2024, que incluía como anexo el acuerdo extrajudicial firmado entre la comunidad de propietarios y la reclamante. SEGUNDO: En el mencionado acuerdo extrajudicial figuraba el número de cuenta bancaria, (ES00 0000 0000 000000000000), la parte reclamante. TERCERO: Con fecha 27/06/2024 la parte reclamada remitió un correo desde la dirección ***EMAIL.1 a la totalidad de los vecinos, con el asunto “***ASUNTO.1”, en el que adjunta dos anexos “(…)” y “(…)”, en el que hace constar el error y solicita a los vecinos el borrado de la anterior y su sustitución por la que se les remitía en ese momento, como conta en la página cincuenta y siete del expediente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/10 II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones previas El RGPD tiene por objeto garantizar el derecho a la protección de los datos de las personas físicas. A tenor del artículo 4.1 del RGPD, a efectos del RGPD, se entenderá por «datos personales»: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” Por su parte, en el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. En el presente caso, de acuerdo con lo establecido en los artículos 4.1 y 4.2 del RGPD, consta la realización de tratamiento de datos personales, toda vez que LA COMUNIDAD, entre otros tratamientos, procede a la recogida, conservación y difusión de datos personales de personas físicas; tales como nombre y apellidos de los comuneros y datos económicos como el número de la cuenta bancaria de la reclamante. Conforme a lo antedicho, se desprende que la actividad que la parte reclamada lleva a cabo está relacionada con el tratamiento de datos personales, quedando la comunidad de propietarios, por tanto, sujeta a la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/10 La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGP, que establece el concepto de «responsable del tratamiento» o «responsable»: como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En definitiva, la condición de responsable de los tratamientos que se realizan para la adecuada gestión y funcionamiento de la comunidad de propietarios en régimen de propiedad horizontal corresponde a la propia comunidad de propietarios. Por su parte, el administrador de fincas, que ejerce la administración de una o de varias comunidades por encargo del responsable, actúa como encargado del tratamiento de acuerdo con el artículo 4.8 del RGPD que lo define como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. IV Contestaciones a las alegaciones En relación con las alegaciones presentadas al acuerdo de inicio del presente procedimiento, esta Agencia desea señalar lo siguiente: - Primero: - De acuerdo con la documentación aportada por la parte reclamada se constata que la misma reconoce los hechos acaecidos en el seno de este expediente. - Segundo: - No obstante lo anterior, en sus alegaciones anuncia las medidas implementadas para garantizar la confidencialidad de los datos y que un incidente como este no vuelva a suceder. Al respecto esta Agencia desea señalar que se ha tenido en cuenta la adopción de dichas medidas y procede a la imposición de un apercibimiento, en virtud de lo establecido en el artículo 58.2
- b)del RGPD. V Obligación incumplida. Minimización de datos. La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/10
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" En el caso que nos ocupa, LA COMUNIDAD, ha remitido a todos los comuneros, a través de correo electrónico con fecha 12/04/2024, copia del acta de la junta celebrada el 04/04/2024, adjuntando copia del acuerdo extrajudicial suscrito por la parte reclamante y la parte reclamada en el que constaban, además del nombre y apellidos de la parte reclamante, el número completo de su cuenta bancaria. El número de cuenta bancaria de la parte reclamante era innecesario para alcanzar fin pretendido: informar a los comuneros sobre el acuerdo extrajudicial alcanzado entre la parte reclamante y LA COMUNIDAD, así como su remisión al órgano jurisdiccional competente. Por tanto, el dato de la cuenta bancaria facilitado tendría la consideración de excesivo y, en consecuencia, vulneraría el principio de minimización de datos, establecido en artículo citado anteriormente. Por tanto, de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos constituyen una infracción, imputable a LA COMUNIDAD, por vulneración del artículo 5.1
- c)transcrito anteriormente. VI Tipificación de la infracción del artículo 5.1.
- c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: Artículo 72. Infracciones consideradas muy graves. 1."En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/10
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VII Propuesta de apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por su parte, en el artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo señalado procede dirigir a LA COMUNIDAD un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a la COMUNIDAD DE PROPIETARIOS A.A.A., con NIF ***NIF.1, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. SEGUNDO: NOTIFICAR PROPIETARIOS A.A.A.. la presente resolución a la COMUNIDAD DE De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/10 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-080725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es