Posta kutusu verilerinin hukuka aykırı toplanması

1/34

 Expediente N.º: EXP202308051

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 7 de febrero de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a ESTUDIO ALCAZAR
DEL GENIL 2022, S.L. (en adelante, ESTUDIO ALCAZAR), mediante el acuerdo que
se transcribe:

<<
Expediente N.º: EXP202308051

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Con fecha 9 de mayo de 2023 se interpuso reclamación ante la Agencia
Española de Protección de Datos por una posible infracción imputable a ESTUDIO
ALCAZAR DEL GENIL 2022, S.L. con NIF B09971029 (en adelante, ESTUDIO
ALCAZAR).

Los hechos que se pusieron en conocimiento de esta autoridad eran:

Quien reclama manifiesta que era trabajador de ESTUDIO ALCAZAR y que, en fecha
25 de abril de 2023, sus superiores reunieron a sus trabajadores instándoles a que
realizaran fotos y vídeos de los buzones de las Comunidades de Propietarios de los
inmuebles que visitaran para elaborar una base de datos, sin recabar el
consentimiento de los titulares de los datos y sin informar a estos a dicho respecto. En
concreto, señala que tenían que proporcionar los siguientes datos: la calle, el número
de bloque y los nombres que aparecían en los buzones junto con la planta y la puerta
en la que estos habitan. Afirma que, al negarse a realizar dicha actuación que
considera contraria a la normativa de protección de datos, fue despedido.

Junto al escrito, se aportó:

- Captura de pantalla de la conversación en la app WhatsApp con el número de
teléfono ***TELÉFONO.1 y fecha 26 de abril de 2024, donde aparecen los
siguientes mensajes a las 14.50 horas: “A.A.A. tengo que hablar contigo. Si
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/34

tienes un segundo te llamo”. El nombre del contacto con el que está
manteniendo la conversación y que aparece en el móvil del reclamante es:
“B.B.B.”.

- Video en formato .mp4 de la conversación mantenida en fecha 26 de abril de
2023, a las 14:52 horas, entre quien reclama y el número de teléfono
***TELÉFONO.1, en el que le comunican la voluntad de la empresa de
prescindir de sus servicios en base a su negativa a la forma de recabar datos
de potenciales clientes. De la conversación mantenida se extrae la siguiente
información:

[…] B.B.B.: Mira, perdona hijo es que no tengo mucha cobertura. Vamos a
ver A.A.A., le he estado dando vueltas a lo que hemos hablado, […] no
quería alargarlo mucho más, y nada, hemos estado hablando con C.C.C. y
D.D.D. porque ellos son también socios de la sociedad […] Ahora mismo
es la única forma que tenemos de hacer zona y yo sintiéndolo mucho no
podemos llegar a ningún otro acuerdo […] quería avisarte que tenemos
que prescindir de ti […].

A.A.A.: Pero B.B.B., yo lo entiendo, pero entiendes que lo que me habéis
pedido de hacer fotos a buzones es ilegal.
B.B.B.: A.A.A., fotos, apuntarlo, lo que sea, yo no puedo hacer otra cosa,
hijo, esto es de tres no solamente de uno, yo puedo llegar a entender la
posición que tú tienes, pero es que no podemos hacer otra cosa, A.A.A..
Yo no le puedo exigir a los compañeros que hagan una cosa a ti que
hagas otra, es la forma que tenemos ahora de hacer zona y es que no
podemos hacer otra cosa.
A.A.A.: Pero B.B.B. es que no le tendríais que pedir a nadie que haga eso,
que haga fotos a los buzones.
B.B.B.: Bueno A.A.A. es lo que te he dicho, esto ya depende de, …
nosotros tenemos el sector jurídico y ya pues eso depende de ellos, yo ahí
ya.
A.A.A.: Pues ya está, perfecto si es vuestra decisión.
B.B.B.: Por supuesto, ya está.
B.B.B.: […] es que A.A.A.: no tenemos otra forma de trabajar y yo sé que
tu así, obviamente no estás de acuerdo, que esto no es legal, te has
informado me parece genial, pero es que no podemos hacer otra cosa”.

- Números de teléfono de los intervinientes en la conversación de la que ha
aportado el vídeo:
o origen de la llamada: ***TELÉFONO.1.

o destino de dicha llamada:***TELÉFONO.2.

o fecha: 26 de abril de 2023, aproximadamente a las 14:55h.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/34

- Fotografías de buzones que le consta que se han subido a la base de datos de
***EMPRESA.5, donde figuran los siguientes nombres y números de puerta:

(…)

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a ESTUDIO ALCAZAR,
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.

Con fecha 13 de julio de 2023 se recibe en esta Agencia escrito de respuesta de
ESTUDIO ALCAZAR, manifestando lo siguiente:

“(…) PRIMERA.- Estudio Alcázar del Genil 2022 SL. contrató al reclamante, con
arreglo al convenio y salario que le es aplicable, como COMERCIAL, esto es,
para la venta de viviendas propiamente dichas (venta. captación. zona
comercial, etc). El contrato duro tan solo un mes y medio, pero, EN NINGUN
CASO, esta empresa propuso / sugirió / obligó / indicó a este trabajador, ni a
ningún otro, lo expuesto en la reclamación previa. No porque lo diga esta parte
en su defensa sino porque no es la práctica ni tónica de la mercantil, máxime,
cuando además la marca ***EMPRESA.5 tiene un software/aplicación interno
donde constan las bases de datos cuyo consentimiento ha sido recabado
lícitamente y sobre las que se utilizan, para el caso necesario, a la hora de
promocionar y vender las viviendas; todo ello, siempre con el interés previo que
muestra el cliente en la vivienda en cuestión (que es distinto a manifestar que la
empresa busque compradores o vendedores a diestro y siniestro llamando a un
número de teléfono o similar a fin de ver si venden o compran vivienda).
Asimismo, Estudio Alcázar del Genil 2022 S.L., es una mercantil que, desde que
se constituyó NO HA RECIBIDO UNA SOLA QUEJA (NI DE PROTECCIÓN DE
DATOS NI DE NINGÚN OTRO TIPO), RECLAMACIÓN O RESEÑA NEGATIVA
sino todo lo contrario, máxime, cuando opera en una barriada de
***LOCALIDAD.1 (se opera por zonas para no "pisar" a las otras franquicias de
la marca que trabajan en la ciudad) que es “pequeña", y que, en un mercado
como éste, hacerlo mal es sinónimo de. lamentablemente, no vender, y por
ende, estar abocado al fracaso empresarial.”

TERCERO: Con fecha 9 de agosto de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.

Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/34

RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN

(…) El 22 de diciembre de 2023, ***EMPRESA.6, responde a esta agencia
confirmando que el día 26 de abril de 2023 a las 14:52:15 horas se produjo
una llamada desde el número ***TELÉFONO.1 al número ***TELÉFONO.2 de
334 segundos de duración es decir 5 minutos y 34 segundos. Informa de que
la titular de la línea de destino es: E.E.E. con DNI ***NIF.1 y dirección en
***DIRECCIÓN.1.

El reclamante aportó en la reclamación el número ***TELÉFONO.2 como su
teléfono.

El 29 de diciembre de 2023 ***EMPRESA.7 responde al requerimiento de
esta agencia, confirmando que el día 26 de abril de 2023 a las 14:52:16 horas
se produjo una llamada desde el número ***TELÉFONO.1 al número
***TELÉFONO.2 de 332 segundos de duración. Así mismo informa de la
titularidad de la línea ***TELÉFONO.1 que corresponde a F.F.F. DNI: ***NIF.2
y dirección: ***DIRECCIÓN.2.

(…) El 1 de abril de 2024, se recibió respuesta de ESTUDIO ALCAZAR, al
requerimiento de esta Agencia, en la que:

1. Manifiesta que su empresa es Responsable de tratamiento de los
datos de los clientes.

2. Aporta el contrato de cesión de franquicia en el que se subrogó (pues
inicialmente había sido suscrito por otra mercantil distinta a ésta), firmado
entre ***EMPRESA.8, Estudio Alcázar y ***EMPRESA.1 con efectos del 1 de
junio de 2022.

3. Manifiesta que: “únicamente se utilizan clientes y datos cuyos
consentimientos han sido previamente recabados y están debidamente
legalizados. No llevando a cabo, esta empresa, prácticas como la referida en
la reclamación efectuada por G.G.G..”

4. Está realizando, y quedará documentado antes de que finalice el año,
auditoría en protección de datos y un CORPORATE COMPLIANCE que se
aportará cuando esté finalizado.

5. No responde al requerimiento de:

 Registro de las actividades de tratamiento efectuadas bajo su
responsabilidad (Art. 30 del RGPD).

 Finalidades y bases de legitimación de las actividades de tratamiento
(Art. 6 RGPD).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/34

 Contrato o contratos de encargado de tratamiento firmados por esa
mercantil.

 Origen de los datos personales de potenciales clientes.

 Informes de la auditoría de protección de datos y “CORPORATE
COMPLIANCE” a los que se refiere en la mencionada respuesta de 13
de julio de 2023, respecto de los tratamientos sobre los que se solicita
información.

El 30 de abril de 2024, se recibe respuesta de ***EMPRESA.1 que manifiesta:

“las sociedades del ***EMPRESA.2 actúan como encargados del tratamiento
en relación con los datos personales de clientes finales, incluidos los
potenciales, de los que son responsables las respectivas entidades
franquiciadas.”

[…] “la intervención de ***EMPRESA.1 se limita a poner a disposición de los
franquiciados un software de gestión de clientes (un CRM) para que cada
entidad franquiciada, según su mejor criterio, pueda utilizar para el
desempeño de su actividad”
[…] “el flujo de datos básicamente se inicia cuando un interesado solicita
servicios de intermediación inmobiliaria a una de nuestras franquiciadas.

Generalmente, pero no de forma obligatoria, las entidades franquiciadas
suben los datos al software de gestión de clientes (CRM) que se facilita desde
***EMPRESA.2 a las entidades franquiciadas como parte del contrato de
franquicia.
Huelga aclarar que cada entidad franquiciada solo tiene acceso a los datos
personales de sus clientes, o potenciales clientes, sin que se compartan
todos los datos entre las entidades franquiciadas a través del CRM. Es decir,
el hecho de compartir un mismo proveedor de software no implica que se
compartan los datos con todos los usuarios de dicho software.

Finalmente, y aunque creemos que no es objeto de este procedimiento,
únicamente indicamos que ***EMPRESA.2 gestiona la página web ***URL.1.
Esta página web actúa como portal inmobiliario. Así, cuando un usuario de la
web se interesa en un inmueble o en una zona geográfica donde adquirir o
vender un inmueble, remitimos dicho “lead” (potencial interesado) a la entidad
franquiciada que corresponda, actuando estas como responsables del
tratamiento independientes”.

[…] “31. No proporcionamos instrucciones a los franquiciados ni sobre cómo
deben incorporar dichos datos al CRM ni sobre cómo deben de obtenerlos.
Ello es competencia y responsabilidad de cada franquiciada en tanto que
responsable del tratamiento.

32. Desde ***EMPRESA.1 únicamente explicamos a las franquiciadas cómo
funciona el CRM. En lo que respecta a privacidad, les informamos que el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/34

CRM dispone de una pestaña para subir el documento relativo a protección
de datos, así como otra pestaña para indicar si disponen de consentimiento
para remitir comunicaciones comerciales electrónicas”.

Adjunta “Acuerdo de tratamiento de datos personales en el marco del contrato
de Franquicia” genérico, de fecha 1 junio de 2022, en el que se recoge:

“El FRANQUICIADOR actuará como encargado del tratamiento del
FRANQUICIADO respecto de los datos personales de los Clientes Finales de
conformidad con lo dispuesto en el artículo 28 RGPD (el "Encargo del
Tratamiento”).

El FRANQUICIADOR actuará como (sub)encargado del tratamiento del
FRANQUICIADO quien actuará como responsable o encargado del
tratamiento, según cada caso, de los tratamientos, categorías de datos
personales e interesados en relación con el Encargo del Tratamiento que se
especifican en el Apéndice A”.

En el “Apéndice A”, en cuanto a “Naturaleza y finalidad del tratamiento”
aparece marcado: “Estructuración, Conservación, Consulta, Supresión,
Conservación, Registro y Otros: Aquellas otras finalidades necesarias para el
buen fin de la gestión y uso del CRM por parte del FRANQUICIADO”.

En “Categorías de interesados” están marcadas las categorías: “Clientes” y
“Potenciales clientes”.

En “Tipo de datos personales”, está marcado: “Nombre/apellidos, Domicilio,
Email, Datos bancarios, DNI/NIE/Pasaporte, Nacionalidad y Otros: Aquellos
otros datos personales necesarios para la correcta gestión y uso del CRM por
parte del franquiciado, así como para la correcta atención a los Clientes
Finales, como, por ejemplo, viviendas/locales en propiedad, viviendas/locales
en alquiler o intereses inmobiliarios, de financiación o de cualquier otra índole
en relación con los servicios prestados a Clientes Finales”.

En la inspección del 20 de noviembre de 2024 a la sede de ***EMPRESA.1
en: ***DIRECCIÓN.3, cuya acta de inspección se incorporó al expediente en
la “Diligencia Acta Inspección (...)” de 11 de diciembre de 2024, los
representantes de la empresa manifiestan:

1. “La entidad es una empresa franquiciadora que no desarrolla labores
comerciales ni trata datos de clientes, ni tiene establecimientos comerciales a
pie de calle.

2. Lo que ofrecen son contratos de franquicia a operadores inmobiliarios,
les ofrecen la marca, formación, asesoría comercial, una exclusiva territorial y
una plataforma informática (CRM) denominada ***PLATAFORMA.1. A las
nuevas franquicias también se les ofrece asesoría comercial sobre cómo
pueden emprender y empezar a vender.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/34

3. A cambio reciben un royalty fijo independiente de las operaciones que
realicen los franquiciados.

4. Cada franquiciado es un operador inmobiliario independiente, también
independiente del franquiciador.

5. Desde la empresa no se ejerce control sobre los datos de los clientes
ni los contactos que registren los franquiciados, tan solo de las operaciones
de compraventa que se realizan, sin que se incluyan datos personales en las
mismas.

6. Con la finalidad de resolver incidencias técnicas pueden acceder a la
base de datos de clientes que son responsabilidad de cualquier franquiciado.

7. También se realizan labores de Back-up del CRM, aunque
desconocen la periodicidad y lugar donde están alojados los servidores.” […]

Tras solicitar conectarse a la base de datos de la reclamada en
***LOCALIDAD.1, se constata que en la base de datos ***PLATAFORMA.2”
de ***EMPRESA.5 se encuentra (Doc 9) un registro correspondiente a
“H.H.H.” de la calle “***DIRECCIÓN.4” como cliente de “***EMPRESA.9” del
CRM (Programa de Gestión de Clientes) Inmobiliario de la reclamada, en el
que sólo consta el nombre, apellidos, dirección y fecha del último contacto:
“30/07/2024”, del cliente, no contiene número de teléfono, ni correo
electrónico. En la casilla “Privacy” consta: “En espera de privacidad escrita”.
En el campo “Procedencia” figura: “Tipo origen Colaborador interno, Detalle
origen B.B.B., categoría origen Gestión Directa […] Datos de sistema (…) por
B.B.B. 25/4/2023. 16:42 Ultima modificación de J.J.J. 30/7/2024. 12:06”.

En el Doc 13 consta el cliente “L.L.L.” sin teléfono ni correo electrónico, con
fecha de creación: 11/04/2017.

En el Doc 16 consta el cliente “M.M.M.” sin teléfono ni correo electrónico, con
fecha de creación 19/11/2024 y el cliente “N.N.N.…” sin teléfono ni correo
electrónico con fecha de creación 7/7/2015.

El 4 de diciembre de 2024 se recibe respuesta de ***EMPRESA.1 a los
requerimientos de esta Agencia recogidos el acta de inspección.

En el modelo de contrato de “Acuerdo de tratamiento de datos personales en
el marco del contrato de franquicia” se recoge:

“En el marco del encargo del Tratamiento, el FRANQUICIADO autoriza al
FRANQUICIADOR para que en nombre y por cuenta del mismo contrate con
las compañías mercantiles del ***EMPRESA.2 los servicios de tratamiento de
datos personales, gestión técnica, estadísticas, asesoría, formación y página
web al objeto de lo dispuesto en el presente acuerdo y en el contrato de
franquicia.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/34

Asimismo, el FRANQUICIADOR podrá, sin autorización previa del
FRANQUICIADO, subcontratar a terceros servicios auxiliares y
estandarizados para el normal funcionamiento de la operativa corporativa,
aunque ello implique un (sub)tratamiento de los datos personales objeto de
este encargo del Tratamiento.

Cualquier otra subcontratación por parte del FRANQUICIADOR que suponga
un (sub)tratamiento de los datos personales objeto de este encargo del
Tratamiento requerirá la autorización previa del FRANQUICIADO. El
subcontratista, que también tendrá la condición de encargado del tratamiento,
está obligado igualmente a cumplir las obligaciones establecidas en este
documento para el encargado del tratamiento. Corresponde al
FRANQUICIADOR regular la nueva relación de forma que el nuevo
encargado quede sujeto a las mismas condiciones (instrucciones,
obligaciones, medidas de seguridad) y con los mismos requisitos formales
que él, en lo referente al adecuado tratamiento de los datos personales y a la
garantía de los derechos de las personas afectadas”.

Sobre el requerimiento “Explicación detallada de cómo los datos de un cliente
aparecen reflejados en las tablas de gestión de zona, indicando qué
circunstancias hacen que se encuentren en cada una de ellas”, manifiesta:

“La finalidad del tratamiento de los datos que aparecen en la tabla “Gestión
de Zona”, es la gestión de la prospección comercial para la obtención de
encargos de venta/alquiler de inmuebles en la zona que es competencia de
cada sociedad franquiciada” […]

“En la cuarta vista, CALIDAD RELACIÓN DÉBIL (DISPERSIÓN – NUNCA Y
>90), aparecerán los inmuebles que no tengan asociada ninguna actividad de
prospección comercial y aquellos inmuebles en los que la última actividad de
prospección comercial se ha realizado hace más de 90 días”. […]

“Siendo el objetivo principal, como ya se ha indicado, el de identificar
inmuebles que puedan ser vendidos o alquilados en la zona de competencia
del franquiciado, se utilizan las vistas primera- POTENCIAL ADQUISICIÓN
(SEGUIMIENTO FRECUENTE) y segunda -CALIDAD RELACIÓN ALTA
(AMIGOS EN ZONA) para mostrar aquellos inmuebles en los que la
potencialidad de obtener un encargo de venta es mayor, bien porque ya se
dispone de información fiable sobre el interés de vender/alquilar un
determinado inmueble (primera vista), o bien (segunda vista), para mostrar
aquellos inmuebles que en caso de que puedan ofrecerse en venta/alquiler, la
noticia sobre ese interés podría llegar al franquiciado sin necesidad de hacer
un seguimiento frecuente del inmueble.

Las vistas tercera -CALIDAD RELACIÓN MEDIA (<90 DÍAS) y cuarta
-CALIDAD RELACIÓN DÉBIL (DISPERSIÓN – NUNCA Y >90) muestran
aquellos inmuebles sobre los que el franquiciado podría plantearse llevar a
cabo una búsqueda de información activa de forma periódica, para conocer si
existe el interés de los propietarios en vender/alquilar su inmueble (como ya
se ha puesto de manifiesto, el franquiciado siempre se limita a buscar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/34

inmuebles en la misma zona), dependiendo del volumen de inmuebles que ya
se esté gestionando comercialmente, o de que directamente ya se esté
haciendo intermediación sobre los mismos. En el caso de que la sociedad
franquiciada dispusiera de una cartera de inmuebles suficiente y adecuada a
su capacidad comercial, la prospección comercial podría detenerse o
ralentizarse temporalmente (debe tenerse en cuenta que las sociedades
franquiciadas ***EMPRESA.5 se caracterizan por disponer de carteras
reducidas de inmuebles sobre los que trabajan intensamente).

Atendiendo a lo anterior, y con la finalidad de apoyar la gestión o prospección
comercial, la plataforma propone que pueda ser conveniente que el plazo
entre la obtención de una información y la siguiente no sea mayor de 90 días,
aunque se trata de un orientación que el franquiciado puede seguir o no, es
decir, se trata de una ayuda a la gestión comercial de los inmuebles, por
tanto, en la vista cuarta, aparecen aquellos inmuebles sobre los que no se
haya obtenido nunca información, o sobre los que la última información se
produjo hace más de 90 días, no obstante, si se recibiera información sobre
alguno de los inmuebles que aparecen en la vista cuarta, el citado inmueble
se desplazaría automáticamente, atendiendo al tipo de información obtenida,
a alguna de las otras vistas, desapareciendo de la vista cuarta. También
podría suceder, entre otros supuestos, que un inmueble que aparezca hoy en
la vista 3, trascurrido un tiempo sin haber recibido información, se desplace a
la vista cuarta, todo ello sin afectar en ningún caso a la “calidad de los
datos”[…]

5. Cuando un usuario crea una cuenta en ***URL.1, ¿Quién es el responsable
del tratamiento de los datos que se recogen en ese formulario?

En relación con el tratamiento de los datos necesarios para crear una
“cuenta” o página personal en el dominio “***URL.1”, a través de la cual el
usuario pueda guardar información sobre inmuebles comercializados por las
sociedades franquiciadas que le puedan resultar de interés, así como las
“búsquedas” de estos (atendiendo a diferentes criterios de búsqueda), la
responsable del tratamiento es ***EMPRESA.1.

6. ¿Dónde está físicamente alojada la base de datos de clientes de las
franquicias de ***EMPRESA.5?

La base de datos del CRM “***EMPRESA.3”, a través del cual cada sociedad
franquiciada gestiona sus clientes, se encuentra en Frankfurt, Alemania (las
vistas “gestión de zona” pertenecen al CRM “***EMPRESA.3”)

7. ¿Qué relación tienen con “***EMPRESA.4?

Entre “***EMPRESA.4” (con domicilio social en Italia) y “***EMPRESA.1” (con
domicilio social en el España) existe una relación contractual, que tiene por
objeto ceder por parte de la primera a la segunda el uso de la marca
“***EMPRESA.5” para su explotación en España, entre otros países.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/34

En la “Diligencia creando cuenta web ***EMPRESA.5” de 19 de noviembre de
2024 se evidencia la información obtenida al crear una cuenta en la web
“***URL.1”. El responsable de tratamiento que presenta la política de
privacidad (traducción automática del italiano con el traductor automático de
google: https://translate.google.es) es “***EMPRESA.4”.

El 9 de diciembre de 2024 la administradora de la sociedad ESTUDIO
ALCAZAR, responde al requerimiento de esta Agencia. Respecto a la
información de la que dispone de “H.H.H.” manifiesta:

“H.H.H. no es cliente de la sociedad. No obstante, a fin de ser diligentes con
esta administración, y poner a su disposición toda aquella información que
pudiera ser relevante para la investigación, le informamos que la única
información que la sociedad dispone sobre este señor es su nombre y
apellidos, y su dirección postal, los cuales están insertados en la base de
datos (***PLATAFORMA.1) en calidad de potencial cliente, más
concretamente como prospect en tanto que el agente de ***EMPRESA.5 al
registrar sus datos consideró que se trataba de una persona que tiene el
potencial para estar interesada en nuestros servicios, pero que en la fecha de
redacción del presente escrito aún no se ha podido contactar con él.

2. Origen de la información de este cliente.

Los datos de este potencial cliente proceden de un directorio público
***URL.2. Este directorio es una fuente de acceso al público, que de acuerdo
con lo que establece la política de privacidad que tienen publicada en la
página web, se compromete a cumplir y superar los estándares de protección
de datos establecidos en la Regulación General de Protección de Datos.

Asimismo, en dicha política se indica que, la información publicada en
***URL.2 proviene de: a) fuentes y directorios de naturaleza pública; b)
usuarios de ***URL.2, al publicar información que consideran relevante en
relación a sus personas.

Por ello, al tratarse de una entidad que declara públicamente que cumple con
la normativa de protección de datos, que los datos que trata son de
naturaleza pública y/o proporcionados directamente por el propio interesado
(como parece que es el caso al indicarse en el portal que antes de publicar
esos datos se ha llevado a cabo un proceso de registro por parte del
interesado), y que, hasta donde conocemos, no ha sido sancionada por la
autoridad de control de protección de datos hasta la fecha, consideramos que
es una fuente de procedencia lícita de datos.

Por último, cabe indicar que en este directorio aparecen datos adicionales al
nombre y apellidos y dirección postal de este señor, no obstante, el agente de
la oficina de ***EMPRESA.5, dando cumplimiento al principio de minimización
del dato, y velando por la calidad de los datos que constan en nuestros
sistemas de información, únicamente registró en el ***PLATAFORMA.1
aquellos datos que eran estrictamente necesarios para poder realizar un
primer contacto con el potencial cliente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/34

Concretamente, el agente de la oficina de ***EMPRESA.5, intentó contactar
presencialmente con el potencial cliente en su dirección postal, en dos
ocasiones; en enero y en junio de 2024, ambas sin éxito.

Aprovechamos para informar que, de acuerdo con el procedimiento habitual
que seguimos en estos casos, después de tres intentos de contacto fallidos
se suprimen los datos.

A fin de documentar lo indicado anteriormente, acompañamos al presente
escrito las siguientes evidencias:
● Documento 1. captura de pantalla de los datos que constan en la página
web de ***URL.2 en fecha 28 de noviembre de 2024.
● Documento 2. Evidencia de los datos registrados en la base de datos de la
sociedad (***PLATAFORMA.1).
● Documento 3. Evidencia del registro de los intentos de contacto realizados.
[…]

Siguiendo nuestro procedimiento habitual, el agente de ***EMPRESA.5, a fin
de dar cumplimiento al deber de informar al interesado sobre el tratamiento
de sus datos personales, y a los principios de lealtad y transparencia, cuando
recoge datos personales de un potencial cliente de una fuente de acceso al
público, le facilita al interesado la información recogida en el artículo 14 del
Reglamento General de Protección de Datos, dentro de un plazo razonable, y
en cualquier caso: a)antes de un mes desde que se obtuvieron los datos
personales, b) o en la primera comunicación con el interesado, de acuerdo
con lo establecido en el apartado 3 de este precepto, y con lo dispuesto en la
guía del deber de informar que ha publicado la Agencia Española de
Protección de Datos.

No obstante, de acuerdo con lo indicado anteriormente, en este caso, dado
que no se dispone de más datos de contacto, no ha existido esta primera
comunicación, al no haber sido posible establecer un primer contacto con el
potencial cliente, y es por ese motivo, que todavía no se le ha podido facilitar
la información sobre el tratamiento de sus datos personales.

En este caso, proporcionar la información sobre el tratamiento de sus datos
personales al interesado de tal manera que el responsable pueda guardar
evidencia de ello, ha resultado imposible, en tanto que se necesitarían tratar
datos adicionales a los estrictamente necesarios para el fin que persigue el
tratamiento.

En este sentido, la sociedad, no tiene manera de acceder a datos adicionales
que permitan cumplir con esta exigencia, ya que requiere de un contacto
presencial, que no se ha llevado cabo.

Asimismo, nos parece relevante, destacar que, de tenerlos, la sociedad
estaría incumpliendo el principio de minimización de datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/34

No obstante, el responsable ha adoptado medidas adecuadas para proteger
los derechos, libertades e intereses legítimos del interesado, tal como exige el
artículo 14.5 del RGPD, cuando se dan estas circunstancias”.

En el “***DOCUMENTO.1” se adjunta el Registro de Actividades de
Tratamiento, que incluye:

“TRATAMIENTO PROPUESTAS INMOBILIARIAS
DESCRIPCIÓN DEL Selección de inmuebles que podrían
TRATAMIENTO interesar a potenciales
compradores/arrendatarios que han
contactado con ***EMPRESA.5, mostrando
su interés en comprar o alquilar un
inmueble. La selección se hace en base a
las referencias de zona y las
características del inmueble indicadas por
el potencial comprador/arrendatario y en
relación los datos relativos a los contratos
de compra venta o alquiler concluidos
(inmuebles disponibles) para
posteriormente mostrarles la oferta de
inmuebles disponibles, mediante el envío
de propuestas inmobiliarias ajustadas a
sus preferencias o agendar una cita en una
oficina de ***EMPRESA.5.
FINALIDAD Gestión de pedido
BASE DE Medidas precontractuales (6.1.b RGPD)
LEGITIMACIÓN
CATEGORÍA DE Datos identificativos y de contacto
DATOS Intereses, gustos y preferencias
PERSONALES Propiedades
CATEGORÍA DE Potenciales compradores/arrendatarios
INTERESADOS Potenciales vendedores/arrendadores
DESTINATARIOS n/a
(INCLUIDOS
ENCARGADOS
SUBENCARGADOS
)
ENCARGADOS ***EMPRESA.1
Nota: Proveedor herramienta
***PLATAFORMA.1
***EMPRESA.1
Nota da soporte en la recepción de los
datos del potenciales clientes y posterior
derivación a la franquicia que corresponda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/34

de acuerdo con las preferencias zona del
potencial cliente
SUBENCARGADOS (VARIOS)
TRANSFERENCIAS n/a”
INTERNACIONALE
S

La respuesta al “7. Detalle de todos los posibles orígenes de los datos
personales de clientes tratados por su empresa”, manifiesta:

“Los datos personales de las personas con las que se mantienen una relación
de cliente, los facilita el propio cliente ya sea contactando directamente con
nosotros en la oficina de ***EMPRESA.5 o con ***EMPRESA.1, el
franquiciador, que actúa como encargado de tratamiento”.

En los documentos adjuntos números: 5, 6, 7, 8 y 9 se envían “Evidencias de
la información sobre protección de datos proporcionada a los clientes”.

En todos los formularios enviados la finalidad del tratamiento es: “prestar los
servicios de intermediación inmobiliaria solicitados.”

No se ha encontrado en el Registro de Actividades de Tratamiento
información sobre datos personales obtenidos de fuentes públicas o de
personas con las que no ha habido contactos previos.

El 31 de diciembre de 2024, se recibe respuesta de O.O.O., con ***NIF.3, “en
nombre y representación de la sociedad mercantil ***EMPRESA.1 en mi
condición de Consejero Delegado” responde al requerimiento de 12 de
diciembre de esta Agencia, manifestando:

“***EMPRESA.1 no tiene contratados servicios auxiliares y estandarizados
que impliquen el tratamiento o (sub)tratamiento de datos personales
relacionados con el encargo del tratamiento con los franquiciados, en todo
caso, podemos informar a la Agencia de que la sociedad ***EMPRESA.10,
que presta servicios de tecnología al grupo de empresas y a las redes de
franquiciados, es quien tiene contratados los productos y soluciones
tecnológicas de carácter auxiliar que son necesarios para el normal
funcionamiento de los servicios de tecnologías de la información y la
comunicación que presta, contratados mediante de licencias de uso, como
por ejemplo, de ***EMPRESA.3”.

[…] ***EMPRESA.1 tiene una única subcontratación relacionada con el
encargo del tratamiento entre franquiciador y franquiciado, cuyo objeto es la
prestación de los servicios relativos al CRM “***EMPRESA.3”, actuando como
sociedad subcontratada ***EMPRESA.10

[…] ***EMPRESA.10 es la sociedad que suscribe directamente los contratos
de prestación de servicios de tecnología y en su caso de encargo de
tratamiento con los franquiciados, a excepción del servicio CRM
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/34

“***EMPRESA.3”, que se subscribe entre los franquiciados y ***EMPRESA.1,
actuando ***EMPRESA.10 como (sub)encargada del tratamiento.

[…] Se adjunta copia del citado contrato entre ***EMPRESA.1, encargada
principal de los tratamientos de datos de los clientes de los franquiciados
incluidos en ***PLATAFORMA.1 e ***EMPRESA.10, que actúa como
(sub)encargada del tratamiento, siendo el objeto del contrato que se adjunta
la prestación de los servicios relativos al sistema informático “(…)” (DOC1).

El contrato incluye el anexo identificado como: “Acuerdo de tratamiento de
datos personales en el marco del contrato de prestación de servicios”.”

En el contrato aportado se incluye: “IV.- El PRESTATARIO ha adquirido de su
propietario la autorización de uso por terceros sobre el sistema informático
***APLICACIÓN.1” (en adelante también el “CRM”), contratando, además, los
servicios de actualización, mantenimiento, integración y soporte técnico del
mismo.”

En la “Diligencia App (...)” de 9 de mayo de 2024, se evidencia que en el
“***APLICACIÓN.2” (Tienda de aplicaciones de ***EMPRESA.11) se ofrece
“***APLICACIÓN.3” de ***EMPRESA.4. que aparece como desarrollador.
También se adjunta el contenido al que apunta la “política de privacidad del
desarrollador” que es: ***URL.3.

A pesar de que en el requerimiento de 11 de diciembre de 2024 se solicitó a
***EMPRESA.1. copia del contrato con el proveedor del programa CRM
“***EMPRESA.3” y copia del contrato de encargo de tratamiento con el
proveedor de ese programa CRM, en su respuesta de 31 de diciembre de
2024, incluye un contrato entre dos empresas del mismo grupo, en el que los
dos representantes firmantes del mismo, son consejeros delegados de
***EMPRESA.1. como se puede ver en la página 22/25 (Órganos Sociales
Activos) de la “Diligencia INFORME_***EMPRESA.1” de 2 de diciembre de
2025.

Por lo que no ha podido obtenerse un contrato de encargado de tratamiento
con la empresa “***EMPRESA.3” que aparece como desarrollador en la
política de privacidad del párrafo anterior.

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
ESTUDIO ALCAZAR es una empresa constituida en el año 2022, y con un capital
social de 3.000 euros.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/34

autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

II
Procedimiento

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.

De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).

III
Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como:

“toda información sobre una persona física identificada o identificable («el
interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador,
como por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD, define «tratamiento» como:

“cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjuntos de datos personales, ya sea por procedimientos automatizados o no, como
la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/34

cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción.”

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que ESTUDIO
ALCAZAR realiza, entre otros tratamientos, la recogida y conservación de datos
personales de personas físicas, como: nombre y apellidos, teléfono, dirección y correo
electrónico, entre otros.

El artículo 4.7) del RGPD, define «responsable del tratamiento» o «responsable»:

“la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o
junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión
o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros;”

El artículo 4.7) del RGPD, define «responsable del tratamiento» o «responsable»:
8) «encargado del tratamiento» o «encargado»:

“la persona física o jurídica, autoridad pública, servicio u otro organismo que trate
datos personales por cuenta del responsable del tratamiento;”

ESTUDIO ALCAZAR realiza esta actividad en su condición de responsable del
tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud
del artículo 4.7 del RGPD.

El 1 de abril de 2024, se recibió respuesta de ESTUDIO ALCAZAR, al requerimiento
de esta Agencia, en la que manifestaba que su empresa es Responsable de
tratamiento de los datos de los clientes.

El 30 de abril de 2024, se recibió respuesta de ***EMPRESA.1 que manifestaba:

“las sociedades del ***EMPRESA.2 actúan como encargados del tratamiento en
relación con los datos personales de clientes finales, incluidos los potenciales, de los
que son responsables las respectivas entidades franquiciadas.”

Asimismo, ***EMPRESA.1 aportó el “Acuerdo de tratamiento de datos personales en
el marco del contrato de Franquicia” genérico, de fecha 1 junio de 2022, en el que se
recogía:

“El FRANQUICIADOR actuará como encargado del tratamiento del FRANQUICIADO
respecto de los datos personales de los Clientes Finales de conformidad con lo
dispuesto en el artículo 28 RGPD (el "Encargo del Tratamiento”).

El FRANQUICIADOR actuará como (sub)encargado del tratamiento del
FRANQUICIADO quien actuará como responsable o encargado del tratamiento, según
cada caso, de los tratamientos, categorías de datos personales e interesados en
relación con el Encargo del Tratamiento que se especifican en el Apéndice A”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/34

En consecuencia, en caso de confirmarse durante la instrucción que concurrió la
infracción que se imputa mediante el presente acuerdo, la presunta responsable a la
que cabrá exigir responsabilidad administrativa por los presuntos incumplimientos
cometidos es ESTUDIO ALCAZAR, como responsable del tratamiento de los datos
personales.

IV
Obligación incumplida. Licitud del tratamiento

El primer apartado del artículo 6 del RGPD establece lo siguiente:

"1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones. "

Procede en este supuesto examinar, si el ESTUDIO ALCAZAR dispone de base de
licitud para tratar los datos personales contenidos en los buzones de las Comunidades
de Propietarios de los inmuebles visitados por los trabajadores de ESTUDIO
ALCAZAR.

El artículo 6 del RGPD, relativo a la “Licitud del tratamiento”, determina en su apartado
1 los supuestos en los que la normativa permite realizar el tratamiento de datos
personales de un tercero, que se denominan como “bases de licitud”. Si no concurre
alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o
considerado lícito por el RGPD.

En el presente supuesto, el reclamante manifiesta que, en fecha 25 de abril de 2023,
sus superiores reunieron a los trabajadores de ESTUDIO ALCAZAR instándoles a que
realizaran fotos y videos de los buzones de las Comunidades de Propietarios de los
inmuebles que visitaran para elaborar una base de datos, sin recabar el
consentimiento de los titulares de los datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/34

El reclamante aporta evidencias de que por parte de ESTUDIO ALCAZAR se habría
llevado a cabo dicho requerimiento a sus trabajadores. En concreto, en la
conversación mantenida con en fecha 26 de abril de 2023, entre quien reclama y el
número de teléfono de su supervisora en ESTUDIO ALCAZAR, se extrae la siguiente
información:

“A.A.A.: Pero B.B.B., yo lo entiendo, pero entiendes que lo que me habéis
pedido de hacer fotos a buzones es ilegal.
B.B.B.: A.A.A., fotos, apuntarlo, lo que sea, yo no puedo hacer otra cosa,
hijo, esto es de tres no solamente de uno, yo puedo llegar a entender la
posición que tú tienes, pero es que no podemos hacer otra cosa, A.A.A..
Yo no le puedo exigir a los compañeros que hagan una cosa a ti que
hagas otra, es la forma que tenemos ahora de hacer zona y es que no
podemos hacer otra cosa.
A.A.A.: Pero B.B.B. es que no le tendríais que pedir a nadie que haga eso,
que haga fotos a los buzones.
B.B.B.: Bueno A.A.A. es lo que te he dicho, esto ya depende de, …
nosotros tenemos el sector jurídico y ya pues eso depende de ellos, yo ahí
ya.”

En dicha conversación, la supervisora reconoce expresamente que esta práctica
estaba siendo llevada a cabo por los trabajadores y que formaba parte de la
metodología implementada para la gestión de zonas. Además, ante la objeción del
reclamante sobre la legalidad de la práctica, la supervisora no niega su existencia ni
aporta una justificación basada en una base de licitud conforme al artículo 6.1 del
RGPD, sino que se limita a remitir cualquier cuestión sobre su validez al "sector
jurídico".

Asimismo, se aportan tres fotografías de distintos buzones y que manifiesta que se
han subido a la base de datos de ***EMPRESA.5. Entre otros, figura el siguiente
nombre, apellidos y número de puerta: H.H.H.

En las actividades de investigación llevadas a cabo por esta Agencia en la sede de
***EMPRESA.5, recogidas en el Acta de Inspección de 20 de noviembre de 2024, se
constata un registro correspondiente a “H.H.H.” de la calle “***DIRECCIÓN.4” como
cliente de “***EMPRESA.9” del CRM (Programa de Gestión de Clientes) Inmobiliario
de ESTUDIO ALCAZAR, en el que sólo consta el nombre, apellidos, dirección y fecha
del último contacto: “30/07/2024”. En el campo “Procedencia” del CRM figura: “Tipo
origen Colaborador interno, Detalle origen B.B.B., categoría origen Gestión Directa
[…] Datos de sistema (…) por B.B.B. 25/4/2023. 16:42 Ultima modificación de J.J.J.
30/7/2024. 12:06”.

La procedencia de esta información figura en ***PLATAFORMA.1 como “Colaborador
interno” y “Gestión Directa”. La fecha 25 de abril de 2023 que aparece como de
creación del registro, es el día anterior a la llamada que el reclamante manifiesta que
recibió de la directora de la agencia inmobiliaria.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/34

La reclamada manifiesta en sus escritos, que el origen de la información es el
“directorio público ***URL.2”. Sin embargo, dicho directorio no incorpora el dato del
número de piso, tal y como figura en la base de datos de ***PLATAFORMA.1.

Vistas las circunstancias concurrentes, se entiende que se habría producido una
captación de los nombres, apellidos y dirección de los buzones de las Comunidades
de Propietarios de los inmuebles para elaborar una base de datos, sin recabar el
consentimiento de los titulares de los datos para su tratamiento, por parte de
ESTUDIO ALCAZAR, sería un tratamiento ilícito de datos personales.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción de procedimiento derivada de la
recogida y conservación de datos de los buzones de comunidades propietarios sin que
exista legitimación para ello, imputable a ESTUDIO ALCAZAR, por vulneración del
artículo transcrito anteriormente.

V
Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de
prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;"

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

20/34

b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679."

VI
Propuesta de sanción por la infracción del artículo 6 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/34

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de multa, además de la adopción de medidas, si
procede.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
las circunstancias siguientes, contempladas en los preceptos antes citados.

Con carácter previo, se estima que concurren las circunstancias siguientes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(artículo 83.2, letra a), del RGPD): La gravedad de la infracción en el presente
supuesto se manifiesta en el hecho de que dicho comportamiento no consistiría en un
caso aislado, sino que de la conversación que se aporta por la reclamante se
desprende que se trataría de una práctica habitual realizada por la parte reclamada
para recopilar datos personales.

- Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): Se
puede determinar la existencia de una negligencia grave derivada de la conversación
mantenida entre el reclamante y su supervisora de ESTUDIO ALCAZAR, esta
reconoce expresamente que esta práctica formaba parte de la metodología
implementada para la gestión de zonas y, ante la objeción del reclamante sobre la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/34

legalidad de la práctica, la supervisora no niega su existencia, sino que se limita a
remitir cualquier cuestión sobre su validez al "sector jurídico".

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales (artículo 76.2, letra b), de la LOPDGDD): La evidente vinculación entre la
actividad empresarial de ESTUDIO ALCAZAR y el tratamiento de datos personales. La
actividad de ESTUDIO ALCAZAR como inmobiliaria implica el tratamiento de datos
personales de clientes, propietarios e inquilinos, incluyendo información identificativa,
financiera y contractual, lo que repercute en el nivel de riesgo que entrañan los
tratamientos que lleva a cabo, tanto para clientes como para terceros.

No se aprecia la concurrencia de circunstancias atenuantes.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 6.1 del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 10.000,00 euros.

VII
Obligación incumplida. Información que deberá facilitarse cuando los datos personales
no se hayan obtenido del interesado

Según lo establecido en el artículo 14 del RGPD:

"1. Cuando los datos personales no se hayan obtenido del interesado, el responsable
del tratamiento le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la base
jurídica del tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o ausencia
de una decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener una
copia de ellas o al lugar en que se hayan puesto a disposición.

2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar
un tratamiento de datos leal y transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/34

b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el
consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de
fuentes de acceso público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.

3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y
2:
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más
tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que
se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a
más tardar en el momento de la primera comunicación a dicho interesado, o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en
que los datos personales sean comunicados por primera vez.

4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y
cualquier otra información pertinente indicada en el apartado 2.

5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida
en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo
desproporcionado, en particular para el tratamiento con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, a reserva de
las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en
que la obligación mencionada en el apartado 1 del presente artículo pueda
imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En
tales casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la
información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la
Unión o de los Estados miembros que se aplique al responsable del tratamiento y que
establezca medidas adecuadas para proteger los intereses legítimos del interesado, o

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/34

d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la
base de una obligación de secreto profesional regulada por el Derecho de la Unión o
de los Estados miembros, incluida una obligación de secreto de naturaleza legal."

El artículo 14 RGPD establece la obligación del responsable del tratamiento de
proporcionar información clara y accesible al interesado cuando los datos personales
no han sido obtenidos directamente de él. Dicha obligación tiene como finalidad
garantizar la transparencia en el tratamiento de los datos, permitiendo a los
interesados conocer el origen de sus datos, la finalidad del tratamiento, la base jurídica
que lo sustenta, los destinatarios de la información, los plazos de conservación y los
derechos que les asisten, máxime cuando los datos no se han obtenido directamente
de los interesados pues el riesgo de pérdida de control y disposición del interesado
respecto de los datos personales que le conciernen es mayor.

En el presente supuesto, el reclamante manifiesta que, en fecha 25 de abril de 2023,
sus superiores reunieron a los trabajadores de ESTUDIO ALCAZAR instándoles a que
realizaran fotos y videos de los buzones de las Comunidades de Propietarios de los
inmuebles que visitaran para elaborar una base de datos. Además, señala que no se
les proporcionó a los titulares de dichos datos ningún tipo de información sobre el
tratamiento de los datos recabados.

Entre la documentación aportada por el reclamante se encuentran tres fotografías de
distintos buzones que manifiesta que se han subido a la base de datos de
***EMPRESA.5, figurando el siguiente nombre, apellidos y número de puerta: H.H.H..

En las actividades de investigación llevadas a cabo por esta Agencia en la sede de
***EMPRESA.5, recogidas en el Acta de Inspección de 20 de noviembre de 2024, se
constata un registro correspondiente a “H.H.H.” de la calle “***DIRECCIÓN.4” como
cliente de “***EMPRESA.9” del CRM (Programa de Gestión de Clientes) Inmobiliario
“***EMPRESA.3”, en el que sólo consta el nombre, apellidos, dirección y fecha del
último contacto: “30/07/2024”, del cliente. En el campo “Procedencia” figura: “Tipo
origen Colaborador interno, Detalle origen B.B.B., categoría origen Gestión Directa
[…] Datos de sistema (…) por B.B.B. 25/4/2023. 16:42 Ultima modificación de J.J.J.
30/7/2024. 12:06”.

En su escrito de 9 de diciembre de 2024 en respuesta al requerimiento de esta
Agencia ESTUDIO ALCAZAR, respecto a la información de la que dispone de H.H.H.,
manifiesta lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/34

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción de procedimiento por no informar
a los interesados en los términos del art. 14 del RGPD de que los datos personales
que les conciernen estaban siendo tratados por la parte reclamada, siendo imputable a
ESTUDIO ALCAZAR, por vulneración del artículo transcrito anteriormente.

VIII
Tipificación de la infracción del artículo 14 del RGPD y calificación a efectos de
prescripción

"b) los derechos de los interesados a tenor de los artículos 12 a 22;"

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos
personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE)
2016/679 y 12 de esta ley orgánica."

IX
Propuesta de sanción por la infracción del artículo 14 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/34

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/34

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.

Con carácter previo, se estima que concurren las circunstancias siguientes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(artículo 83.2, letra a), del RGPD): los trabajadores de ESTUDIO ALCAZAR La
gravedad de la infracción en el presente supuesto se manifiesta en el hecho de que
dicho comportamiento no consistiría en un caso aislado, sino que de la conversación
que se aporta por la reclamante se desprende que se trataría de una práctica habitual
realizada por la parte reclamada para recopilar datos personales.

- Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): Se
puede determinar la existencia de una negligencia grave derivada de la conversación
mantenida entre el reclamante y su supervisora de ESTUDIO ALCAZAR, esta
reconoce expresamente que esta práctica formaba parte de la metodología
implementada para la gestión de zonas y, ante la objeción del reclamante sobre la
legalidad de la práctica, la supervisora no niega su existencia, sino que se limita a
remitir cualquier cuestión sobre su validez al "sector jurídico".

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

No se aprecia la concurrencia de circunstancias atenuantes.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/34

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 14 del RGPD, permite fijar inicialmente una sanción de multa administrativa de
10.000,00 euros.

X
Medidas correctivas

De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del Artículo 6.1 del
RGPD y Artículo 14 del RGPD, de acuerdo con lo establecido en el citado artículo
58.2.d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a
ESTUDIO ALCAZAR para que, en el plazo de 2 meses, a contar desde la fecha de
ejecutividad de la resolución finalizadora de este procedimiento, adopte las
medidas siguientes:

- Acreditar la supresión de los datos personales recabados de los buzones de
las Comunidades de Propietarios.
- Acreditar la comunicación al interesado/s de la información requerida por el
artículo 14 del RGPD sobre el tratamiento de los datos personales.
- Cesar en el tratamiento de datos personales recabados de los buzones de las
Comunidades de Propietarios.

La imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/34

considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos,
SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ESTUDIO ALCAZAR DEL
GENIL 2022, S.L., con NIF B09971029, por la presunta infracción de los Artículo 6.1
del RGPD y Artículo 14 del RGPD, tipificadas en el artículo 83.5 del RGPD.

SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).

TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación
interpuesta por la parte reclamante y su documentación, así como, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la
instrucción, de multa administrativa de:

- 10.000,00 euros por la infracción del artículo 6 del RGPD.

- 10.000,00 euros por la infracción del artículo 14 del RGPD.

QUINTO: NOTIFICAR el presente acuerdo a ESTUDIO ALCAZAR DEL GENIL 2022,
S.L., con NIF B09971029, otorgándole un plazo de audiencia de diez días hábiles para
que formule las alegaciones y presente las pruebas que considere convenientes. En
su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que
figura en el encabezamiento de este documento.

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 16.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/34

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 16.000,00 euros y su pago implicará la terminación
del procedimiento, sin perjuicio de la imposición de las medidas correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción
quedaría establecido en 12.000,00 euros.

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en
vía administrativa contra la sanción.

A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la
Subdirección General de Inspección de datos comunicación expresa del desistimiento
o renuncia a cualquier acción o recurso en vía administrativa contra la sanción
indicando a cuál de las dos reducciones se acoge o si es a las dos.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (16.000,00 euros o 12.000,00 euros), deberá hacerlo
efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier
acción o recurso en vía administrativa contra la sanción para continuar con el
procedimiento en concordancia con la cantidad ingresada.

En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo
sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma
electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.es) y
de la Sede electrónica (sedeagpd.gob.es), y que, de no acceder a ellas, se hará
constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el
procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de
correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y
que la falta de práctica de este aviso no impedirá que la notificación sea considerada
plenamente válida.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/34

1479-111224
Olga Pérez Sanjuán
La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2
LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía
>>

SEGUNDO: En fecha 21 de febrero de 2025, ESTUDIO ALCAZAR ha procedido al
pago de la sanción en la cuantía de 12.000,00 euros haciendo uso de las dos
reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el
acuerdo de inicio y su calificación jurídica.

TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el acuerdo de inicio.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/34

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario y reconocimiento de responsabilidad

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 12.000,00 euros y su pago implicaría
la terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.

Tras la notificación del citado acuerdo de inicio, ESTUDIO ALCAZAR ha procedido al
reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose
a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85
LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/34

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.

La suma de las citadas cuantías arroja una cantidad total 20.000,00 euros.

Tras haber procedido ESTUDIO ALCAZAR DEL GENIL 2022, S.L. al pronto pago y
reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP,
a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de
12.000,00 euros.

La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202308051, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a ESTUDIO ALCAZAR DEL GENIL 2022, S.L. para que en el
plazo de 2 meses desde que la presente resolución sea firme y ejecutiva, notifique a la
Agencia la adopción de las medidas que se describen en los fundamentos de derecho
del acuerdo de inicio transcrito en la presente resolución.

CUARTO: NOTIFICAR la presente resolución a ESTUDIO ALCAZAR DEL GENIL
2022, S.L..

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución
será firme en vía administrativa y plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/34

el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

1259-260325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Posta kutusu verilerinin hukuka aykırı toplanması

Türkçe özet

Hukuki mesele

Sonuç

Karar metni