← España

PS-00200-2019

1/5  Procedimiento Nº: PS/00200/2019 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 15/11/2018, interpuso reclamación ante la Agencia Española de Protección de Datos contra la COMUNIDAD DE PROPIETARIOS R.R.R. en ***DIRECCION.1 (en adelante, la reclamada). El reclamante presentó en junio 2018 una demanda judicial contra la reclamada, que se le trasladó el 19/09/2018 y parte de esa demanda, conteniendo sus datos personales ha sido expuesta en los accesos a los garajes de la Comunidad el día 22/10/2018, en el interior de un tablón de anuncios. Aporta dos fotografías. En una de ellas, vista más alejada, se ve un tablón cerrado con llave y acristalado, conteniendo dos hojas, una al lado de la otra. Al lado un tablón grande de corcho. En la toma más cercana se ven las dos hojas, la primera se trata de un documento con el logo de un escudo, “cédula de emplazamiento” y en la otra se lee representación y defensa, pero no se distingue bien el texto, figurando algunos apartados subrayados con rotulador. SEGUNDO: En fecha 17/12/2018, se traslada la reclamación a la reclamada con el literal: “De conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (LOPDDGG) , le traslado la reclamación presentada para que analice dicha reclamación y le comunique al reclamante la decisión que adopte al respecto. Asimismo, en el plazo de un mes desde la recepción de este escrito deberá remitir a esta Agencia la siguiente información: “1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. 4. Cualquier otra que considere relevante.” Con fecha 22/01/2019, el Secretario Administrador de la reclamada, denominada GESTICAN ADMINISTRACIONES SL, manifiesta que el tablón donde se expuso parte de la sentencia está ubicado en un espacio con acceso solo de propietarios del inmueble, no el público en general, para tal fin y habilitado para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 La comunicación fue por interés comunitario, ya que el objeto afectaba a elementos comunes -En la Junta General de propietarios de 12/03/2018, el reclamante y el resto de los comuneros adoptan un acuerdo relativo al acometimiento de obras en las zonas cubiertas de cada uno de los bloques que componen el Residencial. La demanda presentada no obedecía a los acuerdos adoptados y por ello se dio la necesaria e imprescindible información a los comuneros. TERCERO: La reclamación fue admitida a trámite por la directora de la AEPD el 10/05/2018. CUARTO: Con fecha 11/11/2019 la Directora acordó: “PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la COMUNIDAD DE PROPIETARIOS R.R.R., por la presunta infracción del artículo 5.1.f ) del RGPD de conformidad con el artículo 83.5 del RGPD.” QUINTO: Con fecha 28/11/2019 se reciben alegaciones de ASESORÍA Y FINCAS CANARIAS, S.L. que indica es la nueva administradora. En ellas reitera lo manifestado en el tramites previo, y añade que la exposición se produjo en una zona de acceso única para los propietarios de las plazas de garaje de la Comunidad-24 plazas-, así como personal de mantenimiento y limpieza de la misma. Considera que no se ha hecho una publicación con acceso en abierto a cualquier persona ajena a la Comunidad. La exposición se retiró al tener conocimiento de la reclamación. Como medidas correctivas se envió una carta pidiendo disculpas al afectado, se valoró la infracción de seguridad de los datos, se han revisado los protocolos para casos de exposición de datos de carácter personal y unas instrucciones para publicación en el tablón de la comunidad. Aporta copia de contrato de encargo de tratamiento con la reclamada de 23/04/2019. Copia de escrito dirigido por ASESORÍA Y FINCAS CANARIAS al reclamante en el que no figura la fecha, comunicándole las medidas adoptadas. Copia de protocolo para casos de exposición de datos de carácter personal publicados en el tablón de la comunidad, indicándose que no se permitirán ni siquiera los que puedan ser identificables y que serían anonimizados y otras cuestiones conexas SEXTO: Se emitió propuesta de resolución del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con APERCIBIMIENTO a COMUNIDAD DE PROPIETARIOS R.R.R., con NIF ***NIF.1, por una infracción del Artículo 5.1.

  1. f)del RGPD, en relación con el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 5 de la LOPDGDD, conforme señala el artículo 83.5 del RGPD, y el artículo 58.2.
  2. b)del RGPD.” Frente a la propuesta no se recibieron alegaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS 1) Con ocasión del trámite de una demanda judicial formulada por el reclamante contra la Comunidad, se dio traslado de la misma a la Comunidad reclamada por el Juzgado. La Comunidad expuso parcialmente la misma en el tablón cerrado perteneciente a la Comunidad. De acuerdo con las fotos aportadas por el reclamante, son dos hojas en un tablón cerrado en las que se contienen sus datos. 2) Según manifestó la reclamada, el tablón se halla situado en una zona destinada a garaje de la comunidad, si bien cabe indicar que no se descarta que puedan transitar por dicha zona hijos, familiares, amigos de propietarios, sin descartar arrendatarios o personal de limpieza y mantenimiento de dicha comunidad. Personas que en todo caso no formarían todos y cada uno parte de la Junta de propietarios, que se compone de todos los titulares de las propiedades, con cometidos propios de un órgano rector colectivo, únicos a los que con carácter general, les competería conocer los asuntos relacionados con la Comunidad. 3) La reclamada manifestó que retiró las hojas expuestas en el tablón y ha adoptado medidas que incluyen un protocolo para no exponer datos de carácter personal en el tablón, excepto que concurran los requisitos legales y con autorización expresa del administrador. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 5.1.
  3. f)del RGPD dispone: “Los datos personales serán: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 La LOPDGDD señala en su artículo 5: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  4. f)del Reglamento (UE) 2016/679 .” Si bien se desconoce el tamaño de la Comunidad reclamada, previsiblemente, en la zona de aparcamiento de vehículos de la Comunidad no solo van a acceder los propietarios, accederían sus familiares, pero también cualquier persona autorizada por estos, como amigos, o podría haber plazas alquiladas de no residentes, personal de mantenimiento, etc. es decir pueden circular terceros ajenos a la relación propietario, que es la que marca el colectivo al que se pueden dar a conocer dichos asuntos. No estando garantizado que exclusivamente los propietarios sean los que acceden a dicho espacio de transito como zona común, terceros ajenos a los datos han podido visionar los datos y el asunto de que se trata, no siendo un espacio adecuado para comunicar noticias a los propietarios de la Comunidad. La reclamada es responsable de la gestión y tratamiento de los datos de los propietarios y en este caso se acredita que expone los datos al conocimiento de no solo propietarios, sino no propietarios, y la interposición de una demanda por un comunero contra la comunidad compete a las partes no a terceros. III El artículo 83.5
  5. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 58.2
  6. b)del RGPD indica la posibilidad de sancionar con apercibimiento, y el apartado 2
  7. d)establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta última medida es compatible con la sanción consistente en apercibimiento. Por lo tanto, de acuerdo con la legislación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER una sanción de APERCIBIMIENTO a COMUNIDAD DE PROPIETARIOS R.R.R., con NIF ***NIF.1, por una infracción del Artículo 5.1.
  8. f)del RGPD, de conformidad con en los Artículos 83.5 y 58.2.
  9. d)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 SEGUNDO: NOTIFICAR la presente resolución a COMUNIDAD DE PROPIETARIOS R.R.R., a través de su representante, ASESORÍA Y FINCAS CANARIAS, S.L. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  10. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.