PS-00109-2022

1/51 Expediente N.º: EXP202105940  RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: En fecha 22/11/2021 tuvo entrada en la Agencia Española de Protección de Datos (AEPD), remitida por la Autoridad Catalana de Protección de Datos, una reclamación formulada por A.A.A. (en adelante, la parte reclamante). La reclamación se dirige contra la INMOBILIARIA MESLLOC, S.L., con NIF B61043162 (en adelante, la parte reclamada o la inmobiliaria MESLLOC) La reclamación se basa en que la inmobiliaria MESLLOC, que medió en el contrato de arrendamiento de una vivienda celebrado por el reclamante y su pareja, proporcionó a terceras empresas los datos personales de ambos -nombre, dos apellidos y NIF- sin su autorización y sin que estuviera legitimada para tal comunicación. La comunicación se efectuó durante la liquidación de la fianza depositada. Los datos del reclamante y su pareja fueron tratados por terceras empresas para emitir a nombre de ambos sendas facturas por una reparación y un servicio de limpieza en la vivienda. La parte reclamante dice en su escrito de reclamación: “El día 30/08, se hace efectiva la entrega de llaves y la finalización del contrato de alquiler del piso situado en la ***DIRECCION.1, propiedad de un particular pero con intermediario de las fincas Meslloc. El día 17/09, posteriormente a unos cuántos intercambios de correos (autorizándolos a cambiar la cerradura de la puerta y a cobrarnos la diferencia de la factura de agua), recibo un correo con un archivo PDF donde se notifica la devolución de la fianza depositada al inicio. Dentro de este archivo, también se notifica el descuento de gastos: 108.9€ de la cerradura, 34,64€ del agua y 175,45€ de limpieza. De esta última factura, no nos habían informado de su existencia, ni del coste que tenía, pero en cambio, en el archivo PDF que nos envían, salen como clientes mi nombre y DNI mío y el nombre y DNI de mi pareja, cuando nosotros no hemos autorizado en ningún momento el uso de estos datos. Así pues, considero que se ha vulnerado la normativa vigente en protección de datos, al utilizar el nuestro nombre y documentación oficial (DNI) para elaborar una factura sin nuestra autorización y consentimiento. […]”. (El subrayado es nuestro) Aporta: -Un documento con el anagrama de inmobiliaria MESLLOC dirigido al reclamante identificándole por su nombre, primer apellido y NIF- y a doña B.B.B., con NIF ***NIF.1 (en lo sucesivo, la pareja del reclamante o coarrendataria) que versa sobre la “Liquidación referente al piso arriba mencionado” (el piso en cuyo arrendamiento medió). En él se incluyen, entre otros, estos conceptos y sus importes correlativos: C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/51 “Fianza”, 750 euros; “Limpieza piso”, 175,45 euros y “Factura cambio cerradura”, 108,90 euros. -Copia de dos facturas: i. La factura número 1958 de fecha 02/09/2021 emitida por “Cerrajería ***EMPRESA.1”. En el apartado “Cliente” aparece incluido el nombre y dos apellidos del reclamante y de su pareja y coarrendataria. En el apartado “CIF”, constan el NIF del reclamante y el de su pareja. El servicio prestado es “Suministro y colocación de bombillo seguridad en puerta entrada vivienda”. El importe, incluido el 21% de IVA asciende a 108,90 euros. ii. Factura número 1.360 emitida el 10/09/2021, con fecha de vencimiento 25/09/2021, en la que consta como “Proveedor” “***EMPRESA.2.” seguida de su NIF y como “Cliente”, el nombre y dos apellidos tanto del reclamante como de su pareja y el NIF de ambos. El concepto es “Limpieza de piso a fondo”. El importe de la factura, incluido el 21% de IVA, asciende a 175,45 euros. - Un documento firmado electrónicamente por el Ayuntamiento de ***LOCALIDAD.1 mediante el que se traslada al reclamante la respuesta que dio al requerimiento de la OMIC de dicho Ayuntamiento doña D.D.D., con NIF ***NIF.2, persona que figura en el contrato de arrendamiento en representación de la inmobiliaria en calidad de administradora de la finca arrendada. En su respuesta - “Ref. 37/21 (X2021004871)” y “Ref. 37/21 (X 2021005243)”- de fecha de 08/11/2021, dice lo siguiente (el texto original está redactado en catalán): “Estimada señora: Se ha descontado de la fianza el importe de la limpieza […] La vivienda es propiedad de una persona física por lo que entendemos que de conformidad con el artículo 3 y 17 del Decreto 98/2014 [...] no debería haberse admitido a trámite la solicitud [...] siendo el ámbito de regulación de esta relación la LAU de 1994 en la reforma quien le sea oportuno. […]. Pido a al OMIC tenga por contestado el requerimiento.” (El subrayado es nuestro) SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la inmobiliaria MESLLOC para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó de acuerdo con las normas de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se efectuó electrónicamente, siendo la fecha de puesta a disposición de la notificación el 04/01/2022 y la fecha de aceptación el 05/01/2022, según consta en el Certificado del Servicio de Dirección Electrónica Habilitada Única (DEHÚ) que obra en el expediente. En fecha 07/01/2022 se recibe la respuesta de la reclamada en la que solicita a la AEPD que “se archive el expediente, por cuanto no hay motivo de reclamación al C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/51 existir el consentimiento expreso del reclamante y haberse desarrollado todo en el marco del cumplimiento de un contrato”. (El subrayado es nuestro) La inmobiliaria MESLLOC alega que no son ciertas las manifestaciones del reclamante según las cuales “sin autorización ni legitimidad para ello” habría facilitado sus datos personales a empresas para que emitiera facturas a su nombre. Invoca en su defensa que el reclamante y su pareja suscribieron el 01/02/2020 un contrato de arrendamiento de una vivienda de cuyo contrato desistieron el 30/08/2021 y añade (el texto original está redactado en catalán): “Tercero: Que cuando se entregó el piso a los arrendatarios contaba con una cerradura de seguridad de alta calidad nueva de las que se les entregaron todas las copias de llaves. Que los Sres. [el reclamante] /[la pareja del reclamante] procedieron al cambio de la cerradura de seguridad que tenía el piso por otra nueva de menor calidad por lo que al no proceder a la devolución de la cerradura instalada por la propietaria, acordaron el pago de una cerradura de la misma calidad a cargo de los Sres. [el reclamante] /[la pareja del reclamante], motivo por el que se facilitaron sus datos a la empresa suministradora, puesto que la factura fue pagada por los Sres. [el reclamante] /[la pareja del reclamante], si bien descontándolo de la cantidad que en su día entregaron como fianza.” (El subrayado es nuestro) Aporta estos documentos: -Copia del contrato de arrendamiento celebrado el 01/02/2020 por el reclamante y su pareja. Comparecen en el contrato, además de los arrendatarios, la señora D.D.D. “como administradora de la finca sujeta al presente arrendamiento propiedad de [...]”. La cláusula 14.

1. a)del citado contrato (cuyo original está redactado en catalán) estipula: “En este acto, el arrendador apodera y autoriza a la entidad INMOBILIARIA MESLLOC, S.L., o a la persona física o jurídica que aquella designe para demandar y obtener en cualquier momento de la Generalitat de Cataluña o de la Administración que corresponda, la devolución de la fianza correspondiente al presente arrendamiento [...]”. -Un hilo de correos electrónicos (el texto original está redactado en catalán): El primero, enviado el 30/08/2021 desde la cuenta ***EMAIL.1 dirigido al reclamante, ***EMAIL.2, que dice: “Hemos visto que ha cambiado el cerrojo de la puerta de entrada que era de seguridad. Por favor, necesitaríamos que nos confirme si lo tiene, si no tendremos que poner uno nuevo y restarlo de la fianza”. El reclamante responde el 02/09/2021 en estos términos “Lo siento, pero no consigo encontrar el cerrojo de la puerta, así que me parece bien que pongan uno nuevo y nos lo descuenten de la fianza.” (El subrayado es nuestro) TERCERO: En fecha 22/02/2022, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/51 los derechos digitales (LOPDGDD), se admite a trámite la reclamación presentada por la parte reclamante. La admisión a trámite fue notificada a la reclamante en la misma fecha. Así consta en el certificado emitido por DEHÚ que obra en el expediente. CUARTO: Acuerdo de inicio del procedimiento sancionador. Notificación a la parte reclamada. En fecha 16/08/2022 la Directora de la AEPD acuerda iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD. El citado acuerdo se notificó a la reclamada electrónicamente. El certificado que obra en el expediente acredita que la notificación fue aceptada el 30/08/2022. QUINTO: Alegaciones al acuerdo de inicio. En fecha 13/09/2022 la reclamada presenta sus alegaciones en las que, en primer término, solicita que se proceda al archivo de las actuaciones. Subsidiariamente, solicita que, como alternativa a la multa prevista en el acuerdo de apertura, se le imponga un apercibimiento. En apoyo de sus respectivas pretensiones esgrime estos argumentos: 1.Sobre el archivo de las actuaciones: 1.1. Comienza recordando que el reclamante y su pareja suscribieron el 01/02/2020 un contrato de arrendamiento de una vivienda “en cuya celebración medió” la inmobiliaria, “que tenía conferida la administración de la misma”. Añade que en el contrato se incluyeron los datos personales de ambos reclamantes (nombre, apellidos y NIF) que fueron incorporados a una base de datos de la inmobiliaria que consta en su Registro de Actividades de Tratamiento (RAT) con el nombre “Gestión Inmobiliaria y otros servicios”. Expone que “La finalidad del tratamiento declarada e informada en la política de privacidad de la web corporativa es la prestación de servicios inmobiliarios entre los que se incluyen la comunicación de datos a proveedores industriales cuando sea necesario para la prestación de algún servicio solicitado.” Tras lo cual, afirma sin más: “Queda así acreditado que [la inmobiliaria MESLLOC] contaba con base legal para el tratamiento de los datos de los arrendatarios. Nos remitimos al contrato aportado como prueba en la fase de solicitud de información.” 1.2. En la alegación segunda, bajo la rúbrica “Sobre los hechos en los que la parte reclamante basa su reclamación”, expone que el reclamante funda la reclamación “en la presunta comunicación ilícita que la administradora de la finca llevó a cabo sobre sus datos personales, a dos proveedores de servicios, que emitieron a nombre de ambos sendas facturas por los conceptos de “suministro e instalación de cerradura de seguridad de la puerta de entrada y limpieza integral”. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/51 “A continuación pasamos a exponer […] cuál es el procedimiento habitual que se lleva a cabo por parte de la Administradora de fincas para presentar la liquidación económica del inmueble y devolución de la fianza al inquilino cuando se rescinde el contrato de alquiler: 1.-En primer lugar se lleva a cabo una valoración del estado del inmueble y revisión de los suministros. 2.-Posteriormente, se exige a los inquilinos, si es el caso, el importe económico que conlleva reparar los daños (en el supuesto que nos aplica fueron el cambio de cerradura y los servicio de limpieza integral […])” (El subrayado es nuestro) Sin embargo, la reclamada añade seguidamente: “En relación con los servicios de limpieza, cabe matizar que es el propietario quien, una vez abandonada la vivienda, revisa el estado del inmueble para verificar si se entrega en las condiciones de limpieza adecuados. En el presente supuesto los inquilinos NO ENTREGARON la vivienda limpia, y tras la realización de varias fotografías se informó a los inquilinos de dicha circunstancia. […] Nosotros como parte intermediadora entre el arrendador y el arrendatario, es la que se encarga de hacer cumplir las exigencias contractuales y por tanto la que ofrece la posibilidad de contratar los servicios necesarios para tal fin. En el contrato de arrendamiento se establece en su cláusula 15 apartado f): “el arrendatario deberá poner en conocimiento del administrador la necesidad de llevar a cabo las reparaciones necesarias para conservar la vivienda en las condiciones adecuadas para vivir” Por lo tanto, es habitual que los arrendatarios soliciten dichos servicios adicionales a la Administración de fincas para que se lleven a cabo servicios de reparaciones y mantenimiento de inmuebles, y por consiguiente son servicios que acaba facturando directamente el proveedor de los servicios. El arrendatario sabía en todo momento que para devolver la vivienda en el mismo estado en la que la contrató debía devolver el bombín de la puerta principal y entregar la vivienda limpia. Se ha demostrado que para el cambio de bombín el arrendatario acepta expresamente la contratación de dicho servicio, pero sin embargo no está conforme con el importe del servicio de limpieza efectuado. (pero no de la ejecución del servicio en sí). Volvemos a hacer hincapié en que nosotros, como parte del servicio de gestión inmobiliaria que presta a sus clientes e inquilinos, ofrece los servicios adicionales requeridos por los arrendatarios.” Continúa su argumentación diciendo: “Debemos tener en cuenta que es la propiedad quien tiene la cantidad entregada como fianza, artículo 36 de la LAU y que por tanto debe liquidarse dicha cantidad previo descuento de las obligaciones contractuales que el arrendatario no hubiera C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/51 cumplido, por lo que ante una inacción del arrendatario (que se niega a aceptar el descuento) la propiedad debe actuar para poder presentar la liquidación. La fianza forma parte de la fase de liquidación, así está reconocido por la jurisprudencia. Las facturas siempre deben emitirse a nombre del arrendatario ya que el importe de las mismas corre de su cuenta y tampoco podemos privar al arrendatario de tener una factura acreditativa del pago de un concepto descontado de la fianza, en el que consten todos los detalles del concepto, para poder reclamar con posterioridad contra la propiedad o por temas fiscales etc. Como Administradores de Fincas no nos hemos excedido en ningún momento de nuestras funciones […] Simplemente, en cumplimiento de las funciones que tiene atribuidas como empresa de servicios de gestión inmobiliaria, se limita a intermediar en una serie de servicios prestados por terceros proveedores con los propios arrendatarios.” “Cabe recalcar que si MESLLOC no hubiera tenido la conformidad de contratar dichos servicios por parte de los inquilinos, (ya fuera por mail o por teléfono), NO SE HUBIERAN COMUNICADO LOS DATOS PERSONALES DE LOS MISMOS, y en consecuencia no se hubieran emitido sendas facturas objeto de la controversia. En el presente supuesto el reclamante da su conformidad al cambio de bombín, aceptando su responsabilidad y obligación, pero no podemos dejar de preguntarnos qué se esperaba de nosotros, ¿que no comunicáramos los datos a un tercer proveedor? Dicha comunicación es necesaria para llevar a cabo dicho servicios y por consiguiente la emisión de la correspondiente factura. De igual manera se actuó con la empresa de limpieza. Tal vez nuestro error aquí fue no dejar por escrito (al menos por email) la conversación que se mantuvo con [el reclamante]que conocía el estado de la vivienda que entregaba y quería factura para poder actuar con posterioridad. […]”. “[…]Él [el reclamante] estuvo conforme en la contratación de dicho servicio. Evidentemente dicha empresa precisa de los datos personales para emitir su correspondiente factura que sirve como documento para la liquidación de la fianza.” Seguidamente la reclamada se remite a los hilos de correos electrónicos aportados y más adelante dice en relación con los servicios de limpieza: “Y este concepto es el que no acepta el arrendatario, no el hecho de que se emitiera factura, sino el de pagar la limpieza […]” “La Administradora de la Finca ha contado siempre con la conformidad de contratar ambos servicios. A este respecto la comunicación de datos se ha llevado a cabo lícitamente, teniendo en cuenta que la parte reclamante era conocedora en todo momento que dichos importes serían finalmente incluidos en la hoja de desglose de la liquidación del piso, y por tanto incluidas las facturas emitidas por los correspondientes proveedores. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/51 La reclamada afirma, además, taxativamente: que “a la vista de los hechos expuestos NUNCA se ha llevado a cabo una comunicación de datos que no haya sido debidamente informada y autorizada, así como necesaria para la prestación de los servicios acordados.” 1.3. Discrepa (alegación tercera del escrito) con la afirmación que se hace en el acuerdo de inicio del procedimiento según la cual el tratamiento de los datos del reclamante no estaba amparado en ninguna de las bases jurídicas del artículo 6.1 del RGPD, tampoco en las que esa parte reclamada había invocado en su escrito informativo, a saber, el supuesto consentimiento expreso del reclamante y la ejecución del contrato (apartados a, y b, del artículo 6.1. del RGPD) La reclamada rechaza esa consideración del acuerdo de inicio y dice: “[…]la Administración de Fincas no se excedió de las facultades que tiene atribuidas, entre las que está, además de gestionar el contrato de arrendamiento y por tanto las obligaciones derivadas del mismo y el cumplimiento de la LAU, la gestión y promoción de sus propios servicios inmobiliarios (tales como, servicios de limpieza, reparaciones, seguros, etc.) Además, Inmobiliaria MESLLOC ha contado siempre con el consentimiento de la parte reclamante, ya que acepta la contratación de dichos servicios y conoce perfectamente la finalidad para la cual van a ser cedidos sus datos. Por lo tanto, entendemos que MESLLOC sí contaba con base legal para su tratamiento y comunicación de datos a los proveedores que prestaron los servicios al amparo del art. 6. 1.a. y 6.1.b. del RGPD.” Añade: “El RGPD requiere que el consentimiento sea inequívoco […] Este consentimiento existe cuando el interesado dice que sí o que no, pero en cualquier caso debe de realizar una acción. Por lo tanto, no cabe duda de que el [reclamante] sí que aceptó la contratación de ambos proveedores de servicios y por consiguiente que de dicho tratamiento resultasen la emisión de sendas facturas. Parece absurdo pensar que dichos proveedores no emitieran facturas a su nombre, ya que quien debe abonar dichos conceptos es el arrendatario, no la inmobiliaria.” “La cesión que se ha realizado era necesaria para contratar los servicios con los proveedores, que son quienes aceptan la realización de los servicios de limpieza y servicios de reparación de la vivienda y para que el arrendatario tuviese los documentos a su nombre que acreditan el pago y los conceptos descontados.” Y unos párrafos más adelante concluye: “Por ello […] discrepamos de la interpretación dada en el escrito de Acuerdo de Inicio de Procedimiento Sancionador sobre que el tratamiento y comunicación no puede ampararse en ninguno de los motivos de licitud previstos en el artículo 6.1 del RGPD, ya que como ha quedado acreditado, las actuaciones se desarrollan dentro del marco de la relación contractual establecida, concretamente en la fase de liquidación de la fianza, y con consentimiento de la parte reclamante, por cuanto INMOBILIARIA C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/51 MESLLOC intermedia en la realización de servicios para la devolución del inmueble en las mismas condiciones que el [reclamante] lo arrendó.” En referencia a que en el acuerdo de inicio se advertía que “MESLLOC no tenía legitimidad para contratar en nombre de otro”, la reclamada dice: “[…]queremos aclarar que no se trata de una contratación, sino que se está intermediando. Inmobiliaria MESLLOC es una empresa constituida para prestar servicios inmobiliarios, por lo que en todos los servicios adyacentes que ofrece, actúa como intermediaria de los mismos.” 1.4. En la alegación cuarta la reclamada afirma que ha cumplido con exactitud los requisitos contemplados en la normativa de protección de datos en relación con el principio de licitud, así como los principios de lealtad y transparencia y que ha actuado con arreglo a Derecho. Afirma que el tratamiento realizado tiene su base legal en los artículos 6.1.a y 6.1.b del RGPD. Y, por último, subraya que ha actuado “conforme a una costumbre conocida por el arrendatario y practicada de forma habitual en el sector inmobiliario”. 1.5. En la quinta alegación de su escrito manifiesta que “ha procedido a actualizar la cláusula de protección de datos incluida en los contratos de arrendamiento que intermedia”. 2. Sobre la sustitución de la multa administrativa por un apercibimiento alega que: 2.1. Nunca ha sido sancionada o apercibida por incumplir la normativa de protección de datos de carácter personal. 2.2. El “volumen” y el “tipo” de datos tratados, pues el tratamiento afecta sólo a dos individuos y los datos tratados son, únicamente, el nombre, apellidos y NIF. 2.3. El perjuicio o daño causado al afectado en materia de protección de datos es inexistente. 2.4. La ausencia de intencionalidad, ya que actuó de “buena fe”, “con la única intención de prestar un buen servicio a ambas partes”. 2.5. La equidad, principio general del Derecho en virtud del cual procedería aplicar de forma “ponderada” y “proporcionada” la norma jurídica correspondiente teniendo en cuenta el “mínimo eventual perjuicio que se haya podido causar al afectado”. 2.6. Que inmobiliaria MESLLOC ha procedido a actualizar las cláusulas de protección de datos en los contratos de alquiler “como mejora en el cumplimiento de la normativa”. 2.7. Que no consta la obtención de beneficios como consecuencia de la presunta comisión de la infracción. Acompaña a sus alegaciones los documentos siguientes: -Número 1: El Registro de Actividades de Tratamiento (RAT) -Número 2: Enlace a la política de privacidad de su página web. -Número 3: La nueva cláusula de protección de datos que incluirá en los contratos de arrendamiento. SEXTO: Notificación de apertura de la fase de prueba. Pruebas practicadas. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/51 En fecha 08/11/2022, de conformidad con el artículo 77 de la LPACAP, se acuerda la apertura de una fase de prueba que se notifica a la reclamada el mismo día. Se acuerda la práctica de estas diligencias de prueba: -Dar por reproducidas las alegaciones al acuerdo de inicio del procedimiento sancionador presentadas por inmobiliaria MESLLOC y la documentación que a ellas acompaña. -Solicitarle que remita la información y documentación siguiente: 1. Acreditación documental de que el reclamante y su pareja otorgaron su consentimiento a la inmobiliaria MESLLOC para tratar sus datos personales con la finalidad de celebrar en su nombre un contrato con la cerrajería ***EMPRESA.1 y la empresa de limpieza “***EMPRESA.2”. 2. Copia del contrato de intermediación que la inmobiliaria MESLLOC suscribió con las copropietarias de la vivienda arrendada. En caso de constar en un documento independiente, deberá aportar también la copia del poder que las copropietarias de la vivienda arrendada hubieran otorgado a favor de doña D.D.D. para realizar actos de administración de la finca indicada. 3. Cifra de negocio de la sociedad inmobiliaria MESLLOC durante el ejercicio 2020. Deberá aportar documentación acreditativa de su respuesta. SÉPTIMO: Respuesta de la reclamada a las pruebas practicadas. En fecha 23/11/2022 la inmobiliaria MESLLOC responde a las prueba solicitadas en estos términos: - “Al 3.1. Acompañamos mail remitido por el denunciante en el que acepta expresamente el cambio de la cerradura y su descuento de la fianza, por lo que entendemos que contiene implícitamente la autorización para la emisión de la factura y respecto a la limpieza y también emisión de factura ya hemos manifestado que tuvimos una conversación telefónica en el que se autorizó su emisión.” (El subrayado es nuestro) El documento 3.1. que aporta incluye los correos electrónicos que se intercambiaron la inmobiliaria reclamada y el reclamante desde las direcciones ***EMAIL.1 y ***EMAIL.2, respectivamente. Se aportan una vez más los correos intercambiados el 31/08/2021 y el 02/09/2021, que ya fueron proporcionados por la reclamada con su respuesta a la solicitud informativa, y, como novedad, estos mensajes: El que se envió al reclamante el 17/09/2021 a las 15.58 con el asunto “devolución de fianza” y este texto: “Buenas tardes, (...). Adjunto el resumen para proceder a la devolución de la fianza. Verá que hemos restado la liquidación del agua, el bombín nuevo y la limpieza. También adjuntamos las fotografías como comprobante del estado del C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/51 piso. Por favor, necesito que me confirme que el número de cuenta que tengo sea el correcto […]”. La respuesta del reclamante, del 17/09/2021, a las 18:06: “La cuenta es correcta”. A la segunda prueba solicitada, la reclamada responde: - “Al 3.2. Acompaño contrato de administración suscrito por las propietarias de la vivienda, (…), a favor de Inmobiliaria Meslloc, S.L., el 1 de febrero de 2020 y respecto a la administración del piso sito en El Masnou, calle […] arrendado al denunciante. El contrato se suscribe con Inmobiliaria Meslloc, S.L., y D. E.E.E. es apoderada y socia de dicha mercantil. Acompaño poder. Con ello acreditamos que Inmobiliaria Meslloc, S.L., se subroga en la posición de arrendadora por mandato expreso de la propiedad, ocupando su posición respecto a las eventualidades del contrato, pudiendo interponer demanda en nombre del propietario del inmueble, por cuanto el arrendamiento es considerado por la Doctrina jurisprudencial un acto de administración, de tal manera que acordado un determinado pago entre las partes no podemos entender que la propiedad/administrador no pueda facilitar los datos al encargado del trabajo en concreto para facturar.” (El subrayado es nuestro) Los documentos que aporta con el número 3.2. son: (i). La copia del “contrato de administración” de la vivienda objeto del arrendamiento que suscribieron el 01/02/2020 las copropietarias del inmueble y la inmobiliaria reclamada en virtud del cual se encarga a esta última la administración de la vivienda. El contrato incluye, entre otras, estas estipulaciones: “Primera: La administración del inmueble comprenderá, entre otros, los siguientes servicios: Análisis de la solvencia del arrendatario; redacción y firma del contrato de arrendamiento con cláusulas personalizadas; contratación de seguro de impago de rentas; depósito de la fianza en el Instituto Catalán del Suelo; elaboración, gestión y cobro de los recibos generados; control y pago de los gastos de la finca con liquidación periódica del saldo resultante; confección de la liquidación e ingreso en cuenta bancaria con vencimiento mensual; estudio y aplicación de los incrementos legales repercutidos al arrendatario; reclamaciones administrativas de los impagos del arrendatario y comunicación al arrendador; tramitación de posibles demandas judiciales mediante asesoría jurídica externa o elaboración del certificado de ingresos y gastos anuales para la declaración del IRPF.” (El subrayado es nuestro) (II) Poder notarial otorgado el 03/04/1996 por la administradora única de Inmobiliaria Meslloc, S.L., a favor de doña D.D.D. (y otros) para que puedan ejercitar en nombre y representación de la citada sociedad todas y cada una de las facultades que tiene reconocidas el órgano de administración social. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/51 “Al 3.3. Acompaño documento acreditativo de la cifra de negocio de 2020, en plena época COVID y con la empresa teletrabajando. Entendemos que lo realmente relevante no es lo facturado, sino el beneficio obtenido que fue de 85.555.-€.” Se remiten a la AEPD las páginas 7 y 8 -que corresponden a la cuenta de pérdidas y ganancias- del Modelo 200 cumplimentado por Inmobiliaria Meslloc, S.L. OCTAVO: Propuesta de resolución. En fecha 10/04/2023 se firma la propuesta de resolución. Se notifica en la misma fecha siendo aceptada el 11/04/2023. La propuesta se formula en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a la INMOBILIARIA MESLLOC, S.L., con NIF B61043162, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
3. a)del RGPD, con una multa administrativa por importe de 40.000€ (cuarenta mil euros).>> NOVENO: Ampliación del plazo para presentar alegaciones a la propuesta de resolución. La parte reclamada solicita en escrito de fecha 19/04/2023 que se amplíe por el máximo permitido legalmente el plazo inicial. De acuerdo con el artículo 32 de la LPACAP, se le comunica en fecha 21/04/2023 la ampliación en tres días hábiles del plazo inicialmente fijado. DÉCIMO: Alegaciones de la reclamada a la propuesta de resolución. 1.En fecha 28/04/2023 presenta sus alegaciones a la propuesta en las que solicita el archivo de las actuaciones “por haber actuado de forma correcta y conforme a Derecho”. Subsidiariamente, solicita que se reduzca la sanción “a su mínima expresión” en atención a las alegaciones que formula. Las alegaciones presentadas, en particular las manifestaciones que hace en los epígrafes o alegaciones primero a tercero de su escrito, son, en líneas generales, una reiteración de los argumentos que ha expuesto en el curso del procedimiento. 2.Comienza invocando la “Licitud del tratamiento objeto de este procedimiento” (alegación primera). Expone que, según la AEPD, la conducta en la que se concreta la infracción de la que se le responsabiliza consistió en comunicar los datos personales de los arrendatarios a terceras empresas que emitieron a nombre de ambos, en calidad de clientes, sendas facturas en las que trataron sus datos personales. Que para la AEPD la comunicación de los datos de los arrendatarios a las empresas proveedoras de servicios vulneró el principio de licitud, pues ese tratamiento no estaba amparado en ninguna base jurídica del artículo 6.1 del RGPD. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/51 Frente a la postura de la AEPD, la reclamada considera que el fundamento del tratamiento se encuentra en dos bases jurídicas del artículo 6.1 del RGPD: “el consentimiento y la ejecución de un contrato”. A ese respecto, precisa que los “Reclamantes habían prestado su consentimiento expreso a dichas comunicaciones y que, además, dicho tratamiento se desarrolla en el marco del cumplimiento o ejecución del contrato de arrendamiento existente entre las Partes”, contrato que permitía a esa inmobiliaria “solicitar y exigir en su caso el cumplimiento de las obligaciones a cargo de los reclamantes”. Los dos epígrafes siguientes (segundo y tercero) están dedicadas a defender la concurrencia de cada una de las bases jurídicas invocadas, pero, previamente, la reclamada hace estas precisiones: La primera precisión, que no se excedió de las facultades que tiene atribuidas, “entre las que está, además de gestionar dicho contrato de arrendamiento, […] la gestión y promoción de sus propios servicios inmobiliarios (tales como, servicios de limpieza, reparaciones, seguros, etc.) (El subrayado es nuestro) La segunda precisión consiste en alegar que cuenta con un procedimiento “habitual” de actuación para supuestos como el que nos ocupa, en el que liquida económicamente un arrendamiento en el que ella ha mediado. El protocolo que describe y dice tener es exactamente opuesto al modus operandi que ha seguido en este caso. Dice que es “necesario” “hacer hincapié en el procedimiento habitual que acostumbra a llevar cuando se ha de presentar la liquidación económica de un inmueble y la devolución de la fianza al inquilino cuando se rescinde el contrato de alquiler: -En primer lugar, se lleva a cabo una valoración del estado del inmueble y revisión de los suministros. -Posteriormente se exige a los inquilinos, si es el caso, el importe económico que conlleva reparar los daños (en el supuesto que nos aplica fueron el cambio de cerradura y los servicios de limpieza integral)”. (El subrayado es nuestro) 3. Dedica la alegación segunda, titulada “Los datos de los inquilinos eran necesarios para la ejecución del contrato de arrendamiento”, a defender la concurrencia de la base jurídica del apartado
4. b)del artículo 6.1 del RGPD. (El subrayado es nuestro) En ese epígrafe expone que, para la AEPD, la ejecución del contrato de arrendamiento únicamente facultaba al arrendador, o en su caso a su apoderado, “a exigir a los arrendatarios el abono de una cantidad de dinero, pues las disposiciones de la LAU aluden a que “serán de cargo del arrendatario” las pequeñas reparaciones o que la reposición al estado anterior se mande hacer a su costa” (artículos 21.4 y 23.2 de la LAU en relación con el artículo 1.098 del Código Civil”. Y añade: “En consecuencia, sostiene esta Agencia que la actuación de la inmobiliaria no estaba basada en las facultades que la LAU y el contrato de arrendamiento otorgaban al arrendador para hacer valer sus derechos, por lo que el tratamiento de datos personales efectuado, excedía de la ejecución del contrato”. (El subrayado es nuestro) C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/51 La reclamada discrepa de la tesis de la AEPD y, como único argumento en contra, ofrece el siguiente: “No obstante, olvida la AEPD que INMOBILIARIA MESLLOC, como parte intermediadora entre el arrendador y el arrendatario, es la que se encarga de hacer cumplir las exigencias contractuales y por tanto la que ofrece la posibilidad de contratar los servicios necesarios para tal fin. Por lo tanto, es habitual que los arrendatarios soliciten dichos servicios adicionales a la Administración de fincas para que se lleven a cabo servicios adicionales de reparación y mantenimiento de inmuebles, y por consiguiente son servicios que acaba facturando directamente el proveedor de los servicios. Para ello, inmobiliaria MESLLOC es consciente de que los entonces arrendatarios tenían que aceptar la contratación de dichos servicios, motivo por el que la inmobiliaria se puso en contacto con ellos para solicitarles dicha autorización. A esta cuestión sobre el consentimiento prestado por las partes para la contratación de los servicios de cerrajería y limpieza nos referimos en la Alegación Tercera.” (El subrayado es nuestro) 4.En la alegación tercera de su escrito -bajo el título “Los reclamantes prestaron válidamente el consentimiento para el tratamiento”- la reclamada defiende que el tratamiento efectuado estaba amparado en la base jurídica del artículo 6.1.a, RGPD. Comienza diciendo que el “RGPD requiere que el consentimiento sea inequívoco. Este consentimiento existe cuando el interesado da una respuesta expresa, pero también cuando se realiza una clara acción afirmativa que permita presumir el otorgamiento de este consentimiento.” En conexión con lo anterior añade: “Por lo tanto, como se acredita en los correos electrónicos que la INMOBILIARIA MESLLOC intercambió con los Reclamantes, no cabe duda de que los Reclamantes sí aceptaron la contratación de ambos proveedores de servicios y, por consiguiente, que de dicho tratamiento resultasen la emisión de sendas facturas.” (El subrayado es nuestro) Para la reclamada, lo que prueba que el reclamante y su pareja, los coarrendatarios, “sí aceptaron la contratación de ambos proveedores de servicios” son los correos electrónicos que se intercambiaron. La reclamada recuerda que en el correo que envió al reclamante el 31/08/2021 le preguntó si conservaba en su poder la cerradura de la puerta de entrada -habida cuenta de que los coarrendatarios la habían cambiado-, ya que de no ser así “tendremos que poner uno nuevo y restarlo de la fianza”. El reclamante respondió en otro correo de fecha 02/09/2021 que no había logrado encontrar la cerradura y añadió “[…] así que me parece bien que pongan uno nuevo y nos lo descuenten de la fianza”. (El subrayado es nuestro) Seguidamente, expone su discrepancia con el alcance que la AEPD ha dado a esas manifestaciones de las partes y dice: “A los ojos de la AEPD, la respuesta en la que los Reclamantes aceptan que la inmobiliaria ponga una cerradura nueva, descontándola de la fianza de los Reclamantes, no es un consentimiento explícito para contratar en su nombre con una cerrajería y para proporcionarle con ese motivo los datos que les identificaban inequívocamente (NIF, nombre y dos apellidos)”. (El subrayado es nuestro) C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/51 Y continúa: “No obstante, a nuestro parecer la AEPD cae en el error de confundir el consentimiento explícito, que presume de ser una modalidad de consentimiento “reforzada” y que se ha de solicitar en unos supuestos específicos contemplados en el RGPD, con el consentimiento expreso que, con carácter general, es el requerido cuando ésta sea la base jurídica aplicable y que es la modalidad de consentimiento que debería requerirse en el caso que nos ocupa.” “De acuerdo con las Directrices 5/2020 sobre el consentimiento en el sentido del RGPD […], el consentimiento explícito se requiere en determinadas situaciones en las que existe un grave riesgo en relación con la protección de los datos y en las que se considera adecuado que exista un elevado nivel de control sobre los datos personales. […] Fuera de los casos anteriores, el consentimiento ha de cumplir los requisitos del artículo 7 del RGPD, siendo uno de estos la necesidad de que el consentimiento sea expreso, pero no necesariamente explícito pudiendo ser igualmente válido un consentimiento que surja de un acto claramente afirmativo.” (El subrayado es nuestro) La reclamada concluye: “Pues bien, en nuestro caso, la INMOBILIARIA MESLLOC sí se ha preocupado de preguntar con carácter previo a los Reclamantes si los mismos estaban de acuerdo con la contratación de los servicios de cerrajería, a expensas de la fianza depositada con motivo de su arrendamiento, siendo la respuesta afirmativa como puede observarse en los emails aportados.” Se refiere a continuación al supuesto incumplimiento del deber de informar en los términos del artículo 13 del RGPD y sostiene que, al contrario de lo que defiende la AEPD, “no había necesidad en este caso de aportar a los interesados nuevamente información de la protección de datos, incluida la comunicación de sus datos a los terceros, puesto que ya habían sido informados de los tratamientos de datos que la INMOBILIARIA MESLLOC podía hacer con carácter previo, tanto en la política de privacidad como en el contrato de arrendamiento, de forma que el consentimiento recogido a través de los correos electrónicos seguiría siendo informado y por lo tanto, plenamente válido.” La reclamada se remite a la alegación cuarta de su escrito, punto c, en el que, según dice, “profundiza en la ausencia de necesidad de informar a los Reclamantes cuando previamente ya han sido provistos con la información del tratamiento.” Por lo que atañe a la contratación con el proveedor de servicios de limpieza la reclamada dice lo siguiente: “Con carácter posterior a la aceptación de los servicios de cerrajería, siguiendo la misma cadena de correos electrónicos, y con una llamada previa cuyo contenido INMOBILIARIA MESLLOC no puede aportar, la Inmobiliaria también comunica a los Reclamantes la contratación de servicios de limpieza, sujeta a su autorización, de la misma forma como ya se había hecho en la contratación de los servicios de cerrajería. Nuevamente, los reclamantes aceptan la contratación de los servicios, como puede observarse en los correos intercambiados el 17 de septiembre 2021 con el asunto “devolución de fianza” y este texto: “Buenas tardes, (...). Adjunto el resumen para proceder a la devolución de la fianza. Verá que hemos restado la liquidación del agua, el bombín nuevo y la limpieza. También adjuntamos las fotografías como comprobante del estado del piso. Por favor, necesito que me confirme que el número de cuenta que C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/51 tengo sea el correcto […]”. La respuesta que los reclamantes proporcionaron el mismo día fue la siguiente: “La cuenta es correcta”.” Después de esta exposición, afirma: “Es decir, los Reclamantes estuvieron conformes en la contratación de dicha empresa de servicios de limpieza que, evidentemente, como en el caso anterior, también iba a necesitar los datos personales de los Reclamantes para emitir su correspondiente factura que sirve como documento para la liquidación de la fianza.” (El subrayado es nuestro) Y cierra el alegato con esta conclusión: “En consecuencia, INMOBILIARIA MESLLOC ha contado siempre con la conformidad de contratar ambos servicios. A este respecto la comunicación de datos se ha llevado a cabo lícitamente, teniendo en cuenta que la parte reclamante era conocedora en todo momento que dichos importes serían finalmente incluidos en la hoja de desglose de la liquidación del piso, y por tanto incluidas las facturas emitidas por los correspondientes proveedores.” Y dice también que en ningún caso se ha llevado a cabo una comunicación de datos que “no haya sido debidamente informada y autorizada” y “necesaria para la prestación de los servicios acordados”. 5.Los epígrafes cuarto a sexto de las alegaciones a la propuesta tratan, respectivamente, de la “Desproporcionalidad de la sanción de la AEPD” (i), de la “Extralimitación de la AEPD en la revisión de las conductas de la inmobiliaria MESLLOC” (
5. ii)y de “Otras consideraciones sobre la propuesta de resolución de la AEPD” (iii). (
6. i)En defensa de la pretendida “desproporcionalidad” de la sanción de multa propuesta - por un importe de 40.000 – acude a las Directrices 4/2022 del Comité Europeo de Protección de Datos (CEPD) para el cálculo de multas administrativas bajo el RGPD y a los tres principios fundamentales que deben informar las decisiones de las autoridades nacionales a la hora de establecer cuantías sancionadoras ajustadas y proporcionadas en virtud del caso concreto: (
7. a)la categorización de las sanciones; (
8. b)la gravedad de las infracciones; (
9. c)el volumen de negocios de la empresa en cuestión, con el fin de imponer una sanción efectiva, disuasoria y proporcionada. Indica que a tenor de aquéllas la Autoridad de Control apreciará la gravedad de una infracción tomando en consideración las circunstancias descritas en los apartados a),
10. b)y
11. c)del artículo 83.2 del RGPD. La reclamada, tras el análisis de estas circunstancias, concluye que, en caso de que la AEPD estimara en su resolución que se ha producido una infracción del artículo 6.1 del RGPD “el nivel de gravedad aplicable a la conducta realizada debe ser bajo, y por ende, la sanción dispuesta en la Propuesta de Resolución no puede entenderse proporcionada, ni efectiva ni disuasoria”. A continuación, procede a analizar, a la luz de las Directrices 4/2022 las circunstancias de los apartados a, b, y c, del artículo 83.2.del RGP. (
12. ii)“Extralimitación de la AEPD en la revisión de las conductas de la inmobiliaria MESLLOC” C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/51 Alega que la propuesta de resolución “contradice gravemente la doctrina establecida en la Sentencia de la Audiencia Nacional núm.6460/2022”, de fecha 23/12/2022, ECLI:ES:AN: 2022:6460, cuya copia aporta como documento anexo. Considera que “la AEPD se extralimita de las capacidades de enjuiciamiento que tiene asignadas para los procedimientos iniciados a instancia de un interesado, tratando de realizar un análisis expansivo que alcance a conductas no denunciadas por los propios Reclamantes y que, por ende, no pueden ser tenidas en cuenta a la hora de establecer factores agravantes, ni eventualmente la sanción impuesta.” (El subrayado es nuestro) Argumenta a tal fin que: -La SAN citada declaró que: “la AEPD no puede iniciar una revisión general de las conductas que no guarden relación con el contenido concreto de las reclamaciones presentadas, cuando los procedimientos se inician, de acuerdo con el artículo 65.2 del RGPD, como consecuencia de reclamaciones formuladas por determinados hechos. En ese supuesto la AEPD aprovechaba la existencia de reclamaciones centradas en hechos concretos e individuales para iniciar una suerte de revisión general de la actuación de la empresa reclamada.” Reproduce un fragmento de la SAN que invoca. -Que los reclamantes “mostraron su disconformidad única y exclusivamente en lo que respecta a la factura emitida por la prestación de servicios de limpieza en el piso. Es únicamente respecto de ésta que los Reclamantes alegan que no habían sido informados ni habían autorizado el uso de sus datos”. “Sin embargo, nada dicen de la factura referente al suministro y colocación del bombillo de seguridad […]” (El subrayado es nuestro) Reproduce sendos fragmentos de la reclamación y del escrito que la OMIC del Ayuntamiento de ***LOCALIDAD.1 dirige a la reclamada dándole traslado de las alegaciones del consumidor, ahora parte reclamante. (iii) “Otras consideraciones sobre la propuesta de resolución de la AEPD”. La reclamada expone en este epígrafe sus comentarios sobre la posición que, respecto a las circunstancias que operan como agravantes y atenuantes, ha seguido la propuesta de resolución:
13. a)A propósito de la circunstancia del artículo 83.2.a), “alcance o propósito de la operación de tratamiento y número de interesados afectados”, dice que la AEPD apreció como agravante esa circunstancia porque los datos personales de los arrendatarios se comunicaron a dos empresas distintas. Al hilo de tal cuestión alega la existencia en este caso de “operaciones vinculadas” y la posibilidad de que se aprecie también una “unidad de acción”, todo lo cual determinaría la aplicación del artículo 83.3 del RGPD y, a su juicio, por ende, daría lugar a que no puedan apreciarse la agravante sobre la que versan sus comentarios.
14. b)Respecto al grado de responsabilidad: falta de intencionalidad o negligencia. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/51 -Niega que hubiera existido falta de diligencia. Considera que las medidas que tenía adoptadas eran suficientes y denotaban la diligencia observada. Insiste en que en este caso contaba con “hasta dos bases jurídicas legitimadoras del tratamiento”. -Rechaza la aplicación de la SAN de 17/10/2007 (Rec. 63/2006) que se cita en la propuesta de resolución. Entiende que el comentario del tribunal responde a la invocación por la actora de un error de prohibición, cuestión que ella no ha alegado. -Rechaza la aplicación como agravante del artículo 83.2.
15. d)del RGPD. Califica de infundada la alegación que sobre ella se expuso en la propuesta.
16. c)Sobre las atenuantes aplicables. Solicita que se aprecien como atenuantes las circunstancias que invoca, que son las mismas que había invocado en el escrito de alegaciones al acuerdo de inicio como fundamento de su petición de sustitución de la multa por un apercibimiento. Asimismo, reitera su petición para que se tenga en cuenta el principio de “equidad” que conduce a aplicar “de forma “ponderada” y “proporcionada” la norma jurídica correspondiente teniendo en cuenta el “mínimo eventual perjuicio que se haya podido causar al afectado”, toda vez que la sanción establecida en la propuesta de resolución -multa de 40.000€- es “totalmente desproporcionada” si tenemos en cuenta “el calibre del tratamiento realizado” y “el inexistente perjuicio que han sufrido los Reclamantes”. Por último, dice que, en “términos económicos”, el tratamiento realizado ha consistido en la cesión de “unos datos mínimos de dos interesados para que se realice un servicio […] cuyo valor es de 175,45€.” Y “Frente a esta cuantía […] y por el tratamiento realizado la AEPD pretende imponer una sanción de 40.000€”. (El subrayado es nuestro) Anexa con sus alegaciones estos documentos: -1. Con el anagrama de la mercantil reclamada, la liquidación de la fianza correspondiente al piso arrendado. La copia de las facturas de cerrajería y limpieza emitidas a nombre de los arrendatarios en calidad de clientes. -2. Documento que incorpora diversas fotografías de la vivienda . Está firmado por los arrendatarios. -3. Contrato de arrendamiento suscrito el 01/02/2020. -4. Política de Privacidad de la reclamada a la que se accede desde su página web. -5. Registro de Actividades de Tratamiento de la parte reclamada. -6. Relación de los correos electrónicos intercambiados entre la reclamada y el reclamante entre el 31/08/2021 y el 17/09/2021. -7. SAN de 23/12/2022 (Rec. 104/2021). ECLI: ES:AN: 20226460. -8. Escrito firmado electrónicamente a través del cual la OMIC del Ayuntamiento de ***LOCALIDAD.1 traslada a la reclamada las alegaciones del consumidor, actual parte reclamante. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/51 De las actuaciones practicadas en el presente procedimiento y de la documentación que obra en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante y su pareja, doña B.B.B., suscriben en fecha 01/02/2020 el contrato de arrendamiento de una vivienda por mediación de la inmobiliaria MESLLOC, quien interviene en el contrato en calidad de administradora de esa vivienda en virtud del contrato de administración del inmueble que celebró con sus copropietarias. Obran en el expediente la copia del contrato de arrendamiento y el de administración que la reclamada celebró con las propietarias. El contrato de arrendamiento finalizó el 30/08/2021. Obra en el expediente un documento con el membrete de la inmobiliaria reclamada, firmado por el reclamante, que incorpora una declaración de los arrendatarios de fecha 30/08/2021 rescindiendo y dejando sin efecto ese contrato. SEGUNDO: Obran en el expediente, remitidos por la inmobiliaria, los correos electrónicos que se intercambiaron las partes reclamada y reclamante entre los días 31/08/2021 y 17/09/2021: -Enviado el 31/08/2021 por una empleada de la parte reclamada, desde la dirección ***EMAIL.1, dirigido al reclamante a la dirección ***EMAIL.2, con este texto: “Buenos días, (...). Hemos visto que ha cambiado la cerradura de la puerta de entrada que era de seguridad. Por favor, necesitaríamos que nos confirme si lo tiene, si no tendremos que poner uno nuevo y restarlo de la fianza”. -Del 02/09/2021 enviado por el reclamante: “Lo siento, pero no consigo encontrar el cerrojo de la puerta, así que me parece bien que pongan uno nuevo y nos lo descuenten de la fianza.” -La reclamada envía un nuevo correo el 17/09/2021 a las 15.58 con el asunto “devolución de fianza” y este texto: “Buenas tardes, (...). Adjunto el resumen para proceder a la devolución de la fianza. Verá que hemos restado la liquidación del agua, el bombín nuevo y la limpieza. También adjuntamos las fotografías como comprobante del estado del piso. Por favor, necesito que me confirme que el número de cuenta que tengo sea el correcto […]”. -El reclamante responde el 17/09/2021, a las 18:06, con el texto siguiente: “La cuenta es correcta”. (El subrayado es nuestro) TERCERO: Obran en el expediente dos facturas emitidas el 02/09/2021 y el 10/09/2021, en las que constan los datos del reclamante y su pareja, identificados por su nombre, dos apellidos y NIF, en calidad de “clientes”. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/51 i. La factura número 1958 de fecha 02/09/2021 emitida por “ Cerrajería ***EMPRESA.1” correspondiente a un servicio de “Suministro y colocación de bombillo seguridad en puerta entrada vivienda”. En el apartado “Cliente” aparece el nombre y dos apellidos del reclamante y de su pareja. En el apartado “CIF”, consta el NIF del reclamante y el de su pareja, los mismos que figuran en el contrato de arrendamiento. El importe, incluido el 21% de IVA, asciende a 108,90 euros. ii. La factura número 1.360 emitida el 10/09/2021, con fecha de vencimiento 25/09/2021, en la que consta como “Proveedor” “***EMPRESA.2.” seguida de su NIF, por el concepto “Limpieza de piso a fondo”. Como “Cliente” figura en la factura el nombre y los dos apellidos del reclamante y de su pareja y el NIF de ambos. El importe de la factura, incluido el 21% de IVA, asciende a 175,45 euros. CUARTO: El reclamante conoció la existencia de las facturas emitidas a su nombre y al de su pareja, descritas en el Hecho Probado tercero, cuando se las remite la parte reclamada el 17/09/2021 en un archivo PDF, “Archiu_fianca_Finques_Meslloc.pdf”. Archivo que incluía estos documentos: 1.Un documento con el membrete de la inmobiliaria, los datos de identificación de ésta y los datos personales (nombre, un apellido y NIF) del reclamante y de su pareja. En el cuerpo del documento se distinguen estos epígrafes: i. “Datos del piso arrendado”, se incluye la calle, número, planta y localidad en la que se ubica. ii. “Liquidación referente al piso arriba mencionado”. Se incluyen los conceptos “Incasol”, 740€; “Fianza”, 740€; “Limpieza piso” -175,45€; “Agua” -34,64€ y “Factura cambio cerradura” -108,90€. iii. “Total a pagar” y el importe de 1.161,01€. 2. Las facturas emitidas a nombre del reclamante y su pareja que se describen en el Hecho Probado tercero. 3.Fotografías de la vivienda. QUINTO: En fase de prueba se pide a la reclamada que acredite documentalmente que el reclamante y su pareja otorgaron su consentimiento para que ella contratara en su nombre con la cerrajería ***EMPRESA.1 y la empresa de limpieza “***EMPRESA.2”. La reclamada responde: “Acompañamos mail remitido por el denunciante en el que acepta expresamente el cambio de la cerradura y su descuento de la fianza, por lo que entendemos que contiene implícitamente la autorización para la emisión de la factura y respecto a la limpieza y también emisión de factura ya hemos manifestado que tuvimos una conversación telefónica en el que se autorizó su emisión.” (El subrayado es nuestro) SEXTO: La reclamada ha alegado que la comunicación de los datos de los coarrendatarios a terceras empresas tiene su fundamento de licitud en los apartados
17. a)y
18. b)del artículo 6.1 del RGPD. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/51 SÉPTIMO: La reclamada ha manifestado: “Nosotros como parte intermediadora entre el arrendador y el arrendatario, es la que se encarga de hacer cumplir las exigencias contractuales y por tanto la que ofrece la posibilidad de contratar los servicios necesarios para tal fin. Por lo tanto, es habitual que los arrendatarios soliciten dichos servicios adicionales a la Administración de fincas para que se lleven a cabo servicios de reparaciones y mantenimiento de inmuebles, y por consiguiente son servicios que acaba facturando directamente el proveedor de los servicios.” “Cabe recalcar que si MESLLOC no hubiera tenido la conformidad de contratar dichos servicios por parte de los inquilinos, (ya fuera por mail o por teléfono), NO SE HUBIERAN COMUNICADO LOS DATOS PERSONALES DE LOS MISMOS, y en consecuencia no se hubieran emitido sendas facturas objeto de la controversia. En el presente supuesto el reclamante da su conformidad al cambio de bombín, aceptando su responsabilidad y obligación, […]”. OCTAVO: La reclamada ha manifestado (alegación segunda del escrito de alegaciones al acuerdo de inicio): “A continuación pasamos a exponer […] cuál es el procedimiento habitual que se lleva a cabo por parte de la Administradora de fincas para presentar la liquidación económica del inmueble y devolución de la fianza al inquilino cuando se rescinde el contrato de alquiler: 1.-En primer lugar se lleva a cabo una valoración del estado del inmueble y revisión de los suministros. 2.-Posteriormente, se exige a los inquilinos, si es el caso, el importe económico que conlleva reparar los daños (en el supuesto que nos aplica fueron el cambio de cerradura y los servicio de limpieza integral […])” (El subrayado es nuestro) FUNDAMENTOS DE DERECHO I Competencia de la AEPD De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. El artículo 63.2 de la LOPDGDD determina que "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/51 II Disposiciones aplicables El artículo 5 del RGPD, “Principios relativos al tratamiento”, establece: “1. Los datos personales serán:
19. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>) [...] 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD, bajo la rúbrica “Licitud del tratamiento”, determina en su apartado 1 los supuestos en los que el tratamiento de datos es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
20. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
21. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
22. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
23. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
24. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
25. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
26. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 4 del RGPD, “Definiciones”, dispone que, a efectos del presente Reglamento, se entenderá por “2)<<tratamiento>>: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;”. III Sobre la invocada “Extralimitación de la AEPD en la revisión de las conductas de la inmobiliaria MESLLOC” C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/51 Por razones de lógica argumental se examina, en primer término, la supuesta extralimitación de la AEPD a la que alude la reclamada en sus alegaciones a la propuesta de resolución. Afirma que la propuesta de resolución “contradice gravemente la doctrina establecida en la Sentencia de la Audiencia Nacional núm.6460/2022”, de fecha 23/12/2022, ECLI:ES:AN: 2022:6460, cuya copia aporta como documento anexo. Manifiesta que a través de la propuesta de resolución dictada en este procedimiento la AEPD “[…] se extralimita de las capacidades de enjuiciamiento que tiene asignadas para los procedimientos iniciados a instancia de un interesado, tratando de realizar un análisis expansivo que alcance a conductas no denunciadas por los propios Reclamantes y que, por ende, no pueden ser tenidas en cuenta a la hora de establecer factores agravantes, ni eventualmente la sanción impuesta.” (El subrayado es nuestro) Considera que la doctrina fijada en la SAN de 23/12/2022 es aplicable al supuesto sobre el que versa este expedientes sancionador puesto que los reclamantes “mostraron su disconformidad única y exclusivamente en lo que respecta a la factura emitida por la prestación de servicios de limpieza en el piso. Es únicamente respecto de ésta que los Reclamantes alegan que no habían sido informados ni habían autorizado el uso de sus datos”. “Sin embargo, nada dicen de la factura referente al suministro y colocación del bombillo de seguridad […]”. (El subrayado es nuestro) La reclamada reproduce este fragmento de la SAN de 23/12/2022 que, en su opinión, refleja la doctrina de la Audiencia Nacional, Sala de lo Contencioso Administrativo, que la propuesta de resolución habría infringido: “A tal fin, se aduce que la Agencia se limita a aprovechar la existencia de reclamaciones centradas en hechos concretos e individuales, referidas exclusivamente a operaciones de tratamiento de los reclamantes con fines comerciales para iniciar una suerte de revisión general de la actuación de BBVA e instruir un procedimiento que ninguna relación guarda con el contenido de las reclamaciones, hasta el punto de que la resolución no vincula ninguno de sus razonamientos al contenido de dichas reclamaciones. Solo una de las reclamaciones, la correspondiente al reclamante 2 […] Es decir, se aprovecha la existencia de dichas reclamaciones para tramitar una especie de “causa general” algo a lo que expresamente se refiere al tratar de vincular las reclamaciones con “la política general de la entidad en materia de protección de datos” en su Fundamento de Derecho III.” Reproduce también este fragmento de la reclamación presentada en el que el reclamante dice que el 17/09/2021 recibió un archivo pdf “donde se notifica la devolución de la fianza depositada al inicio. Dentro de este archivo, también se notifica el descuento de gastos: [...]]€ de la cerradura; […]€ del agua y […]€ de limpieza. De esta última factura, no nos habían informado de su existencia, ni del coste que tenía, pero, en cambio, en el archivo pdf que nos envían salen como clientes mi nombre y DNI mío y el nombre y DNI de mi pareja, cuando nosotros no hemos autorizado en ningún momento el uso de estos datos. Así pues, considero que se ha vulnerado la normativa vigente en protección de datos, al utilizar en nuestro nombre y C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/51 documentación oficial (DNI) para elaborar una factura sin nuestra autorización y consentimiento [...]” (El subrayado es de INMOBILIARIA MESLLOC) Asimismo, reproduce un fragmento del documento -aportado como número 8 anexo a sus alegaciones- en el que la OMIC del Ayuntamiento de ***LOCALIDAD.1 le traslada las alegaciones del consumidor, ahora la parte reclamante, en las que menciona exclusivamente la factura emitida por el servicio de limpieza. Frente a lo alegado por la parte reclamada han de hacerse algunas precisiones: La primera referente al fragmento de la SAN que ha reproducido, que supuestamente sería exponente de la “la doctrina establecida en la Sentencia de la Audiencia Nacional núm.6460/2022” que considera vulnerada por la propuesta de resolución. Sin embargo, ese fragmento de la sentencia, que procede del Fundamento de Derecho Quinto de la SAN citada, párrafos segundo y tercero, no recoge el parecer o la doctrina de la Sala de la Audiencia que dictó la sentencia, sino la postura de la parte actora. En otras palabras, en ese párrafo el tribunal está reseñando cuáles son los argumentos que aduce la parte demandante, por lo que no refleja cuál es la doctrina del tribunal ni el fundamento de la sentencia dictada por la A.N. La segunda precisión es, que, puesto que la SAN invocada de contrario no es firme, pues ha sido recurrida en casación, y dicha sentencia se remitía, como doctrina a seguir, a otra de la misma Sala y Sección (SAN de 23/04/2019, Rec. 88/2017) parece correcto analizar la pretendida vulneración de la doctrina de la A.N. que se invoca tomando como referente la sentencia en la se había apoyado la SAN citada por la reclamada y actualmente impugnada. La SAN de 23/12/2022 dice en el Fundamento quinto: “Así las cosas, resulta aplicable al caso de autos la doctrina establecida en nuestra sentencia de 29 de abril de 2019. En dicha sentencia hacíamos referencia a los principios del procedimiento […] Por tanto, como dijimos en la tan citada Sentencia de 23 de abril de 2019, considera la Sala que " la AEPD no ha procedido a incoar un procedimiento sancionador, a partir de la denuncia de unos hechos concretos, y en el que respetando los principios que rigen tal procedimiento, haya llegado a una resolución sancionadora después de hacer una valoración razonable de las pruebas". La SAN de 23/04/2019, Rec. 88/2017, en su Fundamento séptimo hace referencia a los principios que informan el procedimiento sancionador, a su regulación y a la jurisprudencia del Tribunal Constitucional (T.C.). En el Fundamento octavo “considera la Sala, que en relación al supuesto que ahora se enjuicia dichos principios no han sido debidamente respetados”. Respecto a las hechos probados dice: “pudiéndose comprobar cómo en los cuatro hechos probados [...], no se incluye la más mínima referencia a las denuncias de los interesados, así como tampoco al resultado de las pruebas por ellos solicitadas o de las demás pruebas practicadas por el instructor, ni C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/51 siquiera se hace ninguna especificación de algún hecho individualizado de los que dieron lugar al inicio de las actuaciones previas de investigación”. En el Fundamento noveno precisa que “los hechos probados de la resolución no resultan ajustados a las exigencias que, a tenor de los principios expuestos, deben respetarse en un procedimiento sancionador.” “En primer lugar porque tales hechos probados, aparecen totalmente desconectados de los hechos denunciados […], prescindiendo totalmente la AEPD del resultado de las investigaciones realizadas a raíz de dichas denuncias, así como de las numerosas pruebas practicadas.” “Otro factor o elemento determinante del procedimiento sancionador, será el de valoración de la prueba, que tampoco se efectúa con claridad en el presente procedimiento”. “En ningún otro momento de la resolución se analizan ni se hace referencia a las concretas denuncias, ni se hace una valoración de las pruebas practicadas en torno a las mismas, […] La resolución no hace ninguna especifica valoración de tales pruebas ni expresa de forma razonable cual fue el resultado de las mismas”. La conclusión de la Sala en esa sentencia de 23/04/2019, Rec. 88/2017, se expone al final de su Fundamento noveno: “En definitiva, considera la Sala que la AEPD, en este caso, no ha procedido a incoar un procedimiento sancionador, a partir de la denuncia de unos hechos concretos, y en el que, respetando los principios que rigen tal procedimiento, haya llegado a una resolución sancionadora después de hacer una valoración razonable delas pruebas, sino que, como ella misma viene a reconocer, ha hecho uso de un procedimiento sancionador, para establecer un criterio interpretativo respecto a las cuestiones planteadas por los denunciantes -el desacuerdo con los criterios ya establecidos por la propia AEPD en un comunicado de prensa- conforme a las directrices del Grupo de Autoridades de protección de datos de la Unión Europea.” (El subrayado es nuestro) Sobre tales premisas es obligado concluir que no existe paralelismo entre los presupuestos que justificaron el pronunciamiento contenido en la SAN de 23/04/2019, en la que se basa la SAN invocada de contrario, que no es firme, y las características del procedimiento sancionador ahora tramitado, en el que fue la reclamación formulada y la documentación que la parte reclamante aportó con ella lo que determinó la apertura del expediente sancionador. Por tanto, no es posible extrapolar al asunto que nos ocupa la doctrina de la Audiencia Nacional recogida en la precitada sentencia. En todo caso la actuación de la Agencia en este procedimiento sancionador es acorde con la LPACAP. Citamos en ese sentido el artículo 88 de la LPACAP, “Contenido”, que dispone: “La resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Cuando se trate de cuestiones conexas que no hubieran sido planteadas por los interesados, el órgano competente podrá pronunciarse sobre las mismas, poniéndolo C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/51 antes de manifiesto a aquéllos por un plazo no superior a quince días, para que formulen las alegaciones que estimen pertinentes y aporten, en su caso, los medios de prueba.” La reclamada basa la pretendida extralimitación de la AEPD en que el reclamante, en su escrito de reclamación, mencionó de manera exclusiva el hecho de que le habían descontado los gastos de limpieza del piso, sobre los que no le habían comentado nada, y habían comunicado sus datos y los de la coarrendataria a la empresa que prestó ese servicio, que emitió una factura con sus datos (nombre, apellidos y NIF) en calidad de clientes. El acuerdo de inicio del procedimiento sancionador se basó en la reclamación presentada y en los documentos aportados con ella por el reclamante. Aportó, además de la factura de la limpieza, la factura de la cerrajería. En ambas facturas aparecían sus datos y los de la coarrendataria en calidad de clientes de las respectivas empresas proveedoras de los servicios. El reclamante aportó también con su reclamación los correos que intercambió con la inmobiliaria, en los que se limitaba a aceptar que se descontara de la fianza el coste de poner un nuevo cerrojo en la vivienda. A tenor de la documentación anexa a la reclamación se observó que la reclamada había comunicado los datos de los coarrendatarios a dos proveedores de servicios y que no existían indicios de que ninguna de las dos comunicaciones estuviera basada en algún motivo de licitud contemplado en el RGPD. En el ejercicio de sus funciones corresponde a la Agencia examinar, a la luz de la documentación que el reclamante aporta, si el tratamiento de sus datos efectuado por la parte reclamada ha sido respetuoso con el RGPD. Por tanto, no ha existido ninguna extralimitación en la actuación de la AEPD sino un cumplimiento diligente de sus funciones sobre la base de la reclamación recibida junto con los documentos que el reclamante aportó con ella. IV Responsable del tratamiento La inmobiliaria MESLLOC trató los datos personales del reclamante y de su pareja en calidad de responsable del tratamiento. El artículo 4.7 del RGPD define el responsable del tratamiento como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento”. Las Directrices 7/2020 del Comité Europeo de Protección de Datos precisan que el concepto de responsable del tratamiento es un concepto funcional, pues su objetivo es asignar responsabilidades en atención al papel real desempeñado por cada parte en el tratamiento efectuado. Las Directrices citadas (epígrafe 12) dicen que “la condición jurídica de «responsable del tratamiento» […] de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» […]Esto implica que la asignación de la función de responsable […] debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/51 consecuencia, no es negociable.” Añaden (epígrafe 13) que el concepto de responsable del tratamiento es un concepto “autónomo” ya que debe interpretarse fundamentalmente con arreglo al Derecho de la Unión en materia de protección de datos y “no debería verse afectado por otros conceptos —con los que a veces colisiona o se solapa— de otros ámbitos del Derecho”. V Determinación de la conducta contraria al RGPD La conducta en la que se concreta la infracción del RGPD de la que se responsabiliza a la inmobiliaria MESLLOC consistió en comunicar los datos personales del reclamante y de su pareja -el nombre, dos apellidos y el NIF- a terceras empresas, quienes emitieron a nombre de ambos, en calidad de clientes, sendas facturas por los conceptos de “suministro e instalación de un bombillo de seguridad en la puerta de entrada de la vivienda” y “limpieza integral”. En ese sentido, obran en el expediente - Hecho Probado tercero- las dos facturas que la cerrajería y la empresa de limpieza emitieron a nombre del reclamante y de su pareja en fechas 02/09/2021 y 10/09/2021, respectivamente. Por tanto, varios días después de que los arrendatarios dieran por finalizado el contrato y entregaran las llaves de la vivienda. No existe controversia sobre el hecho de que fue la inmobiliaria reclamada quien comunicó los datos personales de los coarrendatarios de la vivienda, en cuyo contrato de alquiler intervino como administradora, a la Cerrajería ***EMPRESA.1 y al Proveedor de los servicios de limpieza “***EMPRESA.2.”. La reclamada ha reconocido en varias ocasiones que fue ella quien proporcionó los datos a los empresarios que prestaron los servicios y emitieron las correspondientes facturas, conducta para la cual estima que estaba plenamente legitimada. En los dos escritos presentados ante la AEPD ha reconocido que llevó a cabo tal comunicación: En la respuesta a la solicitud informativa que le dirigió la Subdirección de inspección de la AEPD, previa al inicio del expediente sancionador, afirmó que: “los Sres. [el reclamante] /[la pareja del reclamante] procedieron al cambio de la cerradura de seguridad que tenía el piso por otra nueva de menor calidad por lo que al no proceder a la devolución de la cerradura instalada por la propietaria, acordaron el pago de una cerradura de la misma calidad a cargo de los Sres [el reclamante] /[la pareja del reclamante], motivo por el que se facilitaron sus datos a la empresa suministradora, puesto que la factura fue pagada por los Sres. [el reclamante] /[la pareja del reclamante], si bien descontándolo de la cantidad que en su día entregaron como fianza.” (El subrayado es nuestro) En su escrito de alegaciones al acuerdo de inicio manifestó: “Cabe recalcar que si MESLLOC no hubiera tenido la conformidad de contratar dichos servicios por parte de los inquilinos, (ya fuera por mail o por teléfono), NO SE HUBIERAN COMUNICADO LOS DATOS PERSONALES DE LOS MISMOS, y en consecuencia no se hubieran emitido sendas facturas objeto de la controversia. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/51 En el presente supuesto el reclamante da su conformidad al cambio de bombín, aceptando su responsabilidad y obligación, pero no podemos dejar de preguntarnos qué se esperaba de nosotros, ¿que no comunicáramos los datos a un tercer proveedor? Dicha comunicación es necesaria para llevar a cabo dicho servicios y por consiguiente la emisión de la correspondiente factura. De igual manera se actuó con la empresa de limpieza. Tal vez nuestro error aquí fue no dejar por escrito (al menos por email) la conversación que se mantuvo con [el reclamante]que conocía el estado de la vivienda que entregaba y quería factura para poder actuar con posterioridad. […]”. (Las mayúsculas son de la parte reclamada) VI Infracción del principio de licitud 1. El RGPD exige que todo tratamiento de datos de carácter personal cumpla los principios que establece en su artículo 5, entre ellos el de licitud (artículo 5.1.a). Para que una determinada operación de tratamiento sea lícita deberá estar fundada en alguna –“al menos una”- de las bases jurídicas que relaciona el artículo 6.1 del RGPD. Entre las bases de tratamiento recogidas en el artículo 6.1. del RGPD, sus apartados
27. a)y
28. b)se refieren, respectivamente, al consentimiento del interesado para el tratamiento de sus datos para uno o varios fines específicos y al tratamiento que resulte necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales. La reclamada ha invocado, tanto en su respuesta a la solicitud informativa de la Subdirección de Inspección, como en sus alegaciones al acuerdo de inicio y a la propuesta de resolución, que el tratamiento realizado era lícito y estaba fundado en las circunstancias de los apartados
29. a)y
30. b)del artículo 6.1 del RGPD. Sin embargo, el tratamiento controvertido no está amparado en ninguno de los motivos de licitud previstos en el artículo 6.1. del RGPD, tampoco en los descritos en los apartados
31. a)y b). 2. Como se ha indicado en el curso del procedimiento, no hay duda de que la inmobiliaria MESLLOC, en su condición de administradora de la vivienda arrendada, estaba legitimada en virtud del contrato de arrendamiento celebrado y sobre la base del artículo 6.1.
32. b)del RGPD para tratar los datos personales de los coarrendatarios cuando el tratamiento fuese necesario para el desenvolvimiento y ejecución de ese contrato de arrendamiento. Por tanto, era lícito que MESLLOC tratara los datos de ambos arrendatarios con la finalidad de exigirles, durante la liquidación de la fianza, la indemnización económica de la que eran acreedoras las propietarias del inmueble y que derivaba de las obligaciones que, en virtud del contrato celebrado, nacieron a cargo de los coarrendatarios. Ese y no otro era el tratamiento necesario para el desenvolvimiento o ejecución del mentado contrato de arrendamiento C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/51 A tal efecto debe recordarse que la inmobiliaria MESLLOC tuvo acceso a los datos del reclamante y de su pareja con ocasión del contrato de arrendamiento de una vivienda en el que ella intervino como administradora del inmueble. La inmobiliaria y las propietarias de la vivienda habían celebrado un “contrato de administración” (cuya copia obra en el expediente) en virtud del cual la primera asumía, entre otras, las obligaciones de redactar y firmar el contrato de arrendamiento de la vivienda, depositar la fianza en el Instituto Catalán del Suelo (Incosol) y la elaboración, gestión y cobro de los recibos generados. La inmobiliaria reclamada intervino como parte en el contrato de arrendamiento del que derivan los hechos en calidad de “administradora de la finca arrendada,” actuando en su representación doña D.D.D., quien a su vez estaba habilitada para ejercer las facultades que tenía conferidas el órgano de administración de la sociedad que actúa en el tráfico como Inmobiliaria Meslloc. Así lo acredita el poder que la Administradora única de la mercantil otorgó a favor de doña D.D.D. cuya copia obra en el expediente administrativo. De otra parte, el contrato de arrendamiento del que derivan los hechos examinados estaba sometido a la Ley 29/1994, de 24 de noviembre, de Arrendamientos Urbanos (LAU), de modo que debía regirse por las disposiciones de sus títulos I y IV, que tienen carácter imperativo, por los pactos, cláusulas y condiciones estipulados por las partes en el contrato y, supletoriamente, por las disposiciones del Código Civil. Así pues, eran de aplicación al contrato de arrendamiento celebrado por el reclamante y su pareja las disposiciones del capítulo IV del Título II de la LAU, que versan sobre a los derechos y obligaciones de las partes. Entre las obligaciones que incumben al arrendatario el artículo 21 de la LAU, “Conservación de la vivienda”, establece en el punto 4 que “Las pequeñas reparaciones que exija el desgaste por el uso ordinario de la vivienda serán de cargo del arrendatario.” Por su parte, el artículo 23, “Obras del arrendatario”, prevé en el punto 1, último inciso, que “En ningún caso el arrendatario podrá realizar obras que provoquen una disminución en la estabilidad o seguridad de la vivienda.” Y añade en el punto 2 que “Si, a pesar de lo establecido en el apartado 1 del presente artículo, el arrendatario ha realizado unas obras que han provocado una disminución de la estabilidad de la edificación o de la seguridad de la vivienda o sus accesorios, el arrendador podrá exigir de inmediato del arrendatario la reposición de las cosas al estado anterior.” (El subrayado es nuestro) El contrato de arrendamiento suscrito entre el reclamante y su pareja y la inmobiliaria MESLLOC se limitó a recoger las obligaciones que la LAU impone al arrendatario: la estipulación 7.
33. a)del contrato se refiere a las pequeñas reparaciones que exija el desgaste por el uso ordinario de la vivienda (artículo 21.4 de la LAU) y la estipulación 9.
34. a)a las obras del arrendatario que provoquen disminución de la estabilidad de la edificación o de la seguridad de la vivienda a las que alude el artículo 23 de la LAU. Además, es digno de mención que en el contrato de arrendamiento no se otorgó a las arrendadoras, con el fin de exigir a los arrendatarios el cumplimiento de las obligaciones que nacían del contrato, facultades adicionales a las que les confiere la LAU. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/51 Por tanto, en ejecución del contrato de arrendamiento, las arrendadoras estaban facultadas -y en su nombre la inmobiliaria MESLLOC, por su condición de administradora- a exigir a los coarrendatarios que abonaran el coste de la reparación por el desgaste derivado del uso ordinario de la vivienda (artículo 24.1 de la LAU), como era el coste de la limpieza del piso arrendado, y también a exigirles el cumplimiento de la obligación de hacer a la que se refiere el artículo 23.2 de la LAU: el arrendador podrá exigir del arrendatario “la reposición de las cosas al estado anterior”. El artículo 1098 del Código Civil dice a propósito de las obligaciones de hacer: “Si el obligado a hacer alguna cosa no la hiciere, se mandará ejecutar a su costa.” En ese sentido, el arrendatario y reclamante, ante la imposibilidad de devolver el cerrojo de seguridad de la puerta de entrada respondió afirmativamente a la proposición que le hizo la inmobiliaria a través de correo electrónico: que procedería a poner uno nuevo y lo descontaría del importe de la fianza. En definitiva, el tratamiento que resultaba “necesario” para la ejecución del contrato de arrendamiento se ceñía a exigir a los arrendatarios el importe de la indemnización debida, para lo que, en este caso, bastaba descontar de la fianza depositada su importe. La inmobiliaria así lo hizo, a tenor del documento de liquidación en formato pdf que envió al reclamante, en el que se reflejaba el importe de las dos fianzas depositadas –“Incosol” y “Fianza”- y el de los gastos a deducir –“Limpieza piso”, “Agua” y “Factura cambio cerradura”- y el resultado de la compensación, favorable al reclamante. Cosa distinta es que la reclamada comunicara los datos de los coarrendatarios a empresas proveedoras de servicios en calidad de clientes de tales empresas. Ese tratamiento en ningún caso podía tener su fundamento en el apartado
35. b)del artículo 6.1. del RGPD en conexión con el citado contrato de arrendamiento. El artículo 6.1.
36. b)del RGPD alude al tratamiento que es “necesario” para el desenvolvimiento y ejecución de un contrato (en este caso, el único contrato cuya existencia se ha acreditado es el de arrendamiento) y el término “necesidad” tiene en el Derecho comunitario un significado propio e independiente. El Tribunal de Justicia de la Unión Europea considera que es un “concepto autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C-524/2006, apartado 52) y el Tribunal Europeo de Derechos Humanos afirma que el <<adjetivo necesario no es sinónimo de “indispensable” ni tiene la flexibilidad de las expresiones “admisible, “ordinario”, “útil”, “razonable” o “deseable”>> (apartado 97 de la STEDH 25/03/1983) Por tanto, para hacer efectivos los derechos que nacían del arrendamiento a favor de las arrendadores -y en su representación a favor de la inmobiliaria- no era necesario comunicar los datos de los inquilinos a terceras empresas. 3. En sus alegaciones al acuerdo de inicio la reclamada incurre en cierta contradicción. En tales alegaciones, por una parte, -al hilo de que en el acuerdo de apertura se había advertido que ella no estaba facultada por el contrato de arrendamiento para contratar con terceros proveedores en nombre de los arrendatarios- manifestó lo siguiente (página 7, párrafo segundo, de su escrito): “[…] y siguiendo con otra de las manifestaciones esgrimidas por esta Agencia en relación a que MESLLOC no tenía legitimidad para contratar a nombre de otro, C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/51 queremos aclarar que no se trata de una contratación, sino que se está intermediando. [La inmobiliaria Meslloc] es una empresa constituida para prestar servicios inmobiliarios, por lo que en todos los servicios adyacentes que ofrece, actúa como intermediaria de los mismos.” (El subrayado es nuestro) Y, por otra, en ese mismo escrito de alegaciones hizo reiteradas alusiones a la existencia de sendos contratos entre los arrendatarios y los proveedores de servicios. Así, dijo entre otras cosas: “Cabe recalcar que, si MESLLOC no hubiera tenido la conformidad de contratar dichos servicios por parte de los inquilinos, (ya fuera por mail o por teléfono), NO SE HUBIERAN COMUNICADO LOS DATOS PERSONALES DE LOS MISMOS, y en consecuencia no se hubieran emitido sendas facturas objeto de la controversia.” (Página 3, párrafo quinto segundo inciso). (El subrayado es nuestro) “La Administradora de la fincha ha contado siempre con la conformidad de contratar ambos servicios.” (Página 4, párrafo quinto) “Nosotros como parte intermediadora entre el arrendador y el arrendatario, es la que se encarga de hacer cumplir las exigencias contractuales y por tanto la que ofrece la posibilidad de contratar los servicios necesarios para tal fin. Por lo tanto, es habitual que los arrendatarios soliciten dichos servicios adicionales a la Administración de fincas para que se lleven a cabo servicios de reparaciones y mantenimiento de inmuebles, y por consiguiente son servicios que acaba facturando directamente el proveedor de los servicios.” “Se ha demostrado que para el cambio de bombín el arrendatario acepta expresamente la contratación de dicho servicio, pero sin embargo no está conforme con el importe del servicio de limpieza efectuado. (pero no de la ejecución del servicio en sí).” “En el presente supuesto el reclamante da su conformidad al cambio de bombín, aceptando su responsabilidad y obligación, […] De igual manera se actuó con la empresa de limpieza. Tal vez nuestro error aquí fue no dejar por escrito (al menos por email) la conversación que se mantuvo con [el reclamante]que conocía el estado de la vivienda que entregaba y quería factura para poder actuar con posterioridad. […]”. “[…]Él [el reclamante] estuvo conforme en la contratación de dicho servicio. Evidentemente dicha empresa precisa de los datos personales para emitir su correspondiente factura que sirve como documento para la liquidación de la fianza.” “[…]Además, Inmobiliaria MESLLOC ha contado siempre con el consentimiento de la parte reclamante, ya que acepta la contratación de dichos servicios y conoce perfectamente la finalidad para la cual van a ser cedidos sus datos. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/51 Por lo tanto, entendemos que MESLLOC sí contaba con base legal para su tratamiento y comunicación de datos a los proveedores que prestaron los servicios al amparo del art. 6. 1.a. y 6.1.b. del RGPD.” (El subrayado es nuestro) A la vista de sus alegaciones al acuerdo de apertura, en las que consideró que concurría como fundamento del tratamiento el artículo 6.1.
37. b)del RGPD y reconocía la existencia de la contratación de los servicios con terceros proveedores emisores de las facturas con los datos de los arrendatarios, la Agencia dijo en la propuesta de resolución -después de haber explicado que el tratamiento efectuado no podía ampararse en el artículo 6.1.
38. b)del RGPD en conexión con el contrato de arrendamiento- que, si hubiera podido acreditar que el reclamante y su pareja consintieron que contratase en su nombre con terceras empresas, efectivamente habría que admitir que la base jurídica del tratamiento -la comunicación de sus datos a los terceros, los proveedores de servicios- habría estado constituida por el artículo 6.1.
39. b)del RGPD en conexión con tales contratos (en ningún caso en relación con el contrato de arrendamiento). Pero, como se dijo en la propuesta, la reclamada no había acreditado que el reclamante y su pareja hubieran contratado personalmente con los terceros ni que le hubieran otorgado su consentimiento para que contratara en su nombre con los proveedores de servicios. En fase de prueba se requirió a la reclamada para que demostrara documentalmente que los coarrendatarios le habían autorizado, habían prestado su consentimiento, para que ella tratara sus datos personales con la finalidad de celebrar en su nombre un contrato con la cerrajería y con la empresa de limpieza. La reclamada respondió en estos términos: “Acompañamos mail remitido por el denunciante en el que acepta expresamente el cambio de la cerradura y su descuento de la fianza, por lo que entendemos que contiene implícitamente la autorización para la emisión de la factura y respecto a la limpieza y también emisión de factura ya hemos manifestado que tuvimos una conversación telefónica en el que se autorizó su emisión.” (El subrayado es nuestro) El documento al que alude contiene los correos electrónicos intercambiados entre la reclamada y el reclamante desde las direcciones ***EMAIL.1 y ***EMAIL.2, respectivamente, desde el 31/08/2021 y el 17/09/2021 (ver hecho probado tercero) La única prueba que la reclamada ha aportado ha consistido en los correos electrónicos que intercambió con el reclamante respecto a la cerradura de la vivienda. En esos mensajes el reclamante, además de confirmar que no había logrado encontrar la cerradura original de la vivienda, asiente a la opción propuesta por la reclamada: poner una nueva cerradura y “descontarla” de la fianza. La respuesta del reclamante al correo electrónico no prueba que él y su pareja hubieran otorgado a la reclamada su consentimiento para que tratara sus datos con la finalidad de celebrar un contrato en su nombre con la cerrajería, pese a que la C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/51 reclamada estima que de los correos intercambiados se “entiende” que “contiene implícitamente la autorización para la emisión de la factura”. Consideramos que los correos electrónicos únicamente prueban que el arrendatario asumió la obligación derivada del contrato de arrendamiento, del que fue parte, de indemnizar a las arrendadoras, obligación que se cumple al descontar la reclamada de la fianza depositada el importe de la indemnización debida a las arrendadoras, de conformidad con las estipulaciones contractuales que coinciden con las disposiciones de la LAU. A propósito del pretendido consentimiento que los coarrendatarios habrían otorgado a la inmobiliaria reclamada para que contratara en su nombre con los proveedores de servicios, hemos de aludir a otras alegaciones que la reclamada ha venido haciendo en ese sentido: “La finalidad del tratamiento declarada e informada en la política de privacidad de la web corporativa es la prestación de servicios inmobiliarios entre los que se incluyen la comunicación de datos a proveedores industriales cuando sea necesario para la prestación de algún servicio solicitado.” Que “es habitual que los arrendatarios soliciten dichos servicios adicionales a la Administración de fincas para que se lleven a cabo servicios de reparaciones y mantenimiento de inmuebles, y por consiguiente son servicios que acaba facturando directamente el proveedor de los servicios.” La política de privacidad de la web (cuya copia aporta como documento anexo a sus alegaciones la propuesta de resolución) dice en el punto 3. “Gestión inmobiliaria y otros servicios”. “La finalidad del tratamiento es la gestión de clientes relacionada con los servicios que ofrece la empresa (gestión inmobiliaria, compraventa y alquileres) y que puedes ver con detalle en la web. • La base legal para el tratamiento es el consentimiento que se considera otorgado con la petición de información y la entrega voluntaria de sus datos así como con la existencia de una relación contractual.” En el Registro de Actividades de Tratamiento (RAT) de la inmobiliaria, cuya copia aporta con sus alegaciones a la propuesta, consta en relación con el tratamiento de datos de “Clientes” que los fines del tratamiento son la “Gestión de las relaciones comerciales y profesionales establecidas con los clientes y contactos. Administración de fincas y otros servicios: gestión inmobiliaria, seguros.” Y como “Base legal del tratamiento” consta “Relación contractual.” Así pues, la base jurídica a la que se alude en el RAT y en la política de privacidad es una relación contractual cuya existencia debe probarse. Por lo que atañe a la contratación con la cerrajería, los correos electrónicos aportados, en los que el reclamante asiente a la opción que le ofrece la inmobiliaria de descontarle de la fianza el importe de un nuevo cerrojo, ya que no puede encontrar el original que tenía la vivienda, no acreditan que hubiera consentido que la reclamada celebrara en su nombre un contrato con un tercero, el proveedor de ese servicio. Respecto a la contratación del servicio de limpieza la reclamada no ha podido aportar ninguna prueba, ni siquiera un indicio, que demuestre el supuesto consentimiento de C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/51 los coarrendatarios a tal contratación. Se ha limitado a manifestar que en una llamada telefónica (cuya grabación no ha aportado) la parte reclamante le exigió una factura, de lo que ella infiere que le otorgó el consentimiento a una contratación en su nombre con un tercero para que prestara ese servicio. Llegados a este punto es preciso subrayar que, a tenor del artículo 5.2. del RGPD, que introduce el principio de responsabilidad proactiva, el responsable del tratamiento debe cumplir los principios establecidos en el artículo 5.1 y estar en condiciones de demostrar su cumplimiento. Se traslada al responsable del tratamiento la carga de acreditar que la comunicación a las empresas de los datos personales del reclamante y de su pareja (los arrendatarios) estaba amparado en alguno de los motivos de licitud del tratamiento descritos en el artículo 6.1 del RGPD. Y, si como aquí ocurre, se invoca como fundamento del tratamiento controvertido el apartado
40. b)del artículo 6.1 del RGPD, la reclamada ha de poder demostrar que los arrendatarios consintieron celebrar un contrato con los terceros proveedores en el que la inmobiliaria intervino en su nombre. Sin embargo, la reclamada no ha facilitado elementos de prueba ni indicios del supuesto consentimiento de los arrendatarios a la contratación de los servicios con las empresas proveedoras; contrato sobre el que fundar el tratamiento controvertido en conexión con el motivo de licitud del artículo 6.1.
41. b)del RGPD cuya concurrencia en estos hechos invoca. 4.En sus alegaciones a la propuesta de resolución la reclamada reitera que el tratamiento efectuado era lícito y estaba amparado en las circunstancias de los apartados
42. a)y
43. b)del artículo 6.1. del RGPD, pero afirma esta vez que la base jurídica del apartado
44. b)del artículo 6.1 se funda en el contrato de arrendamiento. Dedica a esta cuestión la alegación segunda de su escrito frente la propuesta de resolución, que lleva este título: “Los datos de los inquilinos eran necesarios para la ejecución del contrato de arrendamiento” (El subrayado es nuestro) En ese epígrafe expone que, a juicio de la Agencia, la ejecución del contrato de arrendamiento únicamente facultaba al arrendador, o en su caso a su apoderado, “a exigir a los arrendatarios el abono de una cantidad de dinero, pues las disposiciones de la LAU aluden a que “serán de cargo del arrendatario” las pequeñas reparaciones o que la reposición al estado anterior se mande hacer a su costa” (artículos 21.4 y 23.2 de la LAU en relación con el artículo 1.098 del Código Civil”. Y añade: “En consecuencia, sostiene esta Agencia que la actuación de la inmobiliaria no estaba basada en las facultades que la LAU y el contrato de arrendamiento otorgaban al arrendador para hacer valer sus derechos, por lo que el tratamiento de datos personales efectuado, excedía de la ejecución del contrato”. La reclamada disiente de lo manifestado por la Agencia en la propuesta de resolución y ofrece este único argumento: C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/51 “No obstante, olvida la AEPD que INMOBILIARIA MESLLOC, como parte intermediadora entre el arrendador y el arrendatario, es la que se encarga de hacer cumplir las exigencias contractuales y por tanto la que ofrece la posibilidad de contratar los servicios necesarios para tal fin. Por lo tanto, es habitual que los arrendatarios soliciten dichos servicios adicionales a la Administración de fincas para que se lleven a cabo servicios adicionales de reparación y mantenimiento de inmuebles, y por consiguiente son servicios que acaba facturando directamente el proveedor de los servicios. Para ello, inmobiliaria MESLLOC es consciente de que los entonces arrendatarios tenían que aceptar la contratación de dichos servicios, motivo por el que la inmobiliaria se puso en contacto con ellos para solicitarles dicha autorización. A esta cuestión sobre el consentimiento prestado por las partes para la contratación de los servicios de cerrajería y limpieza nos referimos en la Alegación Tercera.” (El subrayado es nuestro) En este párrafo la reclamada (
45. i)reconoce que se celebraron contratos con los proveedores de servicios;(
46. ii)alega que solicitó a los coarrendatarios su consentimiento para celebrar esos contratos (“inmobiliaria MESLLOC es consciente de que los entonces arrendatarios tenían que aceptar la contratación de dichos servicios, motivo por el que la inmobiliaria se puso en contacto con ellos para solicitarles dicha autorización.”); (iii) que ella, por su condición de administradora del inmueble, tiene la facultad de hacer cumplir a los arrendatarios las obligaciones que nacen a su cargo del contrato de arrendamiento suscrito y, conectada con esa facultad para hacer cumplir las obligaciones que incumben a los arrendatarios, (
47. iv)dice que la inmobiliaria “ofrece la posibilidad de contratar los servicios necesarios para tal fin.” El alcance de la circunstancia legitimadora del tratamiento descrita en el apartado
48. b)del artículo 6.1 del RGPD se ciñe a aquel tratamiento que estrictamente sea necesario para el desenvolvimiento y ejecución del contrato en cuestión. Y, en este caso, el tratamiento necesario para la ejecución del contrato de arrendamiento se agota con el abono a las arrendadoras del importe de la indemnización debida, lo que se efectúa descontando del importe de las fianzas -cuya finalidad es precisamente constituir una garantía en favor del propietario de que el inquilino cumplirá las obligaciones que nacen a su cargo del contrato suscrito- el de la indemnización debida. Por tanto, no puede operar como fundamento de licitud del tratamiento sobre el que versa este procedimiento la base jurídica del apartado
49. b)del artículo 6.1 del RGPD en conexión con el contrato de arrendamiento de la vivienda. De lo expuesto en los subapartados 3 y 4 precedentes hemos de concluir que no existen elementos de prueba ni indicios sobre los que sustentar que el tratamiento controvertido estaba basado en el motivo de licitud del artículo 6.1.
50. b)del RGPD. No es admisible conectar esa circunstancia con el contrato de arrendamiento -único contrato del que fueron parte el arrendatario y su pareja cuya existencia ha quedado acreditada- habida cuenta de que el tratamiento efectuado excede del que es necesario para la ejecución y cumplimiento de dicho contrato. Y tampoco puede fundarse el tratamiento en el artículo 6.1.
51. b)en conexión con unos contratos, los celebrados con los proveedores de servicios, que la reclamada afirma que los arrendatarios suscribieron por su mediación, ya que no ha aportado ninguna prueba que demuestre que los titulares de los datos consintieron que celebrase en su nombre tales contratos. Los argumentos que la inmobiliaria reclamada ha esgrimido en ese C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/51 sentido no prueban ni son indicio del pretendido consentimiento otorgado por los arrendatarios con esa finalidad. 5. La reclamada ha alegado que “los reclamantes prestaron válidamente el consentimiento para el tratamiento” y afirma que el tratamiento efectuado estaba amparado en la base jurídica del artículo 6.1.
52. a)RGPD. Dice sobre el particular: “El RGPD exige que el consentimiento sea “inequívoco” lo que supone que se preste mediante una manifestación del interesado o mediante una clara acción afirmativa. […]. Este consentimiento existe cuando el usuario debe decir explícitamente que sí o que no, pero en cualquier caso debe realizar una acción. Por lo tanto, no cabe duda que el Sr. [el reclamante] sí que aceptó la contratación de ambos proveedores de servicios y por consiguiente que de dicho tratamiento resultasen la emisión de facturas. Parece absurdo pensar que dichos proveedores no emitirían facturas en su nombre […] La cesión que se ha realizado era necesaria para contratar los servicios con los proveedores, que son quienes aceptan la realización de los servicios de limpieza y servicios de reparación de la vivienda y para que el arrendatario tuviese los documentos a su nombre que acrediten el pago y los conceptos descontados.” (El subrayado es nuestro) Según el razonamiento que la reclamada ofrece en los párrafos transcritos el consentimiento de los arrendatarios al que alude, y que invoca como fundamento jurídico del tratamiento controvertido en conexión con el apartado
53. a)del artículo 6.1 del RGPD, consiste en un consentimiento a la contratación con los terceros proveedores de los servicios. De modo que su razonamiento nos remite nuevamente a la base jurídica del artículo 6.1.
54. b)del RGPD. No obstante, damos respuesta a los argumentos que expone. Esto pese a que, como decimos, la mayoría de ellos aluden a la existencia de un contrato entre los arrendatarios y los proveedores de servicios. La base jurídica del apartado
55. a)del artículo 6.1. del RGPD dice “el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos”. Y el artículo 4.11 del RGPD define consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. El consentimiento que operaría como base de licitud del tratamiento es el consentimiento de los afectados para la cesión de sus datos a las empresas proveedoras de los servicios. La reclamada, al invocar el consentimiento como base jurídica del tratamiento ha manifestado que lo que prueba que los coarrendatarios “sí aceptaron la contratación de ambos proveedores de servicios” son los correos electrónicos que intercambió con C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/51 el reclamante y ha criticado el alcance que la AEPD atribuye a la manifestación que el reclamante hace en su mensaje electrónico enviado el 02/09/2021. Respecto a lo manifestado por el reclamante en su mensaje de fecha 02/09/2021 y al alcance que le atribuye la Agencia, cabe indicar que en el correo que la reclamada envió al reclamante el 31/08/2021 le preguntó si conservaba en su poder la cerradura de la puerta de entrada -habida cuenta de que los coarrendatarios la habían cambiado-, ya que de no ser así “tendremos que poner uno nuevo y restarlo de la fianza”. El reclamante respondió el 02/09/2021 que no había logrado encontrar la cerradura y añadió “[…] así que me parece bien que pongan uno nuevo y nos lo descuenten de la fianza”. En su mensaje el reclamante se limita a afirmar que le parece bien que pongan un nuevo bombín o cerrojo y lo descuenten de la fianza. Ni en su respuesta, ni menos aún en la pregunta, existe mención a la contratación con terceras empresas de servicios, por lo que no hay elementos de juicio para deducir de esa respuesta que en ella confirma la contratación con una tercera empresa o que consiente la cesión de sus datos personales a las empresas prestadoras de los servicios. La reclamada dice, además: “Pues bien, en nuestro caso, la INMOBILIARIA MESLLOC sí se ha preocupado de preguntar con carácter previo a los Reclamantes si los mismos estaban de acuerdo con la contratación de los servicios de cerrajería, a expensas de la fianza depositada con motivo de su arrendamiento, siendo la respuesta afirmativa como puede observarse en los emails aportados.” (El subrayado es nuestro) Sin embargo, tales afirmaciones -que, por lo demás, la reclamada ha hecho en diversas ocasiones en su escrito- no se ajustan a la verdad. La reclamada no ha aportado ninguna prueba ni indicio de los que resulte que ella “se ha preocupado de preguntar con carácter previo a los Reclamantes si los mismos estaban de acuerdo con la contratación de los servicios de cerrajería”. Del mismo modo que, en contra de lo que afirma, no obra en el expediente ningún elemento que acredite que los coarrendatarios “sí aceptaron la contratación de ambos proveedores de servicios”. Una vez más es necesario recordar que se requirió en fase de prueba a la entidad reclamada para que acreditara documentalmente esos extremos y que su respuesta fue remitirnos la copia (que ya obraba en poder de la AEPD) de los correos electrónicos que se intercambiaron el reclamante y la reclamada. Reiteramos que el único documento aportado sobre la supuesta contratación con la cerrajería ***EMPRESA.1 en nombre de los arrendatarios -ya que de la contratación a nombre de los reclamantes con la empresa de limpieza no ha aportado más que su “manifestación” sobre una supuesta conversación telefónica- fueron los tantas veces citados correos electrónicos, en particular el que ella envía el 31/08/2021 y la respuesta del reclamante de fecha 02/09/2021. En definitiva, pese a que incumbe a la reclamada la carga de probar que el tratamiento estaba amparado en la base jurídica que invoca como fundamento de licitud, no obra en el expediente ningún elemento de juicio que permita concluir que en el tratamiento controvertido concurría la circunstancia del apartado
56. a)del artículo 6.1 del RGPD. C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/51 6.Se hacen unas últimas consideraciones a propósito de otras manifestaciones de la parte reclamada en el curso del procedimiento. La entidad estima que el tratamiento controvertido estaba justificado porque era el medio de que los arrendatarios dispusieran de una factura. Sin embargo, en un asunto como el que nos ocupa, en el que el pago efectuado por los arrendatarios tenía por objeto abonar al arrendador el importe de la indemnización derivada de las obligaciones que nacen del contrato, las arrendadoras, en este caso su administradora, venía obligada a documentar la liquidación de la fianza desglosando los conceptos descontados. Y así lo hizo a través del documento de liquidación que remitió al reclamante. La reclamada ha manifestado también que sigue de forma “habitual”, en casos de liquidación de la fianza como es el supuesto en el que acontecieron los hechos de los que deriva este procedimiento sancionador, el siguiente procedimiento: “A continuación pasamos a exponer […] cuál es el procedimiento habitual que se lleva a cabo por parte de la Administradora de fincas para presentar la liquidación económica del inmueble y devolución de la fianza al inquilino cuando se rescinde el contrato de alquiler: 1.-En primer lugar se lleva a cabo una valoración del estado del inmueble y revisión de los suministros. 2.-Posteriormente, se exige a los inquilinos, si es el caso, el importe económico que conlleva reparar los daños (en el supuesto que nos aplica fueron el cambio de cerradura y los servicio de limpieza integral […])” (El subrayado es nuestro) El procedimiento al que alude en sus alegaciones, que califica de “habitual”, está en consonancia y es acorde con las facultades que le confiere el contrato de arrendamiento. Sin embargo, es incompatible con el modus operandi seguido en el supuesto de hecho que nos ocupa y con los argumentos que ha utilizado para defender la licitud del tratamiento efectuado. Según el “procedimiento habitual” que describe, con ocasión de la liquidación del contrato, la reparación de los daños da lugar a exigir al inquilino un importe económico, y no, como ha venido defendiendo, la contratación en su nombre de unos servicios con terceros proveedores a fin de que lleven a cabo las reparaciones. Como conclusión de este Fundamento VI, en consideración a cuanto antecede, se estima acreditado que la inmobiliaria reclamada comunicó los datos personales del reclamante y de su pareja a terceras empresas, que emitieron sendas facturas a nombre de ambos en calidad de clientes, sin que ese tratamiento tuviera su fundamento en alguno de los motivos de licitud del artículo 6.1 del RGPD. El no haber adoptado las medidas adecuadas y eficaces para evitar el tratamiento ilícito es lo que integra el elemento culpabilístico de la infracción. VII Tipificación C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/51 La comunicación que la reclamada hizo a terceras empresas, proveedores de servicios, de los datos personales del reclamante y de su pareja constituyó un tratamiento de datos contrario al principio de licitud. Por tanto, se responsabiliza a la inmobiliaria MESLLOC de una infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5.
57. a)del RGPD, precepto que establece: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
58. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGDD clasifica las infracciones del RGPD, a los solos efectos de determinar su plazo de prescripción, en leves, graves y muy graves. El artículo 72 de la LOPDGDD considera infracción muy grave la vulneración del artículo 6.1 del RGPD. El precepto dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: [...]
59. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” VIII Multa administrativa 1.El artículo 70.1 de la LOPDGDD dispone que quedan sujetos al régimen sancionador del RGPD y de la citada ley orgánica “los responsables de los tratamientos”. El artículo 58.2 del RGPD, apartados
60. a)a j), menciona los poderes correctivos que se atribuyen a la AEPD como autoridad de control, entre ellos la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD, apartado i), y dirigir un apercibimiento, apartado b). 2. En sus alegaciones al acuerdo de inicio la reclamada solicitó a la AEPD que la sanción de multa administrativa anunciada en él se sustituyera por un apercibimiento. En la propuesta de resolución se rechazó tal petición y se dijo: “El considerando 148 del RGPD dice a propósito del apercibimiento: “[…]. En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/51 responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante. […]”. En el supuesto analizado ni la responsable de la infracción es una persona individual, sino jurídica, ni la infracción cometida es leve sino grave, tal y como se calificó en el acuerdo de apertura.” 3. En sus alegaciones a la propuesta de resolución la reclamada solicita que la AEPD reduzca el importe de la sanción de multa al “mínimo indispensable”. Expone los muy extensos argumentos en los que funda esta petición a través de dos alegaciones o epígrafes (cuarto y sexto de su escrito de alegaciones) que, en síntesis, se ocupan de estas cuestiones: (A) La alegación cuarta se centra en intentar desvirtuar, a la luz de las Directrices 4/2020 del CEPD, la calificación de la infracción del RGPD de la que se le responsabiliza como “grave”. (B) La sexta se centra en el análisis y posterior rechazo de las circunstancias modificativas de la responsabilidad que se apreciaron como agravantes en la propuesta de resolución y en las atenuantes que invoca. (A) La reclamada considera que la sanción de multa propuesta -40.000€- es “desproporcionada”. Examina los criterios que las Directrices 4/2022 del Comité Europeo de Protección de Datos (CEPD) establecen para el cálculo de multas administrativas bajo el RGPD. Se centra, en particular, en los criterios en virtud de los cuales se determina la gravedad de las infracciones. A tenor de las Directrices, la Autoridad de Control apreciará la gravedad de una infracción tomando en consideración las circunstancias descritas en los apartados a),
61. b)y
62. c)del artículo 83.2 del RGPD. Analiza la aplicación de esas circunstancias al supuesto de hecho que nos ocupa y concluye que, en caso de que la AEPD resuelva que se ha producido una infracción del artículo 6.1 del RGPD “el nivel de gravedad aplicable a la conducta realizada debe ser bajo”. En consecuencia, no procedería imponer, por ser contraria al principio de proporcionalidad, la sanción de multa que se estableció en la propuesta (“y por ende, la sanción dispuesta en la Propuesta de Resolución no puede entenderse proporcionada, ni efectiva ni disuasoria”) Argumenta a ese respecto, en síntesis, lo siguiente:
63. a)En cuanto a la circunstancia descrita en el apartado
64. a)del artículo 83.2 del RGPD la naturaleza, gravedad y duración de la infracción- las Directrices 4/2020 dicen: “La autoridad de control podrá revisar el interés que la disposición infringida pretende proteger y el lugar de esta disposición en el marco de la protección de datos. Además, la autoridad de control puede considerar el grado en que la infracción prohibió la C/ Jorge (...), 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/51 aplicación efectiva de la disposición y el cumplimiento del objetivo que pretendía proteger.” La reclamada afirma que “en ningún caso podría llegar a entenderse que las acciones de [la reclamada] prohibían de forma grave la aplicación del principio de licitud, más cuando se amparaban en dos bases jurídicas (la ejecución del contrato y el consentimiento de los interesados) para llevar a cabo el tratamiento”. “Por tanto, en caso de que se estimase que […] ha perpetrado una infracción del artículo 6.1 del RGPD, el grado en que la infracción prohíbe la aplicación efectiva de la disposición debe ser bajo”. (El subrayado es nuestro) Este argumento solo puede calificarse de inconsistente. En ese razonamiento, lo que lleva a la reclamada a concluir que el grado en el que la infracción cometida prohibiría la aplicación de la disposición vulnerada es “bajo”, es, según sus palabras, que el tratamiento “se amparaba en dos bases jurídicas”. En definitiva, se pretende justificar que la gravedad de la conducta infractora sería baja en atención a elementos que no están probados, pues es precisamente el hecho de que, respecto al tratamiento efectuado, no concurría ninguna base jurídica, tampoco las dos invocadas de contrario, lo que determina la vulneración del artículo 6.1 del RGPD. Critica que se aprecie como agravante el que se hubieran tratado los datos de dos personas, los dos coarrendatarios. Dice que el tratamiento ha afectado “solo a dos interesados”, pero no nos encontramos ante “un incumplimiento sistémico ni generalizado”. Siendo cierto que no nos encontramos ante un incumplimiento sistémico, o al menos no está acreditado, sí lo está que el tratamiento versó sobre los datos de dos personas físicas, por lo que no se puede valorar con la misma gravedad el tratamiento realizado en este caso que el tratamiento que verse sobre un único interesado. Las Directrices aluden en ese sentido al “número de interesados concretos pero también potencialmente afectados. [..]. Cuanto mayor sea el número de interesados implicados, más peso podrá atribuir a este factor la autoridad de control.”
65. b)Circunstancia del apartado b, del artículo 83.2. del RGPD: el carácter intencionado o negligente de la infracción. Manifiesta que ha actuado “cumpliendo los estándares de diligencia propios de su sector de actividad” y que no ha habido intencionalidad de vulnerar el RGPD. La reclamada justifica el tratamiento efectuado -que vulnera el artículo 6.1 del RGPD, como se explica en el Fundamento VI- en que su actuación era acorde con el estándar de diligencia seguido en el sector al que pertenece. Sin embargo, a la luz del resultado de las pruebas practicadas la parte reclamada no observó la diligencia a la que está obligada por el RGPD: cumplir las obligaciones que le impone este Reglamento, por lo que ahora interesa el principio de licitud, pudiendo demostrar, mediante la aplicación de las medidas que fueran indispensables para ello, que en el tratamiento efectuado observó este principio. Sobre su voluntad de cumplir con las disposicione