1/17
Expediente N.º: EXP202208258
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 30/06/2022, tuvo entrada en esta Agencia un escrito presentado
por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación
contra GAVANOVA DE IMMOBLES, S.L. con NIF B64935497 (en adelante,
GAVANOVA), por un posible incumplimiento de lo dispuesto en la normativa de
protección de datos de carácter personal.
Los motivos en que basa la reclamación son los siguientes:
“Realizamos un contrato y una resolución de arrendamiento con la inmobiliaria y
hemos visto que la ley de protección de datos mostrada en los papeles firmados no se
corresponde con la ley actual. Asimismo, cuando nos introducimos en su página web
para comprobar su política, aparece una página en blanco sin ningún tipo de texto.
Sentimos nuestros datos desprotegidos y al reclamar a la inmobiliaria nos hacen caso
omiso. Además, se ha hecho un trato fraudulento con ellos (nombre completo, DNI,
dirección) ya que los han proporcionado a la empresa de limpieza sin nuestro
consentimiento al obligarnos a pagar, a través de la fianza, un contrato de limpieza del
inmueble que no hemos visto ni aceptado.”
Adjunta la siguiente documentación:
- Fotografía del documento de reserva del inmueble firmado entre las partes, de
fecha 29/07/2020; así como la resolución del contrato de arrendamiento, de
31/01/2022.
SEGUNDO: A la vista de los hechos denunciados, el 27/07/2022 esta Agencia accedió
al sitio web ***URL.1 y comprobó que el apartado “Política de Privacidad” dirigía a una
página en blanco.
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), el 27/07/2022 se dio traslado de dicha reclamación a GAVANOVA, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/17
el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada
conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 07/08/2022, como consta
en el certificado que obra en el expediente.
Aunque la notificación se practicó válidamente por medios electrónicos, dándose por
efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título
informativo se envió una copia por correo postal que fue notificada fehacientemente en
fecha 31/08/2022. En dicha notificación, se le recordaba su obligación de relacionarse
electrónicamente con la Administración, y se le informaban de los medios de acceso a
dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente
por medios electrónicos.
Esta Agencia no ha recibido respuesta al mismo.
TERCERO: Con fecha 30/09/2022, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 18/11/2022, esta Agencia accedió a la página web ***URL.1,
quedando probada la incorporación de una Política de Privacidad cuya última
actualización data de 29/09/2022.
QUINTO: Con fecha 28/11/2022, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a GAVANOVA, con arreglo a lo
dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo
13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en
adelante RGPD), tipificada en el Artículo 83.5.b) del RGPD.
Este acuerdo de inicio, que se notificó conforme a las normas establecidas en la
LPACAP mediante notificación postal, fue entregado a GAVANOVA el 16/12/2022.
SEXTO: Con fecha 21/12/2022, GAVANOVA presentó escrito, en tiempo y forma, ante
esta Agencia en el que manifestaba lo siguiente:
“[…]
PRIMERO.- AUTORIZACIÓN PARA EL USO DE LOS DATOS PERSONALES.
La reclamante había autorizado a esta entidad al tratamiento de sus datos, tratamiento
que incluía la posible cesión a otras empresas y en especial a la empresa de limpieza.
[…]
En relación con el presente procedimiento sancionador, debemos poner en
conocimiento el Expediente de esta Autoridad de Control con número de referencia
(…), contra la propietaria del inmueble, procedimiento que a fecha del presente escrito
de alegaciones se ha archivado, y donde esta misma Autoridad plasma en los hechos
que los reclamantes acordaron con la arrendadora una limpieza del piso que se
descontaría de la fianza.
SEGUNDA.- CONCURRENCIA DE ATENUANTES NO APLICADAS.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/17
[…]
a) Cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados; (…)
a) El grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
(…)
b) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
(…)
c) La afectación a los derechos de los menores. (…)
CUARTA.- PROPORCIONALIDAD DE LA SANCIÓN.
En atención a todas las modificaciones aplicadas referentes al tratamiento de los
datos personales de los interesados efectuados por esta entidad, se solicita el
ARCHIVO de las presentes actuaciones.
No obstante, esta parte entiende que una propuesta de sanción de APERCIBIMIENTO
sería más proporcional ala caso concreto planteado, (…).”
Junto al escrito aporta la siguiente documentación:
- Copia del “Aviso legal” y “Política de Privacidad” que figura en la página web
***URL.1.
- Copia de la nueva “Cláusula informativa de tratamiento de datos personales”
que se incorpora a la documentación utilizada por GAVANOVA.
SÉPTIMO: Con fecha 31/01/2023, el órgano instructor del procedimiento acordó la
apertura de un período de pruebas, teniéndose por incorporados la reclamación
interpuesta por la parte reclamante y su documentación, así como las alegaciones al
acuerdo de inicio PS/00394/2022 presentadas por GAVANOVA y la documentación
que a ellas acompaña.
Asimismo, como prueba documental, requirió a GAVANOVA que aportase un ejemplar
del nuevo contrato que hace firmar a los propietarios, inquilinos y terceras empresas
para evitar que la tabla con información básica continue obsoleta.
Con fecha 13/02/2023, esta Agencia recibió contestación de GAVANOVA en la que
aporta los documentos con la nueva cláusula de información en materia de protección
de datos. En concreto, los modelos de contrato de arrendamiento y resolución de
contrato.
OCTAVO: Con fecha 28/06/2023, el órgano instructor elaboró una propuesta de
resolución en la que se proponía sancionar con una multa de 2.000,00€ a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/17
GAVANOVA, por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.b)
del RGPD.
También, de conformidad con el artículo 58.2.d) del RGPD, se proponía que, en el
plazo de diez días hábiles a contar desde la fecha en la que la resolución en que así lo
acuerde le sea notificada, GAVANOVA acreditase haber procedido a completar la
Política de Privacidad que figura en su página web ***URL.1.
La propuesta de resolución se notificó a GAVANOVA a través de medios electrónicos
el 28/06/2023, como consta en el acuse de recibo que obra en el expediente.
Transcurrido el plazo otorgado para la formulación de alegaciones, esta Agencia no ha
recibido alegación alguna por GAVANOVA.
HECHOS PROBADOS
PRIMERO: El 29/07/2020 la parte reclamante y GAVANOVA firman un documento de
reserva del inmueble, sito en ***DIRECCIÓN.1. La cláusula informativa de protección
de datos señala lo siguiente (la traducción es de esta Agencia):
“Les informamos que en cumplimiento de la L.O. 15/1999, de 13 de diciembre, de
Protección de Datos de Carácter Personal, los datos que nos facilitan mediante el
cumplimiento del presente contrato pasarán a formar parte del fichero de GAVANOVA
DE IMMOBLES, S.L., Carrer Plaça Esglèsias 3, Local 7-8, 08850 Gavà (Barcelona),
para la gestión y compraventa inmobiliaria. Asimismo, les informamos que puede
ejercer los derechos de acceso, rectificación, cancelación y oposición mediante el
envío de una carta certificada a la mencionada dirección.”
SEGUNDO: El 31/01/2022 la parte reclamante y GAVANOVA firman la resolución del
contrato de arrendamiento, suscrito el 04/09/2020. El contenido de la cláusula
informativa de protección de datos es idéntico al señalado arriba.
TERCERO: El 27/07/2022 esta Agencia accede a la página web ***URL.1, quedando
probado que el apartado “Política de Privacidad” dirige a una página en blanco.
CUARTO: El 18/11/2022 esta Agencia accede nuevamente a la página web ***URL.1,
quedando probada la incorporación de una Política de Privacidad cuya última
actualización data de 29/09/2022. Su contenido señala lo siguiente:
“Datos del propietario de la web.
Razón social: GAVANOVA INMOBLES, S.L. NIF: B64935497. Dominio: ***URL.1.
Dirección Postal: CARRER PLAÇA ESGLÈSIAS 3, LOCAL 7-8, 08850 GAVÀ
(BARCELONA). Dirección electrónica: ***EMAIL.1. Teléfonos: XXXXXXXX y
XXXXXXXXX. Registro: tomo 40736, folio 186, hoja B373263, Inscripción 4.
Protección de datos personales.
De conformidad con la normativa vigente y aplicable en protección de datos de
carácter personal, le informamos que sus datos serán incorporados al sistema de
tratamiento titularidad de GAVANOVA INMOBLES SL con NIF B64935497 y domicilio
social sito en PLAÇA IGLESIA 3 LOC 7, 08850, GAVA (BARCELONA). A
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/17
continuación, le indicamos los aspectos más destacables de los tratamientos
realizados. A su vez, le informamos que puede contactar con el Delegado de
Protección de Datos, dirigiéndose por escrito a la dirección de correo ***EMAIL.2 o al
teléfono ***TELÉFONO.1.
Derechos de los interesados.
GAVANOVA INMOBLES SL informa a los Usuarios que, podrá ejercer los derechos de
acceso, rectificación, limitación, supresión, portabilidad y oposición al tratamiento de
sus datos de carácter personal ante el Responsable del Tratamiento, así como a la
retirada del consentimiento prestado.
Derecho de Acceso: Es el derecho del usuario a obtener confirmación sobre si se
están tratando sus datos y, en tal caso, los concretos datos personales tratados y la
información legal del tratamiento (finalidades, base legitimadora, plazos de
conservación, cesiones, origen de los datos, etc.).
Derecho de Rectificación: Es el derecho del afectado a que se modifiquen los datos
que resulten ser inexactos o incompletos. En relación a la página web, sólo podrá
satisfacerse en relación a aquella información que se encuentre bajo el control del sitio
web, por ejemplo, eliminar comentarios publicados en la propia página, imágenes o
contenidos web donde consten datos de carácter personal del usuario.
Derecho a la Limitación de tratamiento: Es el derecho a que se limiten los fines del
tratamiento previstos de forma original por el responsable del tratamiento en
determinados supuestos.
Derecho de Supresión: Es el derecho a suprimir los datos de carácter personal del
usuario, a excepción de lo previsto en el propio RGPD (libertad de expresión e
información, obligaciones de conservación, formulación, ejercicio o defensa de
reclamaciones, etc.).
Derecho a la Portabilidad: El derecho a recibir los datos personales que el usuario
haya facilitado, en un formato estructurado, de uso común y lectura mecánica, y a
transmitirlos a otro responsable cuando el tratamiento está basado en el
consentimiento o en la ejecución de un contrato y se efectúe por medios
automatizados.
Derecho de Oposición: Es el derecho del usuario a que no se lleve a cabo el
tratamiento de sus datos de carácter personal o se cese el tratamiento de los mismos
por parte del sitio web cuando el tratamiento esté basado en el interés legítimo o el
interés público o cuando se trate de tratamientos de mercadotecnia directa.
Derecho a no ser objeto de decisiones automatizadas, incluida la elaboración de
perfiles: Cuando el tratamiento no es necesario para la celebración o ejecución de un
contrato, ni está autorizada por el Derecho de la Unión Europea o de los Estados
miembros ni se basa en el consentimiento, tiene derecho a no ser objeto de una
decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de
perfiles, que produzca efectos jurídicos o le afecte significativamente de modo similar.
Derecho a retirar el consentimiento: Para cualquier tratamiento basado en su
consentimiento, tiene derecho a retirarlo, en cualquier momento y de manera gratuita.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/17
Para ejercer cualquiera de los derechos en materia de protección de datos descritos
anteriormente deberá seguir las siguientes indicaciones:
Presentación de un escrito a la dirección PLAÇA IGLESIA 3 LOC 7, 08850, GAVA
(BARCELONA) (a la atención de GAVANOVA INMOBLES SL) o bien a través de
correo electrónico a la dirección electrónica ***EMAIL.3.
El escrito remitido por el titular de los datos personales que solicite el ejercicio de
derechos deberá tener en cuenta lo siguiente:
Deberá identificarse fehacientemente y, en el caso de que concurran dudas sobre la
identidad del solicitante, se le solicitará que subsane la petición (p. ej. solicitando más
información, como el número de DNI, el documento del DNI, el correo electrónico que
aportó, etc.)
La solicitud puede realizarla el representante, legal o voluntario, cuando éste esté
debidamente identificado y autorizado por el titular de los datos (mediante una
autorización expresa del titular para ejercer los derechos personalísimos regulados en
la normativa en materia de protección de datos personales).
Petición en que se concreta la solicitud (Derecho/s que se pretende ejercer). Si no
hace referencia a un tratamiento concreto se le facilitará respuesta en relación a todos
los tratamientos que afectan a sus datos de carácter personal. Si solicita información
de un tratamiento en concreto, sólo la información de éste. Si lo solicita por teléfono se
le indicará que lo haga por escrito y se le informará de cómo lo puede hacer y la
dirección a la que tiene que enviarlo. Nunca se le dará información por teléfono.
Dirección postal o electrónica a efectos de notificaciones.
Documentos acreditativos de la petición que formula, en caso de que sean necesarios.
El interesado debe utilizar cualquier medio que permita acreditar el envío y la
recepción de la solicitud.
Por último, le informamos que tiene derecho a presentar una reclamación ante la
Agencia Española de Protección de Datos en caso de que tenga conocimiento o
considere que un hecho pueda suponer un incumplimiento de la normativa aplicable
en materia de protección de datos personales.
GAVANOVA INMOBLES SL se compromete a adoptar las medidas técnicas y
organizativas necesarias, acorde al nivel de riesgos que acompañan los tratamientos
realizados por éstas e indicados en el apartado de los términos y condiciones de uso,
de forma que garanticen su integridad, confidencialidad y disponibilidad.
Última actualización: 29 de Septiembre de 2022”.
QUINTO: El 21/12/2022 GAVANOVA aporta la siguiente documentación:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/17
- Copia del “Aviso Legal” y “Política de Privacidad” que figuran en la página web
***URL.1. El contenido de esta última es idéntico al señalado en el apartado
anterior.
- Copia del documento denominado “Información en materia de Protección de
datos personales” que incorpora a los contratos con propietarios, inquilinos y
terceras empresas; que no contiene ni fecha ni firma. El contenido es el
siguiente:
“Información en materia de protección de datos personales.
De conformidad con la normativa vigente y aplicable en protección de datos de
carácter personal, le informamos que sus datos serán incorporados al sistema
de tratamiento titularidad de GAVANOVA INMOBLES SL con NIF B64935497 y
domicilio social sito en PLAÇA IGLESIA 3 LOC 7, 08850, GAVA
(BARCELONA), y que a continuación se relacionan los tratamientos realizados:
Finalidad: Gestión de las prestaciones de servicios derivados de los
arrendamientos o compraventa de inmuebles.
Plazo de conservación: Mientras sean necesarios para la finalidad mencionada
y, en todo caso, hasta la finalización de las obligaciones legales y prescripción
de las posibles acciones derivadas del tratamiento.
Base legítima: La ejecución del contrato.
Cesiones: sus datos serán comunicados, en caso de ser necesario, a Bancos y
Cajas así como a los órganos o administraciones públicas con competencia en
la materia con la finalidad de cumplir con las obligaciones legales establecidas
en la normativa aplicable. Sus datos también podrán serán comunicados, en
caso de ser necesario, a las empresas que nos prestan servicios para cumplir
las finalidades establecidas.
Finalidad: Gestión administrativa, facturación y contabilidad y gestión y
tramitación de las obligaciones y deberes que se deriven del cumplimiento de
la normativa a la cual está sujeta la entidad.
Plazo de conservación: Mientras sean necesarios para la finalidad mencionada
y, en todo caso, hasta la finalización de las obligaciones legales y prescripción
de las posibles acciones derivadas del tratamiento.
Base legítima: El cumplimiento de obligaciones legales.
Cesiones: sus datos serán comunicados en caso de ser necesario a Agencia
Tributaria, Bancos, Cajas y Organismos y/o administración pública con
competencia en la materia con la finalidad de cumplir con las obligaciones
legales establecidas en la normativa aplicable.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/17
En ningún tratamiento anteriormente señalado se realizan transferencias
internacionales de datos personales ni decisiones automatizadas, incluida la
elaboración de perfiles.
A su vez, le informamos que puede contactar con el Delegado de Protección
de Datos, dirigiéndose por escrito a la dirección de correo ***EMAIL.2 o al
teléfono ***TELÉFONO.1. De acuerdo con los derechos que le confiere la
normativa vigente y aplicable en protección de datos podrá ejercer los
derechos de acceso, rectificación, limitación de tratamiento, supresión
(“derecho al olvido”), portabilidad y oposición al tratamiento de sus datos de
carácter personal, así como la revocación del consentimiento prestado para el
tratamiento de los mismos, dirigiendo su petición a la dirección postal indicada
más arriba o al correo electrónico ***EMAIL.1.
Podrá dirigirse a la Autoridad de Control competente, en este caso la Agencia
Española de Protección de Datos, para presentar la reclamación que considere
oportuna.”
SEXTO: El 13/02/2023 GAVANOVA aporta copia de los documentos denominados
“Contrato de arrendamiento” y “Rescisión de contrato” con el anexo “Información en
materia de Protección de datos personales” mencionado en el apartado anterior.
FUNDAMENTOS DE DERECHO
I
Competencia y normativa aplicable
De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para iniciar y resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
El RGPD tiene por objeto garantizar el derecho a la protección de los datos de las
personas físicas. El artículo 4.1 del RGPD entiende por “datos personales”: “toda
información sobre una persona física identificada o identificable («el interesado»); se
considerará persona física identificable toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/17
El artículo 4.2 del RGPD define el “tratamiento” como “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;”.
Por lo tanto, de conformidad con las definiciones anteriores, consta la realización de
un tratamiento de datos personales, toda vez que GAVANOVA recoge datos
personales, no solo a través de los contratos suscritos, sino también por medio del
formulario de contacto que figura en su página web ***URL.1.
III
Alegaciones aducidas
Esta Agencia no tiene constancia de que GAVANOVA haya presentado escrito de
alegaciones contra la propuesta de resolución.
No obstante, como ya se indicó en la propuesta de resolución, respecto a las
alegaciones presentadas por GAVANOVA contra el acuerdo de apertura del presente
procedimiento sancionador, se realizaron las siguientes consideraciones.
1. AUTORIZACIÓN PARA EL USO DE LOS DATOS PERSONALES.
GAVANOVA alega que la parte reclamante autorizó la cesión de sus datos personales
y, en especial, a la empresa de limpieza.
Al respecto, esta Agencia desea recordar que, como se indicó en el acuerdo de inicio,
el intercambio de los datos personales de la parte reclamante entre GAVANOVA y la
empresa de limpieza no ha quedado probado ni siquiera de forma indiciaria.
2. CONCURRENCIA DE ATENUANTES NO APLICADAS.
Alega GAVANOVA que procede aplicar la atenuante relativa a la adopción de medidas
para paliar los daños y perjuicios sufridos por los interesados, porque la información
que se facilitó a la parte reclamante solo estaba desactualizada, pero ello no quita que
se le informara. Además, incorporó en sus contratos una nueva cláusula informativa de
protección de datos y procedió a modificar la Política de Privacidad y Aviso legal de la
página web ***URL.1.
En la misma línea, GAVANOVA alega la atenuante relativa al grado de cooperación
con la autoridad de control, puesto que ha atendido este procedimiento y contratado a
una consultora especializada en la materia para que le asesora en el cumplimiento de
la normativa.
Al respecto, esta Agencia desea señalar que la adopción de medidas por parte de
GAVANOVA a fin de dar cumplimiento a la normativa vigente ya se tuvo en cuenta a la
hora de fijar la cuantía de la multa a imponer, de acuerdo con lo establecido en el
artículo 83.2 del RGPD. En cualquier caso, se recuerda a GAVANOVA que son
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/17
medidas propias de un responsable de tratamiento que actúa en base al principio de
responsabilidad proactiva, de conformidad con el artículo 5.2 del RGPD.
En relación con las medidas adoptadas, cabe señalar que la Política de Privacidad que
se incorporó a la página web (***URL.1) carece de, entre otros, los siguientes
apartados obligatorios: finalidad, legitimación o plazo de conservación de los datos
personales.
Asimismo, esta Agencia desea recordar que la adopción de medidas no supone la
subsanación de la conducta infractora del artículo 13 del RGPD. Pues, resulta
evidente que, antes de que se iniciara el procedimiento sancionador, GAVANOVA no
cumplía con su obligación de informar correctamente a sus clientes.
También, GAVANOVA alega la posibilidad de aplicar como atenuantes la no obtención
de beneficios derivados de la comisión de la infracción, así como la no afectación a los
derechos de menores.
Al respecto, esta Agencia desea señalar que la Sentencia de la Audiencia Nacional, de
05/05/2021, rec. 1437/2020, indica que: “Considera, por otro lado, que debe
apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el
artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la
multa administrativa, entre otras, la circunstancia "e) toda infracción anterior cometida
por el responsable o el encargado del tratamiento". Se trata de una circunstancia
agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva
que no pueda ser tomada en consideración, pero no implica ni permite, como pretende
la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del
presupuesto para su aplicación respecto del art. 76.2.c) de la LOPDGDD, esto es,
obtener beneficios consecuencia de la infracción o que no afecten a derechos de
menores, no permite su aplicación como atenuantes.
Por todo lo expuesto, se desestima la presente alegación.
3. PROPORCIONALIDAD DE LA SANCIÓN.
GAVANOVA incide en la necesidad de que se tengan en cuenta la adopción de
medidas a fin de cumplir con la normativa vigente, la concurrencia de los atenuantes
mencionados y la delicada situación económica de la entidad.
Al respecto, esta Agencia se mantiene en lo expuesto anteriormente y, por
consiguiente, se desestima la alegación.
IV
Transparencia en el tratamiento de datos personales
El tratamiento debe estar presidido por los principios que relaciona el artículo 5 del
RGPD, que dispone:
“Los datos personales serán:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/17
a) Tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»);
(…)”.
Manifestación del principio de transparencia es la obligación que incumbe a los
responsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al
titular de los datos personales cuando estos se obtengan directamente del interesado:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará
toda la información indicada a continuación:
a) La identidad y los datos de contacto del responsable y, en su caso, de su
representante;
a) los datos de contacto del delegado de protección de datos, en su caso;
b) los fines del tratamiento a que se destinan los datos personales y la base
jurídica del tratamiento;
c) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable o de un tercero;
d) los destinatarios o las categorías de destinatarios de los datos personales, en
su caso;
e) en su caso, la intención del responsable de transferir datos personales a un
tercer país u organización internacional y la existencia o ausencia de una
decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener
una copia de estas o al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea
posible, los criterios utilizados para determinar este plazo;
a) la existencia del derecho a solicitar al responsable del tratamiento el acceso a
los datos personales relativos al interesado, y su rectificación o supresión, o la
limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho
a la portabilidad de los datos;
b) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/17
consentimiento en cualquier momento, sin que ello afecte a la licitud del
tratamiento basado en el consentimiento previo a su retirada;
c) el derecho a presentar una reclamación ante una autoridad de control;
d) si la comunicación de datos personales es un requisito legal o contractual, o un
requisito necesario para suscribir un contrato, y si el interesado está obligado a
facilitar los datos personales y está informado de las posibles consecuencias
de que no facilitar tales datos;
e) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos,
información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos
personales para un fin que no sea aquel para el que se recogieron, proporcionará al
interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin
y cualquier información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la
medida en que el interesado ya disponga de la información.”
En ese sentido, el Considerando 60 del RGPD dice que “Los principios de tratamiento
leal y transparente exigen que se informe al interesado de la existencia de la
operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al
interesado cuanta información complementaria sea necesaria para garantizar un
tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto
específicos en que se traten los datos personales. Se debe además informar al
interesado de la existencia de la elaboración de perfiles y de las consecuencias de
dicha elaboración. Si los datos personales se obtienen de los interesados, también se
les debe informar de si están obligados a facilitarlos y de las consecuencias en caso
de que no lo hicieran.”
Como ha quedado establecido anteriormente, GAVANOVA es el responsable de
tratamiento de los datos personales de sus clientes, razón por la cual le corresponde la
obligación de proporcionarles la referida información a este respecto. Si bien es cierto
que ha adecuado la cláusula informativa en materia de protección de datos que consta
en los contratos que suscribe con sus clientes e incorporado un anexo con la
información restante; en el momento de iniciarse el presente procedimiento
sancionador solo les informaba de las cuestiones señalabas en el punto primero, del
apartado “Hechos probados”.
En relación con la Política de Privacidad de su web (***URL.1), es evidente que no
informa a los usuarios sobre todos los extremos enumerados en el artículo 13 del
RGPD. Como ya indicó esta Agencia, no se menciona en ningún lado la finalidad y
legitimación del tratamiento o el plazo de conservación de los datos personales
recabados a través de sus formularios, entre otras cuestiones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/17
Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de resolución de procedimiento sancionador, se considera que los hechos conocidos
son constitutivos de una infracción, imputable a GAVANOVA, por vulneración del
artículo 13 del RGPD.
V
Tipificación y calificación de la infracción del artículo 13 del RGPD
La citada infracción del artículo 13 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
(…)
b) los derechos de los interesados a tenor de los artículos 12 a 22; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de
la LOPDGDD indica:
“1. Se consideran leves y prescribirán al año las restantes infracciones de carácter
meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83
del Reglamento (UE) 2016/679 y, en particular, las siguientes:
a) El incumplimiento del principio de transparencia de la información o el derecho de
información del afectado por no facilitar toda la información exigida por los artículos 13
y 14 del Reglamento (UE) 2016/679. (…)”
VI
Poderes correctivos por la infracción del artículo 13 del RGPD
Los poderes correctivos de los que dispone la Agencia Española de Protección de
datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre
ellos se encuentran la potestad de imponer una multa administrativa con arreglo al
artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o
encargado del tratamiento que las operaciones de tratamiento se ajusten a las
disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un
plazo especificado -artículo 58. 2 d)-.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/17
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
d) del citado Reglamento es compatible con la sanción consistente en multa
administrativa.
En el presente caso, atendiendo a los hechos expuestos y sin perjuicio de lo que
resulta de la instrucción del procedimiento, se considera que la sanción que
correspondería imponer es de multa administrativa. La multa que se imponga deberá
ser, en cada caso individual, efectiva, proporcionada y disuasoria, de acuerdo con el
artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han
de observar las previsiones del artículo 83.2 del RGPD, que indica:
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/17
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, en relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en
su artículo 76, “Sanciones y medidas correctivas”, dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente
f) La afectación a los derechos de los menores
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
El balance de las circunstancias contempladas permite fijar una multa de 2.000,00€
(dos mil euros) por la infracción del artículo 13 del RGPD.
VII
Medida correctiva
De acuerdo con lo establecido en el artículo 58.2 d) del RGPD, cada autoridad de
control podrá “ordenar al responsable o encargado del tratamiento que las
operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento,
cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La
imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Al amparo de lo dispuesto en el citado precepto, se le ordena a GAVANOVA, como
responsable del tratamiento, que, en el plazo de diez días hábiles desde la fecha en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/17
que la presente resolución le sea notificada, acredite haber completado la información
que figura en la Política de Privacidad de su página web, ***URL.1.
Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución sancionadora podrá ser considerado como una infracción
administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su
artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior
procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a GAVANOVA DE IMMOBLES, S.L., con NIF B64935497, por
una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, una
multa de 2.000,00€ (dos mil euros).
SEGUNDO: ORDENAR a GAVANOVA DE IMMOBLES, S.L., con NIF B64935497, que
en virtud del artículo 58.2.d) del RGPD, en el plazo de diez días hábiles desde que la
presente resolución le sea notificada, acredite haber completado la información que
figura en la Política de Privacidad de su página web, ***URL.1.
TERCERO: NOTIFICAR la presente resolución a GAVANOVA DE IMMOBLES, S.L.
CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del
Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de
julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su
ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en
el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000
0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A..
En caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6
de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/17
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el artículo 90.3 a) de la LPACAP,
se podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-010623
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es