1/6 Procedimiento Nº: PS/00150/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0150/2021, instruido por la Agencia Española de Protección de Datos, a la entidad, JUBASER DE CONTROL, S.L., con CIF.: B93306736, (en adelante, “la parte reclamada”), por presunta infracción del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD); Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (LOPDGDD) y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 23/11/20, tuvo entrada en esta Agencia, escrito presentado por A.A.A., (en adelante, “la parte reclamante”), en el que indicaba, entre otras, lo siguiente: “Se realizó una reserva a través del portal booking.com, en el establecimiento Marbella Resorts S.L. (Guadalpín Suites). Tras abandonar el establecimiento en la fecha indicada, el día 17 de junio se recibe unos WhatsApp, donde le advierten que han encontrado su DNI junto con información personal suya, en una página de contactos para adultos. Se presenta denuncia ante Dirección General de la Policía, de Torremolinos y se levanta acta ante el Notario sobre las diferentes publicaciones. Se dirige solicitud de acceso frente al responsable del tratamiento de los datos del establecimiento hotelero, quien la informa de lo siguiente: “El día del incidente, cuando se realiza check-in, fuera del horario de apertura del establecimiento, la recepción se encontraba cerrada y quien realiza el escaneo del DNI de la afectada es el conserje de la empresa contratada por la comunidad de vecinos del edificio, donde se encuentra radicado el establecimiento hotelero, para gestionar la entrada/salida fuera del horario de apertura en el edificio. La empresa contratada para este servicio es JUBASER DE CONTROL, S.L. Esta empresa no tiene ninguna vinculación con el establecimiento hotelero (Marbella Resorts SL- Guadalpín Suites), solamente con la comunidad de vecinos del edificio”. SEGUNDO: Con fecha 29/01/21, por parte de esta Agencia se dirigió requerimiento informativo al establecimiento hotelero, Marbella Resorts SL, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. TERCERO: Con fecha 03/02/21, por parte de esta Agencia se dirigió requerimiento informativo a entidad encargada del control nocturno del edificio, Jubaser de Control SL., de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. CUARTO: Con fecha 22/02/21, el establecimiento hotelero, Marbella Resorts SL. envía a esta Agencia escrito de contestación al requerimiento realizado, en el cual, indicaba, entre otras, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 “(…) La reclamante se alojó en nuestros apartamentos, la noche del 6 de junio de 2020 (sábado) y que la hora de la llegada de la reclamante fue sobre las 20:00, como ella misma nos informa. - En el momento de la llegada de la reclamante la recepción de nuestros apartamentos se encontraba cerrada, por lo que, la persona que atendió a la reclamante no es trabajador de nuestra entidad, sino del servicio de conserjería contratado por la comunidad de propietarios del edificio (…)”. QUINTO: Con fecha 04/03/21, la entidad, Jubaser de Control SL., envía escrito de contestación al requerimiento realizado por esta Agencia, en el cual, entre otras, indicaba: “JUBASER DE CONTROL SL es una empresa de servicios generales a empresas y particulares concretamente presta un servicio de control de entrada y salida de personas (servicio de conserjería) en el edificio sito en AVD. PRÍNCIPE ALFONSO HOHENLOHE SIN, CTRA. NAC, 340, KM.179 de la localidad de MARBELLA 8 COMUNIDAD DE PROPIETARIOS HOTEL DE APARTAMENTOS GUADALPIN DE MARBELLA. El mencionado edificio se encuentra destinado a usos hoteleros mediante un contrato de prestación de servicios de operación hotelera suscrito entre la COMUNIDAD DE PROPIETARIOS y MARBELLA RESORT SL. JUBASER DE CONTROL SL presta sus servicios a COMUNIDAD DE PROPIETARIOS HOTEL DE APARTAMENTOS GUADALPIN DE MARBELLA conforme a lo estipulado en el correspondiente contrato firmado entre ambas partes. el cual se adjunta a este escrito como DOC.
- JUBASER DE CONTROL SL no ha tenido conocimiento alguno de la incidencia que ha originado la reclamación ya que esta empresa no conserva información de ningún tipo de las personas que han accedido o acceden al edificio, limitándose a actuar bajo las instrucciones de nuestro cliente que es la Comunidad de Propietarios. Se adjunta contrato de encargo de tratamiento firmado con la comunidad de propietarios y documentación de información a los empleados donde, entre otras cuestiones, se recoge la obligación de confidencialidad y deber de secreto en relación con cualquier información a la que puedan tener acceso durante el desempeño de sus funciones. Se dispone de un protocolo de actuación respecto al tratamiento de datos personales que marca la política de privacidad de esta empresa. el cual se adjunta a este escrito como documento DOC.
- Se tiene contratados los servicios de una consultora de protección de datos para la adaptación de nuestra entidad a la normativa de protección de datos vigente tal y como se recoge en el documento DOC.
- Se ha procedido a revisar la documentación reguladora de la relación mantenida con la comunidad de propietarios, conforme a la cual se ha prestado el servicio siguiendo las instrucciones dadas por la Comunidad. Se ha procedido a revisar la información facilitada a los empleados en relación con el tratamiento de datos personales. Se tiene contratados los servicios de una consultora de protección de datos para su adaptación al RGPD y demás normativa de protección de datos aplicable en cada moC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 mento. habiéndose realizado revisiones periódicas de su implantación con dicha consultora en junio de
- junio de 2019 y julio de 2020”. SEXTO: Con fecha 30/03/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al considerar que la respuesta dada por la parte reclamada a esta Agencia en relación con los hechos indicados no acredita la licitud para el tratamiento de los datos personales de la reclamante. SÉPTIMO: Con fecha 07/06/21, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por infracción del artículo 6 del RGPD, con una sanción inicial de 5.000 euros, (cinco mil euros), por el presunto tratamiento ilícito realizado de los datos personales de la reclamante. OCTAVO: Notificado el acuerdo de inicio a la entidad reclamada, ésta mediante escrito de fecha 22/06/21, formuló, en síntesis, las siguientes alegaciones: “JUBASER DE CONTROL nunca ha escaneado el DNI de la afectada ni de ningún interesado cuyo Responsable del tratamiento sea Marbella Resorts S.L. (Guadalpín Suites). Solo realiza operaciones de tratamiento sobre los datos personales de interesados cuyo responsable del tratamiento es la COMUNIDAD DE PROPIETARIOS HOTEL DE APARTAMENTOS GUADALPIN DE MARBELLA. De hecho. a este escrito de alegaciones acompañamos otro escrito que nos ha enviado la Comunidad de propietarios para la cual trabajamos, en el que expresamente se señala que "JUBASER DE CONTROL no escanea el DNI. de los clientes del establecimiento hotelero “y, por lo tanto, en ningún momento el personal de JUBASER DE CONTROL realizó ninguna operación de tratamiento con los datos personales de la denunciante, ni escaneando, ni recogiendo, ni almacenando sus datos personales. Lo que ocurrió realmente el día en que la denunciante se presentó en el establecimiento, fue que la denunciante dijo que tenía reservado un apartamento del hotel y, sin recoger ningún tipo de dato personal de ella (por los motivos antes expuestos) se le facilitó la llave de dicho apartamento. El check-in, seguramente se realizaría (y decimos seguramente porque no conocemos con certeza el momento ya que nosotros no lo hicimos) por la mañana del día siguiente, cuando ya estuviera abierto el servicio de recepción por parte de Marbella Resorts S.L. (Guadalpin Suites). En este sentido, entendemos que si la Agencia solicita a Marbella Resorts S.L. (Guadalpin Suites) el documento del registro donde se recogen los datos personales de los huéspedes de los apartamentos. y más concretamente el del registro de la denunciante, podrá comprobar que es un documento privado de dicha entidad y realizado por personal de dicha entidad. A mayor abundamiento, para tratar de demostrar todo cuanto señalamos, nos hemos permitido el lujo de revisar la web propiedad de Marbella Resorts S.L. (Guadalpin Suites) y en la información al usuario en el proceso de reserva de uno de sus apartamentos, señalan textualmente que “si su llegada es posterior al horario de oficina, podrá recoger las llaves en conserjería en la planta baja”. hecho que viene a acreditar que realmente lo que ocurrió en dicha fecha fue precisamente eso, que se le facilitaron las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 llaves del apartamento, y fue posteriormente a través de personal de Marbella Resorts S.L.(Guadalpin Suites) cuando se hizo el check-in”. NOVENO: Con fecha 04/08/21, por parte de esta Agencia, se inició el período de práctica de pruebas, acordándose, dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/10493/2020 y dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00150/2021, presentadas por la entidad denunciada. DÉCIMO: Con fecha 15/08/21, y ante las afirmaciones realizadas por la entidad Jubaser Control SL., en su escrito de alegaciones (punto sexto), se traslada a la parte reclamante dicho escrito de alegaciones para que, en el plazo de 10 días, aportara la documentación acreditativa del resultado de las investigaciones policiales efectuadas como consecuencia de la denuncia presentada e informase si éstas habían dado lugar a la apertura de diligencias judiciales, o en su defecto, que concretase a esta Agencia, cuando recuerda que fue escaneado su DNI, esto es, si fue escaneado por la persona que se encontraba en la consejería del edificio esa noche, cuando realizó el check-in o si recuerda que fuera realizado a la mañana siguiente como afirma la entidad reclamada. DÉCIMO PRIMERO: Con fecha 08/10/21, y ante la falta de respuesta al requerimiento realizado a la reclamante, se da traslado a la entidad reclamada de la propuesta de resolución, en la cual, se propone que, por parte de la Directora de la Agencia Española de Protección de Datos se archive el presente procedimiento contra entidad Jubaser Control SL., por presunta infracción del artículo 6 del RGPD, al no tener los elementos objetivos suficientes que avalen la presunta infracción. DÉCIMO SEGUNDO: Notificada la propuesta de resolución a la parte reclamada el 08/10/20, a fecha de hoy, no consta en esta Agencia que escrito alguno se haya presentado como alegaciones a la propuesta de resolución por parte de la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes hechos: HECHOS PROBADOS 1º.- En el presente caso la reclamante denuncia que, el día 06/06/20, al realizar el check-in en el establecimiento hotelero “Marbella Resorts S.L. (Guadalpín Suites)”, en la localidad de Marbella (Málaga), fuera del horario de apertura del establecimiento, la recepción de este establecimiento se encontraba cerrada y quien realizó el check-in fue el conserje del edificio donde se encuentran varios establecimientos hoteleros, incluido, “Marbella Resorts SL.”. El conserje que realizaba el turno de noche en el edifico, perteneciente a una empresa contratada por la comunidad de vecinos, para la gestión y control de la entrada y salida fuera del horario de apertura de los establecimientos hoteleros instalados en el edificio. La empresa contratada para este servicio es, JUBASER DE CONTROL, S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 2º.- Según las manifestaciones del responsable del establecimiento hotelero, Marbella Resorts SL, “quien realizó el escaneo del DNI de la afectada fue el conserje de la empresa, JUBASER DE CONTROL, S.L. que estaba de servicio aquella noche”. 3º.- No obstante, según las manifestaciones de la empresa Jubaser Control SL., ellos nunca escanearon el DNI de la afectada ni de ningún otro cliente de los establecimientos hoteleros existentes en el edificio. Solamente se le facilitó la llave del apartamento al presentar la reclamante, la reserva del alojamiento. 4º.- Ante las contradicciones realizadas por las entidades implicadas en este caso, esta Agencia solicitó, con fecha 15/08/21, a la parte reclamante que aportara la documentación acreditativa del resultado de las investigaciones policiales efectuadas como consecuencia de la denuncia presentada en la Comisaría de Policía y si éstas dieron lugar o no a la apertura de diligencias judiciales, o en su defecto, que concretase a esta Agencia, cuando recuera que fue escaneado su DNI, esto es, si fue escaneado por la persona que se encontraba en la consejería del edificio aquella noche, o por el contrario fue escaneado a la mañana siguiente, 5º.- A fecha de hoy, no se ha recibido en esta Agencia ningún escrito de contestación por parte de la reclamante. FUNDAMENTOS DE DERECHO I.- Competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. En el presente caso, la reclamante denuncia que ha tenido conocimiento de que su DNI y sus datos personales están incluidos en una página web de contenido para adultos sin su consentimiento. Denuncia que sus datos personales fueron obtenidos cuando estuvo alojada en el establecimiento hotelero, “Marbella Resorts S.L. (Guadalpin Suites)”. Desde el establecimiento hotelero, “Marbella Resorts S.L. (Guadalpin Suites)”, se afirma que, cuando la persona reclamante realizó el check in, la recepción se encontraba cerrada y que el escaneo del DNI y la recogida de los datos personales fue realizada por el personal de la empresa JUBASER D CONTROL SL. Empresa está contratada por la comunidad de vecinos donde se encuentra el establecimiento hotelero, para la gestión de las entradas/salidas de la comunidad, pero que no tienen ninguna vinculación con el establecimiento hotelero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 No obstante, la empresa JUBASER CONTROL SL., afirman que ellos nunca escanearon el DNI de la afectada. Solamente se le facilitó la llave del apartamento al enseñar ésta la reserva del alojamiento. Ante las contradicciones esta Agencia solicitó a la parte reclamante que aportara la documentación acreditativa del resultado de las investigaciones policiales efectuadas como consecuencia de la denuncia presentada en la Comisaría de Policía y si éstas han dado lugar a la apertura de diligencias judiciales, o en su defecto, que concretase a esta Agencia, cuando fue escaneado su DNI, esto es, si fue escaneado por la persona que se encontraba en la consejería del edificio aquella noche, o fue escaneado a la mañana siguiente, sin haber recibido contestación alguna de la parte reclamante. Por lo tanto, a tenor de lo anteriormente expuesto y ante la imposibilidad de obtener datos objetivos que pudieran proporcionar información sobre el grado de responsabilidad de la entidad reclamada, la DIRECTORA DE LA AGENCIA ESPAÑOLA DE PROTECCION DE DATOS, RESUELVE: ARCHIVAR: el presente procedimiento sancionador contra la entidad, JUBASER DE CONTROL, S.L., con CIF.: B93306736 por infracción del artículo 6 del RGPD. NOTIFICAR: la presente resolución a la entidad, JUBASER DE CONTROL, S.L., De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es