PS-00618-2021

1/7  Procedimiento Nº: PS/00618/2021(EXP202103039) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad, RODALI GESTIÓN INMOBILIARIA, S.L. con CIF: B45811353, (en adelante “la parte reclamada”), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y atendiendo a los siguientes: ANTECEDENTES PRIMERO: Con fecha 27/09/21, tuvo entrada en esta Agencia, escrito presentado por Dª. A.A.A., (en adelante, “la parte reclamante”), en la que indicaba, entre otras que, a la hora de realizar la reserva para la compra de un piso con esta Agencia, no rellenó ninguna clausula ni fue informada del tratamiento de sus datos personales. Junto con el escrito de reclamación se aporta copia del contrato: “Documento de Oferta de Inmueble” fechado el 13/11/19, donde aparecen los datos personales de la reclamante, así como, los datos de la Inmobiliaria y donde se acuerda la gestión, por parte de la Inmobiliaria de la compra de un inmueble. SEGUNDO: Con fecha 18/10/21 y 29/10/21, por parte de esta Agencia se trasladó la reclamación a la parte reclamada para que diese respuesta a la misma, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. Los intentos de notificación tuvieron como resultado lo siguiente: - Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el envío realizado a la entidad reclamada, el día 18/10/21, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue rechazado en destino el día 29/10/21. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 10/11/21, siendo el receptor de este, Dª. B.B.B. ***NIF.1 En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. TERCERO: Con fecha 23/12/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada por la reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al no recibir contestación alguna a las solicitudes hechas desde esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 CUARTO: Con fecha 18/02/22, por parte de la Directora de la Agencia Española de Protección de Datos, se firma la incoación del procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 13 del RGPD, al existir indicios de la falta de información ofrecida a los clientes sobre el tratamiento de sus datos personales, cuando éstos son obtenidos directamente de ellos, imponiéndola una sanción inicial de 5.000 euros (cinco mil euros), en base a lo previsto en el art. 64.2

1. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). No obstante, los intentos de notificación del acuerdo de inicio del expediente sancionador obtuvieron como resultado: - Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el envío realizado a la entidad reclamada, el día 22/02/22, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue rechazado en destino el día 05/03/22. - Según certificado de la Sociedad Estatal Correos y Telégrafos, el envío realizado a la entidad reclamada, el día 30/05/22 a través del servicio de notificación postal de Correos, fue devuelto a destino con la leyenda de “desconocido” el 08/06/22. QUINTO: Transcurrido el plazo otorgado para la formulación de alegaciones al acuerdo de inicio del procedimiento, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
2. f)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP) -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento, establece que, si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
3. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución HECHOS PROBADOS De las actuaciones practicadas en el presente procedimiento y de la información y documentación presentada por el reclamante, ha quedado acreditado que: Primero: En el momento de firmar los contratos por el que la Inmobiliaria se hace cargo de la gestión de la compra de un inmueble, no informa en ningún documento sobre la gestión de sus datos personales. El documento que se aporta junto con la reclamación, “Documento de Oferta de Inmueble” fechado el 13/11/19, aparecen los datos personales de la reclamante, así como, los datos de la Inmobiliaria, pero no existe ninguna cláusula donde se informe de la gestión de los datos personales obtenidos por la inmobiliaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I-Competencia Es competente para iniciar y resolver este Procedimiento Sancionador la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes establecidos en el artículo 58.2 del RGPD y en la Ley LOPDGDD. II- Síntesis de los hechos: En el presente caso, la reclamante indica que, en el momento de firmar el contrato por el que la Inmobiliaria se hacía cargo de la gestión de la compra de un inmueble, no firmó ni fue informada en ningún momento sobre la gestión de sus datos personales. III- Sobre la infracción cometida por la falta de información sobre el tratamiento de los datos personales: Establece el considerando 61) del RGPD que: “Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los datos personales pueden ser comunicados legítimamente a otro destinatario, se debe informar al interesado en el momento en que se comunican al destinatario por primera vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y otra información necesaria (…)”. En este sentido, el artículo 12.1 del RGPD establece, sobre los requisitos que debe cumplir la información que el responsable del tratamiento debe poner a disposición de los interesados, lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios (…)”. Y por su parte, el artículo 13 del RGPD, detalla la información que se debe facilitar al interesado cuando los datos son recogidos directamente de él, estableciéndose lo siguiente: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7
4. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
5. b)los datos de contacto del delegado de protección de datos, en su caso;
6. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
7. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
8. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
9. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
10. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
11. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
12. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
13. d)el derecho a presentar una reclamación ante una autoridad de control;
14. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
15. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. Por tanto, en el caso que nos ocupa, la falta de información sobre el tratamiento de los datos personales cuando se obtienen los datos personales de los clientes supone, por parte del responsable del tratamiento, la vulneración del artículo 13 del RGPD. En este sentido, el artículo 72.1.
16. h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada según lo establecido en el artículo 83.5.
17. b)del RGPD, donde se establece que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 anterior, optándose por la de mayor cuantía:
18. a)los derechos de los interesados a tenor de los artículos 12 a 22”. El balance de las circunstancias contempladas, con respecto a las infracciones cometidas, al vulnerar lo establecido en su artículo 13 del RGPD, permite fijar una sanción de 5.000 euros (cinco mil euros). De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer, se considera que procede graduar la sanción de acuerdo con los siguientes criterios agravantes que establece el artículo 76 de la LOPDGDD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b), considerando el nivel de implantación de la entidad y la actividad que desarrolla, en la que se ven implicados datos personales de miles de interesados, al tener como actividad principal, la compraventa de muebles e inmuebles, promoción de edificaciones, obras y reformas. intermediador financiero. asesoría, administración, servicios a empresas, tasación y peritación, todos estos servicios relativos a la propiedad inmobiliaria. Esta circunstancia determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de responsabilidad de la entidad en relación con el tratamiento de los datos personales. IV.- Sobre las medidas correctivas a implantar: El artículo 58.2. del RGPD, establece, sobre los poderes correctivos que cada autoridad de control pueda requerir al infractor, entre los que se encuentra, en su apartado d): “(…) ordenar al responsable o encargado de tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. Por tanto, procede imponer, de acuerdo con lo estipulado en el artículo citado, la siguiente medida correctiva: - Implementar un mecanismo en la gestión de los servicios realizados por la Inmobiliaria donde se informe a los clientes del tratamiento que se realizará de sus datos personales, de acuerdo con lo establecido en el artículo 13 del RGPD. A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE: PRIMERO: IMPONER a la entidad RODALI GESTIÓN INMOBILIARIA, S.L. con CIF: B45811353, una multa de 5.000 euros (cinco mil euros), por la infracción del artículo 13 del RGPD, al no informar convenientemente a los clientes, de los fines a los que destinan los datos personales obtenidos de ellos. SEGÚNDO: ORDENAR a la entidad RODALI GESTIÓN INMOBILIARIA, S.L. con CIF: B45811353, que, en el plazo de un mes a contar desde la notificación de esta resolución, tome las medidas necesarias para Implementar un mecanismo en la gestión de los servicios realizados donde se informe a los clientes del tratamiento que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 se realizará de sus datos personales, de acuerdo con lo establecido en el artículo 13 del RGPD. TERCERO: NOTIFICAR la presente resolución a la entidad RODALI GESTIÓN INMOBILIARIA, S.L. e informar del resultado a la parte reclamante. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
19. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
20. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminisC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es