← España

PS-00365-2023

1/14  Expediente N.º: EXP202209013 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 2 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a COMUNIDAD DE PROPIETARIOS A.A.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 16 de abril de 2024, se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202209013 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: B.B.B. y C.C.C. (en adelante, la parte reclamante) con fecha 9 de agosto de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra COMUNIDAD DE PROPIETARIOS A.A.A. con NIF ***NIF.1. Los motivos en que basa la reclamación por una presunta vulneración del principio de confidencialidad son los siguientes: El presidente de la comunidad de propietarios a la que pertenece su hija ha publicado en un grupo de WhatsApp de la referida comunidad copia de un recibo bancario en el que figuran los datos personales de la reclamante (nombre, apellidos, número de cuenta corriente y dirección). Refiere que no pertenece a dicha comunidad de propietarios, siendo cotitular, junto a su hija, de la cuenta corriente desde donde se pagan los recibos de esta comunidad. Aporta pantallazo de la conversación mantenida a través de la aplicación de mensajería instantánea WhatsApp y del recibo compartido en formato pdf. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 adelante LOPDGDD), se dio traslado de dicha reclamación a la comunidad de propietarios A.A.A., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20/09/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 19/10/2022 se recibe en esta Agencia escrito de respuesta en el que se aporta certificado del secretario-administrador de la comunidad de propietarios en el que certifica que, el grupo de WhatsApp denominado "***GRUPO.1" no es fruto de un acuerdo comunitario, sino como iniciativa de un propietario. También hace constar que la comunidad no tiene control alguno sobre lo que se publica en el chat, ni se responsabiliza sobre su contenido ni manifestaciones que en el mismo se realizan. Al igual que afirma que la Comunidad de Propietarios no es titular del número de teléfono. Por otra parte, también presenta acta notarial en la que el presidente de la comunidad hace constar expresamente la transcripción de varias conversaciones de WhatsApp mantenidas con la parte reclamante. También por WhatsApp presenta transcripción de conversaciones mantenidas con el “Grupo ***GRUPO.1” al que se enviaron capturas de pantalla del chat particular con la parte reclamante, si bien en el momento del examen de dicho terminal telefónico por parte del notario no aparecen dichas capturas de pantalla en el chat de la comunidad por haber sido eliminadas, de tal manera, que no se puede acreditar fehacientemente que dichas capturas de pantalla fueron enviadas a dicho chat. TERCERO: Con fecha 11/11/2022, por Acuerdo de la Directora de la Agencia Española de Protección de Datos, se procede al archivo de las reclamaciones formuladas. Una vez analizadas las razones expuestas por la comunidad de propietarios y considerando que faltan indicios racionales de la existencia de una infracción en el ámbito competencial de la AEPD se considera que no procede la apertura del procedimiento sancionador. En la misma fecha, se notifica la resolución del acuerdo a las partes reclamantes y a la comunidad de propietarios A.A.A. dando pie a la interposición del recurso potestativo de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a partir de día siguiente a la notificación de la resolución, o directamente recurso contencioso administrativo ante la Sala de lo ContenciosoAdministrativo de la Audiencia Nacional, en el plazo de dos meses. CUARTO: En fecha 14/11/2022, la parte reclamante interpone recurso de reposición contra la resolución anterior, en el que alega que su reclamación se ha dirigido específicamente contra la persona física que realizó la publicación de los datos y no contra la comunidad de propietarios. Asimismo, destaca que, aunque el mensaje se haya borrado del historial de la aplicación de mensajería WhatsApp, permanece en los dispositivos de todos los miembros del grupo por lo que esta medida no tiene ningún efecto ni se ha hecho nada para evitar que sus datos sean utilizados por terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 El 20/07/2023, la Directora de la Agencia Española de Protección de Datos resuelve estimar este recurso de reposición a fin de que se prosiga la tramitación de la reclamación inicial. QUINTO: Con fecha 2 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por las presuntas infracciones de los artículos 5.1.

  1. f)y 32 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante (RGPD), tipificadas en los artículos 83.5 y 83.4 del RGPD, respectivamente. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito en el que, en síntesis, manifestaba las siguientes alegaciones: - Negación de los hechos y de la validez de un pantallazo como prueba de la publicación de dato alguno. Afirma que se trata de una muestra fragmentaria de una conversación de WhatsApp obtenida por una captura de pantalla desde el dispositivo de la reclamante. - Sobre los datos en el recibo y la autorización para hacerlo público alega que dicho documento es una comunicación de un cargo en cuenta por domiciliación de pagos (el recibo domiciliado es el que emite el acreedor, el banco pagador emite una comunicación de cargo). Ese documento por tanto está emitido por el Banco y dirigido a la parte reclamante. Es ella la que lo envía al presidente de la comunidad y es ella la que autoriza su publicación en el referido grupo, como consta en el acta notarial que se aportó como prueba documental junto al escrito de alegaciones de 2022 y en que expresamente consta que la parte reclamante dice expresamente: “Enséñeselo a quien quiera, cuando vaya por la comunidad paseando, yo no tengo inconveniente. Así se entretiene y me deja un día tranquila”. - Falta de acción alguna por la Comunidad de Propietarios ya que se trata de un conflicto entre vecinos particulares. Se alega que la C.P. no es organizadora ni administradora de ningún grupo de WhatsApp, ni se ha tratado en Junta su creación como servicio ni de ningún otro modo es un vehículo oficial. Por tanto, los que participan en ese grupo y los que lo han intitulado “***GRUPO.1” actúan en su propio nombre y no en representación de la C.P y cualquier intervención en dicho grupo por parte del presidente es a título personal. - El documento consistente en cargo bancario no ha pertenecido nunca a la Comunidad de Propietarios. El responsable y custodio de la documentación de la misma es su administrador, no el presidente, que se limita a una representación orgánica y a ejecutar los acuerdos de la junta. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El presidente de la comunidad de propietarios A.A.A. es miembro del grupo de WhatsApp “***GRUPO.1”. SEGUNDO: El presidente ha compartido en este grupo de WhatsApp una conversación privada con la parte reclamante sin permiso ni consentimiento de ésta. TERCERO: También se compartió en este grupo de WhatsApp la copia de un recibo bancario en el que figuran los datos personales de la parte reclamante: nombre y apellidos, código de cuenta de cliente de la entidad financiera y dirección postal. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la parte reclamada se debe señalar lo siguiente: - En cuanto a la validez de un pantallazo como prueba de la publicación de dato alguno: Las capturas de pantalla son fotografías tomadas por un dispositivo tecnológico. Las mismas pueden ser ofrecidas como prueba, aunque resulta conveniente que se acompañe el documento electrónico en donde se encuentra dicha captura, es decir que deberá ofrecerse el archivo en formato PNG o JPG. En este caso, la parte reclamante junto con el escrito de la reclamación presentó en documento aparte, una copia en formato JPG del recibo de la entidad bancaria que fue compartido en la aplicación WhatsApp. En este recibo se puede visualizar el nombre y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 apellidos, el código cuenta cliente, la dirección postal de la reclamante, así como el cargo realizado en la cuenta por orden de la Comunidad de propietarios A.A.A. en concepto de derrama. - Sobre los datos en el recibo y la autorización para hacerlo público como consta en el acta notarial que se aportó como prueba documental junto al escrito de alegaciones: Según la transcripción del mensaje enviado por la parte reclamante no puede decirse que esté autorizando a una difusión de la conversación mantenida con el presidente sino, como máximo, a su exhibición individual. - Falta de acción alguna por la Comunidad de Propietarios ya que se trata de un conflicto entre vecinos particulares: Es importante tener en cuenta que ningún propietario podrá disponer libremente y en cualquier momento de acceso a los datos de la Comunidad de Propietarios. Es decir, tiene que existir un motivo justificado para acceder a la documentación de la comunidad de propietarios por parte del resto de vecinos que no ostenten el cargo de presidente. Luego, puede deducirse, que la parte reclamada tiene acceso a la información de los recibos bancarios de los propietarios por su condición de presidente de la comunidad. La propia comunidad de propietarios es quien ostenta la condición de responsable de los tratamientos que se realizan para la adecuada gestión y funcionamiento de la comunidad de propietarios en régimen de propiedad horizontal y le corresponde aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD. Al ser uno de los órganos de gobierno, que ostenta la representación legal de la Comunidad, según el artículo 13.3 de la LPH, el Presidente (
  2. a)debe cumplir con los mandatos, actuar con diligencia y ejecutar los acuerdos adoptados por la Junta de Propietarios, pudiendo verse afectado de responsabilidad en caso de una presunta extralimitación en el ejercido de sus cometidos. - El documento consistente en cargo bancario no ha pertenecido nunca a la Comunidad de Propietarios: Cabe indicar que la Comunidad de propietarios (
  3. as)ostenta la condición de “responsable del tratamiento” (artículo 4 punto 7º RGPD), con independencia de que el acceso a las imágenes se haya realizado por un órgano rector de la misma, sin que los motivos del acceso y obtención de las imágenes se hayan aclarado a día de la fecha. III Obligación incumplida Los hechos conocidos se consideran constitutivos de una infracción, imputable a la comunidad de propietarios A.A.A., regulada en el artículo 5.1.
  4. f)del RGPD y otra infracción del artículo 32 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 En primer lugar, el artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y, en segundo lugar, el artículo 32 del RGPD regula la seguridad del tratamiento. IV. Artículo 5.1.
  5. f)El artículo 5.1.
  6. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán:
  7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” De conformidad con las evidencias de las que se dispone en el presente momento de propuesta de resolución del procedimiento sancionador se considera que la comunidad de propietarios A.A.A. ha tratado datos personales de la parte reclamante, sin adoptar las medidas exigidas por la normativa en materia de protección de datos de carácter personal, al resultar difundido por la aplicación de mensajería instantánea WhatsApp un recibo de entidad bancaria en el que figuraba el nombre, apellidos, número de cuenta y dirección de la parte reclamante, vulnerando la confidencialidad en el tratamiento de los datos de carácter personal y por tanto este hecho se considera constitutivo de una infracción por vulneración del artículo 5.1.
  8. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
  9. f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
  10. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”. A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”. VI Sanción por la infracción del artículo 5.1.
  13. f)del RGPD La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Por tanto, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD. El artículo 83.2 del RGPD establece que: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  14. a)a
  15. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  16. a)la naturaleza, gravedad y al artículo 42,
  17. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.
  18. b)la intencionalidad o negligencia en la infracción;
  19. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  20. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  21. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  22. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  23. g)las categorías de los datos de carácter personal afectados por la infracción;
  24. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14
  25. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  26. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  27. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En este caso, se considera que la sanción que correspondería imponer sería de MIL QUINIENTOS EUROS (1.500 €) por la infracción del artículo 5.1
  28. f)del RGPD. VII Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  29. a)la seudonimización y el cifrado de datos personales;
  30. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencias permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o accesos no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. La seguridad de los datos requiere la aplicación de medidas técnicas u organizativas apropiadas en el tratamiento de los datos personales para proteger dichos datos contra el acceso, uso, modificación, difusión, pérdida, destrucción o daño accidental, no autorizado o ilícito. Por tanto, las medidas de seguridad son claves a la hora de garantizar el derecho fundamental a la protección de datos. No es posible la existencia del derecho fundamental a la protección de datos si no es posible garantizar la confidencialidad, la integridad y la disponibilidad de estos. En el presente caso, no consta que la comunidad de propietarios A.A.A. dispusiese de medidas de seguridad razonables en función de los posibles riesgos estimados al haber compartido los datos personales de una propietaria por un grupo de WhatsApp comunitario, produciéndose con ello una difusión indebida de dichos datos. Por tanto, de conformidad con las evidencias de las que se dispone en esta propuesta de resolución del procedimiento sancionador se considera que, los hechos conocidos se consideran constitutivos de una infracción, por vulneración del artículo 32 del RGPD. VIII Tipificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  31. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  32. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. (…) IX Sanción por la infracción del artículo 32 del RGPD La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Por tanto, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD, anteriormente transcrito. En este caso, se considera que la sanción que correspondería imponer sería de QUINIENTOS EUROS (500 €) por la infracción del artículo 32 del RGPD. X Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  33. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado. En particular, se insta a que en el plazo de 1 mes desde la notificación de la resolución del presente procedimiento, se acredite haber procedido a adoptar medidas adecuadas para evitar que en el futuro se produzcan incidencias como las que han provocado la apertura del procedimiento velando por la confidencialidad de los datos y evitando la publicación de documentos comprensivos de deudas relativas a vecinos/comuneros y la identificación de los mismos en lugares no establecidos ni señalados normativamente. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 Que por la Directora de la Agencia Española de Protección de Datos se sancione a COMUNIDAD DE PROPIETARIOS A.A.A., con NIF ***NIF.1, por la infracción del artículo 5.1.
  34. f)del RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de MIL QUINIENTOS EUROS (1.500 €) y por la infracción del artículo 32 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de QUINIENTOS EUROS (500 €), lo que hace un total de DOS MIL EUROS (2000 €). Que por la Directora de la Agencia Española de Protección de Datos se ordene a COMUNIDAD DE PROPIETARIOS A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
  35. d)del RGPD, en el plazo de 1 mes, acredite haber procedido a la adopción de medidas adecuadas para evitar que en el futuro se produzcan incidencias como las que han provocado la apertura del procedimiento velando por la confidencialidad de los datos y evitando la publicación de documentos comprensivos de deudas relativas a vecinos/comuneros y la identificación de los mismos en lugares no establecidos ni señalados normativamente. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en MIL SEISCIENTOS EUROS (1.600 €) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-070623 D.D.D. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 ANEXO Índice del expediente EXP202209013 09/08/2022 Reclamación de C.C.C. 10/08/2022 Reclamación de B.B.B. 01/09/2022 Escrito de AGENCIA TRIBUTARIA SERVICIO DE PLANIFICACION Y RELACIONES INSTITUCIONALES 02/09/2022 Traslado reclamación a COMUNIDAD DE PROPIETARIOS A.A.A. 19/10/2022 Escrito de CP A.A.A. 11/11/2022 Resolución a B.B.B. 11/11/2022 Resolución a C.C.C. 11/11/2022 Resolución a COMUNIDAD DE PROPIETARIOS A.A.A. 12/11/2022 Recurso de reposición de C.C.C. 14/11/2022 Recurso de reposición de C.C.C. 08/12/2022 Recurso de reposición de B.B.B. 18/04/2023 Audiencia a COMUNIDAD DE PROPIETARIOS A.A.A. 27/04/2023 Solicitud de copia del expediente de B.B.B. 27/04/2023 Solicitud de copia del expediente de C.C.C. 08/05/2023 Recurso de reposición de E.E.E. 09/05/2023 Remisión de doc. 3 a C.C.C. 09/05/2023 Remisión de doc. 4 a B.B.B. 21/07/2023 Resolución a B.B.B. 21/07/2023 Resolución a C.C.C. 02/10/2023 Acuerdo de inicio a COMUNIDAD DE PROPIETARIOS A.A.A. 18/10/2023 Alegaciones de F.F.F. >> SEGUNDO: En fecha 27 de abril de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1600 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. CUARTO: En la propuesta de resolución transcrita anteriormente se constataron los hechos constitutivos de infracción, y se propuso que, por la Directora, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
  36. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202209013, de conformidad con lo establecido en el artículo 85 de la LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 SEGUNDO: ORDENAR a COMUNIDAD DE PROPIETARIOS A.A.A. para que en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho de la propuesta de resolución transcrita en la presente resolución. TERCERO: NOTIFICAR la presente resolución a COMUNIDAD DE PROPIETARIOS A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  37. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1331-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.