PS-00428-2022

1/11  Expediente N.º: EXP202100764 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de julio de 2021 A.A.A. (en adelante, la parte reclamante) con fecha 26 de julio de 2021 presentó reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra COMUNIDAD PROPIETARIOS B.B.B. con NIF ***NIF.1 (en adelante, la Comunidad). Los motivos en que basa la reclamación son los siguientes: Reclama que la Comunidad, a la que pertenece la reclamante, exhibe en el tablón de anuncios cerrado con llave, ubicado en una zona común, a la entrada del portal al lado del ascensor, un Decreto de Ejecución de Títulos Judiciales en el que figuran los datos personales de la reclamante (nombre y apellidos). Asimismo, informa de que la Comunidad fue objeto de un procedimiento de apercibimiento por el mismo motivo en el año 2018. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la Comunidad, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 10 de agosto de 2021, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Dicha notificación postal fue devuelta por no ser retirada en la oficina de Correos el 13 de septiembre de 2021, tras dos intentos de notificación en el domicilio en días y horas diferentes. Reiterándose el traslado por el mismo medio, se notifica el día 11 de octubre de 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 2 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Hechos según manifestaciones de la parte reclamante: La comunidad reclamada, a la que pertenece la reclamante, ha expuesto en el tablón de anuncios ubicado en una zona común (a la entrada del portal al lado del ascensor) un Decreto de Ejecución de Títulos Judiciales en el que figuran el nombre y los apellidos de la reclamante. La exhibición se habría producido “como mínimo” desde el día 17 de mayo de 2021 sin que, según la reclamante, a fecha de la reclamación (26 de julio de 2021) se haya suprimido o anonimizado “a pesar de la clara advertencia que consta en el propio documento: “será contrario a las Leyes la difusión de documentos Judiciales no anonimizados””. Manifiesta que con fecha 24 de noviembre de 2017 ya presentó una reclamación contra la Comunidad ante la AEPD por hechos de la misma naturaleza. Ésta fue tramitada bajo el procedimiento A/00001/2018 con resultado de apercibimiento (R/00601/2018) por infracción (artículo 44.3.d de la ley orgánica 15/1999) y requerimiento de retirada de la información indebidamente expuesta. Añade la reclamante que la actuación de la Comunidad le causa perjuicio por cuanto, por un lado, informa a terceros no interesados sobre su lugar de residencia, y por otro le vincula a un procedimiento judicial cuya publicidad es injustificada poniendo en riesgo sus datos personales. Asimismo, indica que no queda clara cuál es la finalidad de tal publicación de sus datos personales. Documentación relevante aportada por la parte reclamante: - Copia del decreto de ejecución de títulos judiciales de 12 de mayo de 2021 en el que figuran la reclamante (nombre y apellidos) y la Comunidad como intervinientes. El lateral del decreto contiene un texto de aviso de no difusión a partes no interesadas sin previa disociación de los datos personales. Además, la parte dispositiva incluye el texto: “Aprobar en XX.XXX,XX euros el coste del hacer a que se refiere la presente ejecución”. - Fotografías del portal en las que se visualiza el decreto reseñado en el párrafo anterior colgado en el tablón de anuncios situado entre la escalera y el ascensor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 - Copia de la resolución R/00601/2018 del procedimiento A/00001/2018. Fecha en la que tuvieron lugar los hechos reclamados: 17 de mayo de 2021 Los antecedentes que constan en los sistemas de información son los siguientes: - En el sistema de información de la AEPD consta una reclamación previa interpuesta por la reclamante frente la Comunidad (número de registro 370647/2017) gestionada en marco del procedimiento A/00001/2018. Este procedimiento concluyó con el apercibimiento la Comunidad junto al requerimiento de retirada del documento expuesto en el tablón de anuncios objeto de controversia (R/00601/2018, incorporada a las presentes actuaciones). Además, se recoge información de las siguientes fuentes: - Escrito procedente de la Comunidad registrado de entrada en la AEPD el día 22 de febrero de 2022 con número O00007128e2200008332 (en adelante Escrito#1). - Guía “Protección de Datos y Administración de Fincas” de la AEPD descargada de su sitio de internet. Manifiesta la Comunidad en el Escrito#1 que el 13 de octubre de 2021 procedió a la retirada del documento exhibido en el tablón de anuncios objeto de reclamación. En atención a la retirada solicita el archivo de las actuaciones o, subsidiariamente, una sanción de apercibimiento. Adjunta al escrito una fotografía de un tablón de anuncios vacío. La guía “Protección de Datos y Administración de Fincas” de la AEPD incluye en el apartado octavo el siguiente texto: “¿Se pueden publicar datos de carácter personal en el tablón de avisos de la comunidad de propietarios? Los supuestos en los que se autoriza la exposición de datos de carácter personal relacionados con asuntos derivados de la gestión de la comunidad se precisan en el artículo 9.

1. h)de la LPH. El tablón de avisos no deberá colocarse en un lugar de tránsito fácilmente accesible por cualquier persona.” QUINTO: Con fecha 21 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
2. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD y Artículo 83.5 del RGPD. El acuerdo de inicio fue notificado electrónicamente a la Comunidad. Así lo exige el artículo 14.2 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) conforme al cual “En todo caso estarán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 obligados a relacionarse a través de medios electrónicos con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo, al menos, los siguientes sujetos:
3. a)Las personas jurídicas”. Obra en el expediente Certificado emitido por el Servicio de Notificaciones Electrónicas y de Dirección Electrónica Habilitada de la FNMT-RCM, que deja constancia del envío del acuerdo de inicio, notificación de la AEPD dirigida a la Comunidad, a través de ese medio siendo la fecha de puesta a disposición en la sede electrónica del organismo el 21 de octubre de 2022 y la fecha de rechazo automático el 11 de noviembre de 2022. El artículo 43.2. de la LPACAP establece que cuando la notificación por medios electrónicos sea de carácter obligatorio -como acontece en el presente caso- “se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.” (El subrayado es de la AEPD). Añadir que los artículos 41.5 y 41.1, párrafo tercero, de la LPACAP establecen, respectivamente, que: Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento. (El subrayado es de la AEPD) Con independencia del medio utilizado, las notificaciones serán válidas siempre que permitan tener constancia de su envío o puesta a disposición, de la recepción o acceso por el interesado o su representante, de sus fechas y horas, del contenido íntegro, y de la identidad fidedigna del remitente y del destinatario de la misma. La acreditación de la notificación efectuadas se incorporará al expediente. Asimismo, y de modo complementario a la notificación electrónica, se envió una copia por correo postal. Dicha notificación postal fue devuelta por no ser retirada en la oficina de Correos el 8 de noviembre de 2022, tras dos intentos de notificación en el domicilio en días y horas diferentes, tal y como consta en el Certificado emitido por Correos y que obra en el expediente. SEXTO: El artículo 73.1 de la LPCAP determina que el plazo para formular alegaciones al Acuerdo de Inicio es de diez días computados a partir del siguiente al de la notificación. El artículo 64.2.
4. f)LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. (El subrayado es de la AEPD). En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 en atención a lo establecido en el artículo 64.2.
5. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La Comunidad ha exhibido en el tablón de anuncios ubicado en una zona común y de tránsito fácilmente accesible por cualquier persona (a la entrada del portal junto al ascensor) un Decreto de Ejecución de Títulos Judiciales en el que figuran los datos personales de la reclamante (nombre y apellidos e información sobre un proceso judicial) y la Comunidad como intervinientes. Al menos consta publicado desde el 17 de mayo de 2021 hasta el 13 de octubre de 2021, fecha en la que la Comunidad afirma haberlo retirado. En el lateral del Decreto aparece un texto de aviso de no difusión a partes no interesadas sin previa disociación de los datos personales. Además, la parte dispositiva incluye el texto: “Aprobar en XX.XXX,XX euros el coste del hacer a que se refiere la presente ejecución”. SEGUNDO: Consta en el sistema de información de la AEPD una reclamación previa por la reclamante frente a la Comunidad gestionada en marco del procedimiento A/00001/2018. Este procedimiento concluyó con Resolución de apercibimiento a la Comunidad junto al requerimiento de retirada del documento expuesto en el tablón de anuncios objeto de controversia (R/00601/2018). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la Comunidad realiza, entre otros tratamientos, la recogida, registro, organización, conservación, modificación, consulta, utilización, supresión de los siguientes datos personales de personas físicas, tales como: nombre, apellidos, dirección, número de identificación, número de teléfono etc. La Comunidad realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad al haberse expuesto datos personales de la reclamante en un tablón de anuncios en una zona común, concretamente en el portal de acceso del inmueble de la Comunidad de Propietarios, entre las escaleras y el ascensor, a la vista por tanto de cualquier persona que acceda al mismo y no únicamente de los vecinos. Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
6. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III Artículo 5.1.
7. f)del RGPD El artículo 5.1.
8. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 En el presente caso, consta que los datos personales de la reclamante (nombre, apellidos e información sobre un proceso judicial), fueron indebidamente expuestos por la Comunidad a terceros, por cuanto que aparecían en un Decreto de Ejecución de Títulos Judiciales que fue colocado por dicha Comunidad en un tablón de anuncios, cerrado con llave, situado en el portal de entrada al inmueble (entre las escaleras y el ascensor), lugar por donde puede transitar cualquier persona, sea o no propietario del inmueble siendo, por tanto, una zona de acceso público, lo que constituye un acceso no autorizado a dichos datos. Dicho documento estuvo expuesto desde el día 17 de mayo de 2021 hasta el 13 de octubre de 2021. El artículo 9.
10. h)la Ley de Propiedad Horizontal indica como obligación del propietario la de “Comunicar a quien ejerza las funciones de Secretario de la comunidad, por cualquier medio que permita tener constancia de su recepción, el domicilio en España a efectos de citaciones y notificaciones de toda índole relacionadas con la comunidad. En defecto de esta comunicación se tendrá por domicilio para citaciones y notificaciones el piso o local perteneciente a la comunidad, surtiendo plenos efectos jurídicos las entregadas al ocupante del mismo. Si intentada una citación o notificación al propietario fuese imposible practicarla en el lugar prevenido en el párrafo anterior, se entenderá realizada mediante la colocación de la comunicación correspondiente en el tablón de anuncios de la comunidad, o en lugar visible de uso general habilitado al efecto, con diligencia expresiva de la fecha y motivos por los que se procede a esta forma de notificación, firmada por quien ejerza las funciones de Secretario de la comunidad, con el visto bueno del Presidente. La notificación practicada de esta forma producirá plenos efectos jurídicos en el plazo de tres días naturales”. En el presente caso la exposición de los datos de la reclamante en el tablón de la comunidad no obedece a los supuestos expuestos en la Ley de Propiedad Horizontal. De conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la Comunidad, por vulneración del artículo 5.1.
11. f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
12. f)del RGPD La infracción del artículo 5.1.
13. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
14. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 5.1.
16. f)del RGPD El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
17. f)del RGPD, permite fijar una sanción de 1.000 € (mil euros). VI Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
18. a)la seudonimización y el cifrado de datos personales;
19. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
20. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
21. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha, no cabe afirmar que la reclamada contase con las medidas apropiadas para evitar el incidente, puesto que publicó los datos personales de la reclamante en un tablón de anuncios en una zona fácilmente accesible por cualquier persona (en el portal de acceso, entre las escaleras y el ascensor) del inmueble de la Comunidad, habiendo sido además apercibida por esta Agencia en un procedimiento anterior por hechos similares, lo cual pone en evidencia que no ha adoptado medidas técnicas y organizativas adecuadas para evitar de nuevo incidentes de seguridad como el sucedido. De conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la Comunidad, por vulneración del artículo 32 del RGPD. VII Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
22. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
23. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. VIII Sanción por la infracción del artículo 32 del RGPD El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar una sanción de 500 € (quinientos euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a COMUNIDAD PROPIETARIOS B.B.B., con NIF ***NIF.1, por una infracción del Artículo 5.1.
24. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de MIL EUROS (1.000 euros). SEGUNDO: IMPONER a COMUNIDAD PROPIETARIOS B.B.B., con NIF ***NIF.1, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa de QUINIENTOS EUROS (500 euros) TERCERO: NOTIFICAR la presente resolución a COMUNIDAD PROPIETARIOS B.B.B.. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
25. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
26. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es