← España

PS-00563-2022

1/17  Expediente N.º: EXP202208258 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30/06/2022, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra GAVANOVA DE IMMOBLES, S.L. con NIF B64935497 (en adelante, GAVANOVA), por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: “Realizamos un contrato y una resolución de arrendamiento con la inmobiliaria y hemos visto que la ley de protección de datos mostrada en los papeles firmados no se corresponde con la ley actual. Asimismo, cuando nos introducimos en su página web para comprobar su política, aparece una página en blanco sin ningún tipo de texto. Sentimos nuestros datos desprotegidos y al reclamar a la inmobiliaria nos hacen caso omiso. Además, se ha hecho un trato fraudulento con ellos (nombre completo, DNI, dirección) ya que los han proporcionado a la empresa de limpieza sin nuestro consentimiento al obligarnos a pagar, a través de la fianza, un contrato de limpieza del inmueble que no hemos visto ni aceptado.” Adjunta la siguiente documentación: - Fotografía del documento de reserva del inmueble firmado entre las partes, de fecha 29/07/2020; así como la resolución del contrato de arrendamiento, de 31/01/2022. SEGUNDO: A la vista de los hechos denunciados, el 27/07/2022 esta Agencia accedió al sitio web ***URL.1 y comprobó que el apartado “Política de Privacidad” dirigía a una página en blanco. De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 27/07/2022 se dio traslado de dicha reclamación a GAVANOVA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 07/08/2022, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 31/08/2022. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Esta Agencia no ha recibido respuesta al mismo. TERCERO: Con fecha 30/09/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 18/11/2022, esta Agencia accedió a la página web ***URL.1, quedando probada la incorporación de una Política de Privacidad cuya última actualización data de 29/09/2022. QUINTO: Con fecha 28/11/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GAVANOVA, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el Artículo 83.5.

  1. b)del RGPD. Este acuerdo de inicio, que se notificó conforme a las normas establecidas en la LPACAP mediante notificación postal, fue entregado a GAVANOVA el 16/12/2022. SEXTO: Con fecha 21/12/2022, GAVANOVA presentó escrito, en tiempo y forma, ante esta Agencia en el que manifestaba lo siguiente: “[…] PRIMERO.- AUTORIZACIÓN PARA EL USO DE LOS DATOS PERSONALES. La reclamante había autorizado a esta entidad al tratamiento de sus datos, tratamiento que incluía la posible cesión a otras empresas y en especial a la empresa de limpieza. […] En relación con el presente procedimiento sancionador, debemos poner en conocimiento el Expediente de esta Autoridad de Control con número de referencia (…), contra la propietaria del inmueble, procedimiento que a fecha del presente escrito de alegaciones se ha archivado, y donde esta misma Autoridad plasma en los hechos que los reclamantes acordaron con la arrendadora una limpieza del piso que se descontaría de la fianza. SEGUNDA.- CONCURRENCIA DE ATENUANTES NO APLICADAS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 […]
  2. a)Cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; (…)
  3. a)El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; (…)
  4. b)Los beneficios obtenidos como consecuencia de la comisión de la infracción. (…)
  5. c)La afectación a los derechos de los menores. (…) CUARTA.- PROPORCIONALIDAD DE LA SANCIÓN. En atención a todas las modificaciones aplicadas referentes al tratamiento de los datos personales de los interesados efectuados por esta entidad, se solicita el ARCHIVO de las presentes actuaciones. No obstante, esta parte entiende que una propuesta de sanción de APERCIBIMIENTO sería más proporcional ala caso concreto planteado, (…).” Junto al escrito aporta la siguiente documentación: - Copia del “Aviso legal” y “Política de Privacidad” que figura en la página web ***URL.1. - Copia de la nueva “Cláusula informativa de tratamiento de datos personales” que se incorpora a la documentación utilizada por GAVANOVA. SÉPTIMO: Con fecha 31/01/2023, el órgano instructor del procedimiento acordó la apertura de un período de pruebas, teniéndose por incorporados la reclamación interpuesta por la parte reclamante y su documentación, así como las alegaciones al acuerdo de inicio PS/00394/2022 presentadas por GAVANOVA y la documentación que a ellas acompaña. Asimismo, como prueba documental, requirió a GAVANOVA que aportase un ejemplar del nuevo contrato que hace firmar a los propietarios, inquilinos y terceras empresas para evitar que la tabla con información básica continue obsoleta. Con fecha 13/02/2023, esta Agencia recibió contestación de GAVANOVA en la que aporta los documentos con la nueva cláusula de información en materia de protección de datos. En concreto, los modelos de contrato de arrendamiento y resolución de contrato. OCTAVO: Con fecha 28/06/2023, el órgano instructor elaboró una propuesta de resolución en la que se proponía sancionar con una multa de 2.000,00€ a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 GAVANOVA, por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  6. b)del RGPD. También, de conformidad con el artículo 58.2.
  7. d)del RGPD, se proponía que, en el plazo de diez días hábiles a contar desde la fecha en la que la resolución en que así lo acuerde le sea notificada, GAVANOVA acreditase haber procedido a completar la Política de Privacidad que figura en su página web ***URL.1. La propuesta de resolución se notificó a GAVANOVA a través de medios electrónicos el 28/06/2023, como consta en el acuse de recibo que obra en el expediente. Transcurrido el plazo otorgado para la formulación de alegaciones, esta Agencia no ha recibido alegación alguna por GAVANOVA. HECHOS PROBADOS PRIMERO: El 29/07/2020 la parte reclamante y GAVANOVA firman un documento de reserva del inmueble, sito en ***DIRECCIÓN.1. La cláusula informativa de protección de datos señala lo siguiente (la traducción es de esta Agencia): “Les informamos que en cumplimiento de la L.O. 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, los datos que nos facilitan mediante el cumplimiento del presente contrato pasarán a formar parte del fichero de GAVANOVA DE IMMOBLES, S.L., Carrer Plaça Esglèsias 3, Local 7-8, 08850 Gavà (Barcelona), para la gestión y compraventa inmobiliaria. Asimismo, les informamos que puede ejercer los derechos de acceso, rectificación, cancelación y oposición mediante el envío de una carta certificada a la mencionada dirección.” SEGUNDO: El 31/01/2022 la parte reclamante y GAVANOVA firman la resolución del contrato de arrendamiento, suscrito el 04/09/2020. El contenido de la cláusula informativa de protección de datos es idéntico al señalado arriba. TERCERO: El 27/07/2022 esta Agencia accede a la página web ***URL.1, quedando probado que el apartado “Política de Privacidad” dirige a una página en blanco. CUARTO: El 18/11/2022 esta Agencia accede nuevamente a la página web ***URL.1, quedando probada la incorporación de una Política de Privacidad cuya última actualización data de 29/09/2022. Su contenido señala lo siguiente: “Datos del propietario de la web. Razón social: GAVANOVA INMOBLES, S.L. NIF: B64935497. Dominio: ***URL.1. Dirección Postal: CARRER PLAÇA ESGLÈSIAS 3, LOCAL 7-8, 08850 GAVÀ (BARCELONA). Dirección electrónica: ***EMAIL.1. Teléfonos: XXXXXXXX y XXXXXXXXX. Registro: tomo 40736, folio 186, hoja B373263, Inscripción 4. Protección de datos personales. De conformidad con la normativa vigente y aplicable en protección de datos de carácter personal, le informamos que sus datos serán incorporados al sistema de tratamiento titularidad de GAVANOVA INMOBLES SL con NIF B64935497 y domicilio social sito en PLAÇA IGLESIA 3 LOC 7, 08850, GAVA (BARCELONA). A C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 continuación, le indicamos los aspectos más destacables de los tratamientos realizados. A su vez, le informamos que puede contactar con el Delegado de Protección de Datos, dirigiéndose por escrito a la dirección de correo ***EMAIL.2 o al teléfono ***TELÉFONO.1. Derechos de los interesados. GAVANOVA INMOBLES SL informa a los Usuarios que, podrá ejercer los derechos de acceso, rectificación, limitación, supresión, portabilidad y oposición al tratamiento de sus datos de carácter personal ante el Responsable del Tratamiento, así como a la retirada del consentimiento prestado. Derecho de Acceso: Es el derecho del usuario a obtener confirmación sobre si se están tratando sus datos y, en tal caso, los concretos datos personales tratados y la información legal del tratamiento (finalidades, base legitimadora, plazos de conservación, cesiones, origen de los datos, etc.). Derecho de Rectificación: Es el derecho del afectado a que se modifiquen los datos que resulten ser inexactos o incompletos. En relación a la página web, sólo podrá satisfacerse en relación a aquella información que se encuentre bajo el control del sitio web, por ejemplo, eliminar comentarios publicados en la propia página, imágenes o contenidos web donde consten datos de carácter personal del usuario. Derecho a la Limitación de tratamiento: Es el derecho a que se limiten los fines del tratamiento previstos de forma original por el responsable del tratamiento en determinados supuestos. Derecho de Supresión: Es el derecho a suprimir los datos de carácter personal del usuario, a excepción de lo previsto en el propio RGPD (libertad de expresión e información, obligaciones de conservación, formulación, ejercicio o defensa de reclamaciones, etc.). Derecho a la Portabilidad: El derecho a recibir los datos personales que el usuario haya facilitado, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable cuando el tratamiento está basado en el consentimiento o en la ejecución de un contrato y se efectúe por medios automatizados. Derecho de Oposición: Es el derecho del usuario a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese el tratamiento de los mismos por parte del sitio web cuando el tratamiento esté basado en el interés legítimo o el interés público o cuando se trate de tratamientos de mercadotecnia directa. Derecho a no ser objeto de decisiones automatizadas, incluida la elaboración de perfiles: Cuando el tratamiento no es necesario para la celebración o ejecución de un contrato, ni está autorizada por el Derecho de la Unión Europea o de los Estados miembros ni se basa en el consentimiento, tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o le afecte significativamente de modo similar. Derecho a retirar el consentimiento: Para cualquier tratamiento basado en su consentimiento, tiene derecho a retirarlo, en cualquier momento y de manera gratuita. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 Para ejercer cualquiera de los derechos en materia de protección de datos descritos anteriormente deberá seguir las siguientes indicaciones: Presentación de un escrito a la dirección PLAÇA IGLESIA 3 LOC 7, 08850, GAVA (BARCELONA) (a la atención de GAVANOVA INMOBLES SL) o bien a través de correo electrónico a la dirección electrónica ***EMAIL.3. El escrito remitido por el titular de los datos personales que solicite el ejercicio de derechos deberá tener en cuenta lo siguiente: Deberá identificarse fehacientemente y, en el caso de que concurran dudas sobre la identidad del solicitante, se le solicitará que subsane la petición (p. ej. solicitando más información, como el número de DNI, el documento del DNI, el correo electrónico que aportó, etc.) La solicitud puede realizarla el representante, legal o voluntario, cuando éste esté debidamente identificado y autorizado por el titular de los datos (mediante una autorización expresa del titular para ejercer los derechos personalísimos regulados en la normativa en materia de protección de datos personales). Petición en que se concreta la solicitud (Derecho/s que se pretende ejercer). Si no hace referencia a un tratamiento concreto se le facilitará respuesta en relación a todos los tratamientos que afectan a sus datos de carácter personal. Si solicita información de un tratamiento en concreto, sólo la información de éste. Si lo solicita por teléfono se le indicará que lo haga por escrito y se le informará de cómo lo puede hacer y la dirección a la que tiene que enviarlo. Nunca se le dará información por teléfono. Dirección postal o electrónica a efectos de notificaciones. Documentos acreditativos de la petición que formula, en caso de que sean necesarios. El interesado debe utilizar cualquier medio que permita acreditar el envío y la recepción de la solicitud. Por último, le informamos que tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos en caso de que tenga conocimiento o considere que un hecho pueda suponer un incumplimiento de la normativa aplicable en materia de protección de datos personales. GAVANOVA INMOBLES SL se compromete a adoptar las medidas técnicas y organizativas necesarias, acorde al nivel de riesgos que acompañan los tratamientos realizados por éstas e indicados en el apartado de los términos y condiciones de uso, de forma que garanticen su integridad, confidencialidad y disponibilidad. Última actualización: 29 de Septiembre de 2022”. QUINTO: El 21/12/2022 GAVANOVA aporta la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 - Copia del “Aviso Legal” y “Política de Privacidad” que figuran en la página web ***URL.1. El contenido de esta última es idéntico al señalado en el apartado anterior. - Copia del documento denominado “Información en materia de Protección de datos personales” que incorpora a los contratos con propietarios, inquilinos y terceras empresas; que no contiene ni fecha ni firma. El contenido es el siguiente: “Información en materia de protección de datos personales. De conformidad con la normativa vigente y aplicable en protección de datos de carácter personal, le informamos que sus datos serán incorporados al sistema de tratamiento titularidad de GAVANOVA INMOBLES SL con NIF B64935497 y domicilio social sito en PLAÇA IGLESIA 3 LOC 7, 08850, GAVA (BARCELONA), y que a continuación se relacionan los tratamientos realizados: Finalidad: Gestión de las prestaciones de servicios derivados de los arrendamientos o compraventa de inmuebles. Plazo de conservación: Mientras sean necesarios para la finalidad mencionada y, en todo caso, hasta la finalización de las obligaciones legales y prescripción de las posibles acciones derivadas del tratamiento. Base legítima: La ejecución del contrato. Cesiones: sus datos serán comunicados, en caso de ser necesario, a Bancos y Cajas así como a los órganos o administraciones públicas con competencia en la materia con la finalidad de cumplir con las obligaciones legales establecidas en la normativa aplicable. Sus datos también podrán serán comunicados, en caso de ser necesario, a las empresas que nos prestan servicios para cumplir las finalidades establecidas. Finalidad: Gestión administrativa, facturación y contabilidad y gestión y tramitación de las obligaciones y deberes que se deriven del cumplimiento de la normativa a la cual está sujeta la entidad. Plazo de conservación: Mientras sean necesarios para la finalidad mencionada y, en todo caso, hasta la finalización de las obligaciones legales y prescripción de las posibles acciones derivadas del tratamiento. Base legítima: El cumplimiento de obligaciones legales. Cesiones: sus datos serán comunicados en caso de ser necesario a Agencia Tributaria, Bancos, Cajas y Organismos y/o administración pública con competencia en la materia con la finalidad de cumplir con las obligaciones legales establecidas en la normativa aplicable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 En ningún tratamiento anteriormente señalado se realizan transferencias internacionales de datos personales ni decisiones automatizadas, incluida la elaboración de perfiles. A su vez, le informamos que puede contactar con el Delegado de Protección de Datos, dirigiéndose por escrito a la dirección de correo ***EMAIL.2 o al teléfono ***TELÉFONO.1. De acuerdo con los derechos que le confiere la normativa vigente y aplicable en protección de datos podrá ejercer los derechos de acceso, rectificación, limitación de tratamiento, supresión (“derecho al olvido”), portabilidad y oposición al tratamiento de sus datos de carácter personal, así como la revocación del consentimiento prestado para el tratamiento de los mismos, dirigiendo su petición a la dirección postal indicada más arriba o al correo electrónico ***EMAIL.1. Podrá dirigirse a la Autoridad de Control competente, en este caso la Agencia Española de Protección de Datos, para presentar la reclamación que considere oportuna.” SEXTO: El 13/02/2023 GAVANOVA aporta copia de los documentos denominados “Contrato de arrendamiento” y “Rescisión de contrato” con el anexo “Información en materia de Protección de datos personales” mencionado en el apartado anterior. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El RGPD tiene por objeto garantizar el derecho a la protección de los datos de las personas físicas. El artículo 4.1 del RGPD entiende por “datos personales”: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 El artículo 4.2 del RGPD define el “tratamiento” como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;”. Por lo tanto, de conformidad con las definiciones anteriores, consta la realización de un tratamiento de datos personales, toda vez que GAVANOVA recoge datos personales, no solo a través de los contratos suscritos, sino también por medio del formulario de contacto que figura en su página web ***URL.1. III Alegaciones aducidas Esta Agencia no tiene constancia de que GAVANOVA haya presentado escrito de alegaciones contra la propuesta de resolución. No obstante, como ya se indicó en la propuesta de resolución, respecto a las alegaciones presentadas por GAVANOVA contra el acuerdo de apertura del presente procedimiento sancionador, se realizaron las siguientes consideraciones. 1. AUTORIZACIÓN PARA EL USO DE LOS DATOS PERSONALES. GAVANOVA alega que la parte reclamante autorizó la cesión de sus datos personales y, en especial, a la empresa de limpieza. Al respecto, esta Agencia desea recordar que, como se indicó en el acuerdo de inicio, el intercambio de los datos personales de la parte reclamante entre GAVANOVA y la empresa de limpieza no ha quedado probado ni siquiera de forma indiciaria. 2. CONCURRENCIA DE ATENUANTES NO APLICADAS. Alega GAVANOVA que procede aplicar la atenuante relativa a la adopción de medidas para paliar los daños y perjuicios sufridos por los interesados, porque la información que se facilitó a la parte reclamante solo estaba desactualizada, pero ello no quita que se le informara. Además, incorporó en sus contratos una nueva cláusula informativa de protección de datos y procedió a modificar la Política de Privacidad y Aviso legal de la página web ***URL.1. En la misma línea, GAVANOVA alega la atenuante relativa al grado de cooperación con la autoridad de control, puesto que ha atendido este procedimiento y contratado a una consultora especializada en la materia para que le asesora en el cumplimiento de la normativa. Al respecto, esta Agencia desea señalar que la adopción de medidas por parte de GAVANOVA a fin de dar cumplimiento a la normativa vigente ya se tuvo en cuenta a la hora de fijar la cuantía de la multa a imponer, de acuerdo con lo establecido en el artículo 83.2 del RGPD. En cualquier caso, se recuerda a GAVANOVA que son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 medidas propias de un responsable de tratamiento que actúa en base al principio de responsabilidad proactiva, de conformidad con el artículo 5.2 del RGPD. En relación con las medidas adoptadas, cabe señalar que la Política de Privacidad que se incorporó a la página web (***URL.1) carece de, entre otros, los siguientes apartados obligatorios: finalidad, legitimación o plazo de conservación de los datos personales. Asimismo, esta Agencia desea recordar que la adopción de medidas no supone la subsanación de la conducta infractora del artículo 13 del RGPD. Pues, resulta evidente que, antes de que se iniciara el procedimiento sancionador, GAVANOVA no cumplía con su obligación de informar correctamente a sus clientes. También, GAVANOVA alega la posibilidad de aplicar como atenuantes la no obtención de beneficios derivados de la comisión de la infracción, así como la no afectación a los derechos de menores. Al respecto, esta Agencia desea señalar que la Sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, indica que: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
  8. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
  9. c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción o que no afecten a derechos de menores, no permite su aplicación como atenuantes. Por todo lo expuesto, se desestima la presente alegación. 3. PROPORCIONALIDAD DE LA SANCIÓN. GAVANOVA incide en la necesidad de que se tengan en cuenta la adopción de medidas a fin de cumplir con la normativa vigente, la concurrencia de los atenuantes mencionados y la delicada situación económica de la entidad. Al respecto, esta Agencia se mantiene en lo expuesto anteriormente y, por consiguiente, se desestima la alegación. IV Transparencia en el tratamiento de datos personales El tratamiento debe estar presidido por los principios que relaciona el artículo 5 del RGPD, que dispone: “Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17
  10. a)Tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); (…)”. Manifestación del principio de transparencia es la obligación que incumbe a los responsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al titular de los datos personales cuando estos se obtengan directamente del interesado: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  11. a)La identidad y los datos de contacto del responsable y, en su caso, de su representante;
  12. a)los datos de contacto del delegado de protección de datos, en su caso;
  13. b)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  14. c)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  15. d)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  16. e)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  17. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  18. a)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  19. b)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  20. c)el derecho a presentar una reclamación ante una autoridad de control;
  21. d)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  22. e)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” En ese sentido, el Considerando 60 del RGPD dice que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran.” Como ha quedado establecido anteriormente, GAVANOVA es el responsable de tratamiento de los datos personales de sus clientes, razón por la cual le corresponde la obligación de proporcionarles la referida información a este respecto. Si bien es cierto que ha adecuado la cláusula informativa en materia de protección de datos que consta en los contratos que suscribe con sus clientes e incorporado un anexo con la información restante; en el momento de iniciarse el presente procedimiento sancionador solo les informaba de las cuestiones señalabas en el punto primero, del apartado “Hechos probados”. En relación con la Política de Privacidad de su web (***URL.1), es evidente que no informa a los usuarios sobre todos los extremos enumerados en el artículo 13 del RGPD. Como ya indicó esta Agencia, no se menciona en ningún lado la finalidad y legitimación del tratamiento o el plazo de conservación de los datos personales recabados a través de sus formularios, entre otras cuestiones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a GAVANOVA, por vulneración del artículo 13 del RGPD. V Tipificación y calificación de la infracción del artículo 13 del RGPD La citada infracción del artículo 13 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  23. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “1. Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  24. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. (…)” VI Poderes correctivos por la infracción del artículo 13 del RGPD Los poderes correctivos de los que dispone la Agencia Española de Protección de datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
  25. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. En el presente caso, atendiendo a los hechos expuestos y sin perjuicio de lo que resulta de la instrucción del procedimiento, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, de acuerdo con el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  26. a)a
  27. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  28. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  29. b)la intencionalidad o negligencia en la infracción;
  30. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  31. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  32. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  33. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  34. g)las categorías de los datos de carácter personal afectados por la infracción;
  35. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  36. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  37. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17
  38. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
  39. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  40. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  41. a)El carácter continuado de la infracción.
  42. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  43. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  44. d)La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción.
  45. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
  46. f)La afectación a los derechos de los menores
  47. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  48. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. El balance de las circunstancias contempladas permite fijar una multa de 2.000,00€ (dos mil euros) por la infracción del artículo 13 del RGPD. VII Medida correctiva De acuerdo con lo establecido en el artículo 58.2
  49. d)del RGPD, cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Al amparo de lo dispuesto en el citado precepto, se le ordena a GAVANOVA, como responsable del tratamiento, que, en el plazo de diez días hábiles desde la fecha en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 que la presente resolución le sea notificada, acredite haber completado la información que figura en la Política de Privacidad de su página web, ***URL.1. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GAVANOVA DE IMMOBLES, S.L., con NIF B64935497, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 2.000,00€ (dos mil euros). SEGUNDO: ORDENAR a GAVANOVA DE IMMOBLES, S.L., con NIF B64935497, que en virtud del artículo 58.2.
  50. d)del RGPD, en el plazo de diez días hábiles desde que la presente resolución le sea notificada, acredite haber completado la información que figura en la Política de Privacidad de su página web, ***URL.1. TERCERO: NOTIFICAR la presente resolución a GAVANOVA DE IMMOBLES, S.L. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  51. b)de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
  52. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.