PS-00379-2022

1/8  Expediente N.º: EXP202204461 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 29 de marzo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra COMUNIDAD DE PROPIETARIOS R.R.R. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que reside en un inmueble del que la reclamada es vecina y, al tiempo de los hechos objeto de reclamación, era Presidenta de la Comunidad de Propietarios y que esta, aprovechándose de dicha condición, junto a la otra persona reclamada, accedieron a grabaciones procedente del sistema de videovigilancia de la Comunidad de Propietarios en los que aparecía la parte reclamante, realizando a su vez grabaciones de dichos videos, que difundieron en un Grupo de WHATSAPP a otros vecinos, entendiendo la parte reclamante que los reclamados han accedido y tratado datos de la parte reclamante, así como de otros vecinos. Aporta las grabaciones difundidas, así como Acta de la Junta de Propietarios de fecha 10 de marzo de 2022 donde se trata el tema y donde el reclamado (

1. a)reconoce los hechos y haber actuado junto a la reclamada a dicho respecto (Anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 21/04/22 y 11/05/22, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Efectuado el traslado de conformidad con las disposiciones de la Ley 39/2015 (1 octubre)-LPAC- no se recibió contestación alguna al respecto, ni explicación se ha realizado en relación a los mismos en el momento procedimental oportuno. TERCERO: En fecha 07/04/22 se recibe comunicación de la AET aportando los datos fiscales de la COMUNIDAD DE PROPIETARIOS R.R.R. que obran en su sistema informático con identificador del NIF asociado a la reclamada ***NIF.1. CUARTO: Con fecha 29 de junio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 9 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
2. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en fecha 11/10/22 en el que, en síntesis, manifestaba lo siguiente: “Que por medio del presente escrito esta parte reconoce como ajustados a Derecho y a la realidad los fundamentos fácticos y jurídicos de la denuncia promovida por la afectada (…) razón por la que mi mandante, la Comunidad de propietarios reconoce los hechos. Se adjunta como documento nº 1 Acta con el cese de la Presidenta y diversos acuerdos relevantes para la presente sanción. En el punto 4º se contrata a quien suscribe como nuevo Administrador de la finca. Añadir que a lo largo de los años quien ha controlado el cuarto donde permanece el monitor y grabador de imágenes han sido los diferentes Presidentes (
3. as)por lo que la actuación negligente de una Presidenta no puede suponer una sanción para el resto de los vecinos (
4. as)que comportan la Comunidad de propietarios del mismo (…) Cabe destacar que la Comunidad de propietarios ha realizado todo lo posible para poner solución y/o fin a los hechos denunciados, por lo que entiende esta parte NO ajustada a derecho la sanción propuesta (…) si bien la sanción debe ir dirigida contra la persona que ha realizado la infracción descrita”. SÉPTIMO: En fecha 07/12/22 se emite <Propuesta de Resolución> en la que se propone una sanción de 2000€, por el mal uso de las imágenes del sistema de videovigilancia instalado, por la infracción acreditada del art. 5.1
5. f)RGPD, al probarse el acceso al sistema sin causa justificada y la ulterior difusión de las mismas. OCTAVO: Consultado el sistema informativo de esta Agencia consta notificado electrónicamente el acto mencionado anteriormente, de acuerdo con lo establecido en el artículo 16 Ley 39/2015 (1 octubre). De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación ante este organismo en fecha 29/03/22 por medio de la cual se traslada lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 “realización de grabaciones por medio del sistema de video-vigilancia instalado en la Comunidad de propietarios realizado sobre la reproducción de imágenes del mismo siendo objeto de grabación en la zona común de acceso/salida del mismo, siendo las imágenes distribuidas a través de WhatsApp (…)”—folio nº 1--. Segundo. Consta acreditado como principal responsable la entidad COMUNIDAD DE PROPIETARIOS R.R.R. con NIF ***NIF.1. Tercero. Consta acreditado el acceso del principal responsable de la Comunidad al cuarto dónde se encontraba instalado el sistema de cámaras de video-vigilancia, sin causa justificada en la normativa en vigor. Cuarto. Consta acreditado la obtención de imágenes obtenidas del monitor del sistema, así como la difusión de estas a través de una aplicación de mensajería privada, llegando las mismas a conocimiento de un número indeterminado de propietarios (
6. as)del inmueble, acompañadas de expresiones despectivas. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En el presente caso, se procede a examinar la reclamación de fecha 29/03/22 por medio de la cual se traslada el presunto acceso no consentido y sin causa justificada a las imágenes obtenidas del sistema de grabación de la Comunidad de propietarios, siendo objeto según manifestación de la reclamante de difusión en un Grupo de WhatsApp sin motivo aparente alguno. “Que ha tenido conocimiento de la grabación en las instalaciones del edificio de imágenes asociadas a su persona considerando afectada su privacidad e intimidad (…)” –folio nº 1--. Cabe indicar que la Comunidad de propietarios (
7. as)ostenta la condición de “responsable del tratamiento” (artículo 4 punto 7º RGPD), con independencia de que el acceso a las imágenes se haya realizado por un órgano rector de la misma, sin que los motivos del acceso y obtención de las imágenes se hayan aclarado a día de la fecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; Al ser uno de los órganos de gobierno, que ostenta la representación legal de la Comunidad, según el artículo 13.3 de la LPH, el Presidente (
8. a)debe cumplir con los mandatos, actuar con diligencia y ejecutar los acuerdos adoptados por la Junta de Propietarios, pudiendo verse afectado de responsabilidad en caso de una presunta extralimitación en el ejercido de sus cometidos. Los hechos anteriormente descritos pueden suponer una afectación al artículo 5.1
9. f)RGPD. “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). La video-vigilancia en una comunidad es la instalación de cámaras en los elementos comunes del edificio que permita mejorar la vigilancia y por tanto la seguridad dentro del mismo. A la hora de su instalación hay que cumplir con las obligaciones recogidas en el Reglamento Europeo de Protección de Datos y la ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de Derechos Digitales. El artículo 22 apartado 3º de la LOPDGDD (LO 3/2018, 5 diciembre) dispone lo siguiente: “Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación” (* el subrayado pertenece a este organismo). El acceso a las grabaciones de los sistemas de video-vigilancia solo puede producirse en los supuestos determinados legalmente y por persona debidamente autorizada en su caso, siendo igualmente “excepcional” la difusión de las imágenes que se hayan obtenido con el (los) mismos, respetando en todo caso la normativa vigente en materia de protección de datos de carácter personal, así como las restantes normas del ordenamiento jurídico en vigor. III De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada según las manifestaciones vertidas ha procedido a acceder sin causa justificada al sistema de grabación de la Comunidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 de propietarios, procediendo a difundir datos (imágenes) de la reclamante sin obedecer a alguno (
10. s)de los motivos previstos en la norma. El artículo 13 de la LPH (Ley 49/1960, 21 de julio) “Los órganos de gobierno de la Comunidad son los siguientes:
11. b)El presidente, y en su caso, los vicepresidentes (…). La parte reclamada en su actual representante reconoce, sin ambages, los hechos objeto de traslado por este organismo “reconoce como ajustados a derecho y a la realidad de los fundamentos fácticos y jurídicos” por lo que la Comunidad de propietarios reconoce los hechos (folio nº 1 Escrito de alegaciones 11/10/22). Se argumenta que la responsabilidad de los hechos, sin embargo, debe recaer sobre el Presidente (
12. a)que realizó los mismos y no sobre el conjunto de propietarios que a su juicio han padecido estas actuaciones “adoptando las medidas necesarias para paliar la situación” que ha llevado incluso a la rescisión del mandato conferido, contratando a un nuevo Administrador de fincas. Sobre este aspecto incidir en la responsabilidad de la Comunidad en su conjunto, al ser la misma conocedora en algunos (
13. as)de sus miembros de los hechos descritos, como lo prueba que las imágenes son difundidas en un conocido sistema de mensajería de uso privativo de los mismos. A mayor abundamiento, en la instalación de este tipo de dispositivos el “responsable” del sistema es esta y no el Presidente/a que actúa como mero representante, puesto que es la Comunidad como tal la que aprueba la instalación, la finalidad del tratamiento y los medios para efectuar dicho tratamiento, siendo en última instancia la propia Junta de propietarios, órgano ante el que está subordinado, la que puede actuar contra las extralimitaciones en el ejercicio de funciones o situaciones encuadrables en <abuso de poder> por parte del mismo, a través de los mecanismos previstos en la LPH (vgr. art. 14 LPH). La gestión del Presidente(
14. a)y de otros cargos de la Comunidad puede tener consecuencias a nivel legal si no se hace diligentemente, inclusive si se producen cuando utilizan su posición y autoridad para adoptar decisiones o comportamientos que pudieran no ser convenientes para la Comunidad de propietarios. La cuestión de una presunta responsabilidad civil o penal de los daños y perjuicios causados en su caso a la Comunidad de propietarios por el Presidente(
15. a)de la misma, por el incumplimiento doloso o negligente en el ejercicio de sus funciones, es una cuestión que en su caso compete al conjunto de propietarios del inmueble, ejercitando en su caso contra el mismo las acciones legales que se estimen pertinentes inclusive en el caso de un supuesto abuso de poder. Del conjunto de alegaciones y pruebas aportadas, reconocidas por la parte reclamada, cabe concluir que se ha producido un acceso no amparado en derecho a las imágenes (datos) del sistema de video-vigilancia instalado, que permitía la captación de un espacio comunitario sin causa justificada para el acceso y la difusión de estas en la forma expuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Las medidas adoptadas han sido decididas después de producirse los hechos descritos a raíz de la intervención tanto de este organismo, como de tener conocimiento de denuncia penal a raíz de los hechos descritos en el Juzgado Instrucción nº 5 (Palmas de Gran Canaria) sin que las mismas sean completas a juicio de este organismo. Sería recomendable la adopción de medidas adicionales como indicar claramente el principal responsable de acceso a las mismas, estableciendo documentalmente un protocolo de actuación, que evitara en el futuro actuaciones como las descritas, sin perjuicio de informar al conjunto de propietarios (
16. as)del inmueble. Los hechos conocidos son por tanto constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1 letra
17. f)RGPD, anteriormente citado. IV El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
18. a)Los principios básicos para el tratamiento incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9 (…)”. A la hora de motivar la sanción se tiene en cuenta que se trata de una persona física la que ha accedido a las imágenes (datos), pero que no puede desconocer las responsabilidades de su cargo en la Comunidad de propietarios, que ha accedido al sistema de grabación de las mismas sin causa justificada, procediendo a la difusión de las mismas sin garantías adecuadas a través de una conocida aplicación de mensajería, lo que comporta una negligencia grave en la conducta descrita imputable directamente a la propia Comunidad al no adoptar garantía alguna en la difusión a terceros (
19. as)afectando a derechos de la afectada, así como por la insuficiente reacción desde el primer momento de tener conocimiento de estos, motivos todos ellos que justifican la imposición de una sanción de 2000€, acorde a la gravedad de los hechos teniendo en cuenta el número de propietarios (as), la naturaleza de la conducta descrita y situada en todo caso en la escala inferior para este tipo de comportamiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a COMUNIDAD DE PROPIETARIOS R.R.R., con NIF ***NIF.1, por una infracción del Artículo 5.1.
20. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 2000€. SEGUNDO: NOTIFICAR la presente resolución a la entidad COMUNIDAD DE PROPIETARIOS R.R.R.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
21. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es