← España

PS-00023-2025

1/34  Expediente N.º: EXP202308051 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ESTUDIO ALCAZAR DEL GENIL 2022, S.L. (en adelante, ESTUDIO ALCAZAR), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202308051 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 9 de mayo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a ESTUDIO ALCAZAR DEL GENIL 2022, S.L. con NIF B09971029 (en adelante, ESTUDIO ALCAZAR). Los hechos que se pusieron en conocimiento de esta autoridad eran: Quien reclama manifiesta que era trabajador de ESTUDIO ALCAZAR y que, en fecha 25 de abril de 2023, sus superiores reunieron a sus trabajadores instándoles a que realizaran fotos y vídeos de los buzones de las Comunidades de Propietarios de los inmuebles que visitaran para elaborar una base de datos, sin recabar el consentimiento de los titulares de los datos y sin informar a estos a dicho respecto. En concreto, señala que tenían que proporcionar los siguientes datos: la calle, el número de bloque y los nombres que aparecían en los buzones junto con la planta y la puerta en la que estos habitan. Afirma que, al negarse a realizar dicha actuación que considera contraria a la normativa de protección de datos, fue despedido. Junto al escrito, se aportó: - Captura de pantalla de la conversación en la app WhatsApp con el número de teléfono ***TELÉFONO.1 y fecha 26 de abril de 2024, donde aparecen los siguientes mensajes a las 14.50 horas: “A.A.A. tengo que hablar contigo. Si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/34 tienes un segundo te llamo”. El nombre del contacto con el que está manteniendo la conversación y que aparece en el móvil del reclamante es: “B.B.B.”. - Video en formato .mp4 de la conversación mantenida en fecha 26 de abril de 2023, a las 14:52 horas, entre quien reclama y el número de teléfono ***TELÉFONO.1, en el que le comunican la voluntad de la empresa de prescindir de sus servicios en base a su negativa a la forma de recabar datos de potenciales clientes. De la conversación mantenida se extrae la siguiente información: […] B.B.B.: Mira, perdona hijo es que no tengo mucha cobertura. Vamos a ver A.A.A., le he estado dando vueltas a lo que hemos hablado, […] no quería alargarlo mucho más, y nada, hemos estado hablando con C.C.C. y D.D.D. porque ellos son también socios de la sociedad […] Ahora mismo es la única forma que tenemos de hacer zona y yo sintiéndolo mucho no podemos llegar a ningún otro acuerdo […] quería avisarte que tenemos que prescindir de ti […]. A.A.A.: Pero B.B.B., yo lo entiendo, pero entiendes que lo que me habéis pedido de hacer fotos a buzones es ilegal. B.B.B.: A.A.A., fotos, apuntarlo, lo que sea, yo no puedo hacer otra cosa, hijo, esto es de tres no solamente de uno, yo puedo llegar a entender la posición que tú tienes, pero es que no podemos hacer otra cosa, A.A.A.. Yo no le puedo exigir a los compañeros que hagan una cosa a ti que hagas otra, es la forma que tenemos ahora de hacer zona y es que no podemos hacer otra cosa. A.A.A.: Pero B.B.B. es que no le tendríais que pedir a nadie que haga eso, que haga fotos a los buzones. B.B.B.: Bueno A.A.A. es lo que te he dicho, esto ya depende de, … nosotros tenemos el sector jurídico y ya pues eso depende de ellos, yo ahí ya. A.A.A.: Pues ya está, perfecto si es vuestra decisión. B.B.B.: Por supuesto, ya está. B.B.B.: […] es que A.A.A.: no tenemos otra forma de trabajar y yo sé que tu así, obviamente no estás de acuerdo, que esto no es legal, te has informado me parece genial, pero es que no podemos hacer otra cosa”. - Números de teléfono de los intervinientes en la conversación de la que ha aportado el vídeo: o origen de la llamada: ***TELÉFONO.1. C/ Jorge Juan, 6 28001 – Madrid o destino de dicha llamada:***TELÉFONO.2. o fecha: 26 de abril de 2023, aproximadamente a las 14:55h. www.aepd.es sedeagpd.gob.es 3/34 - Fotografías de buzones que le consta que se han subido a la base de datos de ***EMPRESA.5, donde figuran los siguientes nombres y números de puerta: (…) SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ESTUDIO ALCAZAR, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 13 de julio de 2023 se recibe en esta Agencia escrito de respuesta de ESTUDIO ALCAZAR, manifestando lo siguiente: “(…) PRIMERA.- Estudio Alcázar del Genil 2022 SL. contrató al reclamante, con arreglo al convenio y salario que le es aplicable, como COMERCIAL, esto es, para la venta de viviendas propiamente dichas (venta. captación. zona comercial, etc). El contrato duro tan solo un mes y medio, pero, EN NINGUN CASO, esta empresa propuso / sugirió / obligó / indicó a este trabajador, ni a ningún otro, lo expuesto en la reclamación previa. No porque lo diga esta parte en su defensa sino porque no es la práctica ni tónica de la mercantil, máxime, cuando además la marca ***EMPRESA.5 tiene un software/aplicación interno donde constan las bases de datos cuyo consentimiento ha sido recabado lícitamente y sobre las que se utilizan, para el caso necesario, a la hora de promocionar y vender las viviendas; todo ello, siempre con el interés previo que muestra el cliente en la vivienda en cuestión (que es distinto a manifestar que la empresa busque compradores o vendedores a diestro y siniestro llamando a un número de teléfono o similar a fin de ver si venden o compran vivienda). Asimismo, Estudio Alcázar del Genil 2022 S.L., es una mercantil que, desde que se constituyó NO HA RECIBIDO UNA SOLA QUEJA (NI DE PROTECCIÓN DE DATOS NI DE NINGÚN OTRO TIPO), RECLAMACIÓN O RESEÑA NEGATIVA sino todo lo contrario, máxime, cuando opera en una barriada de ***LOCALIDAD.1 (se opera por zonas para no "pisar" a las otras franquicias de la marca que trabajan en la ciudad) que es “pequeña", y que, en un mercado como éste, hacerlo mal es sinónimo de. lamentablemente, no vender, y por ende, estar abocado al fracaso empresarial.” TERCERO: Con fecha 9 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/34 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN (…) El 22 de diciembre de 2023, ***EMPRESA.6, responde a esta agencia confirmando que el día 26 de abril de 2023 a las 14:52:15 horas se produjo una llamada desde el número ***TELÉFONO.1 al número ***TELÉFONO.2 de 334 segundos de duración es decir 5 minutos y 34 segundos. Informa de que la titular de la línea de destino es: E.E.E. con DNI ***NIF.1 y dirección en ***DIRECCIÓN.1. El reclamante aportó en la reclamación el número ***TELÉFONO.2 como su teléfono. El 29 de diciembre de 2023 ***EMPRESA.7 responde al requerimiento de esta agencia, confirmando que el día 26 de abril de 2023 a las 14:52:16 horas se produjo una llamada desde el número ***TELÉFONO.1 al número ***TELÉFONO.2 de 332 segundos de duración. Así mismo informa de la titularidad de la línea ***TELÉFONO.1 que corresponde a F.F.F. DNI: ***NIF.2 y dirección: ***DIRECCIÓN.2. (…) El 1 de abril de 2024, se recibió respuesta de ESTUDIO ALCAZAR, al requerimiento de esta Agencia, en la que: 1. Manifiesta que su empresa es Responsable de tratamiento de los datos de los clientes. 2. Aporta el contrato de cesión de franquicia en el que se subrogó (pues inicialmente había sido suscrito por otra mercantil distinta a ésta), firmado entre ***EMPRESA.8, Estudio Alcázar y ***EMPRESA.1 con efectos del 1 de junio de 2022. 3. Manifiesta que: “únicamente se utilizan clientes y datos cuyos consentimientos han sido previamente recabados y están debidamente legalizados. No llevando a cabo, esta empresa, prácticas como la referida en la reclamación efectuada por G.G.G..” 4. Está realizando, y quedará documentado antes de que finalice el año, auditoría en protección de datos y un CORPORATE COMPLIANCE que se aportará cuando esté finalizado. 5. C/ Jorge Juan, 6 28001 – Madrid No responde al requerimiento de:  Registro de las actividades de tratamiento efectuadas bajo su responsabilidad (Art. 30 del RGPD).  Finalidades y bases de legitimación de las actividades de tratamiento (Art. 6 RGPD). www.aepd.es sedeagpd.gob.es 5/34  Contrato o contratos de encargado de tratamiento firmados por esa mercantil.  Origen de los datos personales de potenciales clientes.  Informes de la auditoría de protección de datos y “CORPORATE COMPLIANCE” a los que se refiere en la mencionada respuesta de 13 de julio de 2023, respecto de los tratamientos sobre los que se solicita información. El 30 de abril de 2024, se recibe respuesta de ***EMPRESA.1 que manifiesta: “las sociedades del ***EMPRESA.2 actúan como encargados del tratamiento en relación con los datos personales de clientes finales, incluidos los potenciales, de los que son responsables las respectivas entidades franquiciadas.” […] “la intervención de ***EMPRESA.1 se limita a poner a disposición de los franquiciados un software de gestión de clientes (un CRM) para que cada entidad franquiciada, según su mejor criterio, pueda utilizar para el desempeño de su actividad” […] “el flujo de datos básicamente se inicia cuando un interesado solicita servicios de intermediación inmobiliaria a una de nuestras franquiciadas. Generalmente, pero no de forma obligatoria, las entidades franquiciadas suben los datos al software de gestión de clientes (CRM) que se facilita desde ***EMPRESA.2 a las entidades franquiciadas como parte del contrato de franquicia. Huelga aclarar que cada entidad franquiciada solo tiene acceso a los datos personales de sus clientes, o potenciales clientes, sin que se compartan todos los datos entre las entidades franquiciadas a través del CRM. Es decir, el hecho de compartir un mismo proveedor de software no implica que se compartan los datos con todos los usuarios de dicho software. Finalmente, y aunque creemos que no es objeto de este procedimiento, únicamente indicamos que ***EMPRESA.2 gestiona la página web ***URL.1. Esta página web actúa como portal inmobiliario. Así, cuando un usuario de la web se interesa en un inmueble o en una zona geográfica donde adquirir o vender un inmueble, remitimos dicho “lead” (potencial interesado) a la entidad franquiciada que corresponda, actuando estas como responsables del tratamiento independientes”. […] “31. No proporcionamos instrucciones a los franquiciados ni sobre cómo deben incorporar dichos datos al CRM ni sobre cómo deben de obtenerlos. Ello es competencia y responsabilidad de cada franquiciada en tanto que responsable del tratamiento. 32. Desde ***EMPRESA.1 únicamente explicamos a las franquiciadas cómo funciona el CRM. En lo que respecta a privacidad, les informamos que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/34 CRM dispone de una pestaña para subir el documento relativo a protección de datos, así como otra pestaña para indicar si disponen de consentimiento para remitir comunicaciones comerciales electrónicas”. Adjunta “Acuerdo de tratamiento de datos personales en el marco del contrato de Franquicia” genérico, de fecha 1 junio de 2022, en el que se recoge: “El FRANQUICIADOR actuará como encargado del tratamiento del FRANQUICIADO respecto de los datos personales de los Clientes Finales de conformidad con lo dispuesto en el artículo 28 RGPD (el "Encargo del Tratamiento”). El FRANQUICIADOR actuará como (sub)encargado del tratamiento del FRANQUICIADO quien actuará como responsable o encargado del tratamiento, según cada caso, de los tratamientos, categorías de datos personales e interesados en relación con el Encargo del Tratamiento que se especifican en el Apéndice A”. En el “Apéndice A”, en cuanto a “Naturaleza y finalidad del tratamiento” aparece marcado: “Estructuración, Conservación, Consulta, Supresión, Conservación, Registro y Otros: Aquellas otras finalidades necesarias para el buen fin de la gestión y uso del CRM por parte del FRANQUICIADO”. En “Categorías de interesados” están marcadas las categorías: “Clientes” y “Potenciales clientes”. En “Tipo de datos personales”, está marcado: “Nombre/apellidos, Domicilio, Email, Datos bancarios, DNI/NIE/Pasaporte, Nacionalidad y Otros: Aquellos otros datos personales necesarios para la correcta gestión y uso del CRM por parte del franquiciado, así como para la correcta atención a los Clientes Finales, como, por ejemplo, viviendas/locales en propiedad, viviendas/locales en alquiler o intereses inmobiliarios, de financiación o de cualquier otra índole en relación con los servicios prestados a Clientes Finales”. En la inspección del 20 de noviembre de 2024 a la sede de ***EMPRESA.1 en: ***DIRECCIÓN.3, cuya acta de inspección se incorporó al expediente en la “Diligencia Acta Inspección (...)” de 11 de diciembre de 2024, los representantes de la empresa manifiestan: 1. “La entidad es una empresa franquiciadora que no desarrolla labores comerciales ni trata datos de clientes, ni tiene establecimientos comerciales a pie de calle. 2. Lo que ofrecen son contratos de franquicia a operadores inmobiliarios, les ofrecen la marca, formación, asesoría comercial, una exclusiva territorial y una plataforma informática (CRM) denominada ***PLATAFORMA.1. A las nuevas franquicias también se les ofrece asesoría comercial sobre cómo pueden emprender y empezar a vender. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/34 3. A cambio reciben un royalty fijo independiente de las operaciones que realicen los franquiciados. 4. Cada franquiciado es un operador inmobiliario independiente, también independiente del franquiciador. 5. Desde la empresa no se ejerce control sobre los datos de los clientes ni los contactos que registren los franquiciados, tan solo de las operaciones de compraventa que se realizan, sin que se incluyan datos personales en las mismas. 6. Con la finalidad de resolver incidencias técnicas pueden acceder a la base de datos de clientes que son responsabilidad de cualquier franquiciado. 7. También se realizan labores de Back-up del CRM, aunque desconocen la periodicidad y lugar donde están alojados los servidores.” […] Tras solicitar conectarse a la base de datos de la reclamada en ***LOCALIDAD.1, se constata que en la base de datos ***PLATAFORMA.2” de ***EMPRESA.5 se encuentra (Doc 9) un registro correspondiente a “H.H.H.” de la calle “***DIRECCIÓN.4” como cliente de “***EMPRESA.9” del CRM (Programa de Gestión de Clientes) Inmobiliario de la reclamada, en el que sólo consta el nombre, apellidos, dirección y fecha del último contacto: “30/07/2024”, del cliente, no contiene número de teléfono, ni correo electrónico. En la casilla “Privacy” consta: “En espera de privacidad escrita”. En el campo “Procedencia” figura: “Tipo origen Colaborador interno, Detalle origen B.B.B., categoría origen Gestión Directa […] Datos de sistema (…) por B.B.B. 25/4/2023. 16:42 Ultima modificación de J.J.J. 30/7/2024. 12:06”. En el Doc 13 consta el cliente “L.L.L.” sin teléfono ni correo electrónico, con fecha de creación: 11/04/2017. En el Doc 16 consta el cliente “M.M.M.” sin teléfono ni correo electrónico, con fecha de creación 19/11/2024 y el cliente “N.N.N.…” sin teléfono ni correo electrónico con fecha de creación 7/7/2015. El 4 de diciembre de 2024 se recibe respuesta de ***EMPRESA.1 a los requerimientos de esta Agencia recogidos el acta de inspección. En el modelo de contrato de “Acuerdo de tratamiento de datos personales en el marco del contrato de franquicia” se recoge: “En el marco del encargo del Tratamiento, el FRANQUICIADO autoriza al FRANQUICIADOR para que en nombre y por cuenta del mismo contrate con las compañías mercantiles del ***EMPRESA.2 los servicios de tratamiento de datos personales, gestión técnica, estadísticas, asesoría, formación y página web al objeto de lo dispuesto en el presente acuerdo y en el contrato de franquicia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/34 Asimismo, el FRANQUICIADOR podrá, sin autorización previa del FRANQUICIADO, subcontratar a terceros servicios auxiliares y estandarizados para el normal funcionamiento de la operativa corporativa, aunque ello implique un (sub)tratamiento de los datos personales objeto de este encargo del Tratamiento. Cualquier otra subcontratación por parte del FRANQUICIADOR que suponga un (sub)tratamiento de los datos personales objeto de este encargo del Tratamiento requerirá la autorización previa del FRANQUICIADO. El subcontratista, que también tendrá la condición de encargado del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el encargado del tratamiento. Corresponde al FRANQUICIADOR regular la nueva relación de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas”. Sobre el requerimiento “Explicación detallada de cómo los datos de un cliente aparecen reflejados en las tablas de gestión de zona, indicando qué circunstancias hacen que se encuentren en cada una de ellas”, manifiesta: “La finalidad del tratamiento de los datos que aparecen en la tabla “Gestión de Zona”, es la gestión de la prospección comercial para la obtención de encargos de venta/alquiler de inmuebles en la zona que es competencia de cada sociedad franquiciada” […] “En la cuarta vista, CALIDAD RELACIÓN DÉBIL (DISPERSIÓN – NUNCA Y >90), aparecerán los inmuebles que no tengan asociada ninguna actividad de prospección comercial y aquellos inmuebles en los que la última actividad de prospección comercial se ha realizado hace más de 90 días”. […] “Siendo el objetivo principal, como ya se ha indicado, el de identificar inmuebles que puedan ser vendidos o alquilados en la zona de competencia del franquiciado, se utilizan las vistas primera- POTENCIAL ADQUISICIÓN (SEGUIMIENTO FRECUENTE) y segunda -CALIDAD RELACIÓN ALTA (AMIGOS EN ZONA) para mostrar aquellos inmuebles en los que la potencialidad de obtener un encargo de venta es mayor, bien porque ya se dispone de información fiable sobre el interés de vender/alquilar un determinado inmueble (primera vista), o bien (segunda vista), para mostrar aquellos inmuebles que en caso de que puedan ofrecerse en venta/alquiler, la noticia sobre ese interés podría llegar al franquiciado sin necesidad de hacer un seguimiento frecuente del inmueble. Las vistas tercera -CALIDAD RELACIÓN MEDIA (<90 DÍAS) y cuarta -CALIDAD RELACIÓN DÉBIL (DISPERSIÓN – NUNCA Y >90) muestran aquellos inmuebles sobre los que el franquiciado podría plantearse llevar a cabo una búsqueda de información activa de forma periódica, para conocer si existe el interés de los propietarios en vender/alquilar su inmueble (como ya se ha puesto de manifiesto, el franquiciado siempre se limita a buscar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/34 inmuebles en la misma zona), dependiendo del volumen de inmuebles que ya se esté gestionando comercialmente, o de que directamente ya se esté haciendo intermediación sobre los mismos. En el caso de que la sociedad franquiciada dispusiera de una cartera de inmuebles suficiente y adecuada a su capacidad comercial, la prospección comercial podría detenerse o ralentizarse temporalmente (debe tenerse en cuenta que las sociedades franquiciadas ***EMPRESA.5 se caracterizan por disponer de carteras reducidas de inmuebles sobre los que trabajan intensamente). Atendiendo a lo anterior, y con la finalidad de apoyar la gestión o prospección comercial, la plataforma propone que pueda ser conveniente que el plazo entre la obtención de una información y la siguiente no sea mayor de 90 días, aunque se trata de un orientación que el franquiciado puede seguir o no, es decir, se trata de una ayuda a la gestión comercial de los inmuebles, por tanto, en la vista cuarta, aparecen aquellos inmuebles sobre los que no se haya obtenido nunca información, o sobre los que la última información se produjo hace más de 90 días, no obstante, si se recibiera información sobre alguno de los inmuebles que aparecen en la vista cuarta, el citado inmueble se desplazaría automáticamente, atendiendo al tipo de información obtenida, a alguna de las otras vistas, desapareciendo de la vista cuarta. También podría suceder, entre otros supuestos, que un inmueble que aparezca hoy en la vista 3, trascurrido un tiempo sin haber recibido información, se desplace a la vista cuarta, todo ello sin afectar en ningún caso a la “calidad de los datos”[…] 5. Cuando un usuario crea una cuenta en ***URL.1, ¿Quién es el responsable del tratamiento de los datos que se recogen en ese formulario? En relación con el tratamiento de los datos necesarios para crear una “cuenta” o página personal en el dominio “***URL.1”, a través de la cual el usuario pueda guardar información sobre inmuebles comercializados por las sociedades franquiciadas que le puedan resultar de interés, así como las “búsquedas” de estos (atendiendo a diferentes criterios de búsqueda), la responsable del tratamiento es ***EMPRESA.1. 6. ¿Dónde está físicamente alojada la base de datos de clientes de las franquicias de ***EMPRESA.5? La base de datos del CRM “***EMPRESA.3”, a través del cual cada sociedad franquiciada gestiona sus clientes, se encuentra en Frankfurt, Alemania (las vistas “gestión de zona” pertenecen al CRM “***EMPRESA.3”) 7. ¿Qué relación tienen con “***EMPRESA.4? Entre “***EMPRESA.4” (con domicilio social en Italia) y “***EMPRESA.1” (con domicilio social en el España) existe una relación contractual, que tiene por objeto ceder por parte de la primera a la segunda el uso de la marca “***EMPRESA.5” para su explotación en España, entre otros países.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/34 En la “Diligencia creando cuenta web ***EMPRESA.5” de 19 de noviembre de 2024 se evidencia la información obtenida al crear una cuenta en la web “***URL.1”. El responsable de tratamiento que presenta la política de privacidad (traducción automática del italiano con el traductor automático de google: https://translate.google.

  1. es)es “***EMPRESA.4”. El 9 de diciembre de 2024 la administradora de la sociedad ESTUDIO ALCAZAR, responde al requerimiento de esta Agencia. Respecto a la información de la que dispone de “H.H.H.” manifiesta: “H.H.H. no es cliente de la sociedad. No obstante, a fin de ser diligentes con esta administración, y poner a su disposición toda aquella información que pudiera ser relevante para la investigación, le informamos que la única información que la sociedad dispone sobre este señor es su nombre y apellidos, y su dirección postal, los cuales están insertados en la base de datos (***PLATAFORMA.1) en calidad de potencial cliente, más concretamente como prospect en tanto que el agente de ***EMPRESA.5 al registrar sus datos consideró que se trataba de una persona que tiene el potencial para estar interesada en nuestros servicios, pero que en la fecha de redacción del presente escrito aún no se ha podido contactar con él. 2. Origen de la información de este cliente. Los datos de este potencial cliente proceden de un directorio público ***URL.2. Este directorio es una fuente de acceso al público, que de acuerdo con lo que establece la política de privacidad que tienen publicada en la página web, se compromete a cumplir y superar los estándares de protección de datos establecidos en la Regulación General de Protección de Datos. Asimismo, en dicha política se indica que, la información publicada en ***URL.2 proviene de:
  2. a)fuentes y directorios de naturaleza pública;
  3. b)usuarios de ***URL.2, al publicar información que consideran relevante en relación a sus personas. Por ello, al tratarse de una entidad que declara públicamente que cumple con la normativa de protección de datos, que los datos que trata son de naturaleza pública y/o proporcionados directamente por el propio interesado (como parece que es el caso al indicarse en el portal que antes de publicar esos datos se ha llevado a cabo un proceso de registro por parte del interesado), y que, hasta donde conocemos, no ha sido sancionada por la autoridad de control de protección de datos hasta la fecha, consideramos que es una fuente de procedencia lícita de datos. Por último, cabe indicar que en este directorio aparecen datos adicionales al nombre y apellidos y dirección postal de este señor, no obstante, el agente de la oficina de ***EMPRESA.5, dando cumplimiento al principio de minimización del dato, y velando por la calidad de los datos que constan en nuestros sistemas de información, únicamente registró en el ***PLATAFORMA.1 aquellos datos que eran estrictamente necesarios para poder realizar un primer contacto con el potencial cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/34 Concretamente, el agente de la oficina de ***EMPRESA.5, intentó contactar presencialmente con el potencial cliente en su dirección postal, en dos ocasiones; en enero y en junio de 2024, ambas sin éxito. Aprovechamos para informar que, de acuerdo con el procedimiento habitual que seguimos en estos casos, después de tres intentos de contacto fallidos se suprimen los datos. A fin de documentar lo indicado anteriormente, acompañamos al presente escrito las siguientes evidencias: ● Documento 1. captura de pantalla de los datos que constan en la página web de ***URL.2 en fecha 28 de noviembre de 2024. ● Documento 2. Evidencia de los datos registrados en la base de datos de la sociedad (***PLATAFORMA.1). ● Documento 3. Evidencia del registro de los intentos de contacto realizados. […] Siguiendo nuestro procedimiento habitual, el agente de ***EMPRESA.5, a fin de dar cumplimiento al deber de informar al interesado sobre el tratamiento de sus datos personales, y a los principios de lealtad y transparencia, cuando recoge datos personales de un potencial cliente de una fuente de acceso al público, le facilita al interesado la información recogida en el artículo 14 del Reglamento General de Protección de Datos, dentro de un plazo razonable, y en cualquier caso: a)antes de un mes desde que se obtuvieron los datos personales,
  4. b)o en la primera comunicación con el interesado, de acuerdo con lo establecido en el apartado 3 de este precepto, y con lo dispuesto en la guía del deber de informar que ha publicado la Agencia Española de Protección de Datos. No obstante, de acuerdo con lo indicado anteriormente, en este caso, dado que no se dispone de más datos de contacto, no ha existido esta primera comunicación, al no haber sido posible establecer un primer contacto con el potencial cliente, y es por ese motivo, que todavía no se le ha podido facilitar la información sobre el tratamiento de sus datos personales. En este caso, proporcionar la información sobre el tratamiento de sus datos personales al interesado de tal manera que el responsable pueda guardar evidencia de ello, ha resultado imposible, en tanto que se necesitarían tratar datos adicionales a los estrictamente necesarios para el fin que persigue el tratamiento. En este sentido, la sociedad, no tiene manera de acceder a datos adicionales que permitan cumplir con esta exigencia, ya que requiere de un contacto presencial, que no se ha llevado cabo. Asimismo, nos parece relevante, destacar que, de tenerlos, la sociedad estaría incumpliendo el principio de minimización de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/34 No obstante, el responsable ha adoptado medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, tal como exige el artículo 14.5 del RGPD, cuando se dan estas circunstancias”. En el “***DOCUMENTO.1” se adjunta el Registro de Actividades de Tratamiento, que incluye: “TRATAMIENTO DESCRIPCIÓN DEL TRATAMIENTO FINALIDAD BASE DE LEGITIMACIÓN CATEGORÍA DE DATOS PERSONALES CATEGORÍA DE INTERESADOS DESTINATARIOS (INCLUIDOS ENCARGADOS SUBENCARGADOS ) ENCARGADOS C/ Jorge Juan, 6 28001 – Madrid PROPUESTAS INMOBILIARIAS Selección de inmuebles que podrían interesar a potenciales compradores/arrendatarios que han contactado con ***EMPRESA.5, mostrando su interés en comprar o alquilar un inmueble. La selección se hace en base a las referencias de zona y las características del inmueble indicadas por el potencial comprador/arrendatario y en relación los datos relativos a los contratos de compra venta o alquiler concluidos (inmuebles disponibles) para posteriormente mostrarles la oferta de inmuebles disponibles, mediante el envío de propuestas inmobiliarias ajustadas a sus preferencias o agendar una cita en una oficina de ***EMPRESA.5. Gestión de pedido Medidas precontractuales (6.1.b RGPD) Datos identificativos y de contacto Intereses, gustos y preferencias Propiedades Potenciales compradores/arrendatarios Potenciales vendedores/arrendadores n/a ***EMPRESA.1 Nota: Proveedor herramienta ***PLATAFORMA.1 ***EMPRESA.1 Nota da soporte en la recepción de los datos del potenciales clientes y posterior derivación a la franquicia que corresponda www.aepd.es sedeagpd.gob.es 13/34 SUBENCARGADOS TRANSFERENCIAS INTERNACIONALE S de acuerdo con las preferencias zona del potencial cliente (VARIOS) n/a” La respuesta al “7. Detalle de todos los posibles orígenes de los datos personales de clientes tratados por su empresa”, manifiesta: “Los datos personales de las personas con las que se mantienen una relación de cliente, los facilita el propio cliente ya sea contactando directamente con nosotros en la oficina de ***EMPRESA.5 o con ***EMPRESA.1, el franquiciador, que actúa como encargado de tratamiento”. En los documentos adjuntos números: 5, 6, 7, 8 y 9 se envían “Evidencias de la información sobre protección de datos proporcionada a los clientes”. En todos los formularios enviados la finalidad del tratamiento es: “prestar los servicios de intermediación inmobiliaria solicitados.” No se ha encontrado en el Registro de Actividades de Tratamiento información sobre datos personales obtenidos de fuentes públicas o de personas con las que no ha habido contactos previos. El 31 de diciembre de 2024, se recibe respuesta de O.O.O., con ***NIF.3, “en nombre y representación de la sociedad mercantil ***EMPRESA.1 en mi condición de Consejero Delegado” responde al requerimiento de 12 de diciembre de esta Agencia, manifestando: “***EMPRESA.1 no tiene contratados servicios auxiliares y estandarizados que impliquen el tratamiento o (sub)tratamiento de datos personales relacionados con el encargo del tratamiento con los franquiciados, en todo caso, podemos informar a la Agencia de que la sociedad ***EMPRESA.10, que presta servicios de tecnología al grupo de empresas y a las redes de franquiciados, es quien tiene contratados los productos y soluciones tecnológicas de carácter auxiliar que son necesarios para el normal funcionamiento de los servicios de tecnologías de la información y la comunicación que presta, contratados mediante de licencias de uso, como por ejemplo, de ***EMPRESA.3”. […] ***EMPRESA.1 tiene una única subcontratación relacionada con el encargo del tratamiento entre franquiciador y franquiciado, cuyo objeto es la prestación de los servicios relativos al CRM “***EMPRESA.3”, actuando como sociedad subcontratada ***EMPRESA.10 […] ***EMPRESA.10 es la sociedad que suscribe directamente los contratos de prestación de servicios de tecnología y en su caso de encargo de tratamiento con los franquiciados, a excepción del servicio CRM C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/34 “***EMPRESA.3”, que se subscribe entre los franquiciados y ***EMPRESA.1, actuando ***EMPRESA.10 como (sub)encargada del tratamiento. […] Se adjunta copia del citado contrato entre ***EMPRESA.1, encargada principal de los tratamientos de datos de los clientes de los franquiciados incluidos en ***PLATAFORMA.1 e ***EMPRESA.10, que actúa como (sub)encargada del tratamiento, siendo el objeto del contrato que se adjunta la prestación de los servicios relativos al sistema informático “(…)” (DOC1). El contrato incluye el anexo identificado como: “Acuerdo de tratamiento de datos personales en el marco del contrato de prestación de servicios”.” En el contrato aportado se incluye: “IV.- El PRESTATARIO ha adquirido de su propietario la autorización de uso por terceros sobre el sistema informático ***APLICACIÓN.1” (en adelante también el “CRM”), contratando, además, los servicios de actualización, mantenimiento, integración y soporte técnico del mismo.” En la “Diligencia App (...)” de 9 de mayo de 2024, se evidencia que en el “***APLICACIÓN.2” (Tienda de aplicaciones de ***EMPRESA.11) se ofrece “***APLICACIÓN.3” de ***EMPRESA.4. que aparece como desarrollador. También se adjunta el contenido al que apunta la “política de privacidad del desarrollador” que es: ***URL.3. A pesar de que en el requerimiento de 11 de diciembre de 2024 se solicitó a ***EMPRESA.1. copia del contrato con el proveedor del programa CRM “***EMPRESA.3” y copia del contrato de encargo de tratamiento con el proveedor de ese programa CRM, en su respuesta de 31 de diciembre de 2024, incluye un contrato entre dos empresas del mismo grupo, en el que los dos representantes firmantes del mismo, son consejeros delegados de ***EMPRESA.1. como se puede ver en la página 22/25 (Órganos Sociales Activos) de la “Diligencia INFORME_***EMPRESA.1” de 2 de diciembre de 2025. Por lo que no ha podido obtenerse un contrato de encargado de tratamiento con la empresa “***EMPRESA.3” que aparece como desarrollador en la política de privacidad del párrafo anterior. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ESTUDIO ALCAZAR es una empresa constituida en el año 2022, y con un capital social de 3.000 euros. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/34 autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  5. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/34 cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ESTUDIO ALCAZAR realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, como: nombre y apellidos, teléfono, dirección y correo electrónico, entre otros. El artículo 4.7) del RGPD, define «responsable del tratamiento» o «responsable»: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” El artículo 4.7) del RGPD, define «responsable del tratamiento» o «responsable»: 8) «encargado del tratamiento» o «encargado»: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” ESTUDIO ALCAZAR realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El 1 de abril de 2024, se recibió respuesta de ESTUDIO ALCAZAR, al requerimiento de esta Agencia, en la que manifestaba que su empresa es Responsable de tratamiento de los datos de los clientes. El 30 de abril de 2024, se recibió respuesta de ***EMPRESA.1 que manifestaba: “las sociedades del ***EMPRESA.2 actúan como encargados del tratamiento en relación con los datos personales de clientes finales, incluidos los potenciales, de los que son responsables las respectivas entidades franquiciadas.” Asimismo, ***EMPRESA.1 aportó el “Acuerdo de tratamiento de datos personales en el marco del contrato de Franquicia” genérico, de fecha 1 junio de 2022, en el que se recogía: “El FRANQUICIADOR actuará como encargado del tratamiento del FRANQUICIADO respecto de los datos personales de los Clientes Finales de conformidad con lo dispuesto en el artículo 28 RGPD (el "Encargo del Tratamiento”). El FRANQUICIADOR actuará como (sub)encargado del tratamiento del FRANQUICIADO quien actuará como responsable o encargado del tratamiento, según cada caso, de los tratamientos, categorías de datos personales e interesados en relación con el Encargo del Tratamiento que se especifican en el Apéndice A”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/34 En consecuencia, en caso de confirmarse durante la instrucción que concurrió la infracción que se imputa mediante el presente acuerdo, la presunta responsable a la que cabrá exigir responsabilidad administrativa por los presuntos incumplimientos cometidos es ESTUDIO ALCAZAR, como responsable del tratamiento de los datos personales. IV Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " Procede en este supuesto examinar, si el ESTUDIO ALCAZAR dispone de base de licitud para tratar los datos personales contenidos en los buzones de las Comunidades de Propietarios de los inmuebles visitados por los trabajadores de ESTUDIO ALCAZAR. El artículo 6 del RGPD, relativo a la “Licitud del tratamiento”, determina en su apartado 1 los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD. En el presente supuesto, el reclamante manifiesta que, en fecha 25 de abril de 2023, sus superiores reunieron a los trabajadores de ESTUDIO ALCAZAR instándoles a que realizaran fotos y videos de los buzones de las Comunidades de Propietarios de los inmuebles que visitaran para elaborar una base de datos, sin recabar el consentimiento de los titulares de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/34 El reclamante aporta evidencias de que por parte de ESTUDIO ALCAZAR se habría llevado a cabo dicho requerimiento a sus trabajadores. En concreto, en la conversación mantenida con en fecha 26 de abril de 2023, entre quien reclama y el número de teléfono de su supervisora en ESTUDIO ALCAZAR, se extrae la siguiente información: “A.A.A.: Pero B.B.B., yo lo entiendo, pero entiendes que lo que me habéis pedido de hacer fotos a buzones es ilegal. B.B.B.: A.A.A., fotos, apuntarlo, lo que sea, yo no puedo hacer otra cosa, hijo, esto es de tres no solamente de uno, yo puedo llegar a entender la posición que tú tienes, pero es que no podemos hacer otra cosa, A.A.A.. Yo no le puedo exigir a los compañeros que hagan una cosa a ti que hagas otra, es la forma que tenemos ahora de hacer zona y es que no podemos hacer otra cosa. A.A.A.: Pero B.B.B. es que no le tendríais que pedir a nadie que haga eso, que haga fotos a los buzones. B.B.B.: Bueno A.A.A. es lo que te he dicho, esto ya depende de, … nosotros tenemos el sector jurídico y ya pues eso depende de ellos, yo ahí ya.” En dicha conversación, la supervisora reconoce expresamente que esta práctica estaba siendo llevada a cabo por los trabajadores y que formaba parte de la metodología implementada para la gestión de zonas. Además, ante la objeción del reclamante sobre la legalidad de la práctica, la supervisora no niega su existencia ni aporta una justificación basada en una base de licitud conforme al artículo 6.1 del RGPD, sino que se limita a remitir cualquier cuestión sobre su validez al "sector jurídico". Asimismo, se aportan tres fotografías de distintos buzones y que manifiesta que se han subido a la base de datos de ***EMPRESA.5. Entre otros, figura el siguiente nombre, apellidos y número de puerta: H.H.H. En las actividades de investigación llevadas a cabo por esta Agencia en la sede de ***EMPRESA.5, recogidas en el Acta de Inspección de 20 de noviembre de 2024, se constata un registro correspondiente a “H.H.H.” de la calle “***DIRECCIÓN.4” como cliente de “***EMPRESA.9” del CRM (Programa de Gestión de Clientes) Inmobiliario de ESTUDIO ALCAZAR, en el que sólo consta el nombre, apellidos, dirección y fecha del último contacto: “30/07/2024”. En el campo “Procedencia” del CRM figura: “Tipo origen Colaborador interno, Detalle origen B.B.B., categoría origen Gestión Directa […] Datos de sistema (…) por B.B.B. 25/4/2023. 16:42 Ultima modificación de J.J.J. 30/7/2024. 12:06”. La procedencia de esta información figura en ***PLATAFORMA.1 como “Colaborador interno” y “Gestión Directa”. La fecha 25 de abril de 2023 que aparece como de creación del registro, es el día anterior a la llamada que el reclamante manifiesta que recibió de la directora de la agencia inmobiliaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/34 La reclamada manifiesta en sus escritos, que el origen de la información es el “directorio público ***URL.2”. Sin embargo, dicho directorio no incorpora el dato del número de piso, tal y como figura en la base de datos de ***PLATAFORMA.1. Vistas las circunstancias concurrentes, se entiende que se habría producido una captación de los nombres, apellidos y dirección de los buzones de las Comunidades de Propietarios de los inmuebles para elaborar una base de datos, sin recabar el consentimiento de los titulares de los datos para su tratamiento, por parte de ESTUDIO ALCAZAR, sería un tratamiento ilícito de datos personales. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción de procedimiento derivada de la recogida y conservación de datos de los buzones de comunidades propietarios sin que exista legitimación para ello, imputable a ESTUDIO ALCAZAR, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  13. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/34
  14. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VI Propuesta de sanción por la infracción del artículo 6 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  15. a)a
  16. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  17. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  18. b)la intencionalidad o negligencia en la infracción;
  19. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  20. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  21. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  22. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  23. g)las categorías de los datos de carácter personal afectados por la infracción;
  24. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  25. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  26. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  27. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/34 “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  28. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  29. a)El carácter continuado de la infracción.
  30. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  31. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  32. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  33. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  34. f)La afectación a los derechos de los menores.
  35. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  36. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): La gravedad de la infracción en el presente supuesto se manifiesta en el hecho de que dicho comportamiento no consistiría en un caso aislado, sino que de la conversación que se aporta por la reclamante se desprende que se trataría de una práctica habitual realizada por la parte reclamada para recopilar datos personales. - Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): Se puede determinar la existencia de una negligencia grave derivada de la conversación mantenida entre el reclamante y su supervisora de ESTUDIO ALCAZAR, esta reconoce expresamente que esta práctica formaba parte de la metodología implementada para la gestión de zonas y, ante la objeción del reclamante sobre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/34 legalidad de la práctica, la supervisora no niega su existencia, sino que se limita a remitir cualquier cuestión sobre su validez al "sector jurídico". Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): La evidente vinculación entre la actividad empresarial de ESTUDIO ALCAZAR y el tratamiento de datos personales. La actividad de ESTUDIO ALCAZAR como inmobiliaria implica el tratamiento de datos personales de clientes, propietarios e inquilinos, incluyendo información identificativa, financiera y contractual, lo que repercute en el nivel de riesgo que entrañan los tratamientos que lleva a cabo, tanto para clientes como para terceros. No se aprecia la concurrencia de circunstancias atenuantes. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 10.000,00 euros. VII Obligación incumplida. Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado Según lo establecido en el artículo 14 del RGPD: "1. Cuando los datos personales no se hayan obtenido del interesado, el responsable del tratamiento le facilitará la siguiente información:
  37. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  38. b)los datos de contacto del delegado de protección de datos, en su caso;
  39. c)los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
  40. d)las categorías de datos personales de que se trate;
  41. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  42. f)en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:
  43. a)el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/34
  44. b)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
  45. c)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  46. d)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
  47. e)el derecho a presentar una reclamación ante una autoridad de control;
  48. f)la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
  49. g)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
  50. a)dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
  51. b)si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
  52. c)si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez. 4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2. 5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
  53. a)el interesado ya disponga de la información;
  54. b)la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
  55. c)la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/34
  56. d)cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza legal." El artículo 14 RGPD establece la obligación del responsable del tratamiento de proporcionar información clara y accesible al interesado cuando los datos personales no han sido obtenidos directamente de él. Dicha obligación tiene como finalidad garantizar la transparencia en el tratamiento de los datos, permitiendo a los interesados conocer el origen de sus datos, la finalidad del tratamiento, la base jurídica que lo sustenta, los destinatarios de la información, los plazos de conservación y los derechos que les asisten, máxime cuando los datos no se han obtenido directamente de los interesados pues el riesgo de pérdida de control y disposición del interesado respecto de los datos personales que le conciernen es mayor. En el presente supuesto, el reclamante manifiesta que, en fecha 25 de abril de 2023, sus superiores reunieron a los trabajadores de ESTUDIO ALCAZAR instándoles a que realizaran fotos y videos de los buzones de las Comunidades de Propietarios de los inmuebles que visitaran para elaborar una base de datos. Además, señala que no se les proporcionó a los titulares de dichos datos ningún tipo de información sobre el tratamiento de los datos recabados. Entre la documentación aportada por el reclamante se encuentran tres fotografías de distintos buzones que manifiesta que se han subido a la base de datos de ***EMPRESA.5, figurando el siguiente nombre, apellidos y número de puerta: H.H.H.. En las actividades de investigación llevadas a cabo por esta Agencia en la sede de ***EMPRESA.5, recogidas en el Acta de Inspección de 20 de noviembre de 2024, se constata un registro correspondiente a “H.H.H.” de la calle “***DIRECCIÓN.4” como cliente de “***EMPRESA.9” del CRM (Programa de Gestión de Clientes) Inmobiliario “***EMPRESA.3”, en el que sólo consta el nombre, apellidos, dirección y fecha del último contacto: “30/07/2024”, del cliente. En el campo “Procedencia” figura: “Tipo origen Colaborador interno, Detalle origen B.B.B., categoría origen Gestión Directa […] Datos de sistema (…) por B.B.B. 25/4/2023. 16:42 Ultima modificación de J.J.J. 30/7/2024. 12:06”. En su escrito de 9 de diciembre de 2024 en respuesta al requerimiento de esta Agencia ESTUDIO ALCAZAR, respecto a la información de la que dispone de H.H.H., manifiesta lo siguiente: “H.H.H. no es cliente de la sociedad. No obstante, a fin de ser diligentes con esta administración, y poner a su disposición toda aquella información que pudiera ser relevante para la investigación, le informamos que la única información que la sociedad dispone sobre este señor es su nombre y apellidos, y su dirección postal, los cuales están insertados en la base de datos (***PLATAFORMA.1) en calidad de potencial cliente, más concretamente como prospect en tanto que el agente de ***EMPRESA.5 al registrar sus datos consideró que se trataba de una persona que tiene el potencial para estar interesada en nuestros servicios, pero que en la fecha de redacción del presente escrito aún no se ha podido contactar con él.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/34 Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción de procedimiento por no informar a los interesados en los términos del art. 14 del RGPD de que los datos personales que les conciernen estaban siendo tratados por la parte reclamada, siendo imputable a ESTUDIO ALCAZAR, por vulneración del artículo transcrito anteriormente. VIII Tipificación de la infracción del artículo 14 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  57. b)los derechos de los interesados a tenor de los artículos 12 a 22;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  58. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." IX Propuesta de sanción por la infracción del artículo 14 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/34 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  59. a)a
  60. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  61. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  62. b)la intencionalidad o negligencia en la infracción;
  63. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  64. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  65. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  66. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  67. g)las categorías de los datos de carácter personal afectados por la infracción;
  68. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  69. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  70. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  71. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  72. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  73. a)El carácter continuado de la infracción.
  74. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  75. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  76. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  77. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  78. f)La afectación a los derechos de los menores.
  79. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/34
  80. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): los trabajadores de ESTUDIO ALCAZAR La gravedad de la infracción en el presente supuesto se manifiesta en el hecho de que dicho comportamiento no consistiría en un caso aislado, sino que de la conversación que se aporta por la reclamante se desprende que se trataría de una práctica habitual realizada por la parte reclamada para recopilar datos personales. - Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): Se puede determinar la existencia de una negligencia grave derivada de la conversación mantenida entre el reclamante y su supervisora de ESTUDIO ALCAZAR, esta reconoce expresamente que esta práctica formaba parte de la metodología implementada para la gestión de zonas y, ante la objeción del reclamante sobre la legalidad de la práctica, la supervisora no niega su existencia, sino que se limita a remitir cualquier cuestión sobre su validez al "sector jurídico". Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): La evidente vinculación entre la actividad empresarial de ESTUDIO ALCAZAR y el tratamiento de datos personales. La actividad de ESTUDIO ALCAZAR como inmobiliaria implica el tratamiento de datos personales de clientes, propietarios e inquilinos, incluyendo información identificativa, financiera y contractual, lo que repercute en el nivel de riesgo que entrañan los tratamientos que lleva a cabo, tanto para clientes como para terceros. No se aprecia la concurrencia de circunstancias atenuantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/34 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 14 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 10.000,00 euros. X Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 6.1 del RGPD y Artículo 14 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  81. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a ESTUDIO ALCAZAR para que, en el plazo de 2 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la supresión de los datos personales recabados de los buzones de las Comunidades de Propietarios. Acreditar la comunicación al interesado/s de la información requerida por el artículo 14 del RGPD sobre el tratamiento de los datos personales. Cesar en el tratamiento de datos personales recabados de los buzones de las Comunidades de Propietarios. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/34 considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ESTUDIO ALCAZAR DEL GENIL 2022, S.L., con NIF B09971029, por la presunta infracción de los Artículo 6.1 del RGPD y Artículo 14 del RGPD, tipificadas en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  82. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la instrucción, de multa administrativa de: - 10.000,00 euros por la infracción del artículo 6 del RGPD. - 10.000,00 euros por la infracción del artículo 14 del RGPD. QUINTO: NOTIFICAR el presente acuerdo a ESTUDIO ALCAZAR DEL GENIL 2022, S.L., con NIF B09971029, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/34 Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 12.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (16.000,00 euros o 12.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
  83. es)y de la Sede electrónica (sedeagpd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/34 1479-111224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía >> SEGUNDO: En fecha 21 de febrero de 2025, ESTUDIO ALCAZAR ha procedido al pago de la sanción en la cuantía de 12.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  84. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/34 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 12.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, ESTUDIO ALCAZAR ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/34 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 20.000,00 euros. Tras haber procedido ESTUDIO ALCAZAR DEL GENIL 2022, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 12.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202308051, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a ESTUDIO ALCAZAR DEL GENIL 2022, S.L. para que en el plazo de 2 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a ESTUDIO ALCAZAR DEL GENIL 2022, S.L.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  85. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  86. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/34 el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-260325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.