1/9
Expediente N.º: EXP202304214
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 18 de abril de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a COMUNIDAD DE
PROPIETARIOS R.R.R. (en adelante, la parte reclamada), mediante el Acuerdo que
se transcribe:
<<
Expediente N.º: EXP202304214
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 15 de septiembre de
2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra COMUNIDAD DE PROPIETARIOS R.R.R. con NIF
***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación
son los siguientes:
Reclama por haber remitido a todos los comuneros un correo electrónico, con motivo
de la próxima junta de propietarios, donde se adjunta un listado con los consumos
individualizados mes a mes de calefacción, identificados por piso y letra.
Junto a la reclamación se aporta copia del listado recibido.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/9
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 11/04/2023 como consta en el
acuse de recibo que obra en el expediente.
Con fecha 27/04/2023 se recibe en esta Agencia escrito de respuesta indicando entre
otras cosas lo siguiente:
“…en el 2019 y a raíz de la instalación de los repartidores de costes de calefacción,
varios propietarios solicitaron, el envío del listado de los consumos, con el objeto de
justificar y acreditar la reducción de los costes tras la misma, debido a las continuas
quejas por parte de varios vecinos al respecto.
Con dicho listado se justificaba y quedaba acreditado que en la mayoría de las
viviendas se pagaba igual o menos que con anterioridad a los repartidores de
costes…
Uno de los supuestos que contempla el Reglamento general de Protección de Datos
que legitima el tratamiento de datos personales es la satisfacción del interés legítimo
aducido por el responsable o un tercero. Creemos que este interés se aplicaría en
este supuesto al dar a conocer el ahorro que la instalación de los repartidores de
costes ha supuesto para los propietarios.”
TERCERO: Con fecha 22/08/2023 se procedió al archivo de las actuaciones ya que,
de las actuaciones realizadas y de la documentación obrante en el expediente, no se
infirió la existencia de una actuación infractora de la parte reclamada en el ámbito
competencial de la AEPD, por lo que se procedió al archivo de la reclamación.
CUARTO: Con fecha 5/09/2023 la parte reclamante solicitó copia del expediente que le
fue remitido el día 6/09/2023.
QUINTO: Con fecha 15/09/2023 la parte reclamante interpuso recurso de reposición
en el que alega que se ha producido un error en la calificación jurídica de los hechos
denunciados, que ha habido ausencia de actividad investigadora por parte de la AEPD,
que los datos de consumo energético individualizados por cada punto de suministro
pueden ser considerados datos de carácter personal en cuanto referidos a una
persona identificable, que se ha incumplido la normativa de protección de datos en sus
artículos 14, 6.4 y 21 entre otros del RGPD. Solicita la anulación de la resolución de
archivo y que se abra una fase investigadora, que se haga una correcta calificación
jurídica de los hechos denunciados, que se declare la ilegalidad de la actuación de la
parte reclamada y que se prohíba la reiteración del tratamiento denunciado a futuro.
SEXTO: Con fecha 3/01/2024 y de conformidad con las previsiones del artículo 118 de
la LPACAP, se concedió trámite de audiencia a la parte reclamada, adjuntando la
documentación aportada por la parte recurrente, para que, en el plazo máximo de diez
días hábiles, formulara las alegaciones y presentara los documentos y justificantes que
estimara procedentes.
El traslado del trámite de audiencia, que se practicó conforme a las normas
establecidas en la LPACAP, fue recogido en fecha 12/01/2024 como consta en el
acuse de recibo que obra en el expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/9
Con fecha 19/01/2024 se recibió en esta Agencia escrito de respuesta indicando entre
otras cosas lo siguiente:
“Estar de acuerdo con la resolución de la AEPD, en la que se respalda y legitima el
envío de listado, objeto del presente recurso, realizado por la Comunidad de
Propietarios Paseo de Yeserías 33, debido a la solicitud de varios propietarios, incluida
la vicepresidenta, por las continuas quejas que había tras la instalación de los
repartidores de costes de calefacción. Con dicho listado se justificaba y quedaba
acreditado que en la mayoría de las viviendas se pagaba igual o menos que con
anterioridad a los repartidores de costes. Hacemos hincapié en que el envío del listado
sólo tuvo la finalidad de satisfacer el interés legítimo aducido por el responsable”.
SÉPTIMO: Con fecha 8/02/2024 se estimó el recurso de reposición interpuesto por
A.A.A. contra la resolución de esta Agencia dictada en fecha 22 de agosto de 2023,
por la que se acordaba el archivo de la reclamación referida a la COMUNIDAD DE
PROPIETARIOS R.R.R., a fin de que prosiga su tramitación.
La notificación, que se practicó conforme a las normas establecidas en la LPACAP, fue
recogida en fecha 09/02/2024 como consta en el acuse de recibo que obra en el
expediente.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la
Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
Analizando la cuestión, la STS 2484/2019 de la Sala de lo Contencioso-Administrativo
(SAN 1711/2018) establece en su Fundamento de Derecho Tercero in fine que: “[…]
estimamos que las mediciones referidas al consumo individual de energía eléctrica
asociadas a cada punto de suministro y su código, que las empresas distribuidoras
están obligadas a remitir al operador del sistema, en cuanto contienen una información
concerniente a los hábitos de conducta de una persona física identificable, son datos
personales (art. 2.a) de la Directiva 95/46/CE y el art. 3.a) de la Ley Orgánica de
Protección de Datos 15/1999, de 13 de diciembre), y, como tales, se encuentran
protegidos por las garantías establecidas por la normativa de protección de datos.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/9
Por tanto, extrapolando al consumo energético de cada residente, cabe apreciar que
estos datos se encuentran protegidos por la normativa de protección de datos.
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que la parte
reclamada realiza la recogida, registro, organización y conservación de, entre otros,
los siguientes datos personales de personas físicas: nombre, número de identificación
y datos de localización, entre otros tratamientos.
La parte reclamada realiza esta actividad en su condición de responsable del
tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud
del artículo 4.7 del RGPD.
El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de
seguridad de los datos personales” como “todas aquellas violaciones de la seguridad
que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.”
III
Principio de integridad y confidencialidad
El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).”
En el presente caso, consta que los datos personales de la parte reclamante,
considerando los consumos de gas como datos personales (como ha quedado
argumentado en el fundamento anterior), han sido indebidamente expuestos a todos
los comuneros, pues se han enviado por correo electrónico como informe, previamente
a la celebración de la Junta, en el que figura el consumo mes a mes de calefacción
individualizado, mediante el indicador planta/puerta , de todos y cada uno de los
vecinos produciéndose una pérdida de confidencialidad.
De conformidad con las evidencias de las que se dispone en este acuerdo de
iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que los hechos conocidos podrían ser constitutivos de una
infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.f) del
RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/9
IV
Tipificación de la infracción del artículo 5.1.f) del RGPD
De confirmarse, la citada infracción del artículo 5.1.f) del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”
V
Propuesta de sanción por la infracción del artículo 5.1.f) del RGPD
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que el balance de las circunstancias contempladas en el
artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida
al vulnerar lo establecido en el artículo 5.1.f del RGPD, permite fijar inicialmente una
sanción de 600 € (seiscientos euros).
V
Adopción de medidas
De confirmarse la infracción, de acuerdo con lo establecido en el citado artículo 58.2 d)
del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o
encargado del tratamiento que las operaciones de tratamiento se ajusten a las
disposiciones del presente Reglamento, cuando proceda, de una determinada manera
y dentro de un plazo especificado…”., en la resolución que se adopte, se podrá
requerir a la parte reclamada para que en el plazo de un mes se acredite ante esta
Agencia la adopción de las medidas necesarias para evitar que se difundan los datos
personales relativos a los consumos de gas, sin perjuicio de otras que pudieran
derivarse de la instrucción del procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/9
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a COMUNIDAD DE
PROPIETARIOS R.R.R., con NIF ***NIF.1, por la presunta infracción del del Artículo
5.1.f) del RGPD, tipificada en el Artículo 83.5.
SEGUNDO: NOMBRAR como instructora a B.B.B. y, como secretaria, a C.C.C.,
indicando que podrán ser recusadas, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).
TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por la parte reclamante y su documentación, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la LPACAP, la sanción que
pudiera corresponder sería de 600 euros, sin perjuicio de lo que resulte de la
instrucción.
QUINTO: NOTIFICAR el presente acuerdo a COMUNIDAD DE PROPIETARIOS
R.R.R., con NIF ***NIF.1, otorgándole un plazo de audiencia de diez días hábiles para
que formule las alegaciones y presente las pruebas que considere convenientes. En
su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura
en el encabezamiento de este documento.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la LPACAP.
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 480,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/9
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 480,00 euros y su pago implicará la terminación del
procedimiento, sin perjuicio de la imposición de las medidas correspondientes.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 360,00 euros.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente 480,00 euros o 360,00 euros, deberá hacerlo efectivo
mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado
resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones;
de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo
sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma
electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y
que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por
efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede
identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso
de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no
impedirá que la notificación sea considerada plenamente válida.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
935-18032024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/9
SEGUNDO: En fecha 27 de abril de 2024, la parte reclamada ha procedido al pago de
la sanción en la cuantía de 480 euros haciendo uso de una de las dos reducciones
previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado
acreditado el reconocimiento de responsabilidad.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere el
Acuerdo de Inicio.
CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que podría
acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su
actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el
citado artículo 58.2 d) del RGPD, según el cual cada autoridad de control podrá
“ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado…”.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/9
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
Habiéndose procedido al pago de la sanción de carácter pecuniario, de conformidad
con el apartado 2 de este artículo, el pago voluntario implica la terminación del
procedimiento, salvo en lo relativo a la reposición de la situación alterada. Por tanto,
procede la imposición de las medidas necesarias para que cese la conducta o se
corrijan los efectos de la infracción.
De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202304214, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: ORDENAR a COMUNIDAD DE PROPIETARIOS R.R.R. para que en el
plazo de un mes desde que la presente resolución sea firme y ejecutiva, notifique a la
Agencia la adopción de las medidas que se describen en los fundamentos de derecho
del Acuerdo de inicio transcrito en la presente resolución.
TERCERO: NOTIFICAR la presente resolución a COMUNIDAD DE PROPIETARIOS
R.R.R..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
1309-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es