1/13 Expediente N.º: EXP202212905 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 28/02/2023 interpuso reclamación ante la Agencia Española de Protección de Datos; la reclamación se dirige contra ASOCIACIÓN COMUNIDAD DE VECINOS R.R.R., con NIF ***NIF.1 (en adelante, la parte reclamada), y los motivos en los que basa la misma son los siguientes: que la asociación de vecinos y la asesoría que la administra ha remitido a todos sus asociados carta de convocatoria a Junta General Extraordinaria donde figuran sus datos personales (nombre, apellidos, piso, letra y cuantías adeudadas); el reclamante manifiesta que no pertenece ni ha pertenecido a la citada asociación, en la que ningún vecino es propietario, ya que todos son inquilinos y la propiedad recae sobre el Ministerio de Defensa a través de su delegación en INVED (Instituto de Vivienda, Infraestructuras y Equipamiento de la Defensa). SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, o a estos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, se dio traslado de la reclamación a la ASOCIACIÓN COMUNIDAD DE VECINOS R.R.R. y a la CONSULTORÍA CAMPOLONGO, S.L., para que procediera a su análisis y diera respuesta en el plazo de un mes. TERCERO: Tras el análisis realizado sobre los documentos aportados y las circunstancias concurrentes, no se apreciaron indicios racionales de la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, por lo que, de acuerdo con lo previsto en el artículo 65.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, el 15/02/2023 se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la inadmisión a trámite de la reclamación. La resolución fue notificada a la parte reclamante en fecha 16/02/2023, según consta acreditado en el expediente. CUARTO: El 28/02/2023 el reclamado interpuso recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída, mostrando su disconformidad con la resolución impugnada, solicitando que se admitiera a trámite la reclamación inicial presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 QUINTO: En fecha 28/07/2023 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que se ha verificado mediante escrito de respuesta de fecha 13/08/2023 y 17/08/2023. SEXTO: El 06/09/2023, una vez realizadas las comprobaciones oportunas tras la documentación y alegaciones aportadas con posterioridad a la resolución de inadmisión a trámite de la reclamación inicialmente presentada, se resuelve estimar el recurso de reposición interpuesto contra la resolución dictada el 15/04/2021. SEPTIMO: Con fecha 22/11/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 6.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos (en adelante RGPD), tipificada en el artículo 83.5.
- a)del RGPD. OCTAVO: Notificado el acuerdo de inicio, en fecha 11/12/2023 el reclamado presentó escrito de alegaciones, reiterando las ya realizadas en escritos anteriores y que no se vulnera ni el deber de confidencialidad del artículo 5 de la LOPDGDD ni ningún otro de los principios que rigen en materia de protección de datos, la publicación de la convocatoria de la Junta General, haciendo constar la existencia de una deuda de uno de dichos comuneros del modo en que se hizo, pues en definitiva dicha fijación de la suma adeudada se encuentra legalmente amparada y constituye un tema de interés para tal Comunidad. NOVENO: Con fecha 02/09/2024 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación aportada. - Solicitar a la parte reclamada: Que acredite la condición de socio de la ASOCIACIÓN COMUNIDAD DE VECINOS R.R.R., de la parte reclamante. Que acredite la condición de miembro de la Junta Directiva y aceptación del cargo de Secretario de la Asociación en la condición de Secretario de la ASOCIACIÓN COMUNIDAD DE VECINOS R.R.R., de la parte reclamante. Transcurrido el plazo establecido la parte reclamada no dio respuesta a las pruebas practicadas. DECIMO: Con fecha 21/10/2024 fue emitida Propuesta de Resolución en el sentido de que se sancionara a la parte reclamada por infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, con una multa de 1.000 € (mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 La propuesta fue notificada el 22/10/2024 sin que la parte reclamada, transcurrido el plazo señalado legalmente, presentara escrito de alegación alguno. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 28/02/2023 tiene entrada en la AEPD escrito de la parte reclamante en el que manifiesta que la parte reclamada así como la asesoría que administra la Comunidad ha remitido a todos sus asociados convocatoria a Junta General Extraordinaria donde figurando sus datos personales en calidad de deudor (nombre, apellidos, piso, letra y cuantías adeudadas); señala que no pertenece ni ha pertenecido a la citada asociación, comunidad en la que ningún vecino es propietario, ya que todos son inquilinos siendo la propiedad del Ministerio de Defensa a través del INVED. SEGUNDO. Consta Oficio de la Subdelegación de Defensa en Pontevedra de 19/12/2016, dirigido al representante de las viviendas R.R.R., Asunto: informando sobre ocupación de vivienda, en el que se señala que “El pasado 9 de Diciembre ha sido realojada en la vivienda 6ºC, de ese bloque, la parte reclamante, lo que le comunico a los efectos oportunos y en particular a los gastos que nos pudiera repercutir en la Comunidad de usuarios que gestionan. TERCERO. Consta aportado Convocatoria a Junta General Extraordinaria para usuarios de la ASOCIACIÓN COMUNIDAD DE VECINOS R.R.R., conteniendo listado de deudores entre los que se halla la parte reclamante figurando su nombre y apellidos, nº de vivienda y deuda. CUARTO. Consta aportado Resolución de la Consejería de Justicia Interior y Administración Local de la Xunta de Galicia de 23/11/2004 por el que se elevan a público y se registran los Estatutos de la Asociación de vecinos R.R.R.. QUINTO. Consta Oficio de la Subdelegación de Defensa en Pontevedra de 07/05/2018, dirigido a la parte reclamante, Asunto: contestación a una instancia, en el que se señala que: “En contestación a la instancia remitida a este instituto, en la que expone las dudas planteadas en la facturación de su Comunidad de Usuarios, le comunico que sus obligaciones serían las del pago de las llamados gastos repercutibles, es decir, los suministros, servicios y consumos individualizados o susceptibles de medición por contador o, en su defecto, mediante prorrateo en función de la vivienda de que se trate, de acuerdo con el vigente estatuto del INVIED (RD 1080/2017, de 19 de Diciembre). En este caso, las responsabilidades adquiridas como consecuencia de los acuerdos adoptados por esa Comunidad de Usuarios han creado obligaciones de pago a un administrador como si fuesen Comunidades de Propietarios careciendo de las facultades que tienen las mismas. Por ello es necesario recordar la O.M. 15/1995, de 30 de Enero, que regula los órganos de representación de los usuarios de viviendas militares, en la que se crea la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 figura del Representante de los usuarios ante el Instituto y que señala en su apartado cuarto que “no serán responsabilidad del instituto los acuerdos que pueden tomar los Representantes y los usuarios en relación a gastos o ingresos para la administración de elementos comunes que no sean de cargo del Instituto, servicios generales de los usuarios y gastos no autorizados de los edificios. Por todo ello, en opinión de esta Subdirección, tendrá que acordar con su comunidad de usuarios el importe a pagar de limpieza de las zonas comunes y gas, no asumiendo el del Administrador, sin que este Instituto pueda intervenir en su cobro por no repercutir ningún tipo de gasto” SEXTO. En Oficio de 23/02/2023, el mismo organismo anterior señalaba que: “(…) Asimismo, se le informa que las condiciones para ser titular de la vivienda militar son las establecidas en el Real Decreto 1080/2017, de 19 de Diciembre, por el que se aprueba el Estatuto del organismo autónomo Instituto de Vivienda, Infraestructura y Equipamiento de la Defensa”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida: infracción del artículo 6.1 del RGPD El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13
- f)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” El artículo 5 del RGPD, Principios relativos al tratamiento, establece que: “1. Los datos personales serán:
- f)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); (…)” Por otra parte, el artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Asimismo el Considerando 40 del mencionado RGPD, dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. 1. El tratamiento de datos de carácter personal requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular. en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, los hechos reclamados según manifestaciones de la parte reclamante se han materializado en la remisión por la parte reclamada a sus asociados de Convocatoria a Junta General Extraordinaria incorporando una relación de deudores entre los que se encuentra la parte reclamante conteniendo sus datos de carácter personal (nombre, apellidos, piso, letra y deuda), a través de la consultora que administra la asociación de vecinos, y que él “no pertenece a dicha asociación y que nunca ha dado permiso… para que se le nombre en las cartas de la asociación. Ni ha dado permiso para que se utilicen sus datos ni sé de a conocer ninguna circunstancia ni dato alguno referente a mi persona” y que los vecinos no son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 propietarios sino inquilinos del Mº de Defensa, que es el verdadero propietario de las mismas que son gestionadas a través del INVIED. La parte reclamante ha manifestado, tanto en el escrito de reclamación como en posteriores escritos, que no pertenece a dicha asociación y que nunca ha dado permiso a esta ni a la administradora de la misma "Consultoría Campolongo" para que utilicen sus datos, ni circunstancia o condición de tipo alguno que se refiera a él. No obstante, la parte reclamada mantiene por el contrario que la parte reclamante forma parte de la citada asociación derivada de su condición de inquilino de la comunidad, de conformidad con lo establecido en los Estatutos de la misma. Es cierto que el artículo 1º, apartado 2, de los Estatutos de la Asociación establece que: “(…) 2. La asociación se regirá por los presentes Estatutos, por la Ley orgánica 1/2002 de 22 de marzo, reguladora del derecho de asociaciones y por el resto de la legislación existente en materia de asociaciones que le sea aplicable”. El artículo 5º de los Estatutos establece: “Serán fines de la asociación, la gestión y administración, sin ánimo de lucro, de los servicios comunes de las viviendas de los inmuebles en que radican. Los beneficios que se obtengan por cualquier concepto se destinaran exclusivamente al cumplimiento de estos fines, sin que se puedan repartir entre los asociados ni otras personas físicas o jurídicas con interés lucrativo”. El artículo 6º de los Estatutos establece: “Podrán ser integrantes de la Asociación todas aquellas personas físicas con plena capacidad de obrar. La condición de asociado se adquiere en el acto de firma del acta fundacional y de la firma del contrato de ocupación de vivienda, viéndose obligado a aceptar los presentes Estatutos y el abono de las cuotas que le correspondan de forma proporcional, que se ingresa antes de los diez primeros días de mes en la cuenta que dispone la Asociación”. El artículo 7º de los Estatutos establece: “Dentro de la Asociación podrán existir las siguientes clase de asociados: A) Fundadores, aquellas personas que suscribieron el acta fundacional B) Numerarios, aquellas personas que ingresaron con posterioridad a la suscripción del Acta Fundacional. C) Honorarios, aquellas personas que a juicio de la Asamblea General, ayuden de forma notable al desenvolvimiento de los fines de la Asociación”. El artículo 8º de los Estatutos establece: “La condición de asociado se pierde cuando: A) Se deja de ostentar la condición de inquilino. B) Por fallecimiento de la persona física” Ahora bien, no es menos cierto que la ley Orgánica 1/2002, de 22 de marzo, reguladora del Derecho de Asociación, establece en su artículo 1, Objeto y ámbito de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 aplicación, en su apartado 4: “Quedan excluidas del ámbito de aplicación de la presente Ley las comunidades de bienes y propietarios y las entidades que se rijan por las disposiciones relativas al contrato de sociedad, cooperativas y mutualidades, así como las uniones temporales de empresas y las agrupaciones de interés económico” Y en su artículo 2, Contenido y principios, apartado 3: “Nadie puede ser obligado a constituir una asociación, a integrarse en ella o a permanecer en su seno, ni a declarar su pertenencia a una asociación legalmente constituida (los subrayados corresponden a la AEPD). Como se señalaba anteriormente la parte reclamante ha manifestado reiteradamente que no es socio ni forma parte de la Asociación; en periodo probatorio se requirió a ésta para que acreditara la condición de socio y de secretario de la Asociación de Vecinos del reclamante (la reclamada había manifestado que había ostentado dicho cargo), no habiendo obtenido respuesta alguna. A mayor abundamiento, consta la respuesta ofrecida por la Subdelegación de Defensa en Pontevedra de 07/05/2018, a la parte reclamante que había elevado cuestión respecto a los gastos de la comunidad, en la que señala: “En contestación a la instancia remitida a este instituto, en la que expone las dudas planteadas en la facturación de su Comunidad de Usuarios, le comunico que sus obligaciones serían las del pago de las llamados gastos repercutibles, es decir, los suministros, servicios y consumos individualizados o susceptibles de medición por contador o, en su defecto, mediante prorrateo en función de la vivienda de que se trate, de acuerdo con el vigente estatuto del INVIED (RD 1080/2017, de 19 de Diciembre). En este caso, las responsabilidades adquiridas como consecuencia de los acuerdos adoptados por esa Comunidad de Usuarios han creado obligaciones de pago a un administrador como si fuesen Comunidades de Propietarios careciendo de las facultades que tienen las mismas. Por ello es necesario recordar la O.M. 15/1995, de 30 de Enero, que regula los órganos de representación de los usuarios de viviendas militares, en la que se crea la figura del Representante de los usuarios ante el Instituto y que señala en su apartado cuarto que “no serán responsabilidad del instituto los acuerdos que pueden tomar los Representantes y los usuarios en relación a gastos o ingresos para la administración de elementos comunes que no sean de cargo del Instituto, servicios generales de los usuarios y gastos no autorizados de los edificios. Por todo ello, abstracción hecha del importe de la deuda de la parte reclamante, lo que parece evidente es que el cauce elegido para dar a conocer la condición de deudor de la misma no es el adecuado entrando en colisión con la normativa en materia de protección de datos de carácter personal, vulneración del artículo 6.1 del RGPD al no contar base legal alguna para el tratamiento de los datos de la parte reclamante. Además, atendiendo a lo argumentado por la Subdelegación de Defensa en el escrito de 07/05/2018, dado que la parte reclamante no forma parte de la Asociación lo gastos de administración no sería obligación asumirlos por la misma, siendo de su responsabilidad el pago de los llamados “gastos repercutibles, es decir, los suministros, servicios y consumos individualizados o susceptibles de medición por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 contador o, en su defecto, mediante prorrateo en función de la vivienda de que se trate”. Por tanto, se considera que la conducta del reclamado vulnera el principio de licitud consagrado en el artículo 6.1 del RGPD, tipificada en el artículo 83.5
- a)del RGPD. III Tipificación de la infracción del artículo 6.1 del RGPD La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
- a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” V Sanción por infracción del artículo 6.1 del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En relación con la letra
- k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, tiene como consecuencia la fijación de una sanción de multa administrativa de 1.000 € (mil euros). VI Adopción de medidas Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
- a)a j). Al haberse confirmado la infracción procede requerir al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Por tanto, se considera procedente ordenar al reclamado que en el plazo de seis meses a partir de la firmeza de la presente resolución adecúe los tratamientos objeto del presente procedimiento a la normativa aplicable. En el texto de este acuerdo se establecen cuáles han sido los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en el presente caso se señala como medida a adoptar: la implantación de medidas técnicas y organizativas que garantice el cumplimiento del principio de licitud de conformidad con lo establecido en el artículo 6.1 del RGPD. Se advierte que no atender la orden impuesta por este organismo podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ASOCIACIÓN COMUNIDAD DE VECINOS R.R.R. con NIF ***NIF.1, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 1.000 € (mil euros). SEGUNDO: ORDENAR a ASOCIACIÓN COMUNIDAD DE VECINOS R.R.R., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo seis meses a partir de la firmeza de la resolución, acredite haber procedido al cumplimiento de las medidas que garantice el cumplimiento de lo establecido en el artículo 6.1 del RGPD. TERCERO: NOTIFICAR la presente resolución a ASOCIACIÓN COMUNIDAD DE VECINOS R.R.R.. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es