PS-00277-2014

1/8 Procedimiento Nº PS/00277/2014 RESOLUCIÓN: R/02552/2014 En el procedimiento sancionador PS/00277/2014, instruido por la Agencia Española de Protección de Datos a la entidad SERVIHABITAT XXI, S.A.U., vista la denuncia presentada por Dña. B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 1/10/2013 tuvo entrada en esta Agencia, escrito de Dña. B.B.B. (en lo sucesivo la denunciante) comunicando que el documento que suscribió (a través de la entidad ASPRO ANDALUCÍA) de una oferta de compra, sujeta a aceptación por parte de SERVIHABITAT XXI, S.A.U. (en lo sucesivo el denunciado), contenía la siguiente cláusula informativa sobre protección de datos personales: <<…La ofertante acepta y consiente que sus datos de carácter personal se incorporarán a un fichero titularidad de Servihabitat para que sean tratados con la finalidad de poder cumplir lo pactado en este documento. Excepto que se indique lo contrario, o se revoque posteriormente la ofertante consiente expresamente:

1. a)El tratamiento de sus datos con la finalidad de poderle enviar, incluso por medios electrónicos, información comercial relativa a productos y servicios que actualmente, o en el futuro, comercialice Servihabitat, tanto durante la vigencia del presente documento, los posteriores que traigan causa del mismo, así como durante el periodo de prescripción de las acciones derivadas del mismo.
2. b)La comunicación de sus datos a “la Caixa” para que esta pueda dirigirle información comercial sobre productos y servicios propios de su actividad, la bancaria, así como a las empresas designadas como prestatarias de servicios inmobiliarios que la ofertante esté interesada en recibir. La ofertante podrá ejercitar los derechos de acceso, rectificación, cancelación de sus datos, así como oponerse a su tratamiento o revocar los consentimientos otorgados para su cesión o envío, de comunicaciones publicitarias de acuerdo con la Ley, mediante escrito dirigido a SERVIHABITAT XXI, S.A.U. (C/..........1) de Barcelona…>> SEGUNDO: Con fecha 26 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) en relación con el art. 15 del RD 1720/2007 de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, tipificada como leve en el artículo 44.2.
3. c)de dicha norma, pudiendo ser sancionada, con multa de multa de 900 a 40.000 euros, de acuerdo con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 artículo 45.1 de dicha Ley Orgánica. TERCERO: Notificado el acuerdo de inicio, el denunciado no formuló alegación alguna. Con fecha 9/06/2014 se recibe escrito de la denunciante personándose en el procedimiento. CUARTO: Con fecha 22/08/2014 se inició el período de práctica de pruebas, en el que se acordó, entre otras: <<…Con fecha 30/05/2014 se notificó a esa entidad SERVIHABITAT XXI S.A.U., el Acuerdo de Inicio del Procedimiento Sancionador PS/277/2014, tras denuncia presentada por Dña. B.B.B. (se adjunta copia), sin que a la fecha de hoy se haya recibido escrito de alegación alguno. A pesar de que el artículo 13.2 del Real Decreto 1398/1993 establece que de no efectuar alegaciones sobre el contenido del acuerdo de inicio, este podrá ser considerado propuesta de resolución y teniendo en cuenta la documentación obrante en el presente procedimiento y la infracción (art. 5 de la LOPD), que podría constituir una infracción continuada. Por todo ello se acuerda solicitar de la entidad SERVIHABITAT XXI S.A.U. nos informe: - Procedimiento por el que se facilita a las personas que contratan con esa entidad, bien de modo directo o a través de otras empresas, la información relativa al tratamiento de sus datos personales a la que hace referencia el art. 5 de la LOPD. - Copia de todos los contratos o documentos en los que conste la leyenda que contenga la citada información (…) 3. Solicitar a la entidad ASPRO ANDALUCIA que remita copia del documento actual que se formaliza a través de dicha entidad y que constituye una oferta de compra sujeta a aceptación por parte de SERVIHABITAT…>> QUINTO: Con fecha 12/09/2014 se recibe en esta Agencia escrito de CRITERIA CAIXAHOLDING, S.A. comunicando: <<…Con carácter previo, interesa poner de manifiesto a esta parte la reorganización societaria que el Grupo “la Caixa” llevó a cabo durante el ejercicio 2013. En primer lugar conviene señalar que, como consecuencia de la fusión inversa de CRITERIA CAIXAHOLDING, S.A.U. (sociedad absorbida) por SERVIHABITAT XXI, S.A.U. (sociedad absorbente), se procedió al cambio de denominación social de la Sociedad por la de CRITERIA CAIXAHOLDING, S.A.U. Por otro lado, cabe destacar, que en marzo de 2013 la entidad SERVIHABITAT XXI, S.A.U. segregó la rama de actividad de gestión de activos inmobiliarios a favor de una filial íntegramente participada, SERVIHABITAT GESTION INMOBILIARIA, S.L. Posteriormente, en octubre de 2013, se formalizó la venta del negocio de gestión inmobiliaria de SGI a la sociedad SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 participada en un 51% por el fondo Texas Pacific Group y en un 49% por CAIXABANK, S.A. y, por tanto, las actividades de gestión de adquisiciones, desarrollo, gestión de activos y comercialización que habían venido siendo desarrolladas históricamente por SERVIHABITAT XXI, S.A.U. pasaron a ser desarrolladas por SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L. Pues bien, en virtud de la reorganización societaria descrita, interesa a esta parte poner de manifiesto que la prestación de los servicios que originaron la denuncia objeto del presente Procedimiento Sancionador —actualmente- están siendo prestados por la entidad SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L. En consecuencia, esta parte considera que la entidad que debe aportar la documentación solicitada por la Agencia Española de Protección de Datos (en adelante, AEPD) en su requerimiento de fecha 22/08/2014 es, en todo caso, la entidad SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L., en concreto: - Procedimiento por el que se facilita a las personas que contratan con la Sociedad, la información relativa al tratamiento de sus datos personales a la que hace referencia el art. 5 de la LOPD; y - Copia de todos los contratos o documentos en los que conste la leyenda que contenga la citada documentación. Adicionalmente, y en acreditación del cumplimiento por parte de la entidad SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L., de las obligaciones establecidas por la normativa española en materia de protección de datos, esta parte acompaña junto con el presente escrito, la siguiente documentación: Notificaciones de los ficheros de la Sociedad inscritos ante el Registro de la AEPD; Documento de Seguridad de la Sociedad; y - Informe de Auditoría sobre el cumplimiento de las medidas de seguridad (técnicas y organizativas). En todo caso, y de ser requerido por la Agencia Española de Protección de Datos, esta parte estaría en disposición de aportar cualquier otra documentación y/o información adicional que fuera necesaria con el fin de acreditar el cumplimiento tanto por parte de la entidad denunciada como por parte de la entidad que — actualmente- estaría gestionando los datos que han originado la presente denuncia, de las obligaciones establecidas por la normativa española en materia de protección de datos…>> (el subrayado es de la AEPD). SEXTO: Con fecha 17/09/2014 se remite escrito a SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L., en el que se comunicaba: <<…Con fecha 22/08/2014 se remitió escrito (cuya copia se adjunta) de notificación de practica de pruebas del procedimiento de referencia a la entidad SERVIHABITAT XXI, S.A.U. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Con fecha 12/09/2014 se recibe escrito remitido por Dña. C.C.C. en representación de la entidad CRITERIA CAIXAHOLDING, S.A.U. de 8 de septiembre de 2014 (cuya copia se adjunta copia) remitiendo diversa documentación, entre ella, copia del Documento de Seguridad de la entidad Servihabitat Servicios Inmobiliarios, S.L. y copia del documento OFERTA DE COMPRA SUJETA A ACEPTACIÓN POR PARTE DE SERVIHABITAT suscrito en fecha 14/02/2013 por la denunciante Dña. A.A.A.. En el citado escrito de CRITERIA CAIXAHOLDING, S.A.U. se comunica que: <<…En consecuencia, esta parte considera que la entidad que debe aportar la documentación solicitada por la Agencia Española de Protección de Datos (en adelante, AEPD) en su requerimiento de fecha 22/08/2014 es, en todo caso, la entidad SER VIHABITA T SER VICIOS INMOBILIARIOS, S.L., en concreto: - Procedimiento por el que se facilita a las personas que contratan con la Sociedad, la información relativa al tratamiento de sus datos personales a la que hace referencia el art. 5 de la LOPD; y - Copia de todos los contratos o documentos en los que conste la leyenda que contenga la citada documentación…>> Por todo ello, por la presente se comunica a esa entidad, que transcurrido el plazo de alegaciones que se concedió en el Acuerdo de iniciación del Procedimiento Sancionador nº PS/00277/2014, se acuerda abrir periodo de práctica de pruebas, según lo dispuesto en el artículo 17.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora. Se ACUERDA practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dña. B.B.B. y su documentación, así como los documentos obtenidos y generados por los Servicios de Inspección. 2. Con fecha 30/05/2014 se notificó a la entidad SERVIHABITAT XXI S.A.U., el Acuerdo de Inicio del Procedimiento Sancionador PS/277/2014, tras denuncia presentada por Dña. B.B.B. (se adjunta copia), sin que a la fecha de hoy se haya recibido escrito de alegación alguno. A pesar de que el artículo 13.2 del Real Decreto 1398/1993 establece que de no efectuar alegaciones sobre el contenido del acuerdo de inicio, este podrá ser considerado propuesta de resolución y teniendo en cuenta la documentación obrante en el presente procedimiento y la infracción (art. 5 de la LOPD), que podría constituir una infracción continuada. Por todo ello, se acuerda solicitar de la entidad SERVIHABITAT GESTION INMOBILIARIA, S.L. nos informe: - Procedimiento por el que se facilita a las personas que contratan con esa entidad, bien de modo directo o a través de otras empresas (entre ellas API, etc.), la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 información relativa al tratamiento de sus datos personales a la que hace referencia el art. 5 de la LOPD. Especialmente interesa que remitan copia del documento OFERTA DE COMPRA SUJETA A ACEPTACIÓN POR PARTE DE SERVIHABITAT que tienen que suscribir los ciudadanos ACTUALMENTE cuando realizan dichas ofertas a través de una API. - Copia de todos los contratos o documentos en los que conste la leyenda, que contenga la citada información. Dicha remisión deberá ser realizada en el plazo de diez días hábiles a la recepción del presente escrito…>> Recibido por la entidad SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L. el citado escrito el 23/09/214, en esta Agencia no ha tenido entrada escrito de contestación alguno, por parte de la misma. SÉPTIMO: Con fecha 17/10/2014 se formuló propuesta de resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se exonere a SERVIHABITAT XXI, S.A.U. por los hechos imputados en el presente procedimiento sancionador. La citada propuesta fue notificada al denunciado y a la denunciante en fechas 22 y 24 de octubre de 2014. HECHOS PROBADOS PRIMERO: Con fecha 1/10/2013 tuvo entrada en esta Agencia, escrito de la denunciante comunicando que el documento que suscribió el 14/02/2013 (a través de la entidad ASPRO ANDALUCÍA) de una oferta de compra, sujeta a aceptación por parte del denunciado, contenía la siguiente cláusula informativa sobre protección de datos personales: <<…La ofertante acepta y consiente que sus datos de carácter personal se incorporarán a un fichero titularidad de Servihabitat para que sean tratados con la finalidad de poder cumplir lo pactado en este documento. Excepto que se indique lo contrario, o se revoque posteriormente la ofertante consiente expresamente:
4. a)El tratamiento de sus datos con la finalidad de poderle enviar, incluso por medios electrónicos, información comercial relativa a productos y servicios que actualmente, o en el futuro, comercialice Servihabitat, tanto durante la vigencia del presente documento, los posteriores que traigan causa del mismo, así como durante el periodo de prescripción de las acciones derivadas del mismo.
5. b)La comunicación de sus datos a “la Caixa” para que esta pueda dirigirle información comercial sobre productos y servicios propios de su actividad, la bancaria, así como a las empresas designadas como prestatarias de servicios inmobiliarios que la ofertante esté interesada en recibir. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 La ofertante podrá ejercitar los derechos de acceso, rectificación, cancelación de sus datos, así como oponerse a su tratamiento o revocar los consentimientos otorgados para su cesión o envío, de comunicaciones publicitarias de acuerdo con la Ley, mediante escrito dirigido a SERVIHABITAT XXI, S.A.U. (C/..........1) de Barcelona…>> (folios 1 a 10). SEGUNDO: Con fecha 26 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción leve (folios 19 a 21). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II El artículo 5 de la LOPD establece: “Art. 5 Derecho de información en la recogida de datos. 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
8. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
9. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
10. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
11. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” III Así mismo el artículo 15 del citado RD 1720/2007 establece: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma.- Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” Los hechos expuestos suponen la comisión, por parte del denunciado, de una infracción del artículo 5.1 de la LOPD en relación con el art. 15 del citado RD 1720/2007. IV El artículo 44.2.
12. c)de la LOPD, considera infracción leve “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” V El artículo 47 apartados 1 y 2 de la LOPD, sobre prescripción de la infracción, que disponen. “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.” En el presente caso ha quedado acreditado que el denunciado recogió los datos de la denunciante, mediante el modelo suscrito el 14/02/2013, modelo que no es acorde a la información que se debe proporcionar según el art. 5 de la LOPD en relación con el 15 del RD 1720/2007. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Teniendo en cuenta que el Acuerdo de Inicio del presente procedimiento es de fecha 26/05/2014, que la infracción cometida es leve y prescribe al año. Que la entidad que recaba los datos actualmente no es la entidad denunciada SERVIHABITAT XXI, S.A.U. sino SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L., por lo que la entidad denunciada ya no utiliza ningún formulario para la recogida de datos relacionado con los hechos analizados en este procedimiento, debiendo de acuerdo con el art. 47 de la LOPD declarar la prescripción. Ahora bien dado que no consta en el procedimiento el formulario que SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L. utiliza actualmente es por lo que procede que se investiguen estos hechos en el marco del expediente E/07213/2014. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: EXONERAR de responsabilidad a la entidad SERVIHABITAT XXI, S.A.U., por los hechos imputados en el presente procedimiento sancionador. SEGUNDO: NOTIFICAR la presente resolución a SERVIHABITAT XXI, S.A.U. y a Dña. B.B.B.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es