PS-00084-2019

1/7 938-0419 Procedimiento Nº: PS/00084/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 17/07/2018 tiene entrada una reclamación de A.A.A., propietaria de un apartamento en R.R.R., en la ***DIRECCION.1 contra su COMUNIDAD DE PROPIETARIOS R.R.R., ***DIRECCION.1, por exponer en el tablón de anuncios cerrado, en julio y también en la escalera una nota de la Administración de la Comunidad donde se especifica que el piso Xº A de la escalera YY, tiene un impago de ZZZ,ZZ euros. Detalla que la cantidad procede de la emisión de un recibo del primer semestre de 2018, que se devolvió por error de la Caja en enero y “ya en julio es cuando me avisan de tal devolución, corrigiendo el número de cuenta para que lo volviesen a girar” “siendo una dejación por parte de la administración en tardar 6 meses en comunicarme el error”. Aporta foto de un tablón cerrado en el que figura el documento sin sello ni firma, es una impresión en la que consta piso (tres pisos entre los que figura el Xº, A y la cantidad ZZZ,ZZ euros, a 30/06/2018. SEGUNDO: A la vista de los hechos denunciados, con fecha 26/09/2018, se trasladó la reclamación a la reclamada para que “analice dicha reclamación y le comunique al reclamante la decisión que adopte al respecto. Asimismo, en el plazo de un mes desde la recepción de este escrito deberá remitir a esta Agencia la siguiente información: 1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. El envío dio como resultado ausente en reparto. TERCERO: Con fecha 10/12/2018, se reitera el envío, con copia íntegra de la reclamación, dando como resultado entregado el 13/12/2018, y sin que haya respondido a extremo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es CUARTO: Con fecha 6/03/2019, la reclamada presenta escrito manifestando que la reclamada ha implantado las medidas técnicas y organizativas de cumplimiento con la legislación vigente en materia de protección de datos, y ha comunicado a la interesada en numerosas ocasiones, al email registrado como propietaria, sin obtener respuesta de dicha recepción. Adjunta un escrito dirigido a la reclamante, firmado por el presidente de la Comunidad, fechado el 14/01/2019 en el que le piden disculpas, le informa que han contrato los servicios de protección de datos con una empresa especializada. No se acredita el envío o recepción de dicho escrito. Además, adjuntan información sobre tratamientos de la reclamada, documentos de registro de actividades propias de tratamiento y carta de comunicación a la interesada. QUINTO: Con fecha 7/03/2019, la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a COMUNIDAD DE PROPIETARIOS R.R.R., con NIF ***CIF.1, en ***DIRECCION.1, por la presunta infracción del artículo 5.1

1. f)del RGPD, sancionable conforme a lo dispuesto en el art. 83.5 del citado RGPD, y calificada de muy grave en el artículo 72.1
2. a)de la LOPDGDD.” optándose en cuanto a sanción que pudiera corresponder a la de APERCIBIMIENTO. SEXTO: Frente a dicho acuerdo, se presentaron por la reclamada el 21/03/2019 las siguientes alegaciones: 1) El secretario de la Comunidad, a través de su secretario, Administrador de Fincas envía de forma periódica todas las comunicaciones por correo ordinario y por correo electrónico a cada propietario. Adjuntan en documento 1, 2 y 3 copia de escritos dirigidos a la reclamante, al único email de contacto registrado. Figura en documento 1, un correo electrónico a la dirección ***EMAIL.1 y menciona que la ha llamado al teléfono ***TELEFONO.1, y la deuda pendiente por su vivienda, para que se ponga en contacto con ellos, aparece fecha de envío 16/01/2019. En un segundo documento aporta correo electrónico enviado 22/03/2018 a la misma dirección con un archivo pdf adjunto, y el literal Asunto junta general extraordinaria, en la que le comunican que se adjunta la convocatoria de la junta general extraordinaria del 31/03 a las 10 horas. En un tercer documento aporta copia de correo electrónico a la misma dirección “enviado 14/03/2019” con archivo pdf adjunto “comunicación de la decisión adoptada a la solicitante”, asunto protección de datos en el que dan noticia de la reclamación ante esta AEPD. 2) En el caso de la reclamación, ante el infructuoso intento de notificación fehaciente de las cantidades adeudas al propietario, se recurrió al sistema de notificación del artículo 9 de la LPH para entenderla realizada en el momento de la convocatoria a la Junta de propietarios, para advertir de los morosos y que pudieran ponerse al día para poder votar. El cartel indicativo de 3/7 convocatoria de Junta, con el piso e importe deudor fue publicado en un tablón cerrado, situado en la zona privada de la comunidad, en la escalera perteneciente a la reclamante y a la que solo pueden acceder vecinos y personas autorizadas por los mismos, tras no recibir respuesta en periodo voluntario de pago, y al no tener constancia de la entrega de la citación de la convocatoria en legal forma. “En ese momento no se encontró un modo mejor de hacerle llegar la convocatoria”. En ningún caso la intención que la situación fuera conocida por alguien fuera del círculo de la Comunidad. 3) Se han establecido medidas organizativas como el cumplimiento del protocolo de comunicación a los propietarios en donde se establece que las comunicaciones se realizan por correo postal, e-mail registrado y Asamblea correspondiente, dejando la notificación por tablón de anuncios en supuestos previstos por la LPH. 4) Se envió escrito a la reclamante por correo ordinario lamentando las molestias e informándole de las decisiones adoptadas, contacta telefónicamente con ella para garantizar la recepción de la documentación y que fue presentado junto al resto de documentación por sede electrónica el 6/03/2018. 5) Adjunta copia de un escrito dirigido a la reclamante, adjuntando copia de listado de tratamientos que realiza la comunidad. SÉPTIMO: Con fecha 27/03/2019, se formuló propuesta de resolución, proponiendo: “Que por la directora de la Agencia Española de Protección de Datos se sancione a COMUNIDAD DE PROPIETARIOS R.R.R. NIF ***CIF.1, con apercibimiento por la infracción del artículo 5.1.
3. f)del RGPD, previsto en el artículo 83.5.
4. a)del citado RGPD, calificada como muy grave en el artículo de la 72.1.
5. a)de la LOPDGDD.” Frente a la misma, no se reciben alegaciones OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1) En el tablón de anuncios de la Comunidad de propietarios de la Comunidad denunciada, acristalada, cerrado con llave, figura expuesta una nota con deudas de entre otras personas, la reclamante. Se menciona la escalera, piso, puerta, periodo adeudado y cantidad. 2) El tablón se halla situado en zonas comunes, no en zona de uso exclusivo de propietarios. Cualquier persona no propietaria, visitas, amigos, personal de mantenimiento etc. puede pasar por ese lugar y visualizar el anuncio. 3) Se desconoce si en la actualidad continúa figurando la nota denunciada en el presente procedimiento en el tablón de anuncios de la Comunidad, si bien se refiere reconociendo que “El cartel indicativo de convocatoria de junta con el piso e importe deudora fue publicado en un tablón cerrado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4) La modalidad de envío de escritos de convocatorias a la reclamante se suele hacer por la comunidad por correo electrónico, presentando el problema de si el destinatario recibe y abre el correo. Se ignora si la denunciada tiene un protocolo aprobado por la Comunidad de dicha modalidad de comunicación de convocatorias, y si las direcciones de correos están actualizadas. 5) La nota expuesta no hace mención de motivo alguno por el que se exponen los datos. Se contiene “relación de recibos pendientes de cobro.” FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En este caso, la reclamada revela datos de tres de sus propietarios, uno de ellos la reclamante, y no solo a estos, pues la exposición se hace en un lugar de transito libre y público en el sentido que pueden circular no solo los propietarios a quien afectaría el impago, sino terceros, visitas etc. Se debe tener en cuenta que para la exposición de datos de carácter personal en tablón de anuncios de la Comunidad, ha de ajustarse a una serie de principios con el fin de no vulnerar la normativa de protección de datos. Como medio de notificación personal e individualizada al propietario, la Ley de Propiedad Horizontal, indica los supuestos en que se autoriza la exposición de datos de carácter personal relacionados con los asuntos derivados de la gestión de la Comunidad de Propietarios. Su artículo 9.
6. h)indica como obligación del propietario “Comunicar a quien ejerza las funciones de secretario de la comunidad, por cualquier medio que permita tener constancia de su recepción, el domicilio en España a efectos de citaciones y notificaciones de toda índole relacionadas con la comunidad. En defecto de esta comunicación se tendrá por domicilio para citaciones y notificaciones el piso o local perteneciente a la comunidad, surtiendo plenos efectos jurídicos las entregadas al ocupante del mismo. Si intentada una citación o notificación al propietario fuese imposible practicarla en el lugar prevenido en el párrafo anterior, se entenderá realizada mediante la colocación de la comunicación correspondiente en el tablón de anuncios de la comunidad, o en lugar visible de uso general habilitado al efecto, con diligencia expresiva de la fecha y motivos por los que se procede a esta forma de notificación, firmada por quien ejerza las funciones de Secretario de la comunidad, con el visto bueno del Presidente. La notificación practicada de esta forma producirá plenos efectos jurídicos en el plazo de tres días naturales”. El artículo 19.3 de la LPH, segundo párrafo, indica: ”El acta de las reuniones se remitirá a los propietarios de acuerdo con el procedimiento establecido en el artículo 9.” 5/7 En el presente supuesto, no consta que la nota expuesta proceda de una convocatoria, reunión o acta, sino más bien del deseo de querer informar a los propietarios, si bien el tablón de la comunidad no debe servir como tablón para notificar o informar cuando se exponen datos personales, si no se reúnen los requisitos en cada caso señalados para dicha exposición y ser sus funciones las de notificación o citación. En el presente caso se está exponiendo una nota informativa a los propietarios, haciendo exposición en un espacio o lugar de tránsito, haciéndose identificable a una persona por los propios vecinos no propietarios del inmueble, por poder también figurar su nombre y apellidos en buzones, reclamante a la que se le atribuye la cualidad de deudor, pudiendo afectar a su honor. Esta nota con los datos como medio de información, en este caso no se ajusta a la LPH y vulnera el derecho de la reclamante a su protección de datos, por no proceder la exposición en alguno de los supuestos previstos en la citada LPH, ni contener los requisitos que contempla la LPH. Por ello, se considera que la COMUNIDAD DE PROPIETARIOS R.R.R., ***DIRECCION.1, ha cometido una infracción del artículo 5.1.
7. f)del RGPD que señala “1. Los datos personales serán:
8. f)“tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). Se ha vulnerado la confidencialidad mediante la exposición en un tablón cerrado de titularidad y uso por la reclamada. El artículo 83.5
9. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. La LOPGDD en su artículo 5.1 indica:” Deber de confidencialidad”: “Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
10. f)del Reglamento (UE) 2016/679.” Su artículo 72.1.
11. a)la considera: “Infracciones consideradas muy graves “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
13. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
14. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado” En este sentido, cobran relevancia las acciones que haya tomado la reclamada al conocer la reclamación de la que fue informada por esta AEPD y las medidas adoptadas, debiendo entender por las alegaciones efectuadas que la nota con los datos de la reclamante fue quitada del tablón, por lo que no se requiere su retirada, sin perjuicio de que este procedimiento sirva para que en el futuro se considere el cumplimiento a la normativa para exponer datos en espacios como el tablón de la comunidad. Además, debe abstenerse de utilizar medios de comunicación o notificación sobre los que no puede acreditar envío y recepción como medio de relacionarse con los propietarios de las viviendas por la ausencia de acreditación de dichos envíos. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la COMUNIDAD DE PROPIETARIOS R.R.R., con NIF ***CIF.1, por una infracción del Artículo 5.1.
15. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de APERCIBIMIENTO. / SEGUNDO: NOTIFICAR la presente resolución a COMUNIDAD DE PROPIETARIOS R.R.R.. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
16. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta 7/7 su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es