← España

PS-00184-2015

1/11 Procedimiento Nº PS/00184/2015 RESOLUCIÓN: R/02447/2015 En el procedimiento sancionador PS/00184/2015, instruido por la Agencia Española de Protección de Datos a la entidad FINQUES CHICOTE S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 30/04/2014 tiene entrada en esta Agencia una denuncia, de A.A.A., que manifiesta ser Abogada de la COMUNIDAD DE PROPIETARIOS EDIFICIO FRONT MAR UE 9 de c/ Rafael Casanovas 48,50, 52 y c/ Pau Claris 2,4, 6, 8 en Cubelles, Barcelona contra FINQUES CHICOTE SL. (en lo sucesivo la denunciada) aunque no aporta la representación. La denunciada desempeñó tareas de Administrador de la citada Comunidad hasta su cese, acordado en Junta de 28/09/

  1. Se denuncia el hecho de no haber retornado parte de los ficheros de que disponía, en concreto, de las cuentas bancarias en las que se domicilian los abonos de los propietarios por los pagos a acometer. Aporta copia de recibí de un escrito de 30/09/2013 firmado por FINQUES CHICOTE y el Presidente en el que le informan del cese acordado en Junta de 28/09/2013 requiriendo la entrega de toda la documentación. Aporta copia de burofax de 16/12/2013, entregado el 19/12/2013, firmado por B.B.B. Advocats, “B.B.B., que declara actuar como mandataria de la Comunidad (fue presentada como Administradora de la Comunidad en la Junta de 7/12/2013 según copia de acta de la misma). En el literal del escrito se indica que para que la nueva Administradora pueda realizar el 1/01 el envío de la remesa trimestral de recibos necesita que le ceda los números de cuenta bancaria de los propietarios. Aporta copia de respuesta a escrito burofax de FINQUES CHICOTE, fechado el 16/12/2013 en el que precisa: “PRODAT la empresa a la que se le encargó la protección de datos de la Comunidad emitió un certificado donde se prohibía expresamente que por parte de esta Comunidad se pudiesen facilitar los números de cuenta de sus miembros a no ser que mediante autorización escrita y expresa de cada uno de ellos se nos permita” y que “El Colegio de Administradores de Fincas nos informó en idéntico sentido”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la denunciada. 1) FINQUES CHICOTE, SL con fecha 19/12/2014 informa: Respecto a la petición de copia del contrato con la Comunidad que habilita el tratamiento de datos, indica que no existe siendo el acuerdo verbal. Aportan copia del acta de la Junta de 28/09/2013 en la que a la vez que son cesados, se nombra a B.B.B. nueva Administradora de la Comunidad. Acompaña también acta del Orden del día de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 10/11/2007 en la que se preveía el nombramiento de FINQUES CHICOTE a partir de 12/11/
  2. 2) Respecto de los motivos por los que no ha atendido las notificaciones recibidas solicitando la devolución de la documentación de la COMUNIDAD DE PROPIETARIOS EDIFICIO FRONT MAR UE 9, manifiesta que únicamente no ha devuelto los números de cuenta de la Comunidad, por entender que se precisa el consentimiento de cada titular de la misma o en su defecto escrito de la propia Comunidad autorizando dicha comunicación. TERCERO: Con fecha 14/04/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a FINQUES CHICOTE S.L. por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 12 de la LOPD, tipificada como grave en el artículo 44.3.b) de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 13/05/2015 la denunciada alega: 1) FINCAS CHICOTE, poseía los datos en calidad de encargado del tratamiento, y por tanto, con la debida legitimación con el objeto de administración de fincas, ostentando por tanto la condición jurídica de encargado del tratamiento. Adjuntan copia del contrato de acceso por cuenta de terceros firmado entre ambas partes en fecha 27/08/2011 de conformidad con lo establecido en el artículo 12 de la LOPD. El contrato escrito aportado cumple los requisitos básicos del encargo de tratamiento, en duración se liga a la duración de la prestación de servicios. Alguna de las clausulas a señalar son la 4.4, que determina que el encargado del tratamiento devolverá los mismos o en su caso los destruirá al finalizar el periodo de vigencia del contrato o al final de la prestación de servicios 2) Se atribuye una infracción del artículo 6.1 de la LOPD en relación con el 12 de la LOPD tipificada como leve en el 44.2.d) de la LOPD. Las infracciones leves prescriben al año (artículo 47.1 LOPD) y el plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido (artículo 47.2 LOPD). En el presente caso, el plazo de prescripción comenzaría a contar en el momento en que la supuesta infracción dejase de cometerse, por tratarse de una supuesta infracción permanente. Por tanto, el plazo de prescripción de la infracción comenzaría a contarse desde el momento en que FINCAS CHICOTE dejase de poseer los datos, (concretamente los números de cuenta bancaria de los copropietarios de las fincas administradas, ya que el resto de documentación se devolvió). FINCAS CHICOTE eliminó la información de sus equipos informáticos el 4/12/2013, tal y como se comunicó al nuevo Administrador en correo electrónico de fecha 28/01/2014 (DOC N° 1) En la copia del correo se informa al nuevo Administrador que “El pasado 4/12/2013 eliminamos los ficheros de la Comunidad y no puedo mirar si han efectuado ingresos o devoluciones”

(64). Todo ello en cumplimiento de la estipulación cuarta (4.4) del contrato de encargado del tratamiento firmado entre ambas partes, el cual establece que “el encargado del tratamiento devolverá los datos, o en su caso los destruirá al finalizar el período de vigencia del presente contrato o al final de la prestación de servicios” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 Es necesario precisar en este punto, que a pesar de que FINCAS CHICOTE fue cesado como Administrador el 28/09/2013, el nuevo Administrador, por orden de la Comunidad, solicitó a FINCAS CHICOTE, como Administrador en funciones, el favor de realizar el giro bancario de las cuotas de la comunidad del siguiente trimestre (último trimestre de 2013), dado que la Comunidad tenía problemas de liquidez (era finales de Septiembre, y debía girarse el siguiente trimestre en los próximos días). FINCAS CHICOTE S.L. así lo hizo sin ningún problema. A finales de 2013, el nuevo Administrador había recogido directamente de los vecinos los números de cuenta, y así lo comunicó verbalmente a FINCAS CHICOTE, comentando que ya no necesitaba los números de cuenta realizando él directamente los giros bancarios del año 2014 desde el inicio. Este es el motivo por el cual FINCAS CHICOTE procedió a la eliminación de los números de cuenta en fecha 4/12/2013, pues finalizada definitivamente la relación profesional y tras la confirmación por parte del nuevo Administrador de que ya disponía de los datos bancarios de los copropietarios, no era precisa su conservación por parte de FINCAS CHICOTE S.L. No se entiende que cuatro meses después, en Abril de 2014, se presentase denuncia ante esa Agencia, salvo que dicha denuncia obedeciera a otro tipo de razones, ya que actualmente la Comunidad adeuda una cantidad importante de dinero a FINCAS CHICOTE, razón por la que existe una reclamación judicial al respecto. Por todo ello, la infracción habría prescrito el día 4/12/2014 (transcurrido un año desde el momento en el que se procedió a la destrucción de los datos relativos a los números de cuenta) y en consecuencia, antes de la apertura del procedimiento sancionador, en coherencia con lo establecido por el artículo 47.3 LOPD y en idéntico sentido el artículo 132.2 de la Ley 30/92. Incluso tomando otros criterios como dies a quo para el cómputo del inicio de la prescripción, como por ejemplo la fecha de recepción del burofax de requerimiento fechado el 30/09 (dos días después del cese como Administrador de FINCAS CHICOTE SL) pero recibido el 19/12/2013, la infracción también se consideraría prescrita. A continuación, adjuntan copia de los documentos de acuse de entrega de la documentación relativa a la Comunidad, en los que se aprecian entregas parciales de documentos a la Comunidad, directamente al Presidente (72,74, 75, 77 o a miembros de la Junta rectora (75, 76) a la nueva Administradora
(78). Entre la documentación entregada alguna de ella contiene datos de propietarios, números de teléfono, direcciones, liquidación parking y escaleras, libros de actas. “Destacar que toda la documentación, incluso en los casos en que fue solicitada por un mero copropietario, fue entregada, pero siempre al Presidente de la comunidad, o al vicepresidente o al nuevo administrador.” 3) Subsidiariamente, solicita se tramite un apercibimiento. 4) Solicita la apertura de un período probatorio con el fin de acreditar la representación de la denunciante, como Abogada de la Comunidad, para la interposición de la denuncia que ha dado lugar el presente procedimiento sancionador. En este sentido, la denunciante no es parte interesada en el procedimiento y no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 figura que actué en representación de la Comunidad pues ni aportó ni ha aportado documento alguno en tal sentido, por lo que no procede la práctica de esta prueba. Se estima que dicha desestimación no causa indefensión formal ni material alguna a la denunciada, pues cualquier persona puede interponer denuncia, siendo potestad del Director de la Agencia iniciar o no un procedimiento. QUINTO: Con fecha 28/07/2015 se dictó propuesta de resolución con el literal: “Que por el Director de la Agencia Española de Protección de Datos se sancione con una multa de 1.000 euros a FINQUES CHICOTE SL por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b) de dicha LOPD.” SEXTO: Con fecha 24/08/2015 la denunciada reitera lo ya manifestado y alega: 1) Aporta copia de un escrito de 24/09/2013 firmado por el Presidente de la Comunidad en el que autoriza a FINCAS CHICOTE SL para que genere y cobre por su cuenta bancaria el cuarto trimestre 2013, y “una vez recaudado el dinero sea ingresado a la cuenta de la Comunidad” “pero hay que tener en cuenta que se pueden devolver recibos por lo tanto hasta pasados dos meses aproximados no se podrá ingresar el total de lo cobrado. A partir del 1 trimestre 2014 los recibos se pasaran por la cuenta de la Comunidad”. Con ello, la denunciada manifiesta que tenía habilitación para el tratamiento de datos. Esta habilitación nada tiene que ver con la conservación de los números de cuenta bancarias que la denunciada gestionaba en nombre de la Comunidad, cuya negativa a ceder o devolver es lo que se ventila en este procedimiento como tratamiento sin consentimiento. El hecho de que efectué el cobro del último trimestre, que lo haría en septiembre u octubre, nada tiene que ver con el tratamiento imputado y su falta de habilitación para conservar dichos datos. Así, la petición de devolución se produce formalmente en diciembre 2013, la respuesta expresa de no devolución también, el 19/12/2013 en concreto. HECHOS PROBADOS 1. La Comunidad de propietarios Edificio Front Mar UE 9 tenía concertada la Administración de la Comunidad con FINQUES CHICOTE SL
(30)desde 10/11/2007, con la que tenía suscrito un contrato de encargado de tratamiento el 27/08/2011 (66 y ss.). En el mismo se prevé el acceso a datos por FINQUES CHICOTE para la prestación de servicios de gestión de la Comunidad de propietarios. En la cláusula 4.4 se contiene: “El encargado del tratamiento devolverá los mismos o en su caso los destruirá al finalizar el periodo de vigencia del presente contrato o al final de la prestación de servicios”. 2. En la Junta de 28/09/2013 se acordó el cese de FINQUES CHICOTE
(2), designando a una nueva Administradora en la Junta
(33)que en la Junta de 7/12/2013 es contratada según copia que figura en el expediente
(8). Ya en agosto 2013 la Comunidad había recibido documentación parcial de la gestión por parte de la denunciada (37-39) 3. Con fecha 30/09/2013 existe un documento firmado por el Presidente de la Comunidad y FINQUES CHICOTE SL en el que la Comunidad le informa que fue aprobado su cese el 28/09/2013 y que deberá entregar la documentación de la Comunidad
(13). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11
  1. Con fecha 24/09/2013 el Presidente de la Comunidad autorizó a FINCAS CHICOTE SL para que generase y cobrara el cuarto trimestre
  2. No se conoce la fecha concreta en que efectuó el giro de recibos a los propietarios.
  3. En la Junta de 7/12/2013 se acordaba reclamar los ficheros de la Comunidad a FINQUES CHICOTE SL, así como los datos bancarios de cuenta de los propietarios (8, 9).
  4. La nueva Administradora designada tras la Junta de 7/12/2013 solicitó en burofax a FINQUES CHICOTE SL el 16/12/2013 “como mandataria de la Comunidad” la devolución de los documentos y datos de la Comunidad, especialmente de los números de cuenta, para que con fecha 1/01, la nueva Administradora pueda realizar el envío de la remesa trimestral. El escrito va firmado por la Administradora sin acompañar firma o alguna autorización del Presidente de la Comunidad
(10)y resultó entregado el 19/12/2013.
(12). 7. Figura acreditado que FINQUES CHICOTE SL proporcionó a la COMUNIDAD documentación relativa o conteniendo datos de propietarios-propietarios con recibos pendientes, propietarios reclamados judicialmente, listados de correspondencia, de teléfonos, impagados, liquidación de parking, libros de actas- (26 a 28, 35 a 46) y sin embargo se negó por escrito a proporcionar los datos bancarios. Se aprecia que toda la documentación entregada por la denunciada lo ha sido a miembros de la Junta Rectora de la comunidad de Propietarios o a su Presidente con el correspondiente recibí (62, 72, 75, 76, 77) y alguno al nuevo Administrador el 18 y 23/102013 (listado de propietarios, listado de recibos cobrados y pendiente del 4 trimestre 2013 hasta 16/10/2013) lo que revela que no desconocía el citado nombramiento
(78). 8. Manifiesta la denunciada el 12/12/2014, en actuaciones previas que los datos bancarios de los propietarios se destruyeron el 4/12/2013, tras las entregas documentales de 2013 (29, 56) entre las que no figuran los números de cuentas bancarias. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II En primer lugar se ha de analizar la naturaleza de la relación jurídica de encargo de tratamiento entre la Comunidad y la denunciada. El artículo 12 de la LOPD indica: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 del tratamiento, que no los aplicará o utilizará con el fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” La Sentencia del Tribunal Supremo de 14/10/2009, sala a de lo contencioso administrativo, sección 9, Recurso de Casación núm. 5336/2005 en su fundamento de derecho segundo indica: “El análisis correcto de lo dispuesto en el artículo 12 de la Ley de Protección de Datos ha sido ya realizado por la jurisprudencia de esta Sala que, en Sentencia de 4 de mayo de 2009 entiende que el artículo 12, apartado 1 de dicha Ley Orgánica, excluye de la noción de comunicación el acceso que un tercero realiza a los datos cuando sea necesario para la prestación de un servicio al responsable del tratamiento, esto es, a la persona que decide sobre su contenido, su uso y su finalidad. Ha de tenerse en cuenta que el legislador no ha excepcionado la obligación del consentimiento, sino que directamente considera que no hay comunicación; mas, para que opere tal excepción, que deroga un principio general de la Ley y que permite comunicar los datos sin consentimiento de los afectados a quien va a usarlos por cuenta del responsable, es decir, al encargado del tratamiento, el legislador exige la concurrencia de determinadas garantías presentes en el apartado 2 del artículo 12. Y así, en primer lugar, el responsable del fichero debe haber encomendado el tratamiento de los datos mediante un contrato pactado de forma que permita comprobar su existencia así como su contenido, y, en segundo término, dicha convención ha de contener las instrucciones que el responsable del tratamiento impone para el uso de los datos y de las que el encargado no puede separarse. Finalmente, tiene que constar también el fin que legítima la comunicación, que no pueden obviar las partes, quienes, además, han de abstenerse de comunicar los datos a otras personas. La citada interpretación, como confirmamos en aquella sentencia, responde al objetivo de la norma, consistente en garantizar que el acceso de terceros a los datos de carácter personal únicamente se produzca en los casos y con las limitaciones legalmente establecidas, plasmándose las condiciones, la finalidad y el alcance de la cesión, de forma que resulte controlable en su desarrollo y cumplimiento; así lo hemos entendido en otros casos en que hemos abordado, igualmente, el análisis del artículo 12 en sentencias de 27/03/2007 y 6/05/2008. “ El Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD) acota en su artículo 20:” Relaciones entre el responsable y el encargado del tratamiento” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 “1. El acceso a los datos por parte de un encargado del tratamiento que resulte necesario para la prestación de un servicio al responsable no se considerará comunicación de datos, siempre y cuando se cumpla lo establecido en la LOPD y en el presente capítulo. El servicio prestado por el encargado del tratamiento podrá tener o no carácter remunerado y ser temporal o indefinido. No obstante, se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado. 2. Cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en este Reglamento. 3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de la LOPD, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. No obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente capítulo.” Se imputó a la denunciada una infracción del artículo 6.1 de la LOPD entendiendo que decaído el poder para tratar datos en su nombre, reteniéndolos en contra de la voluntad del titular sin justificación, se estaba produciendo un tratamiento sin título habilitante, sin el consentimiento del poderdante, la Comunidad de Propietarios. Finalizado el contrato de encargo de tratamiento mediante el cese del Administrador, se detentan datos de la Comunidad. El mero hecho de disponer de datos supone un tratamiento de datos (3.c LOPD) cuyo título se ha de justificar. Ello con independencia de la última gestión de girar las cuotas del último trimestre 2013, lo cierto es que esos datos son de la Comunidad y la denunciada era una gestora de las mismas. La Comunidad aprueba en Junta el 7/12/2013 que se devuelvan los números de cuenta bancaria, la Administradora lo requiere también en su burofax del 16 del mismo mes y año. La denunciada ante la petición de devolución de las cuentas motiva la denegación a la Administradora. El artículo 6.1 de la Ley Orgánica 15/1999, de 13/12 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), indica que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. En este caso el consentimiento lo ostenta la Comunidad que encarga a la denunciada la gestión de la Comunidad permitiendo el acceso a sus datos. Se aprecia que la petición de la devolución de documentación, incluyendo pues los datos de propietarios y todos los ficheros se conoce el 30/09/2013, aunque luego se persista en la petición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 Por otro lado, se observa que la denunciada ha ido entregando paulatinamente documentación de la Comunidad, incluyendo datos de propietarios sobre control de pago del último trimestre en octubre 2013, pero entendiendo quizás que las cuentas bancarias tienen un plus de relevancia, no se entregan. La denunciada aduce que no entregó las cuentas por no contener documento o firma que expresamente autorizase su entrega a la peticionaria. Sin embargo se aprecia que paulatinamente desde agosto 2013, la denunciada fue entregando documentos que contenían datos de carácter personal como listados de ingresos de propietarios, de correspondencia y de teléfonos, listados de propietarios con recibos pendientes, liquidación de Mancomunidad, al mandatario de la Administradora listados de recibos pendientes o cobrados del 4 trimestre 2013, libros de actas al mandatario de la Administradora etc. Por tanto, no se justifica que los números de cuentas bancarias no fueran entregados y si otros estrechamente ligados con datos de los propietarios como deudas, teléfonos etc. Los números de las cuentas de los bancos de los propietarios debieron haber sido entregados como el resto de documentos que contenían datos. La constancia de que no se hizo así, indica que se produjo un tratamiento de datos que se comprueba persiste al menos a 16/12/2013, fecha en que se contesta el motivo por el que no se proporcionan los datos. Se acredita así el tratamiento de los datos de la denunciada sin consentimiento de los afectados, infringiendo el artículo 6.1 de la LOPD. III La infracción aparece tipificada como grave en el artículo 44.3.
  2. b)de dicha norma, que considera como tal “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV En cuanto a la prescripción de la infracción por considerarse el artículo 6.1 de la LOPD, tipificada como leve en el artículo 44.2.
  3. d)cabe significar que no es leve sino que es grave. Ello se debió a un error deducido de que la infracción del tratamiento sin consentimiento, 6.1 siempre es de tipo grave, y así se contenía en el fundamento de derecho en cuyo literal se indicaba que era grave dentro del 44.3.
  4. b)de la LOPD, consignando la eventual sanción que puede recaer. Como se ha mencionado, el tratamiento persiste pues a 16/12/2013 se respondió que no se facilitaban las cuentas bancarias de los propietarios. Por lo que respecta a la apertura de un procedimiento de apercibimiento previsto en el o apartado 6 al artículo 45 de la LOPD, que indica: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11
  5. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  6. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Los criterios a que se refiere son los que sirven para reducir la sanción en un grado de su escala, mencionados en el 45.5 de la LOPD, que indica: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  7. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  8. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  9. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  10. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  11. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente” Mientras que el 45.4 de la LOPD es utilizado para la graduación de las sanciones y prevé: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor.
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” Teniendo en cuenta que en el presente supuesto se acredita fehacientemente la petición de documentación por parte de la Comunidad el 30/09/2013, que luego reitera, y que la denunciada entregó parte de documentación con datos personales de los propietarios y no entregó la de las cuentas, y que un Administrador de Fincas maneja habitualmente datos personales, no concurren los elementos necesarios para la aplicación del apercibimiento. V El artículo 45 de la LOPD, apartado 2 establece: “Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.” El principio de proporcionalidad de las sanciones comporta, según reiterada jurisprudencia del Tribunal Supremo, véase STS de 12/04/2012 (Rec. 5149/2009), entre otras, que debe existir una debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, como dispone el número 3 del artículo 131 de la citada LRJPA. En la imposición de sanciones dentro de los límites previstos, se debe ponderar en todo caso las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. La proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. En el presente supuesto la denunciada motivó su respuesta de negativa a la entrega de las cuentas interpretando que la petición de devolución de las cuentas debía ser expresa por parte de los afectados o del Presidente, cuando lo cierto es que constan otra serie de devolución de documentos con datos personales que materializó la denunciada sin esa formalidad. Si anteriormente depositó datos en el nuevo Administrador debía haber seguido entregando los de las cuentas bancarias que en nada se diferencian del resto. Esta circunstancia si bien no exime de la culpabilidad, reduce sustancialmente la misma, observándose además una falta de intencionalidad, pudiendo aplicarse la atenuante del artículo 45.5.
  22. a)de la LOPD. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD y, en especial, que en este caso el tratamiento consiste en la mera disponibilidad de los datos que anteriormente los había tratado, y que no se acreditan perjuicios a la Comunidad se impone una sanción de 1.000 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad FINQUES CHICOTE S.L., por una infracción del artículo 6.1 de la LOPD, en relación con el 12 de la LOPD, tipificada como grave en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 artículo 44.3.
  23. b)de la LOPD, una multa de 1.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a FINQUES CHICOTE S.L., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.