1/5 Procedimiento Nº: PS/00346/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: El 1 de octubre de 2018, tuvo entrada en esta Agencia escrito de reclamación de la COMUNIDAD DE PROPIETARIOS R.R.R., (en adelante, el reclamante) porque la mercantil AEA FINCAS ADMINISTRACIONES, S.L, con NIF B72291875, se niega a remitir la documentación de carácter personal, ficheros y datos que afecta a los propietarios que conforman dicha comunidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado al reclamado de la reclamación con número de referencia E/08944/2018, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: En fecha 25 de enero de 2019, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la directora de la AEPD, acordando el archivo de la reclamación, por cuanto se consideró que se habían solventado las cuestiones planteadas, sin necesidad de depurar responsabilidades administrativas en el marco de un procedimiento sancionador. La resolución fue notificada a la recurrente en fecha 12 de febrero de 2019, según aviso de recibo que figura en el expediente. CUARTO: En fecha 11 de marzo de 2019, el reclamante interpone recurso potestativo de reposición, argumentando que la entidad reclamada continua sin entregar la documentación solicitada, a pesar de haberse personado el Presidente de la Comunidad y el nuevo administrador de fincas para su recogida. La entidad reclamada alega que no va a entregar dicha documentación si el reclamante no firma un documento redactado que le exonere de cualquier responsabilidad civil, penal que pueda derivarse del uso de tales datos. QUINTO: La Directora de la AEPD resuelve estimar el recurso de reposición RR/00191/2019, interpuesto por el reclamante contra la resolución de esta Agencia dictada en fecha 25 de enero de 2019, al constatarse que los hechos denunciados no se han solventado, por lo que se acuerda la admisión a trámite de la reclamación presentada contra el reclamante, para lo cual se procede a la apertura del expediente E/08219/
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). SEPTIMO: Con fecha 25 de octubre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 del RGPD. OCTAVO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones el 14 de noviembre de 2019, en el que manifestaba lo siguiente: “
- Esta parte ratifica las Alegaciones presentadas en el Escrito de fecha 21 de diciembre de 2018 ante esta Autoridad de Control.
- Respecto al hecho que el Sr. al A.A.A. argumenta en el recurso potestativo de reposición, que AEFINCAS ALGECIRAS continua sin entregar la documentación solicitada, adjuntamos como prueba documental número 1, los correos electrónicos acreditativos del envío de documentación relativa a la Comunidad de Propietarios R.R.R, en fecha 09 de mayo de 2018, por los que le hacemos envío de toda la documentación relativa a la gestión de la Comunidad una vez ha finalizado el Encargo de Tratamiento, para que pueda continuar con la gestión el nuevo AAFF.
- En cuanto a la entrega de la documentación original derivada de la gestión de la CCPP, esta parte adjunta copia de la comunicación dirigida al A.A.A., por la cual se le da respuesta a su petición para que le hagamos entrega de la documentación relativa a la Comunidad de Propietarios R.R.R. sita en la ***DIRECCION.1 de la que él .Únicamente se solicita un acuse de recibo de la entrega de la documentación, con un pequeño inventario de los documentos entregados, para justificar su la entrega .
- Con el objetivo de devolver la documentación física de la CCPP obrante en manos de este despacho , y visto que no ha sido posible un buen entendimiento con el Presidente para recogerla , el pasado 08/11/2019 de consigna en el Juzgado número 3 de Algeciras el depósito de los ficheros de datos personales de la citada comunidad de propietarios, libro de actas, datos de propietarios así como datos privados y especialmente protegidos, tales como teléfonos, direcciones bancarias, listado de cuotas, listado de morosos, haberes de trabajadores que prestan sus servicios en la comunidad, tarjeta de identificación fiscal, contratos, cuentas corrientes, talonarios, póliza de seguros, copia de estatutos, división horizontal, datos de la administración de hacienda, e informes de la administración, entre otros documentos. Adjuntamos como documental número 2 documento de consignación del Juzgado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5
- El Sr. A.A.A. no se ha personado nuevamente a retirar la documentación, ni ha enviado a ningún representante autorizado a realizar la gestión. Sin embargo, nos envía reiterados emails profiriendo amenazas, hecho que ha provocado que no le demos respuesta a sus comunicaciones.
- AEFINCAS ADMINISTRACIONES, SL tiene contratada una Consultoría especializada en protección de datos que nos acompaña en todo el procedimiento de adaptación continua a las novedades legislativas en materia de privacidad de la información.” NOVENO: Con fecha 16 de noviembre de 2019, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/08219/2019, así como los documentos aportados por el reclamado. De las actuaciones practicadas han quedado acreditados los siguientes hechos: PRIMERO: El reclamante pone de manifiesto que ve impedido el poder realizar su cometido como presidente de su comunidad de vecinos, dado que le falta información relevante para llevar una administración fiel y acorde a la situación de la comunidad, porque a día de hoy, siguen a disposición del reclamado en lugar de en el reclamante, los ficheros de datos personales de la citada comunidad de propietarios, libro de actas, datos de propietarios así como datos privados y especialmente protegidos, tales como teléfonos, direcciones bancarias, listado de cuotas, listado de morosos, haberes de trabajadores que prestan sus servicios en la comunidad, tarjeta de identificación fiscal, contratos, cuentas corrientes, talonarios, póliza de seguros, copia de estatutos, división horizontal, datos de la administración de hacienda, e informes de la administración, entre otros documentos. Asimismo, manifiesta que tanto el presidente de la Comunidad, como el nuevo Administrador de Fincas, se personaron hasta en dos ocasiones, en el domicilio social de la administración cesada, siendo ambos intentos infructuosos al negarse dicha entidad a entregar la documentación de carácter personal que obra en su poder, hasta que no se firmasen un documento que les exonerase de cualquier responsabilidad civil o penal en el caso de mala praxis en el uso de tales datos. SEGUNDO: El reclamado manifiesta que el 9 de mayo de 2018, se envió copia de toda la documentación relativa a la gestión de la Comunidad una vez finalizó el Encargo de Tratamiento, para que pueda continuar con la gestión el nuevo administrador de fincas. En cuanto a la entrega de la documentación original el reclamado requiere que el reclamante presente acuse de recibo de la documentación a entregar, consistente en un pequeño inventario de los documentos entregados, para justificar su entrega. El reclamante no se ha personado para retirar la documentación, ni ha enviado a ningún representante autorizado a realizar la gestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 El reclamado al no poder realizar la entrega de los documentos, el pasado 8 de noviembre de 2019 consigna en el Juzgado número 3 de Algeciras el depósito de los ficheros de datos personales de la citada comunidad de propietarios, libro de actas, datos de propietarios así como datos privados y especialmente protegidos, tales como teléfonos, direcciones bancarias, listado de cuotas, listado de morosos, haberes de trabajadores que prestan sus servicios en la comunidad, tarjeta de identificación fiscal, contratos, cuentas corrientes, talonarios, póliza de seguros, copia de estatutos, división horizontal, datos de la administración de hacienda, e informes de la administración, entre otros documentos. FUNDAMENTOS DE DERECHO I El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD) se refiere -en el apartado 8 de su artículo 4-, al encargado del tratamiento o encargado como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. En consecuencia, la figura del encargado del tratamiento obedece a la necesidad de dar respuesta a fenómenos como la externalización de servicios por parte de las empresas y otras entidades, de manera que en aquellos supuestos en que el responsable del tratamiento encomiende a un tercero la prestación de un servicio que requiera el acceso a datos de carácter personal por éste, dicho acceso no pueda considerarse como una cesión de datos por parte del responsable a quien le presta tal servicio, sino que el tratamiento de los datos se realiza por el encargado en nombre y por cuenta del responsable como si fuera este mismo quien lo lleva a cabo. El artículo 28.3 g) del RGPD regula dicha figura y exige la existencia de un contrato u otro acto jurídico con arreglo al derecho de la Unión o de los Estados miembros que vincule al encargado respecto del responsable, señalando en la letra g) que “a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros”. Dicho contrato o acto jurídico deberá constar por escrito, incluso en formato electrónico, como señala el número 9 de dicho artículo. En este sentido, el reclamante ha aportado copia del contrato celebrado en fecha 18 de julio de 2016 a favor de la entidad reclamada. Asimismo, el número 10 del artículo 28, establece que “Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.” II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 De conformidad con las evidencias de las que se dispone en el presente momento, se consideró que los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del art. 28.3 g) del RGPD, sobre las obligaciones del encargado del tratamiento, por no entregar la documentación requerida a el reclamante. No obstante, la entidad reclamada ha acreditado mediante burofax de fecha 7 de noviembre de 2019, la consignación de toda la documentación requerida en el juzgado de primera instancia civil de Algeciras, alegando que toma tal decisión tras varios intentos infructuosos de entregar al reclamante dicha documentación. III Así las cosas, al haberse constatado que la reclama, tiene la voluntad de entregar la documentación requerida, acreditándose la consignación de la misma en el citado juzgado, se ha de proceder al archivo de las presentes actuaciones. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00346/2019, al acreditarse que AEA FINCAS ADMINISTRACIONES, S.L, con NIF B72291875, se encuentra exenta de responsabilidad que pudiera ser constitutiva de una infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a AEA FINCAS ADMINISTRACIONES, S.L Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es