← España

PS-00452-2014

1/12 Procedimiento Nº PS/00452/2014 RESOLUCIÓN: R/00059/2015 En el procedimiento sancionador PS/00452/2014, instruido por la Agencia Española de Protección de Datos a la entidad BUILDINGCENTER, S.A y SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 16/09/2013, escrito presentado por D. A.A.A. (en lo sucesivo el denunciante), y con fecha 03/01/2014 subsanación de la misma, en los que manifiesta que han realizado un cargo en su cuenta corriente de un recibo en concepto de alquiler de una vivienda en la localidad de Sant Pere de Ribes, emitido por la sociedad BUILDINGCENTER, S.A.(en lo sucesivo BUILDINGCENTER), sin tener relación con dicha sociedad. Se aporta la siguiente documentación: - Recibo domiciliado emitido por Catalunya Banc, S.A., de fecha 10/09/2013, ordenante BUILDINGCENTER, NIF del receptor que no coincide con el del denunciante, por el alquiler de una vivienda en Sant Pere de Ribes, y entre los destinatarios se encuentra el denunciante. - Devolución de Recibo, de fecha 10/09/2013, a la entidad emisora BUILDINGCENTER. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BUILDINGCENTER y SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L.(en lo sucesivo SEVIHABITAT): 1. En el Registro General de Protección de Datos figura inscrito el fichero denominado “CLIENTES”, con el código ***CÓD.1, siendo responsable la compañía BUILDINGCENTER y encargada del tratamiento la compañía SERVIHABITAT Según se especifica en la Diligencia de fecha 2 de junio de 2014. 2. La compañía SERVIHABITAT en calidad de gestores de la cartera inmobiliaria de BUILDINGCENTER ha informado a la Inspección de Datos, con fecha de 14/07/2014, en relación con el cargo del recibo en la cuenta del denunciante lo siguiente: No les constan datos personales relativos al denunciante en los ficheros de la compañía SERVIHABITAT si bien el recibo objeto de la reclamación fue cargado en la cuenta corriente del denunciante por un error debido a la introducción de la numeración de la cuenta bancaria. El denunciante presentó una reclamación ante el Servicio de Consumo de la Delegación del Gobierno en Málaga, en septiembre de 2013, para comunicar dicho error y SERVIHABITAT procedió a eliminar dicha cuenta corriente. La respuesta dada por SERVIHABITAT a la Delegación del Gobierno, el día 19/11/2013, fue la siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 La compañía BUILDINGCENTER no tiene ningún tipo de relación contractual con el denunciante. BUILDINGCENTER es propietaria de un inmueble sito en Sant Pere de Ribes arrendado a un tercero en cuyo contrato aparece un número de cuenta a través de la cual se cobró la factura ***FACTURA.1 de fecha 01/09/2013. Posteriormente el cliente informó que existía una errata en la cuenta bancaria detallada en su contrato y procedimos a modificar la vía de pago. Informamos que es una incidencia ajena a nuestra voluntad dado que BUILDINGCENTER ha facturado y girado los recibos a través de la cuenta informada en el contrato de arrendamiento. 3. La compañía BUILDINGCENTER, ha informado a la Inspección de Datos, con fecha de 22/07/2014, en relación con el cargo del recibo en la cuenta del denunciante lo siguiente: En los ficheros de datos de carácter personal titularidad de la compañía no consta la inclusión de datos de carácter personal correspondientes al denunciante. El cargo en cuenta del recibo que ha originado la denuncia no obedece al tratamiento de dato alguno obrante en los ficheros titularidad de la mercantil BUILDINGCENTER sino que es fruto de una fortuita incidencia: el recibo interesado fue adeudado en la cuenta del denunciante a causa de un error en el tecleo de la numeración de la cuenta bancaria en la que adeudar el cargo de un recibo de alquiler que, obviamente, no correspondía al denunciante. El denunciante detectó inmediatamente el cargo improcedente (septiembre 2013), y una vez nos fue comunicado por el mismo, se procedió a la subsanación de la incidencia, es decir a la rectificación de la numeración erróneamente tecleada. TERCERO: Con fecha 04/09/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BUILDINGCENTER y a SERVIHABITAT por presunta infracción por cada una de ellas del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de SERVIHABITAT en fecha 03/10/2014, formuló en síntesis, las siguientes alegaciones: Que su relación con BUILDINGCENTER es de prestación de servicios en virtud de contrato a través de la cual gestiona la cartera inmobiliaria de la entidad, por lo que realiza tratamientos de datos de los clientes de la misma; que en relación con la denuncia BUILDINGCENTER ostenta la propiedad del inmueble situado en (C/.............1) encontrándose arrendado por un tercero en virtud de contrato; sin embargo, por un error al introducir el código de la entidad bancaria en el momento de efectuar la domiciliación resultando ser el número de cuenta del denunciante; en el momento en que la entidad tuvo conocimiento de dicha devolución contacto con la arrendataria quien informo que existía una errata en la cuenta bancaria detallada en el contrato de arrendamiento por lo que se procedió a subsanar el error. Alegaciones que serían ampliadas mediante escrito de 07/11/2014. Transcurrido el plazo de alegaciones la representación de BUILDINGCENTER no había presentado escrito alguno. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 QUINTO: Con fecha 13/10/2014, se inició un período de práctica de pruebas, acordándose las siguientes: Dar por reproducido a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/07274/2013. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00452/2013 presentadas por SERVIHABITAT y la documentación que acompaña. Solicitar a SERVIHABITAT copia del contrato de prestación de servicios celebrado con BUILDINGCENTER, S.A. (en castellano). Solicitar al denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. En fecha 19/11/2014 SERVIHABITAT respondió al requerimiento de información si bien no atendió el mismo en lo que se le solicitaba. SEXTO: En fecha 27/11/2014, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a BUILDINGCENTER por infracción del artículo 6.1 de la LOPD tipificada como grave en el artículo 443.
  2. b)de dicha norma con multa de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica y, exonerar de responsabilidad a SERVIHABITAT por la infracción del artículo 6.1 de la LOPD. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. Transcurrido el plazo legalmente señalado SERVIHABITAT no había formulado alegaciones y, por su parte, la representación de BUILDINGCENTER en fecha 09/01/2015 presentó escrito de alegaciones, reiterando las formuladas con anterioridad y, además, que no se la había dado traslado de la copia del expediente, que en todo momento ha actuado de buena fe y sobre la base de los datos personales facilitados por la inquilina del inmueble en el contrato de arrendamiento y el cumplimiento de la normativa de protección de dato por parte de la empresa, solicitando el archivo del expediente. HECHOS PROBADOS PRIMERO. En fecha 19/09/2013, tiene entrada en esta Agencia escrito del afectado en el que denuncia que el 10/09/2013 fue realizado un cargo en su cuenta corriente relativo a un recibo de 420 euros en concepto de alquiler de vivienda en la población de Sant Pere de Ribes (Barcelona), emitido por la entidad BUILDINGCENTER, sin que mantenga relación contractual alguna con la citada sociedad (folios 1 y 2). SEGUNDO. Consta copia del DNI del denunciante con número ***DNI.1 (folio 3). TERCERO. El denunciante ha aportado impresión de Devolución de Recibo de 10/09/2013, cargado en la cuenta titularidad del denunciante y su esposa en la entidad CAIXA CATALUNYA nº ***CCC.1, por importe de 420 euros, entidad emisora BUILDINGCENTER, motivo importe erróneo (folio 13); consta igualmente impresión baja domiciliación, de 10/09/2013, con referencia a la cuenta del denunciante y entidad denunciada, como titular de domiciliación figura un tercero (folio 5); por último se aporta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Recibo domiciliado, como titular del recibo figura un tercero cuyo NIF figura en el detalle del recibo; entidad ordenante BUILDINGCENTER; factura ***FACTURA.1 de fecha 01/09/2013 correspondiente a alquiler del inmueble situado en (C/.............1), por importe de 420 euros (folio 14). CUARTO. BUILDINGCENTER, en escrito de 22/07/201, ha manifestado que: “En los ficheros de datos de carácter personal titularidad de BUILDINGCENTER, no consta la inclusión de datos de carácter personal correspondientes al denunciante. A los efectos oportunos, cúmplenos manifestar que el cargo en cuenta del recibo que ha originado la denuncia del denunciante, no obedece al tratamiento de dato alguno obrante en los ficheros titularidad de BUILDINGCENTER, sino que es fruto de una fortuita incidencia: el recibo interesado fue adeudado en la cuenta del denunciante a causa de un error en el tecleo de la numeración de la cuenta bancaria en la que adeudar el cargo de un recibo de alquiler (que, obviamente, no correspondía al denunciante). El denunciante detectó inmediatamente el cargo improcedente (septiembre 2013), y una vez fue comunicado el mismo, se procedió a la rectificación de la numeración erróneamente tecleada” (folio 42). QUINTO. SERVIHABITAT, en escrito de fecha 29/07/2014, ha manifestado que en calidad de gestores de la cartera inmobiliaria de BUILDINGCENTER y en respuesta a la solicitud de información requerida ha señalado que: “No constan datos relativos al denunciante en los ficheros de Servihabitat. No consta documentación relativa al denunciante en los ficheros de Servihabitat. No constan datos personales del denunciante para cargo de recibos, El recibo objeto de reclamación fue cargado a la cuenta del denunciante por un error debido a la introducción de la numeración de la cuenta bancaria” (folio). SEXTO. SERVIHABITAT ha manifestado que su actividad “consiste, entre otros, en la administración, gestión, explotación y comercialización de toda clase de bienes inmuebles de terceros. Así pues, para el desarrollo de su actividad, la Sociedad tiene suscrito un contrato de prestación de servicios con la entidad Buildingcenter, S.A. (en lo sucesivo BUILDINGCENTER); a través del cual la Sociedad gestiona la cartera inmobiliaria de BUILDINGCENTER” (folio 44). SEPTIMO. SERVIHABITAT ha aportado copia de la cláusula de protección de datos incorporada al contrato celebrado con BUILDINGCENTER, de conformidad con lo establecido en el artículo 12 de la LOPD y en virtud del cual SERVIHABITAT asume la condición de encargado del tratamiento (folios 60 y 206 a 208). OCTAVO. SERVIHABITAT ha aportado copia del contrato de arrendamiento de la vivienda sita en la (C/.............1), (Barcelona), cuya propiedad ostenta BUILDINGCENTER suscrito con un tercero (coincidente con el nombre y apellidos que figura como titular del recibo domiciliado el 10/09/2013): en la pacto 12º se determina que la parte arrendataria se obliga al pago “de la renta, aumentos y demás incrementos legales así como los costes y servicios de la casa arrendada se satisfarán mediante el cobro del importe del alquiler pactado del 1 al 5 de cada mes en el número de cuenta de la parte arrendataria, se asigna la cuenta de la CAIXA CATALUNYA ***CCC.2” (folio 74 y ss). FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Se imputa a BUILDINGCENTER en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. BUILDINGCENTER no ha acreditado en el procedimiento que cuente con el consentimiento del denunciante para el tratamiento de sus datos, materializado en el adeudo en cuenta nº ***CCC.1, titularidad del denunciante y su esposa en Caixa Catalunya, el 10/09/2013, del recibo nº ***FACTURA.1, correspondiente al alquiler del inmueble situado en (C/.............1), (Barcelona). Hay que indicar que el código de la entidad financiera que consta en la cuenta del contrato de arrendamiento

(2012)y facilitado por la arrendataria en el contrato de alquiler del inmueble no coincidía con el de la cuenta del denunciante
(2013)siendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 modificado por BUILDINGCENTER, como la propia entidad reconoce en escrito de 07/11/2014 (folio 177). Todo este tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a BUILDINGCENTER tratar los datos del denunciante sin su consentimiento. III Hay que señalar que la LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  1. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  2. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. También dispone el artículo 3
  3. g)de la LOPD, que “Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que “se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales", por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específico. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento” El propio reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, en el apartado
  4. q)del artículo 5, señala lo siguiente: “
  5. q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. En el presente caso, aunque BUILDINGCENTER no realice materialmente el tratamiento, es responsable de la infracción que se deriva de la actuación realizada en atención a que como responsable del fichero es quien decide sobre la finalidad, contenido y uso del tratamiento, es decir, quien tiene capacidad de decisión sobre los datos registrados en su fichero. BUILDINGCENTER ha tratado los datos del denunciante sin su consentimiento. La responsabilidad en la que haya podido incurrir, en su caso, el encargado del tratamiento (SERVIHABITAT que, además, en el presente caso no se da), no le exime del cumplimiento de la normativa en materia de protección de datos personales, pues es la citada empresa la que ordenó y emitió el recibo conteniendo los datos del denunciante; quien decide si los datos son incorporados a su fichero y quien los trata de forma automatizada, gira los correspondientes recibos y, la que correlativamente, debe asegurarse que aquel a quien se solicitan los datos para ser tratados por ella, los presta con consentimiento inequívoco y que dicha persona que están dando el consentimiento, efectivamente es el titular de los datos personales en cuestión. IV En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el art. 12 de la LOPD que establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento”. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio – SERVIHABITAT - sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La Ley exige que el contrato figure por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de requisitos, tales como seguir las instrucciones del responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución, al responsable del tratamiento. Interpreta el artículo 12.4 de la LOPD la sentencia de 14/03/2007, Rec. 280/2005, que haciéndose eco de la anterior Sentencia de 13/04/2005 Rec. 241/2003, establece que lo que determina la LOPD en el mismo, es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumplido las estipulaciones del contrato <<(…) será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente>>. En el presente caso consta que SERVIHABITAT tiene suscrito con BUILDINGCENTER un contrato de prestación de servicios para la gestión de su cartera inmobiliaria, realizando tratamientos de datos de los clientes de BUILDINGCENTER, entre los cuales se encuentra el cobro de alquileres de los inmuebles arrendados, conteniendo en el mismo cláusula de protección de datos de conformidad con lo señalado en el artículo 12 de la LOPD. Del contrato suscrito por SERVIHABITAT con BUILDINGCENTER se desprende que en el ejercicio de las gestiones de administración, gestión y explotación de dichos bienes inmuebles en ningún caso puede permitirse que se realicen operaciones ni se faciliten datos a quienes no son clientes de la entidad, lo que no implica que en algunos casos como el examinado se produzca. En el procedimiento establecido para la gestión del cobro del alquiler del inmueble situado en la (C/.............1), (Barcelona), fue cargado en la cuenta titularidad del denunciante en la entidad CAIXA CATALUNYA nº ***CCC.1, el importe de 420 euros que no correspondía a éste, pues ningún tipo de relación contractual les unía, sino a un tercero que figuraba en el propio recibo junto con su DNI; número de cuenta que figuraba en el contrato de arrendamiento de la vivienda, propiedad de BUILDINGCENTER y que había suscrito con el tercero. Por tanto, en relación a SERVIHABITAT, de conformidad con el contrato suscrito, ha actuado de conformidad con las instrucciones del responsable del tratamiento, no habiendo destinado los datos a una finalidad distinta a la indicada, ni incumplido las estipulaciones del contrato por lo que no existen elementos de juicio necesarios para atribuirle la vulneración de la LOPD, por lo que se le exonera de responsabilidad en relación con la infracción del artículo 6.1 de la LOPD. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
  6. b)tipifica como infracción grave “
  7. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En este caso, la entidad BUILDINGCENTER ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. La entidad mencionada ha tratado los datos de la denunciante sin contar con su consentimiento, vinculando sus datos de carácter personal a un contrato de arrendamiento y cargándole un recibo en cuenta de su titularidad, lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 44.3.
  8. b)de la citada Ley VI El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. BUILDINGCENTER, en escrito de 18/11/2014, ha manifestado que no tiene constancia de que se le haya notificado el Acuerdo de Inicio del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 sancionador lo que disminuye su capacidad de defensa al no habérsele ofrecido la posibilidad de formular alegaciones. Sorprende el citado alegato cuando consta en el expediente el acuse de recibo del Servicio de Correos, *************, entregado a las 12,00 del 08/09/2014, figurando el nombre y apellidos del receptor y su nº de DNI, además del sello de entrada de la propia entidad denunciada. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que BUILDINGCENTER vulneró el artículo 6.1 de la LOPD, al tratar los datos del denunciante sin su consentimiento y sin que concurra ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a la citada entidad el citado tratamiento, por lo que la actuación de BUILDINGCENTER ha de ser objeto de sanción. Consta el cargo en la cuenta del denunciante del recibo correspondiente al alquiler de un inmueble propiedad de BUILDINGCENTER, sin que aquél mantuviera ningún tipo de relación contractual con la citada entidad; contrato que había sido formalizado con un tercero que figura en el recibo pasado al cobro en la cuenta del denunciante. Además, el código de la entidad financiera que consta en la cuenta del contrato de arrendamiento
(2012)y que fue facilitado por la arrendataria no coincidía con el código que consta en la cuenta del denunciante
(2013)siendo modificado por BUILDINGCENTER, como la propia entidad reconoce en escritos de 07/11/2014 y 09/01/2015. Sin embargo, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia de la circunstancia prevista en el apartado
  1. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente, pues la entidad cuando tuvo conocimiento de los hechos ocurridos a través de la reclamación planteada por el denunciante ante el Servicio de Consumo de la Delegación del Gobierno, en Málaga, procedió con inmediatez a modificar la vía de pago errónea, lo que posibilita la aplicación de una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. La representación de BUILDINGCENTER también ha manifestado que ha quedado patente que tanto la entidad como su encargado del tratamiento actuaron en todo momento de buena fe; en cuanto a esta cuestión, la Audiencia Nacional en su Sentencia de 24/05/02 ha señalado que “la buena fe en el actuar, para justificar la ausencia de culpa –como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”. Por otra parte, es necesario tener en cuenta circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el apartado “
  2. c)la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 desempeña la entidad denunciada se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado “
  3. d)Volumen de negocio o actividad del infractor”, toda vez que se trata de una gran empresa por la actividad desarrollada. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 20.000 €, por vulneración del artículo 6.1 de la LOPD, de la que BUILDINGCENTER debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BUILDINGCENTER, S.A, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  4. b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: ARCHIVAR a SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L., por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  5. b)de dicha norma. TERCERO: NOTIFICAR la presente resolución a BUILDINGCENTER, SERVIHABITAT SERVICIOS INMOBILIARIOS, S.L. y a A.A.A.. S.A,, CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.