← España

PS-00603-2015

1/14 Procedimiento Nº PS/00603/2015 RESOLUCIÓN: R/00515/2016 En el procedimiento sancionador PS/00603/2015, instruido por la Agencia Española de Protección de Datos a la entidad BUILDING CENTER, S.A., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18 de noviembre de 2014, tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de Don A.A.A. (en lo sucesivo el denunciante) y, con fecha de 13 de marzo de 2015, subsanación del mismo, en los que manifiesta lo siguiente: Que una persona identificándose en nombre de “La Caixa”, ”Servihabitat” y/o “Diagonal””, se dirigió en varias ocasiones a su domicilio, incluso contactaba con vecinos y les explicaba la razón por la que se personaba, por un motivo supuestamente relacionado con su vivienda. Acompaña copias de los escritos que depositaban en su vivienda: B.B.B. ***TEL.1 La Caixa Diagonalget Servihabitat B.B.B. ***TEL.1 le ruego se ponga en contacto conmigo lo antes posible Es muy importante se ponga en contacto con este número de teléfono ***TEL.1 por un asunto relacionado con su vivienda. B.B.B. Diagonal La Caixa. Que el denunciante averigua que el motivo de las visitas era que la hipoteca de su vivienda estaba ejecutada, embargada y consideraban que la vivienda estaba ocupada ilegalmente. Añade que ni en ese momento ni en la actualidad tiene descubierto o recibos pendientes, de la hipoteca de su vivienda de la entidad La Caixa, por lo que considera que ha habido un error por alguna de las tres compañías indicadas, ya sea a la hora de ceder los datos el banco de manera errónea o al tratarlos aIguna de las otras dos compañías. Que el día 29 de septiembre de 2014 recibió un correo de dirección <...........@servihabitat.com> para <.......@gmail.com>, subject: vivienda C. del cerro 1, cuya copia adjunta así como las cabeceras, en el cuerpo del mensaje consta: “Tal y como quedamos en conversación mantenida con anterioridad, le remito este correo para refrendar mis sinceras disculpas, por las visitas realizadas por error a su inmueble sito en (…). Como le comenté debido a un error informático el inmueble figuraba como ejecutado, sin ser esta la realidad. Nuestra labor consiste en determinar el estado ocupacional de los inmuebles (…).” Depto. Posesiones Email: ...........@........... También, Servihabitat da respuesta a la carta del denunciante comunicando lo siguiente: “En contestación a su carta en la cual nos solicitaba acceso a nuestros ficheros, debemos comunicarle que una vez realizadas las comprobaciones oportunas en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 mismos no nos constan datos de carácter personal relativos a Ud. Sin perjuicio de lo anterior respecto de lo que nos ha manifestado en relación con las visitas que recibió en su domicilio debemos manifestarle lo siguiente: Hechas las comprobaciones oportunas hemos podido constatar que, esta incidencia podría tener su origen en un error por parte de nuestro colaborador externo en la identificación de una de las fincas gestionadas por Servihabitat (…).” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información las sociedades Servihabitat Servicios Inmobiliarios, Diagonal Company Services & Solutions, Caixabank y Buildingcenter. 1. Respecto de la información y documentación remitida por Servihabitat:  La compañía Servihabitat suscribió un contrato de prestación de servicios de gestión y comercialización de bienes inmuebles con BuildingCenter, por lo que los datos que trata Servihabitat son titularidad de los propietarios de los inmuebles en este caso BuildingCenter. BuildingCenter comunicó a Servihabitat un fichero con las UR (número de unidad registral) entre las que se encontraba la UR ******* y la dirección del inmueble ubicado en la (C/.......1)(Cádiz). Los datos identificativos del denunciante – según manifiestano constan en ficheros titularidad de BuildingCenter. Dicho inmueble pertenecía a la cartera de inmuebles de Banca Cívica que fueron incorporados a la cartera de BuildingCenter.  Por otra parte, Servihabitat contrata los servicios relacionados con la posesión de todas aquellas fincas procedentes de ejecución hipotecaria a la compañía Diagonal, contrato celebrado entre las partes el 1 de noviembre de 2010. Por lo que el único tratamiento realizado por Servihabitat fue la inclusión en su aplicativo de los datos relativos a la UR y dirección del inmueble para su posterior gestión por parte de Diagonal. Por lo que la UR y la dirección del inmueble procedían de un error de la carga inicial de los datos. Entre la documentación facilitada por Servihabitat a Diagonal, en agosto de 2014, se encontraba: la UR, la tasación y una nota simple, en la que figuraba como titular el denunciante, no constando documentación judicial relativa al propietario de la vivienda. Según exponen, en base al método de trabajo regulado en la relación contractual entre Servihabitat y Diagonal, no existe registro de datos personales en los ficheros de Diagonal, ya que se conecta al aplicativo de Servihabitat para la gestión de las tareas a realizar así como para informar del estado de cada servicio y su evolución.  Con el objetivo de dar cumplimiento a los servicios que tiene encomendados Diagonal de Servihabitat, Diagonal subcontrata a la empresa Ybolmar Asistencia y Reformas, S.L. para dar cobertura operativa en la Comunidad Autónoma de Andalucía y Extremadura. Los datos facilitados a Ybolmar por parte de Diagonal fueron una copia de la tasación y de la nota simple publicada por Servihabitat, cuyo titular era el denunciante.  Por lo que para realizar el informe ocupacional del inmueble una persona, el Sr. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 B.B.B., visitó el inmueble objeto de la ocupación. Si bien, previo al contacto directo con el denunciante, puesto que el mismo se encontraba ausente del domicilio en el momento de la visita, se preguntó a algunos vecinos sobre la situación ocupacional del inmueble, sin llegar a especificar los motivos de la visita, tal y como indica el denunciante en la descripción de los hechos denunciados cuando transcribe “por un motivo relacionado con la vivienda” y sin especificar situación personal alguna del denunciante. Con el fin de poder comunicarse con el propietario directamente solicitan a un vecino que le diera el encargo de que se pusiera en contacto con la compañía, sin especificarle al vecino el motivo de ello. Con el mismo motivo dejan una misiva en su domicilio, cuya copia adjunta el propio denunciante en la descripción de los hechos, y en la cual no aparece ninguna información del denunciante sino únicamente los datos de contacto. En el momento que se contactó con el ocupante (denunciante), coincidente éste con el titular registral, les indica que se trataba de un error, por lo que Diagonal trasladó la información y el posible error a Servihabitat que procedió a la modificación y correcta codificación de la dirección relativa a la UR.  Detectado el error, trasladan la información y el posible error existente con la dirección a los responsables de Servihabitat, posteriormente, el 15 de julio de 2015, se solicita por parte de Servihabitat nuevo informe ocupacional con la dirección modificada y bien codificada que correspondía con una vivienda ubicada en Huelva. 2. Las compañías Servihabitat Servicios Inmobiliarios, S.L., Diagonal Company Services & Solutions, S.L. y Buildingcenter, S.A. han aportado a la AEPD las correspondientes cláusulas de confidencialidad y protección de datos, que constan en los contratos suscritos por las partes, con el fin de dar cumplimiento a las exigencias previstas en el artículo 12 de la Ley Orgánica 15/1999. 3. Por otra parte, la entidad La Caixa ha comunicado, en relación con la identificación de la misma que consta en las notas aportadas por el denunciante, que no consta comunicación alguna de los datos del denunciante a las empresas Diagonal y Servihabitat, aunque esta última les presta servicios en relación con inmuebles titularidad de la entidad bancaria. El inmueble del denunciante no forma parte de la cartera de La Caixa y no existe situación de impago del préstamo asociado al mismo. Añaden, que la entidad se reserva el derecho a iniciar las acciones que estime procedentes por un uso indebido de la marca comercial que la identifica en la documentación aportada por el denunciante en su escrito de denuncia. TERCERO: Con fecha 2 de noviembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BUILDING CENTER, S.A., por presunta infracción del artículo 4.3 en relación con el 29.4 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 CUARTO: Notificado el acuerdo de inicio el día 10 de noviembre de 2015, según consta en el acuse emitido por el Servicio de Correos, Servihabitat, en calidad de gestores y en representación de BuildingCenter presentó escrito de alegaciones (que coincide exactamente con el escrito de respuesta a la solicitud de información remitida durante las actuaciones previas) en las que manifestó, básicamente, lo siguiente: - Que el denunciante no consta en ningún fichero de datos titularidad de BuildingCenter. Únicamente dispone de los datos de registro relativos a la UR ******* (número de unidad registral UR), perteneciente a un inmueble determinado y la dirección del inmueble interesado, que en este caso era (C/.......1) (Cádiz), sin vinculación o asociación alguna a persona identificada o identificable; es decir, sin vinculación alguna al denunciante. - Dado que el denunciante no consta en ningún fichero titularidad de BuildingCenter, BuildingCenter no comunicó a Servihabitat ningún dato personal relativo al denunciante. - BuildingCenter en el marco del contrato de prestación de servicios suscrito con Servihabitat, facilitó a ésta última un fichero con las UR de los inmuebles cuya posesión debía ser gestionada por Servihabitat. - No existe ningún tratamiento de los datos del denunciante, puesto que el denunciante no consta en ningún fichero titularidad de BuildingCenter. - De acuerdo con lo indicado, no existe tratamiento de los datos del denunciante y tampoco existe cesión de los datos del denunciante a Servihabitat. QUINTO: Con fecha 20 de noviembre de 2015 se inició el período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por Don A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante BUILDING CENTER, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01205/2015. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00603/2015 presentadas por BUILDING CENTER, S.A. SEXTO: Con fecha 26 de noviembre de 2015, el denunciante presentó escrito en el que solicitó personarse como interesado en el procedimiento. SÉPTIMO: Con fecha 27 de enero de 2016, se formuló propuesta de resolución, proponiendo la imposición de una sanción de 20.000€ a la entidad BUILDING CENTER, S.A., por la comisión de una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de dicha Ley. OCTAVO: Con fecha 18 de febrero de 2016, BuildingCenter solicitó ampliación de plazo para presentar alegaciones, que le fue ampliado en un máximo de siete días a partir del día siguiente en que finalizaba el primer plazo de alegaciones, según lo establecido en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 artículo 49.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, según la redacción dada por la Ley 4/1999, de 13 de enero, que la modifica. Con fecha 26 de febrero de 2016, BuildingCenter presentó alegaciones frente a la citada propuesta de resolución en las que, básicamente, reiteró lo manifestado durante la tramitación del presente procedimiento. HECHOS PROBADOS PRIMERO: En fecha 18 de noviembre de 2014, Don A.A.A. denunció ante la Agencia que una de las siguientes entidades: “La Caixa”, “Servihabitat” y/o “Diagonal” le identifican como sujeto de embargo de su vivienda por el impago de su hipoteca, relativa al inmueble ubicado en la (C/.......1)(Cádiz), sin tener recibos pendientes respecto de la citada hipoteca en la entidad La Caixa (folios 1-16) SEGUNDO: El denunciante ha aportado copia de varios avisos que Diagonalgest/Servihabitat/La Caixa dejó en su domicilio solicitándole que contactara con la entidad para un asunto relacionado con su vivienda. Con fecha 29/09/2014, Diagonalgest/Servihabitat le remitió un correo electrónico de disculpa por las visitas realizadas en el que reconoce que “…debido a un error informático el inmueble figuraba como ejecutado, sin ser esta la realidad. Nuestra labor consiste en determinar el estado ocupacional de los inmuebles (…).” Y en respuesta al escrito del denunciante de 26/09/2014 Servihabitat le remitió escrito en el que reconocía que “…hechas las comprobaciones oportunas, hemos podido constatar que, esta incidencia podría tener su origen en un error por parte de nuestro colaborador externo en la identificación de una de las fincas gestionadas por Servihabitat…” (folios 6-9,16 y 21-27). TERCERO: La cartera de inmuebles de Banca Cívica fue incorporada a la cartera de BuildingCenter (folio 111, entre otros) CUARTO: Servihabitat suscribió un contrato de prestación de servicios con BuildingCenter para la gestión y comercialización de inmuebles, por lo que los datos que trata Servihabitat son titularidad de los propietarios de los inmuebles, en este caso BuildingCenter (folios 114-116, entre otros). QUINTO: Servihabitat tiene, asimismo, suscrito un contrato de prestación de servicios con Diagonalgest para las tareas relacionadas con las ejecuciones hipotecarias (folios 117-150) SEXTO: Por su parte, Diagonal subcontrata – mediante un contrato de prestación de servicios - a la empresa Ybolmar Asistencia y Reformas, S.L. para dar cobertura operativa en la Comunidad Autónoma de Andalucía y Extremadura. Los datos facilitados a Ybolmar por parte de Diagonal fueron una copia de la tasación y de la nota simple publicada por Servihabitat, cuyo titular era el denunciante (folios 154, 209-233) SÉPTIMO: BuildingCenter ha reconocido en sus alegaciones al Acuerdo de inicio que, únicamente dispone de los datos de registro relativos a la UR ******* (número de unidad registral UR), perteneciente a un inmueble determinado y la dirección del inmueble interesado, que en este caso era (C/.......1) (Cádiz) (folios 396-397). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 OCTAVO: BuildingCenter cedió a Servihabitat los datos de registro relativos a la UR ******* (número de unidad registral UR), perteneciente a un inmueble determinado y la dirección del inmueble interesado, que en este caso era (C/.......1) (Cádiz) (folios 111 y 396-397) NOVENO: A su vez, Servihabitat cedió estos datos a Diagonalgest. En concreto Diagonalgest ha manifestado que recibió de Servihabitat el encargo de la elaboración de un informe relativo a la vivienda perteneciente a (C/.......1) (Cádiz) y que, aunque en el identificador UR no aparecía el nombre del denunciante, Servihabitat le remitió una tasación y una nota simple cuyo titular registral era Don A.A.A. (folio 151). DÉCIMO: Diagonalgest ha manifestado que una vez que se contactó con el ocupante (denunciante), coincidente éste con el titular registral, les indica que se trataba de un error, por lo que Diagonal trasladó la información y el posible error a Servihabitat que procedió a la modificación y correcta codificación de la dirección relativa a la UR. Detectado el error, trasladan la información y el posible error existente con la dirección a los responsables de Servihabitat, posteriormente, el 15 de julio de 2015, se solicita por parte de Servihabitat nuevo informe ocupacional con la dirección modificada y bien codificada que correspondía con una vivienda ubicada en Huelva (folio 152). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 4.3 de la LOPD, referente a la “calidad de los datos”, establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. La Audiencia Nacional, en diversas sentencias (entre otras, SAN de 24 de marzo de 2004 y 7 de julio de 2006), ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre tales principios se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento -exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. La Directiva 95/46 CE, del Parlamento Europeo y del Consejo, que traspone la LOPD, establece en su artículo 6. I.
  4. d)que “Los Estados miembros dispondrán que los datos personales sean….
  5. d)exactos, y cuando sea necesario, actualizados. Deberán C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. La obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999 implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados, correspondiendo al acreedor la responsabilidad de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. III Se imputa a BuildingCenter en el expediente sancionador que nos ocupa una infracción del artículo 4.3 de la LOPD. El tratamiento de datos del denunciante de forma inexacta se materializó cuando el BuildingCenter informó a la entidad Servihabitat, con el fin de realizar una ejecución hipotecaria, los datos de registro relativos a la UR ******* (número de unidad registral UR), perteneciente a un inmueble determinado y la dirección del inmueble interesado, que en este caso era (C/.......1) (Cádiz) (folios 111 y 396-397). En fase de alegaciones al acuerdo de inicio BuildingCenter manifestó que únicamente dispone de los datos de registro relativos a la UR ******* (número de unidad registral UR), perteneciente a un inmueble determinado y la dirección del inmueble interesado, que en este caso era (C/.......1) (Cádiz). (folios 396-397). En el presente procedimiento, consta acreditado que la cartera de inmuebles de Banca Cívica fue incorporada a la cartera de BuildingCenter (folio 111, entre otros). BuildingCenter cedió a Servihabitat, con el fin de realizar una ejecución hipotecaria, los datos de registro relativos a la citada UR ******* (folios 111 y 396-397). A su vez, Servihabitat cedió estos datos a Diagonalgest. A este respecto, Diagonalgest ha manifestado que recibió de Servihabitat el encargo de la elaboración de un informe relativo a la vivienda perteneciente a (C/.......1) (Cádiz) y que, aunque en el identificador UR no aparecía el nombre del denunciante, Servihabitat le remitió una tasación y una nota simple cuyo titular registral era Don A.A.A. (folio 151). Sin embargo, tal y como Diagonalgest ha manifestado, una vez que se contactó con el ocupante (denunciante), coincidente éste con el titular registral, les indica que se trataba de un error, por lo que Diagonal trasladó la información y el posible error a Servihabitat que procedió a la modificación y correcta codificación de la dirección relativa a la UR. Detectado el error, trasladan la información y el posible error existente con la dirección a los responsables de Servihabitat, posteriormente, el 15 de julio de 2015, se solicita por parte de Servihabitat nuevo informe ocupacional con la dirección modificada y bien codificada que correspondía con una vivienda ubicada en Huelva (folio 152). Sin embargo no se deduce de la conducta de la denunciada la existencia de un error invencible. La normativa de protección de datos impone expresamente a la entidad que informa los datos a un fichero la obligación de asegurarse, antes de comunicar los datos adversos, que se han observado los requisitos exigidos legalmente. Además la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Audiencia Nacional ha declarado en diversas sentencias (por todas STAN de 25 de octubre de 2002), “… que dada la importancia del bien jurídico protegido, la privacidad de las personas, quienes se dediquen a actividades que impliquen el tratamiento de datos personales deben ser especialmente diligentes y cuidadosos a la hora de tratarlos…”. También ha declarado reiteradamente la Audiencia Nacional, que cuando el error es muestra de una falta de diligencia la conducta es sancionable. En el caso que nos ocupa se aprecia una falta de diligencia de una entidad que por el volumen de datos tratados y su especialización debería actuar con un especial cuidado a la hora de identificar y tratar datos de sus clientes. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3, infracción tipificada en el artículo 44.3.
  6. c)de la citada norma, que dispone: “Son infracciones graves, (..)
  7. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” IV Hay que señalar que la LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  9. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. También dispone el artículo 3
  10. g)de la LOPD, que “Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que “se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales", por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específico. Se trataría C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento” El propio reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, en el apartado
  11. q)del artículo 5, señala lo siguiente: “
  12. q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. En el presente caso, aunque BuildingCenter no realice materialmente el tratamiento, es responsable de la infracción que se deriva de la actuación realizada en atención a que como responsable del fichero es quien decide sobre la finalidad, contenido y uso del tratamiento, es decir, quien tiene capacidad de decisión sobre los datos registrados en su fichero. BuildingCenter ha tratado los datos del denunciante sin su consentimiento. La responsabilidad en la que haya podido incurrir, en su caso, el encargado del tratamiento (en este caso Servihabitat, entre otros), no le exime del cumplimiento de la normativa en materia de protección de datos personales, pues es la citada empresa la que ordenó y emitió la orden con el fin de realizar una ejecución hipotecaria, con los datos de registro relativos a la citada UR ******* que se correspondía con la titularidad del denunciante; quien decide si los datos son incorporados a su fichero y quien los trata de forma automatizada, y quien los incluye en todas las tareas relacionadas con las ejecuciones hipotecarias, la que correlativamente, debe asegurarse que aquel a quien se solicitan los datos para ser tratados por ella, los presta con consentimiento inequívoco y que dicha persona que están dando el consentimiento, efectivamente es el titular de los datos personales en cuestión. V En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el art. 12 de la LOPD que establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento”. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio – Servihabitat, en primer lugar, aunque esta entidad también tiene suscritos otros contratos de prestación de servicios - sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La Ley exige que el contrato figure por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de requisitos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución, al responsable del tratamiento. Interpreta el artículo 12.4 de la LOPD la sentencia de 14/03/2007, Rec. 280/2005, que haciéndose eco de la anterior Sentencia de 13/04/2005 Rec. 241/2003, establece que lo que determina la LOPD en el mismo, es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumplido las estipulaciones del contrato <<(…) será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente>>. En el presente caso consta que Servihabitat tiene suscrito con BuildingCenter un contrato de prestación de servicios para la gestión de su cartera inmobiliaria, realizando tratamientos de datos de los clientes de BuildingCenter, entre los cuales se encuentra la gestión y comercialización de inmuebles. Servihabitat tiene, asimismo, suscrito un contrato de prestación de servicios con Diagonalgest para las tareas relacionadas con las ejecuciones hipotecarias, conteniendo en el mismo una cláusula de protección de datos de conformidad con lo señalado en el artículo 12 de la LOPD. Del contrato suscrito por Servihabitat con BuildingCenter se desprende que en el ejercicio de las gestiones de administración, gestión y explotación de dichos bienes inmuebles en ningún caso puede permitirse que se realicen operaciones ni se faciliten datos a quienes no son clientes de la entidad, lo que no implica que en algunos casos como el examinado se produzca. En el procedimiento establecido para la ejecución hipotecaria del inmueble situado en la (C/.......1) (Cádiz), fue gestionado contra la titularidad del denunciante debido a que BuildingCenter proporcionó una UR ******* errónea que no correspondía a al titular que debía ser objeto de la ejecución hipotecaria, pues ningún tipo de relación contractual les unía, sino a un tercero que, con la dirección modificada y bien codificada se correspondía con el titular de una vivienda ubicada en Huelva. Por tanto, en relación a Servihabitat ,de conformidad con el contrato suscrito, ha actuado de conformidad con las instrucciones del responsable del tratamiento, toda vez que los datos que trata Servihabitat son titularidad de los propietarios de los inmuebles, en este caso BuildingCenter no habiendo destinado los datos a una finalidad distinta a la indicada, ni incumplido las estipulaciones del contrato por lo que no existen elementos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 de juicio necesarios para atribuirle la vulneración de la LOPD, por lo que se le exonera de responsabilidad en relación con la infracción del artículo 4.3 de la LOPD. VI Tras la notificación del acuerdo de inicio, BuildingCenter manifestó que únicamente dispone de los datos de registro relativos a la UR ******* perteneciente a un inmueble determinado (C/.......1) (Cádiz), pero que no dispone de los datos personales del denunciante por lo que no dispone de fichero alguno que disponga de dichos datos personales, lo que significa que no los ha cedido ni tratado indebidamente. Al respecto procede recordar la definición de “persona identificable” recogida en el artículo 5 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal: “
  13. o)Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En el presente procedimiento consta acreditado que BuildingCenter facilitó a Servihabitat unos datos de la vivienda erróneos y encargó unas gestiones para una ejecución hipotecaria con dichos datos erróneos. Sin embargo, los datos de la vivienda se pueden considerar datos personales ya que el titular resulta fácilmente identificable con la información que consta en el registro de la propiedad, circunstancia que se pudo comprobar, y así consta acreditado cuando, en base a la UR errónea, Servihabitat remitió a Diagonalgest una tasación y una nota simple cuyo titular registral era Don A.A.A.. Por lo tanto, dichas alegaciones deben ser desestimadas. VII De acuerdo con las previsiones de la LOPD, la conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3, infracción tipificada en el artículo 44.3.
  14. c)de la citada norma, que dispone: “Son infracciones graves, (..)
  15. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. VIII El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  16. a)El carácter continuado de la infracción.
  17. b)El volumen de los tratamientos efectuados.
  18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  19. d)El volumen de negocio o actividad del infractor.
  20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  21. f)El grado de intencionalidad.
  22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 En el presente caso, ha quedado acreditado que BuildingCenter vulneró el artículo 4.3 de la LOPD, al tratar los datos del denunciante sin su consentimiento y sin que concurra ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a la citada entidad el citado tratamiento, por lo que la actuación de BuildingCenter ha de ser objeto de sanción. Consta que BuildingCenter facilitó a Servihabitat unos datos de la vivienda erróneos y encargó unas gestiones para una ejecución hipotecaria con datos erróneos, que afectaban a la situación del afectado, ya que dichos datos no eran exactos, ni puestos al día no respondían con veracidad a la situación del denunciante, sin que éste mantuviera ningún tipo de relación contractual con la citada entidad, toda vez que los datos pertenecían a un tercero que figura en los datos de la UR del registro de una vivienda ubicada en Huelva y que fue atribuida a la UR del denunciante. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia de la circunstancia prevista en el apartado
  31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente, pues la entidad cuando tuvo conocimiento de los hechos ocurridos a través de la reclamación planteada por el denunciante, procedió con inmediatez a rectificar el error, lo que posibilita la aplicación de una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. No obstante, es necesario tener en cuenta circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el apartado “
  32. c)la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeña la entidad denunciada se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado “
  33. d)Volumen de negocio o actividad del infractor”, toda vez que se trata de una gran empresa tanto por la actividad desarrollada como por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se acuerda una sanción de 20.000€, por vulneración del artículo 6.1 de la LOPD, de la que BUILDINGCENTER debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BUILDING CENTER, S.A., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  34. c)de la LOPD, una multa de 20.000 € (veinte mil euros), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a BUILDING CENTER, S.A., y a Don A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.