← España

PS-00075-2019

1/9  Procedimiento Nº: PS/00075/2019 938-090320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (COMUNIDAD DE PROPIETARIOS B.B.B., ***DIRECCIÓN.1, reclamante 1), con fecha 9/08/2018, interpuso reclamación ante la Agencia Española de Protección de Datos contra al anterior Administrador de la C.P., AYD A COSTA, S.L. (reclamada) con NIF B27324631. Manifiesta que desde su constitución, la C.P. ha sido gestionada por la Administración de Fincas AYD A COSTA, S.L. y recientemente ha sido acordado un cambio de Administración. Al recoger toda la documentación para trasladarla de una a otra gestora, se ha descubierto que muchos de esos documentos (facturas de proveedores, facturaciones de cuotas, etc.) han sido imprimidos en papel reutilizado, de manera que en el reverso de las hojas aparecen actas, convocatorias, burofaxes y muy diversos documentos con datos de comunidades y personas ajenas a nuestra propia comunidad. Se presentan como prueba tres de esos documentos, donde puede observarse que el anverso de la hoja pertenece a la C.P. B.B.B., y el reverso con datos de terceros como: - COMUNIDAD C.C.C., convocatoria a Junta, escrito dirigido a un propietario, fechado a 14/09/2017. -Orden del día de reunión de 17/08/2017 de la C.P. D.D.D. en la que se contienen los propietarios asistentes, como titulares de la vivienda referida. -De la C.P. E.E.E., los datos de un propietario consignado con su nombre y apellidos, piso y letra, y movimientos desde 1/06/1985 a 31/05/2016. SEGUNDO: A la vista de los hechos manifestados en la reclamación se trasladó reclamada para que informara: a la 1. Especificación clara de las causas que han motivado la incidencia que ha dado lugar a la reclamación. 2. Detalle de las medidas adoptadas por el responsable para solucionar la incidencia y para evitar que se produzcan nuevas incidencias como la expuesta. 3. Documentación acreditativa de que se ha atendido el derecho del reclamante a ser informado sobre el curso y el resultado de la presente reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 La reclamada responde a esta AEPD el 2/11/2018, acreditando haber dado respuesta al reclamante e indica que lo que se produjo fue un error humano puntual, pues se entregó la documentación en el mismo momento en que la solicitaron. Aporta copia de un informe de auditoría realizado el 29/10/2018 por Servicios de adaptación continua en protección de datos RBSL y manifiesta que está impartiendo cursos de protección de datos a sus empleados, aportando copia de contrato suscrito con una entidad. En el informe de auditoría no se detallan procedimientos para petición y entrega de copia de documentos por parte de propietarios o representantes de la comunidad o por finalización del servicio TERCERO: Con fecha 14/12/2018 se recibe escrito de SERCO 93 A MARIÑA S.L. (nueva Administradora de la CP, reclamante 2) indicando que “se ha hecho cargo de la gestión de la COMUNIDAD DE PROPIETARIOS B.B.B., antes fue la Administración de Fincas AYD A COSTA, S.L.” y que los hechos de la reclamación no pueden ser conceptuados de error puntual cuando las hojas que contienen datos personales, reutilizadas por ambos lados, tienen en uno de ellos, datos de diversas comunidades, sospechando que los de su comunidad forman parte de otros paquetes de otras comunidades. Añade que la documentación “estaba clasificada en definitivos de ejercicios ya cerrados, guardada en cajas y depositada en la sala de reuniones y archivo. Dichas cajas se entregaron tal cual, sin abrirlas ni manipular su interior en momento alguno por los empleados” de la reclamada.”, y que “El resto de documentación en uso se entregó al Presidente de la Comunidad, siendo los empleados los que le requirieron cuando consideraron oportuno.” Añade que toda la documentación entregada desde el inicio, año 2010 está fotocopiada y en los reversos se contienen datos de otra C.P. Indica que lo aportado en la reclamación es una mínima muestra pues todas las hojas, desde los ejercicios 2010 hasta el 2017-2018 contienen papel ya usado que se reutiliza para imprimir documentos. Aporta entre otros, copia de documentos en papel conteniendo la referencia a la cuenta bancaria integra de un propietario, con sus datos, de ***DIRECCIÓN.2, cargo de una cuota de 2011, o convocatoria con los datos de una persona de Comunidad ***DIRECCIÓN.2 a la que va dirigida, así como de otra convocatoria de otra comunidad. CUARTO: La reclamación fue admitida a trámite el 11/02/2019. QUINTO: Con fecha 13/03/2019, reclamante 2 añade que al serle entregada la documentación de la COMUNIDAD DE PROPIETARIOS F.F.F., figuran en el anverso datos de la comunidad, y en el reverso datos de personas ajenas a esta. Aporta copia de tres ejemplos en los que: -En una parte del folio figura nombre y apellidos de una persona física en un adeudo directo impagado de 28/11/2017 por Banco Sabadell. -En un segundo documento, en el reverso, figuran detalles de nombres y apellidos, DNIS y número de plaza. -En un tercer ejemplo, y documento, figuran en los reversos, dos escritos, en los que un Abogado se dirige a otro mencionando el nombre de su cliente y el asunto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 SEXTO: Con fecha 6/09/2019 se acordó el inicio de “PROCEDIMIENTO SANCIONADOR de apercibimiento a AYD A COSTA, S.L., por la presunta infracción del artículo 5.1

  1. f)del RGPD, de acuerdo con el artículo 83.5
  2. a)del RGPD.” SÉPTIMO: La reclamada efectúa el 2/10/2019 alegaciones, manifestando:
  3. a)En la auditoría de 29/10/2019 realizada por una consultora externa, (la misma que realizara la de 2018) no se aprecia que la reutilización de documentos sea práctica habitual en la entidad. Aporta una copia de la misma Los errores de las entregas coinciden en el tiempo y forma, pues se exige la entrega de la documentación en el mismo momento en el que se notifica el cese de la administración de fincas en sus funciones. Aporta copia de un certificado del servicio de una entidad que les presta las labores de contabilidad, en el que indica que se dejó de facturar desde 1/09/2018 a la C.P. F.F.F. Acompaña copia de informe auditoria protección de datos de 26/09/2019, que tiene por objeto “verificar la adecuada implantación de las medidas técnicas y organizativas en relación con el tratamiento de datos de carácter personal que lleva a cabo la reclamada. En el apartado 6.5.1 “gestión de soportes” en el que en el punto primero se detalla cómo ha de ser, y “en cuanto al archivo de los soportes o documentos , deberá establecerse un método que permita localizar fácilmente la información y que garantice la correcta conservación de los documentos y su almacenamiento deberá estar protegido. “En “Hechos observados “ consta que la reclamada “sigue un criterio de archivo de forma que la información se encuentra perfectamente localizable y recuperable en caso de pérdida o destrucción“” Los soportes no automatizados se encuentran en armarios custodiados por el personal de la empresa”. Se aporta una foto de los archivadores en una habitación. Nada se detalla del régimen de registro de acceso a dicho espacio, del registro de acceso a los documentos, sistemas de gestión de entrega de copias de documentos y materias relacionadas. En medidas correctoras, se indica que “no se aplican”. Declaran que “Aun no siendo sujetos obligados, han nombrado un Delegado de protección de Datos.” OCTAVO: Con fecha 12/02/2020 se abre periodo de practica de pruebas, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, acordando: 1. Dar por reproducidos a efectos probatorios la reclamación interpuesta, los documentos obtenidos y generados por el Servicio de Inspección 2. Dar por reproducidas las alegaciones al acuerdo de inicio PS/00075/2019 presentadas por la reclamada y la documentación que a ellas acompaña. Se solicita a la reclamada que aporte e informe sobre: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 3. Copia del documento actual en el que se contemple el proceso a desarrollar cuando se solicita copia de los datos y documentos generados en la vida de gestión de una Comunidad de propietarios, como por ejemplo cuando finaliza su designación como encargado de tratamiento. Modo de solicitar los documentos, quien los puede pedir, plazo de respuesta, formato y medio de entrega, acuse de recibo, y si conservan copia de lo entregado. Se recibe respuesta de la reclamada en la que manifiesta que se diferencia entre si la copia de documentación la requiere un comunero o a la CP tras el cese. Pueden pedir documentos el Presidente, adicionalmente, los copropietarios, cuando la petición resulte adecuada y pertinente y no afecte a derechos del resto de copropietarios. Se ha establecido un protocolo mediante el que se facilita al interesado el formulario, con el fin de dejar constancia de cada solicitud. Indican que el acceso recogido en el artículo 15 del RGPD se realiza sin dilación indebida y a más tardar en el plazo de un mes. La copia de los documentos se entrega en formato papel, en las instalaciones de la reclamada, con el justificante de entrega salvo petición expresa de que se entregue en formato digital, en cuyo caso sería a través del correo electrónico. Aportan copia de formularios de entrega y petición en el que figura el literal de protección de datos, tanto para Presidente como para copropietarios. Añaden que “se conserva copia de lo entregado durante el tiempo estrictamente necesario para prestar el servicio y dar cumplimiento al mismo” Cuando finaliza la designación del encargado del tratamiento, la solicitud la puede hacer el Presidente o el Administrador entrante, ambos en representación de la Comunidad. La documentación se aporta en el plazo máximo de 30 días. Aporta copia de formulario de entrega de documentación, por “fin custodia”. Se contiene en el formulario la cancelación y bloqueo de datos, así como el derecho de portabilidad con una relación listada de documentos. En otro formulario se detalla la entrega al Administrador entrante. 1. Sistema de almacenamientos de dichos datos, detallando si se contempla gestión de documentos en papel sin soporte informático o a la inversa, y sistema de copias de seguridad en ambos formatos. Manifiesta que los “soportes que contienen datos tanto en automatizado como manual, se identifican en su carátula mediante código asignado a cada Comunidad” ”garantizando que solo son identificables por el personal autorizado”, que “impide el acceso a personas no autorizadas, a los que se les informó de las medidas de seguridad a cumplir “ Detalla los documentos con datos personales que se almacenan en papel o en digital y en ambos formatos. 2. Informen de la C.P. B.B.B., fecha y a quien entregaron las copias de la documentación, aportando copia de lo entregado y del recibí. En el mismo sentido de la C.P. F.F.F. Manifiesta que a la C.P. B.B.B. se les entregó la documentación el 25/05/2018, indicando que la reunión en la que se cesó en la prestación de servicios fue en la de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 24/05/2018. Manifiesta que la documentación es entregada a una “ex empleada de AYD COSTA SL, copropietaria de la C.P. B.B.B., y actual empleada de SERCO 93 A MARIÑA SL”. Relaciona la documentación que se entregó. En cuanto a la C.P. F.F.F., se decidió su cese en reunión de 30/07/2018, y la documentación se entregó la semana siguiente a la reunión. En este caso, al Vicepresidente de la Comunidad. Esta persona, “es el padre de la exempleada de AYD COSTA, SL y copropietaria de la C.P. B.B.B., citada anteriormente, además de actual empleada de SERCO 93 A MARIÑA SL” Manifiestan que por la confianza y premura en la entrega, no se documentaron los justificantes de entrega con el recibí. 3. Detallen si se han dirigido a la reclamante y a su encargado de tratamiento pidiendo la devolución de los documentos para entregar exclusivamente los referidos a la CP que gestionan. Contestan que no, “al no querer interferir en el procedimiento penal 273/2018 abierto contra la ex empleada de AYD COSTA SL, actual empleada de SERCO 93 A MARIÑA SL, copropietaria de la C.P. B.B.B., y con relación familiar directa-hija- con propietarios de C.P. F.F.F., por apropiación indebida de información perteneciente a AYD COSTA SL, entre la cual pudieran encontrarse los documentos que dice tener en su poder de otras Comunidades, y con la finalidad de exigir la devolución de toda la información extraída en el ejercicio de sus funciones como ex empleada de AYD a COSTA SL” Expone que la citada exempleada dejó su trabajo con ellos, incorporándose con carácter inmediato a su nuevo puesto en SERCO 93, para realizar tareas de administración de fincas, abriendo pocos días después oficina en la misma localidad de Foz en la cual desarrolla la misma actividad que AYD A COSTA SL. “Desde ese momento SERCO 93 ha intentado por todos los medios captar la cartera de comunidades, incluso usando la información a la que la exempleada tuvo acceso mientras desempeñó las funciones propias del puesto que ocupaba y de la que presuntamente se apropió de manera indebida, lo que entendemos pudiera explicar el origen de las denuncias presentadas”. NOVENO: Con fecha 12/03/2020 se emitió propuesta de resolución, del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a AYD A COSTA S.L., con NIF B27324631, por una infracción del Artículo 5.1.
  4. f)del RGPD, conforme señala el Artículo 83.5.
  5. a)del RGPD, una multa de APERCIBIMIENTO”. Frente a dicha propuesta en el plazo otorgado, no se reciben alegaciones. HECHOS PROBADOS 1) Se denuncia a la reclamada porque en el cese de sus funciones, en dos Comunidades de propietarios, al solicitar copia de los documentos generados y gestionados durante el desarrollo de su gestión de administrador de fincas, se proporcionó además copia de datos de otras comunidades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Los dos reclamantes acreditan lo manifestado aportando por parte de la C.P. B.B.B. y C.P. F.F.F. copias en papel de documentos de su Comunidad, y en el reverso figuraban datos de carácter persona de otras personas adscritas a otras comunidades de propietarios que la reclamada gestionaba. 2) De acuerdo con las manifestaciones de la reclamada, la entrega de los documentos a la C.P. B.B.B. se produjo el 25/05/2018, día siguiente a ser cesados, y a la C.P. F.F.F., se decide el cese en la prestación de servicios en reunión de 30/07/2018, y la documentación se entregó la semana siguiente. Manifiesta la reclamada que en ambos casos, por la confianza y premura en la entrega, no se documentaron los justificantes de entrega con el recibí. 3) Añade la reclamada que tuvieron una ex empleada de AYD COSTA SL, actual empleada de reclamante 2, copropietaria de la C.P. B.B.B. y con relación familiar directa-hija- con propietarios de C.P. F.F.F. que ha sido demandada ante lo penal por apropiación indebida de información perteneciente a AYD COSTA SL. Expone que la citada exempleada dejó su trabajo con ellos, incorporándose con carácter inmediato a su nuevo puesto para reclamante 2, para realizar tareas de administración de fincas, abriendo pocos días después oficina en la misma localidad de ***LOCALIDAD.1 en la cual desarrolla la misma actividad, la mercantil AYD A COSTA SL. No señala la fecha en la que marchó. 4) La reclamada respondió a reclamante 1 antes del inicio de este procedimiento explicando las causas de los hechos producidos. 5) La reclamada presentó informes de auditoría de protección de datos de 2018 y de 26/09/2019, con la entidad Servicios de Adaptación Continua en Protección de datos RB, SL. En ellos, no se hace mención específica y detallada de la entrega de copia de documentos solicitados por los responsables del tratamiento, ni eventual mención a su entrega con datos de otra entidad. En pruebas se acredita que cuenta con un procedimiento para entrega de documentos organizado y documentado. La reclamada está impartiendo cursos de protección de datos a sus empleados, aportando copia de contrato suscrito el 19/09/2019 con una entidad, que comenzará el 15/10/2019 con tres empleados. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 5.1.
  6. f)del RGPD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 “Los datos personales serán: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” La LOPDGDD señala en su artículo 5: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  7. f)del Reglamento (UE) 2016/679 .” El artículo 32 del RGPD añade: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  8. a)la seudonimización y el cifrado de datos personales;
  9. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  10. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  11. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 En el presente caso, ante la extinción de la relación de las Comunidades de propietarios reclamantes, distantes en el tiempo dos meses, las copias de los documentos en una de las caras contenía la documentación correcta, pero por el otro lado correspondía a otras Comunidades. Esta infracción es responsabilidad de la responsable del tratamiento por encargo, la reclamada. En sus alegaciones manifiesta que la copia de toda la documentación se entregó al día siguiente lo cual parece favorecer que las copias ya estuvieran hechas de antemano, sin que se detalle si estaban ya archivadas, y no se revisaron al ser entregadas en ambos casos. No se acredita que las entregas puedan guardar relación directa con la supuesta apropiación indebida de documentos por una exempleada, ni se vincula a la exempleada en el tiempo con la entrega de los documentos solicitados, que ella hubiera preparado directamente las copias entregadas. Como medida adecuada, si se hacen copias de documentos para su entrega, convendría reseñar también que persona de la organización es la que las hace, y la fecha en que las hace, para poder vincular la autoría de las mismas. En cuanto a la alegación de que la auditoría de 29/10/2019 no aprecia que la reutilización de documentos sea práctica habitual en la entidad, se significa que no entra en este aspecto, ni siquiera por abrirse el procedimiento por esa cuestión y conocerse por la fecha el motivo por el que se abre. Si obvia tal aspecto no se puede deducir la situación de la cuestión al no reflejarse en el informe. III El artículo 83.5
  12. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía El artículo 58.2 del RGPD indica: ”Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  13. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  14. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. . Por lo que respecta a la comisión de la infracción, interviene persona que fotocopia los documentos y no se comprobaron antes de su entrega, que denota falta de diligencia en la persona en dos actuaciones de entrega de los documentos, razones por la que se apercibe. En cuanto a las medidas, se han ido adoptando por la reclamada antes y durante la tramitación de este procedimiento, ajustándose a considerándose razonables C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Por lo tanto, de acuerdo con la legislación aplicable la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER una sanción de APERCIBIMIENTO a AYD A COSTA, S.L., con NIF B27324631, por una infracción del Artículo 5.1.
  15. f)del RGPD, conforme determina el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a AYD A COSTA, S.L. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  16. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1/10. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.