1/7 Expediente N.º: EXP202210178 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) en fecha 22 de septiembre de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la COMUNIDAD DE PROPIETARIOS R.R.R., con NIF ***NIF.1, (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Reclama a la Comunidad de Propietarios a la que pertenece, la publicación en un tablón de anuncios, situado en la vía pública, de una copia del Acta de la Junta General Ordinaria de la COMUNIDAD DE PROPIETARIOS R.R.R., celebrada el 11 de abril de 2022, en el que constan expuestos datos personales de los propietarios que se relacionan, incluidos los de la parte reclamante, como son: nombre, apellidos, así como diversas circunstancias relativas a la situación de la Comunidad tras las resoluciones de la Audiencia Provincial. Junto a la reclamación aporta copia del Acta de la Junta General Ordinaria de la COMUNIDAD DE PROPIETARIOS R.R.R., celebrada el 11 de abril de 2022, así como diversas fotografías en las que el documento objeto de denuncia aparece expuesto en el citado tablón de anuncios. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 5 de octubre de 2022. No se ha recibido respuesta a este escrito de traslado. Aunque la notificación se practicó válidamente por medios electrónicos, se reiteró el envío mediante notificación electrónica, que fue notificada fehacientemente, en fecha 30 de noviembre de 2022, como consta en el certificado que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 TERCERO: En fecha 11 de enero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se comunica la admisión a trámite de la reclamación presentada por la parte reclamante. CUARTO: Con fecha 1 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD y Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que en ningún momento ha realizado la publicación de una copia del acta de junta general ordinaria de la comunidad, celebrada el día 11 de abril del año 2022, donde constaban datos personales de los propietarios, en un tablón de anuncios situado en una vía pública. Dicha comunidad manifiesta que aunque el tablón de anuncios de la Comunidad no está en una vía pública sino dentro de la propia urbanización que es una urbanización privada, las actas de la Comunidad no se publican en el viejo tablón de anuncios existente dentro de las zonas comunes de esta urbanización, sino que se remiten a cada comunero individualmente a su casa, lo cual no vulnera la normativa de protección de datos ya que todos los destinatarios de las actas son propietarios y miembros de la Comunidad. Se señala además la posibilidad de que haya sido la reclamante quien publicase dicha acta ya que ésta ha facilitado como domicilio de notificaciones de la Comunidad la ***DIRECCION.1 que coincide con su propio domicilio a sabiendas de que ya estaba cesada del cargo de administradora, procurando con ello que la Comunidad de Propietarios no tenga conocimiento de estos hechos y no pueda defenderse, por lo que en todo caso, esta Comunidad considera que procede declarar nulas las actuaciones realizadas con anterioridad ante la indefensión generada al expedientado por no haber sido notificadas en el domicilio vigente de esta Comunidad sino en la vivienda de la denunciante, al ser la propia denunciante la receptora de todas las actuaciones de este expediente, lo que conculca los principios más esenciales de un procedimiento administrativo sancionador. SEXTO: Con fecha 10 de octubre de 2023, el instructor del procedimiento acordó dar por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por la COMUNIDAD DE PROPIETARIOS R.R.R., y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 SEPTIMO: Con fecha 11 de diciembre de 2023, se dicta propuesta de resolución proponiendo que por la Directora de la Agencia Española de Protección de Datos se ARCHIVE el procedimiento sancionador donde se sancionaba a la COMUNIDAD DE PROPIETARIOS R.R.R., con NIF ***NIF.1, por una infracción del artículo 5.1.
- f)del RGPD tipificada en el artículo 83.5 del RGPD, con una multa administrativa de cuantía 1.000 € (mil euros) y por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 500 € (quinientos euros). OCTAVO: Con fecha 22 de diciembre de 2023 se reciben alegaciones por el reclamado contra la propuesta de archivo del presente procedimiento sancionador, afirmando que no entiende porque se le sanciona, pese a que la AEPD ha indicado que: “reconoce la posibilidad de que haya sido la reclamante quien publicase dicha acta ya que ésta ha facilitado como domicilio de notificaciones de la Comunidad la ***DIRECCION.1 que coincide con su propio domicilio a sabiendas de que ya estaba cesada del cargo de administradora, procurando con ello que la Comunidad de Propietarios no tenga conocimiento de estos hechos y no pueda defenderse, por lo que en todo caso, esta Comunidad considera que procede declarar nulas las actuaciones realizadas con anterioridad ante la indefensión generada al expedientado por no haber sido notificadas en el domicilio vigente de esta Comunidad sino en la vivienda de la denunciante, al ser la propia denunciante la receptora de todas las actuaciones de este expediente, lo que conculca los principios más esenciales de un procedimiento administrativo sancionador. “ En respuesta a dicha alegación la AEPD le indica al reclamado que lo señalado en la propuesta de resolución es lo siguiente: “Que por la Directora de la Agencia Española de Protección de Datos se ARCHIVE el procedimiento sancionador donde se sancionaba a la COMUNIDAD DE PROPIETARIOS R.R.R., con NIF ***NIF.1, por una infracción del artículo 5.1.
- f)del RGPD tipificada en el artículo 83.5 del RGPD, con una multa administrativa de cuantía 1.000 € (mil euros) y por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 500 € (quinientos euros).” De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La publicación en un tablón de anuncios, situado en la vía pública, de una copia del Acta de la Junta General Ordinaria de la COMUNIDAD DE PROPIETARIOS R.R.R., celebrada el 11 de abril de 2022, en el que constan expuestos datos personales de los propietarios que se relacionan, incluidos los de la parte reclamante, como son: nombre, apellidos, así como diversas circunstancias relativas a la situación de la Comunidad tras las resoluciones de la Audiencia Provincial. SEGUNDO: La parte reclamada manifiesta que las actas de la Comunidad no se publican en el viejo tablón de anuncios existente dentro de las zonas comunes de esta urbanización, sino que se remiten a cada comunero individualmente a su casa, por lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 que niega que haya sido la comunidad quien haya publicado en el tablón de la misma acta alguna. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Los hechos reclamados se materializan en la puesta a disposición del Acta de la Junta General Ordinaria de la COMUNIDAD DE PROPIETARIOS R.R.R., en el tablón de anuncios de la Comunidad de Propietarios reclamada, situado en la vía pública, en el que constan expuestos datos personales de los propietarios que se relacionan, incluidos los de la parte reclamante, como son el nombre y apellidos, en un lugar tal, que puede ser observado por cualquier persona, lo que podría suponer una vulneración de la normativa en materia de protección de datos de carácter personal. La parte reclamada manifiesta que en ningún momento ha realizado la publicación de una copia del acta de junta general ordinaria de la comunidad, celebrada el día 11 de abril del año 2022, donde constaban datos personales de los propietarios, en un tablón de anuncios situado en una vía pública. Asimismo manifiesta que aunque el tablón de anuncios de la Comunidad no está en una vía pública sino dentro de la propia urbanización que es una urbanización privada, las actas de la Comunidad no se publican en el viejo tablón de anuncios existente dentro de las zonas comunes de esta urbanización, sino que se remiten a cada comunero individualmente a su casa, lo cual no vulnera la normativa de protección de datos ya que todos los destinatarios de las actas son propietarios y miembros de la Comunidad. En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar que la comunidad de propietarios es responsable del tratamiento de datos personales de los vecinos de dicha comunidad garantizando en todo momento que el mismo respete los principios de integridad y confidencialidad reconocidos en el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 La difusión de datos personales en espacios de acceso no restringido a los propietarios, en las paredes de los portales o en tablones de uso común, podría vulnerar la normativa de protección de datos. Ahora bien, la responsabilidad de una eventual infracción solo podría determinarse si se aportara algún medio de prueba que permitiera acreditar quién difundió los datos personales. Esto es así, porque el acceso a datos de carácter personal ha de ajustarse a una serie de principios, con el fin de no vulnerar la normativa de protección de datos. Los casos en que se autoriza el acceso al público de datos de carácter personal relacionados con los asuntos derivados de la gestión de la Comunidad de Propietarios se precisan en la Ley 49/1960, de 21 de julio, sobre propiedad horizontal (en adelante, LPH). Con carácter general, el artículo 9.
- h)de la LPH indica como obligación del propietario la de: “Comunicar a quien ejerza las funciones de secretario de la comunidad, por cualquier medio que permita tener constancia de su recepción, el domicilio en España a efectos de citaciones y notificaciones de toda índole relacionadas con la comunidad. En defecto de esta comunicación se tendrá por domicilio para citaciones y notificaciones el piso o local perteneciente a la comunidad, surtiendo plenos efectos jurídicos las entregadas al ocupante del mismo. Si intentada una citación o notificación al propietario fuese imposible practicarla en el lugar prevenido en el párrafo anterior, se entenderá realizada mediante la colocación de la comunicación correspondiente en el tablón de anuncios de la comunidad, o en lugar visible de uso general habilitado al efecto, con diligencia expresiva de la fecha y motivos por los que se procede a esta forma de notificación, firmada por quien ejerza las funciones de secretario de la comunidad, con el visto bueno del presidente. La notificación practicada de esta forma producirá plenos efectos jurídicos en el plazo de tres días naturales”. En el presente caso, el acceso a datos de carácter personal en el citado tablón de anuncios, como son el nombre y apellidos, no parece obedecer a los supuestos expuestos en la LPH, pues no parece que exista necesidad ni habilitación legal para exponer en el mismo, el documento objeto de reclamación. La Comunidad de Propietarios en el ejercicio de sus funciones, trata datos de carácter personal de las personas físicas propietarias de las viviendas ubicadas en el edificio. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse publicado en el tablón de anuncios, ubicado en la vía pública, el Acta de la Junta General Ordinaria de la COMUNIDAD DE PROPIETARIOS R.R.R., celebrada el 11 de abril de 2022, en el que constan expuestos datos personales de los propietarios que se relacionan, incluidos los de la parte reclamante, como son: nombre y apellidos. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
- f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en el artículo 32 del RGPD, que reglamenta la seguridad del tratamiento. III Pese a todo lo indicado, esta Agencia considera que no se han aportado pruebas suficientes que enerven la presunción de inocencia puestos que las afirmaciones de la reclamante se pueden ver refutadas por las argumentadas por la comunidad en sus alegaciones, ya que la parte reclamada ha manifestado de forma reiterada, la posibilidad de que otras personas como la gestoría anterior de la comunidad u otros vecinos, hayan tenido acceso a la llave de la vitrina del tablón de anuncios, por lo que no queda suficientemente probado quien es el titular de los hechos que nos ocupan. “El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad” y determina al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, el cual establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Por ello, tras un estudio exhaustivo de los documentos obrantes en este expediente, parece adecuado pensar que no existe certeza sobre la titularidad de los hechos que nos ocupan, ya que existen varias personas que podrían haber tenido acceso a la llave de la vitrina del tablón de anuncios, donde fue colocada el acta con datos personales. Por lo tanto, tras tener conocimiento de estos hechos, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es