1/5
Procedimiento Nº: PS/00200/2019
938-300320
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 15/11/2018, interpuso
reclamación ante la Agencia Española de Protección de Datos contra la COMUNIDAD
DE PROPIETARIOS R.R.R. en ***DIRECCION.1 (en adelante, la reclamada). El
reclamante presentó en junio 2018 una demanda judicial contra la reclamada, que se
le trasladó el 19/09/2018 y parte de esa demanda, conteniendo sus datos personales
ha sido expuesta en los accesos a los garajes de la Comunidad el día 22/10/2018, en
el interior de un tablón de anuncios.
Aporta dos fotografías. En una de ellas, vista más alejada, se ve un tablón
cerrado con llave y acristalado, conteniendo dos hojas, una al lado de la otra. Al lado
un tablón grande de corcho. En la toma más cercana se ven las dos hojas, la primera
se trata de un documento con el logo de un escudo, “cédula de emplazamiento” y en
la otra se lee representación y defensa, pero no se distingue bien el texto, figurando
algunos apartados subrayados con rotulador.
SEGUNDO: En fecha 17/12/2018, se traslada la reclamación a la reclamada con el
literal:
“De conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Pro-
tección de Datos Personales y garantía de los derechos digitales (LOPDDGG) , le
traslado la reclamación presentada para que analice dicha reclamación y le comuni-
que al reclamante la decisión que adopte al respecto.
Asimismo, en el plazo de un mes desde la recepción de este escrito deberá re-
mitir a esta Agencia la siguiente información:
“1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al recla-
mante a propósito del traslado de esta reclamación, y acreditación de que el reclaman-
te ha recibido la comunicación de esa decisión.
2. Informe sobre las causas que han motivado la incidencia que ha originado la recla-
mación.
3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias si-
milares.
4. Cualquier otra que considere relevante.”
Con fecha 22/01/2019, el Secretario Administrador de la reclamada, denomi-
nada GESTICAN ADMINISTRACIONES SL, manifiesta que el tablón donde se expuso
parte de la sentencia está ubicado en un espacio con acceso solo de propietarios del
inmueble, no el público en general, para tal fin y habilitado para ello.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/5
La comunicación fue por interés comunitario, ya que el objeto afectaba a ele-
mentos comunes -En la Junta General de propietarios de 12/03/2018, el reclamante y
el resto de los comuneros adoptan un acuerdo relativo al acometimiento de obras en
las zonas cubiertas de cada uno de los bloques que componen el Residencial. La de-
manda presentada no obedecía a los acuerdos adoptados y por ello se dio la neces-
aria e imprescindible información a los comuneros.
TERCERO: La reclamación fue admitida a trámite por la directora de la AEPD el
10/05/2018.
CUARTO: Con fecha 11/11/2019 la Directora acordó:
“PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la COMUNIDAD
DE PROPIETARIOS R.R.R., por la presunta infracción del artículo 5.1.f ) del RGPD
de conformidad con el artículo 83.5 del RGPD.”
QUINTO: Con fecha 28/11/2019 se reciben alegaciones de ASESORÍA Y FINCAS
CANARIAS, S.L. que indica es la nueva administradora. En ellas reitera lo manifestado
en el tramites previo, y añade que la exposición se produjo en una zona de acceso
única para los propietarios de las plazas de garaje de la Comunidad-24 plazas-, así
como personal de mantenimiento y limpieza de la misma. Considera que no se ha
hecho una publicación con acceso en abierto a cualquier persona ajena a la
Comunidad.
La exposición se retiró al tener conocimiento de la reclamación.
Como medidas correctivas se envió una carta pidiendo disculpas al afectado,
se valoró la infracción de seguridad de los datos, se han revisado los protocolos para
casos de exposición de datos de carácter personal y unas instrucciones para
publicación en el tablón de la comunidad.
Aporta copia de contrato de encargo de tratamiento con la reclamada de
23/04/2019.
Copia de escrito dirigido por ASESORÍA Y FINCAS CANARIAS al reclamante
en el que no figura la fecha, comunicándole las medidas adoptadas.
Copia de protocolo para casos de exposición de datos de carácter personal
publicados en el tablón de la comunidad, indicándose que no se permitirán ni siquiera
los que puedan ser identificables y que serían anonimizados y otras cuestiones
conexas
SEXTO: Se emitió propuesta de resolución del literal:
“Que por la Directora de la Agencia Española de Protección de Datos se
sancione con APERCIBIMIENTO a COMUNIDAD DE PROPIETARIOS R.R.R., con
NIF ***NIF.1, por una infracción del Artículo 5.1.f) del RGPD, en relación con el artículo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/5
5 de la LOPDGDD, conforme señala el artículo 83.5 del RGPD, y el artículo 58.2.b)
del RGPD.”
Frente a la propuesta no se recibieron alegaciones.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección
de Datos en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS
1) Con ocasión del trámite de una demanda judicial formulada por el reclamante
contra la Comunidad, se dio traslado de la misma a la Comunidad reclamada por el
Juzgado. La Comunidad expuso parcialmente la misma en el tablón cerrado
perteneciente a la Comunidad. De acuerdo con las fotos aportadas por el reclamante,
son dos hojas en un tablón cerrado en las que se contienen sus datos.
2) Según manifestó la reclamada, el tablón se halla situado en una zona
destinada a garaje de la comunidad, si bien cabe indicar que no se descarta que
puedan transitar por dicha zona hijos, familiares, amigos de propietarios, sin descartar
arrendatarios o personal de limpieza y mantenimiento de dicha comunidad. Personas
que en todo caso no formarían todos y cada uno parte de la Junta de propietarios, que
se compone de todos los titulares de las propiedades, con cometidos propios de un
órgano rector colectivo, únicos a los que con carácter general, les competería conocer
los asuntos relacionados con la Comunidad.
3) La reclamada manifestó que retiró las hojas expuestas en el tablón y ha
adoptado medidas que incluyen un protocolo para no exponer datos de carácter
personal en el tablón, excepto que concurran los requisitos legales y con autorización
expresa del administrador.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para resolver
este procedimiento.
II
El artículo 5.1.f) del RGPD dispone:
“Los datos personales serán:
“tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas
técnicas u organizativas apropiadas («integridad y confidencialidad»).”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/5
La LOPDGDD señala en su artículo 5:
“1. Los responsables y encargados del tratamiento de datos así como todas las
personas que intervengan en cualquier fase de este estarán sujetas al deber de
confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679 .”
Si bien se desconoce el tamaño de la Comunidad reclamada, previsiblemente,
en la zona de aparcamiento de vehículos de la Comunidad no solo van a acceder los
propietarios, accederían sus familiares, pero también cualquier persona autorizada por
estos, como amigos, o podría haber plazas alquiladas de no residentes, personal de
mantenimiento, etc. es decir pueden circular terceros ajenos a la relación propietario,
que es la que marca el colectivo al que se pueden dar a conocer dichos asuntos.
No estando garantizado que exclusivamente los propietarios sean los que
acceden a dicho espacio de transito como zona común, terceros ajenos a los datos
han podido visionar los datos y el asunto de que se trata, no siendo un espacio
adecuado para comunicar noticias a los propietarios de la Comunidad.
La reclamada es responsable de la gestión y tratamiento de los datos de los
propietarios y en este caso se acredita que expone los datos al conocimiento de no
solo propietarios, sino no propietarios, y la interposición de una demanda por un
comunero contra la comunidad compete a las partes no a terceros.
III
El artículo 83.5 a) del RGPD, considera que la infracción de “los principios bási-
cos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los
artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado ar-
tículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máxi-
mo del volumen de negocio total anual global del ejercicio financiero anterior, optándo-
se por la de mayor cuantía.”
El artículo 58.2 b) del RGPD indica la posibilidad de sancionar con
apercibimiento, y el apartado 2 d) establece que cada autoridad de control podrá
“ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando
proceda, de una determinada manera y dentro de un plazo especificado…”. La
imposición de esta última medida es compatible con la sanción consistente en
apercibimiento.
Por lo tanto, de acuerdo con la legislación,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER una sanción de APERCIBIMIENTO a COMUNIDAD DE
PROPIETARIOS R.R.R., con NIF ***NIF.1, por una infracción del Artículo 5.1.f) del
RGPD, de conformidad con en los Artículos 83.5 y 58.2.d) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/5
SEGUNDO: NOTIFICAR la presente resolución a COMUNIDAD DE PROPIETARIOS
R.R.R., a través de su representante, ASESORÍA Y FINCAS CANARIAS, S.L.
TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es