1/10 Expediente N.º: EXP202101177 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante), con fecha 30/07/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad URBANIZACIÓN ***URBANIZACIÓN.1, COMUNIDAD DE PROPIETARIOS, con NIF ***NIF.1 (en adelante, ***URBANIZACIÓN.1, la entidad reclamada, o la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “Formulario exigido a los vecinos de una urbanización para invitados, en el cual se solicitan datos personales de la persona que lo solicita y de las personas invitadas. No se cumplen ninguno de los requisitos de la ley de protección de datos. Cualquiera con el usuario y contraseña de la cuenta de google desde la que se ha creado el formulario tiene acceso a datos confidenciales”. Con su reclamación aporta copia del formulario que la motiva, cuyos detalles constan reseñados en el Hecho Probado Único. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), dicha reclamación fue remitida a la parte reclamada hasta en cinco ocasiones, tres de ellas mediante envío postal y dos mediante el Servicio de Notificaciones Electrónicas, sin que ninguno de estos envíos fuese efectivamente entregado a la entidad destinataria (los envíos postales fueron devueltos con la indicación “Desconocido” o “Dirección incorrecta”; y las notificaciones electrónicas resultaron “expiradas”). Con fecha 16/08/2021, se practicó un primer traslado de la reclamación mediante notificación electrónica, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), el cual no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 17/08/2021, según consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, con fecha 30/08/2021 se envió, a título informativo, una copia por correo postal a la dirección de la parte reclamada facilitada por la parte reclamante. En esta comunicación, además de trasladar la reclamación, se recordaba a la parte reclamada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 su obligación de relacionarse electrónicamente con la Administración y se le informaban de los medios de acceso a dichas notificaciones. Este envío fue devuelto por el Servicio de Correos el 15/09/2021 con la indicación “Devuelto a origen por desconocido”. Con fecha 21/09/2021, se reiteró el traslado a través del Servicio de Notificaciones Electrónicas, el cual tampoco fue recogido por el responsable, resultando “expirado” con fecha 02/10/2021. Con tal motivo, se realizaron dos nuevos intentos de notificación mediante envíos postales; el primero de ellos dirigido a la misma dirección facilitada por la parte reclamante y el segundo a una nueva dirección localizado por esta Agencia a través de un buscador de internet. Ambos fueron devueltos por el Servicio de Correos con las indicaciones “Devuelto a origen por desconocido” y “Devuelto a origen por dirección incorrecta”. Por tanto, a pesar de los intentos realizados, el trámite de traslado de la reclamación quedó sin respuesta de la parte reclamada. El traslado se realiza, de acuerdo con las normas reseñadas, con el propósito de que la entidad reclamada procediese al análisis de la reclamación e informase a esta Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 22/11/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 04/01/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción de los artículos 13 y 14 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5.
- b)del mismo Reglamento, determinándose que procedería dirigir a la citada entidad un apercibimiento, sin perjuicio de lo que resultase de la instrucción. La notificación de este acuerdo de apertura a la parte reclamante, en la que se concedía plazo para formular alegaciones y proponer prueba, se remitió mediante el Servicio de Notificaciones Electrónicas, si bien la misma no fue recogida por la parte reclamada. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, con fecha 13/05/02022 se publicó en el Boletín Oficial del Estado un anuncio de notificación de la apertura de procedimiento. En dicho anuncio se informa a la parte reclamada sobre la posibilidad de obtener copia del acuerdo de apertura. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS ÚNICO: La entidad URBANIZACIÓN ***URBANIZACIÓN.1, COMUNIDAD DE PROPIETARIOS habilitó un formulario para la recogida de los datos personales de las personas invitadas por sus vecinos que pretendían acceder a las piscinas de la Comunidad de Propietarios durante la temporada 2021. Dicho formulario, creado con la herramienta “Google Formularios”, incluye un rótulo con la indicación “***URBANIZACIÓN.1” y el siguiente texto: “Estimados vecinos, Teniendo en cuenta la delicada situación tras el COVID-19, y con el fin de salvaguardar el bienestar y salud de los vecinos en esta temporada de piscina 2021, la junta directiva ha creado esta herramienta para tener un seguimiento del aforo y, por tanto, las visitas a nuestras instalaciones. Con dicho fin, se solicita que, aquellos vecinos interesados en traer invitados, rellenen el siguiente formulario, en el que se solicitará información con respecto a la fecha y número de acompañantes invitados a las instalaciones. Será de OBLIGATORIO cumplimiento: - El formulario deberá ser cumplimentado por el vecino residente MAYOR DE EDAD que se hará responsable de sus invitados. Dicho vecino deberá cumplimentarlo antes de cada visita. - El número de invitados NO podrá ser superior a 3 POR CADA VIVIENDA y DÍA. Los 3 invitados deberán ser los mismos durante todo el día… La Junta Directiva de ***URBANIZACIÓN.1”. Este formulario incluye campos para que el interesado facilite sus datos personales relativos a nombre y apellido, número de chalet, fecha de visita y teléfono de contacto. Además, deberá indicar el número de invitados (1, 2 o 3) y el nombre y apellido de uno de ellos. Finalmente, incluye una casilla con la leyenda “He leído la normativa vigente y me hago responsable de mis invitados” y un botón “Enviar”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 No incluye ninguna leyenda informativa en materia de protección de datos personales. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En el presente caso, se presenta reclamación contra la entidad ***URBANIZACIÓN.1 por haber establecido un control de accesos a las instalaciones de la urbanización (piscina) que conlleva la cumplimentación de un formulario de recogida de datos personales de propietarios y de invitados, según los detalles que constan reseñados en el Hecho Probado Único. Examinado el formulario objeto de la reclamación, se comprueba que el mismo no incluye ninguna información en materia de protección de datos personales. El artículo 12.1 del RGPD establece la obligación del responsable del tratamiento de tomar las medidas oportunas para “facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida a un niño”. El artículo 13 del citado texto legal detalla la “información que deberá facilitarse cuando los datos personales se obtengan del interesado” y el artículo 14 mencionado se refiere a la “información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado”. En el primer caso, cuando los datos personales se recaben directamente del interesado, la información deberá facilitarse en el momento mismo en que tiene lugar esa recogida de datos. El artículo 13 del RGPD detalla esa información en los términos siguientes: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. En el segundo caso, cuando los datos personales no se obtengan del interesado, la información que deberá facilitarse al mismo se establece en el artículo 14 del RGPD: “1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento le facilitará la siguiente información:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
- d)las categorías de datos personales de que se trate;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)En su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:
- a)el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
- b)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
- c)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- d)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
- e)el derecho a presentar una reclamación ante una autoridad de control;
- f)la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
- g)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
- a)dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
- b)si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
- c)si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez. 4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2. 5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
- a)el interesado ya disponga de la información;
- b)la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
- c)la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
- d)cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 Por su parte, el artículo 11.1 y 2 de la LOPDGDD dispone lo siguiente: “Artículo 11. Transparencia e información al afectado 1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
- a)La identidad del responsable del tratamiento y de su representante, en su caso.
- b)La finalidad del tratamiento.
- c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679”. En relación con este principio de transparencia, se tiene en cuenta, además, lo expresado en los Considerandos 32, 39, 58, 60 y 61 del RGPD. En este caso, no consta que la entidad reclamada haya dado cumplimiento a las obligaciones señaladas anteriormente. En consecuencia, los citados hechos suponen una vulneración de lo dispuesto en los artículos 13 y 14 del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. III Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...)
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
- d)anterior es compatible con la sanción consistente en multa administrativa. Sin perjuicio de lo dispuesto en el artículo 83, apartados
- a)y b), el citado artículo 58.2.
- d)dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante”. IV Se considera que los hechos expuestos incumplen el principio de trasparencia establecido en los artículos 13 y 14 del RGPD, lo que supone la comisión de una infracción tipificadas en el artículo 83.5.
- b)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22;(…)”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72.
- h)de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. En el presente caso, se considera que procede dirigir a la reclamada un apercibimiento, de acuerdo con lo establecido en el artículo 58.2
- b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. Atendidas las especiales circunstancias que concurren en la entidad presuntamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 responsable de la infracción y haciendo una interpretación amplia del criterio que inspira el Considerando 148 del RGPD, según el cual cuando la multa que probablemente se impusiera constituyese una carga desproporcionada podrá imponerse en lugar de la sanción de multa un apercibimiento, en esta fase del procedimiento, se estima que por la infracción de los artículos 13 y 14 del RGPD procede dirigir un apercibimiento a la parte reclamada. Se tiene en cuenta, asimismo, que la reclamada no está directamente vinculada al tratamiento de datos personales y que la previsión de uso del formulario en cuestión es temporal, atendidas las circunstancias que determinaron su implantación. Por otra parte, para el caso de que se mantenga la utilización del formulario de control de accesos que ha dado lugar a las actuaciones, se acuerda imponer a la parte reclamada la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. Concretamente, la parte reclamada deberá incluir en el formulario en cuestión la información prevista en los artículos incumplidos. Se advierte que no atender los requerimientos de este organismo puede ser considerado como una infracción administrativa grave al “no cooperar con la Autoridad de control” ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la hora de la apertura de un procedimiento administrativo sancionador con multa pecuniaria. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a URBANIZACIÓN ***URBANIZACIÓN.1, COMUNIDAD DE PROPIETARIOS, con NIF ***NIF.1, por una infracción de los artículos 13 y 14 del RGPD, tipificada en el Artículo 83.5.
- b)del RGPD, un apercibimiento. SEGUNDO: REQUERIR a la entidad URBANIZACIÓN ***URBANIZACIÓN.1, COMUNIDAD DE PROPIETARIOS, en el caso de que se mantenga en la actualidad la utilización del formulario de control de accesos que ha dado lugar a las actuaciones, para que en el plazo de un mes, contado desde la notificación de la presente resolución, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho IV, y justifique ante esta Agencia Española de Protección de Datos la atención del presente requerimiento. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 TERCERO: NOTIFICAR la presente resolución ***URBANIZACIÓN.1, COMUNIDAD DE PROPIETARIOS. a URBANIZACIÓN De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-050522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es