PA-00032-2025

(28931).” En el citado contrato también se indica: “El pago se hará del siguiente modo: (…) (…) entregados en este acto a BH REALTY MOSTOLES S.L, con CIF B 72591670 S.L como prueba de la intención de consumar el contrato al que se refiere este documento”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 18 de octubre de 2024 se dio traslado de dicha reclamación a GRUPO B HOME, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), resultó “expirada por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 29/10/24 00:00”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/10 No consta que se haya presentado ninguna respuesta al citado traslado de la reclamación en esta Agencia. Se reiteró la notificación del traslado de la reclamación mediante correo postal, con el siguiente resultado: “Ha resultado Devuelto a Origen por 04 Desconocido el 13/11/2024”. TERCERO: Con fecha 2 de enero de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación por transcurso del plazo de tres meses desde su presentación. CUARTO: Con fecha 17 de enero de 2025, en virtud de lo dispuesto por el artículo 64.1 de la LOPDGDD, al entender que la reclamación versaba sobre la falta de atención de una solicitud de ejercicio de derechos, se dictó un acuerdo por el cual se otorgó a GRUPO B HOME trámite de audiencia para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes, sin que consten en esta Agencia alegaciones al respecto. QUINTO: Con fecha 1 de julio de 2025 se dictó resolución de archivo de procedimiento de derechos contra GRUPO B HOME en la que se indica que: “En el supuesto aquí analizado, de la lectura atenta de la reclamación recibida, se observa que no tiene por objeto la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/

1. Por el contrario, se está denunciando la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679, en relación con una supuesta falta de información en materia de protección de datos. De hecho, la reclamante no indica expresamente el derecho que ejerce. En consecuencia, no resulta aplicable el procedimiento de ejercicio de derechos previsto en el artículo 64.1 LOPDGDD y seguido hasta este momento. Procede, por lo tanto, declarar sin objeto este procedimiento, archivándolo. Y tras ello, por parte de esta Agencia se seguirán los trámites que correspondan en los términos del Título VIII de la LOPDGDD.” SEXTO: En el presente caso, si bien la reclamación se dirigió contra GRUPO B HOME MADRID NOROESTE, S.L., en el contrato aportado por la reclamante la relación contractual se celebró con BH REALTY MOSTOLES S.L., con NIF B72591670 (en adelante, BH REALTY). Con fecha 18 de julio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a BH REALTY, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. SÉPTIMO: La notificación del citado acuerdo de iniciación, que se practicó conforme a la LPACAP, no fue recogido por el responsable; reiterándose el traslado en fecha 28/07/2025 por correo postal certificado, que fue devuelto por “Ausente (se dejó aviso en buzón)” y “Sobrante (no retirado en oficina). La publicación en el Boletín Oficial del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/10 Estado (BOE) del acuerdo de iniciación del presente procedimiento se produjo en fecha 09/09/
2. OCTAVO: Una vez transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: La reclamante ha establecido una relación contractual con BH REALTY MOSTOLES S.L., con NIF B72591670 al objeto de proceder a la venta de su vivienda. SEGUNDO: En el marco de dicha relación contractual, se ha facilitado a la reclamante un modelo de contrato en el que, respecto a la recogida de datos personales de la reclamante, se indica: “IX) En cumplimiento de la Ley 15/1999 (LOPD), B-Home, le informa que sus datos formarán parte de sus ficheros de clientes potenciales y cuyos fines son la atención a su solicitud de tramitación de venta de su inmueble. Asimismo, le informamos de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición dirigiéndose a B-HOME, a B-HOME, AT. Usuario. Avda. de la Constitución,56, Móstoles

(28931).” En el citado contrato también se indica: “El pago se hará del siguiente modo: (…) (…) entregados en este acto a BH REALTY MOSTOLES S.L, con CIF B 72591670 S.L como prueba de la intención de consumar el contrato al que se refiere este documento”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/10 subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, figura un contrato aportado por la reclamante en el que se detalla que la relación contractual se celebró con BH REALTY MOSTOLES S.L., con NIF B72591670 (en adelante, BH REALTY). De acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que BH REALTY realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas tales como: nombre y apellido y número de documento de identidad. BH REALTY realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/10 El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

1. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
2. b)los datos de contacto del delegado de protección de datos, en su caso;
3. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
4. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
5. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
6. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
7. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
8. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
9. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
10. d)el derecho a presentar una reclamación ante una autoridad de control;
11. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
12. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/10 Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." La obligación prevista en el mencionado artículo 13 del RGPD desempeña un papel fundamental en el marco de la protección de datos personales en aquellos contextos donde los datos personales se obtienen directamente de los interesados. Se trata, en definitiva, de una materialización del principio de licitud, lealtad y transparencia, previsto en el artículo 5.1
13. a)del RGPD. En concreto, esta disposición garantiza la transparencia y el respeto por los derechos en dicho ámbito, dos pilares esenciales sobre los que se construye la confianza entre los titulares de los datos y las entidades que los tratan. El mandato previsto en el artículo implica que el responsable del tratamiento debe proporcionar a los interesados una serie de información relacionada con el tratamiento de sus datos personales. La importancia de cumplir con la obligación prevista en dicho artículo radica en varios aspectos: Primero, proporciona a los interesados una comprensión clara y completa de cómo se están utilizando sus datos personales, lo cual resulta esencial para la construcción de una relación basada en la confianza con las entidades que manejan sus datos. Además, facilita y garantiza a sus titulares el ejercicio de sus derechos de protección de datos, incluido el derecho a la objeción del tratamiento, acceso, rectificación, y supresión de sus datos personales, entre otros. En tercer lugar, se señala que refuerza la legitimidad del tratamiento de datos personales al asegurar que se realice dentro del marco legal establecido y de acuerdo con los principios del RGPD. Por otra parte, ayuda a proteger a los individuos contra el uso indebido de sus datos personales, asegurando que solo se utilicen para fines específicos, legítimos y explícitamente informados. Por último, ayuda a los responsables del tratamiento con el cumplimiento de la normativa de protección de datos, evitando sanciones, así como daños a su reputación que podrían derivarse del incumplimiento. En el presente caso, GRUPO B HOME el 15 de julio de 2024 ha facilitado a la reclamante un documento para la recogida de datos en el que se incluye un apartado referido al tratamiento de datos y la normativa aplicable a dicho tratamiento en el que se hace mención expresa a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y únicamente se le proporciona la siguiente información respecto al tratamiento: “IX) En cumplimiento de la Ley 15/1999 (LOPD), B-Home, le informa que sus datos formarán parte de sus ficheros de clientes potenciales y cuyos fines son la atención a su solicitud de tramitación de venta de su inmueble. Asimismo, le informamos de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/10 dirigiéndose a B-HOME, a B-HOME, AT. Usuario. Avda. de la Constitución,56, Móstoles

(28931).” La información anteriormente señalada, que remite a una normativa derogada, omite los elementos exigidos por el artículo 13 del RGPD. Así, no se indica la base de legitimación del tratamiento; los fines del mismo; los destinatarios o las categorías de destinatarios de los datos; los plazos de conservación de los datos personales; la posibilidad de ejercitar derechos reconocidos por el RGPD no previstos por el marco normativo anterior como el de limitación del tratamiento, portabilidad de los datos y supresión de estos; ni al derecho a presentar una reclamación ante una autoridad de control. Además, tampoco se informa sobre la comunicación de datos es un requisito legal o contractual. En definitiva, el único de los elementos de los exigidos por el artículo 13 del RGPD contenidos en el documento que podría llegar a ser la identidad del responsable, sin que siquiera esta se exprese explícitamente. En consecuencia, la información contenida en el documento de la parte reclamada no puede tener la consideración de información en los términos exigidos por el artículo 13 del RGPD. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a BH REALTY, por vulneración del artículo 13 del RGPD transcrito anteriormente. IV Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "

1. b)los derechos de los interesados a tenor de los artículos 12 a 22;” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72 de la LOPDGDD establece lo siguiente: "Se consideran muy graves y prescribirán a los tres años las restantes infracciones las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/10
2. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." V Apercibimiento Entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla la siguiente posibilidad: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
3. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo anteriormente mencionado procede dirigir a BH REALTY un apercibimiento. VI Medidas correctivas La resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 13 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
4. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/10 responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento de apercibimiento, se requiere a BH REALTY para que, en el plazo máximo de tres meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la adecuación de los documentos que se facilitan en papel a sus clientes y potenciales clientes a los requisitos de información a los que se refiere el artículo 13 del RGPD y se elimine la referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a BH REALTY MOSTOLES SL, con NIF B72591670, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: ORDENAR a BH REALTY MOSTOLES SL, con NIF B72591670, que en virtud del artículo 58.2.
5. d)del RGPD, en el plazo máximo de tres meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la siguiente medida: - Acreditar la adecuación de los documentos que se facilitan en papel a sus clientes y potenciales clientes a los requisitos de información a los que se refiere el artículo 13 del RGPD y se elimine la referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. TERCERO: NOTIFICAR la presente resolución a BH REALTY MOSTOLES SL. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/10 Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
6. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-241125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es