Procedimiento Nº PS/00330/2005
RESOLUCIÓN: R/00397/2006
En el procedimiento sancionador PS/00330/2005, instruido por la
Agencia Española de Protección de Datos a la entidad
MERCALAR SERVICIOS, S.L., vista la denuncia presentada por D. J.C.R.,
y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 11/02/2005, tuvo entrada en esta Agencia
un escrito de D. J.C.R. (en los sucesivo el denunciante), en el
que denuncia a Mercalar Servicios, S.L. (Administrador de Fincas
y en lo sucesivo el Administrador), porque, tras su solicitud de
información sobre la cantidad que debía pagar en concepto
de gastos de comunidad, le ha entregado con fecha 28/01/2005, siendo
inquilino de una de las viviendas, un listado conteniendo los nombres
de todos los propietarios del Edificio (...........................).
Aporta copia de un listado que contiene una relación de propietarios,
con nombres y apellidos, y otros datos como piso y cuota, relativos
a doce personas.
SEGUNDO: En el marco de las actuaciones previas
de investigación realizadas por la Inspección de Datos,
se solicitó información al Administrador, que manifestó
que no posee ficheros automatizados de datos, que la información
relativa a los propietarios de las viviendas ubicadas en el edificio(...........................)
únicamente figura en el Libro de Actas correspondiente, que
se entregó al denunciante el listado con la relación
de propietarios porque solicitó información sobre
las cuotas de participación de la viviendas y locales del
citado inmueble, que tales datos figuran en la escritura de constitución
de propiedad horizontal de la que fueron plasmados, que no posee
ningún dato del denunciante y que dicho listado se entregó
con la autorización de los propietarios, pero que no le es
posible aportar tales autorizaciones dado que, hasta la fecha, no
se ha celebrado ninguna Junta de Propietarios, por lo que resulta
imposible la obtención de las mismas, y aporta un Certificado,
firmado por el Presidente de la Comunidad, en el que señala
que le fue entregado al denunciante el presupuesto con conocimiento
de la propietaria de la vivienda que tiene arrendada.
Asimismo aportó copia del Acta de la Junta de Propietarios
del Edificio(...........................), de fecha 02/02/2004,
por la que se constituye la comunidad de propietarios y en el que
figuran como asistentes algunos de los propietarios incluidos en
el listado que le fue entregado al denunciante.
TERCERO: Posteriormente, el denunciante, con fecha
28/09/2005, reiteró que el 28/01/2005 el Administrador le
entregó el listado de propietarios que aportó con
su denuncia.
CUARTO: Con fecha 09/01/2006, el Director de la
Agencia Española de Protección de Datos acordó
iniciar procedimiento sancionador al Administrador, con arreglo
a lo dispuesto en el artículo 18.1 del Real Decreto 1332/1994,
de 20 de junio, por el que se desarrollan determinados aspectos
de la Ley Orgánica 5/1992, que continua en vigor de conformidad
con lo establecido en la disposición transitoria tercera
de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección
de Datos de Carácter Personal (en lo sucesivo LOPD), por
la presunta infracción del artículo 10 de la citada
Ley Orgánica, tipificada como leve en el artículo
44.2.e), pudiendo ser sancionada con multa de 601,01 € a 60.101,21
€, de acuerdo con el artículo 45.1 de la LOPD.
QUINTO: Notificado el citado acuerdo de inicio
del procedimiento sancionador, el Administrador formuló alegaciones
en las que adujo lo siguiente:
• El listado, conteniendo los datos de los propietarios del
Edificio(...........................), se entregó al denunciante
con la autorización de aquéllos.
• La Junta de Propietarios acordó que se entregara
al denunciante el citado listado y el Administrador se limitó
a ejecutar dicho acuerdo.
• No ha existido culpabilidad en la realización de
los hechos.
• El Administrador no es el responsable del fichero.
• Los datos facilitados al denunciante figuran en el Registro
de la Propiedad que es un Registro público.
SEXTO: En fecha 10/02/2006, se
acordó por la instructora del procedimiento la apertura de
un período de práctica de pruebas, en el que se solicitó
información a las doce personas cuyos datos figuraban en
el listado de propietarios del Edificio(...........................),
entregado al denunciante el 28/01/2005.
De los doce propietarios cuyos datos figuraban en el referido listado,
los que ostentaron los cargos de Presidente y Secretario de la citada
comunidad, entre los días 02/02/2004 y 17/02/2005, manifestaron
que el listado, conteniendo los datos de los propietarios del Edificio(...........................),
fue entregado al abogado del denunciante, con conocimiento de la
propietaria del inmueble que aquél tiene alquilado, y con
la autorización de la Junta de Propietarios que solicitó
al Administrador que le hiciese entrega del citado listado. No aporta
prueba alguna de dichas manifestaciones.
Cuatro de los propietarios del citado edificio ratificaron las anteriores
manifestaciones del Presidente y Secretario, dos negaron haber dado
su autorización para que fueran facilitados sus datos personales
al denunciante, uno de los cuales es la persona arrendadora del
inmueble que tiene alquilado el denunciante, y los cuatro restantes
no formularon ninguna manifestación al respecto.
SÉPTIMO: Concluido el período probatorio
se inició el trámite de audiencia, de conformidad
con lo establecido en el artículo 18.4 del citado Real Decreto
1332/1994, en el que el Administrador obtuvo copia de algunos documentos
obrantes en el procedimiento, y formuló alegaciones en las
que manifestó que consta en el Acta de fecha 31/01/2006 la
entrega del listado al denunciante y dicha Acta no ha sido impugnada
por los propietarios y que no puede asegurar que el listado aportado
por el denunciante fuera el que se le entregó.
OCTAVO: Con fecha 16/05/2006, se formuló
propuesta de resolución en el sentido de que por el Director
de la Agencia Española de Protección de Datos se sancione
a Mercalar Servicios, S.L. con multa de 601,01 € (seiscientos
un euros con un céntimo) por la infracción del artículo
10 de la LOPD, tipificada como leve en el artículo 44.2.e)
de dicha norma, dándose traslado para alegaciones.
NOVENO: En fecha 08/06/2006, tuvo entrada en esta
Agencia escrito de alegaciones del Administrador en el que reitera
que facilitó los datos al denunciante con el consentimiento
de los propietarios y siguiendo las instrucciones de la comunidad
de propietarios.
HECHOS PROBADOS
PRIMERO: Mercalar Servicios, S.L. desarrolla las
labores de administración de la comunidad de propietarios
del Edificio(...........................) (folios 14 a 16).
SEGUNDO: Mercalar Servicios, S.L. para el desarrollo
de la gestión que tiene encomendada tiene acceso a los datos
personales de los propietarios de la citada comunidad (folios 14
a 21).
TERCERO: Mercalar Servicios, S.L. entregó,
con fecha 28/01/2005, a D. J.C.R. un listado que contiene una relación
de doce personas propietarias de las viviendas y local existentes
en el citado edificio, con nombres y apellidos, y otros datos como
piso y cuota (folios 5 y 11 a 13).
FUNDAMENTOS DE DERECHO
I
Es competente para resolver este procedimiento el Director de la
Agencia Española de Protección de Datos, de conformidad
con lo dispuesto en el artículo 37. g) en relación
con el artículo 36 de la LOPD.
II
El artículo 10 de la LOPD, que dispone que “El responsable
del fichero y quienes intervengan en cualquier fase del tratamiento
de los datos de carácter personal están obligados
al secreto profesional respecto de los mismos y al deber de guardarlos,
obligaciones que subsistirán aun después de finalizar
sus relaciones con el titular del fichero o, en su caso, con el
responsable del mismo.”
Este precepto ha de ponerse en relación con el artículo
11.1 de la LOPD que exige, con carácter general, el consentimiento
del afectado para la cesión de sus datos, salvo en los supuestos
contenidos en el apartado 2 del mismo artículo. Y asimismo
con el artículo 3.i) de la LOPD a cuyo tenor constituye cesión
“toda revelación de datos realizada a una persona distinta
del interesado”.
El deber de secreto tiene como finalidad evitar que, por parte de
quienes están en contacto con los datos personales almacenados
en ficheros, se realicen filtraciones de los datos no consentidas
por los titulares de los mismos. Así el Tribunal Superior
de Justicia de Madrid ha declarado en su Sentencia nº 361,
de 19/07/2001: “El deber de guardar secreto del artículo
10 queda definido por el carácter personal del dato integrado
en el fichero, de cuyo secreto sólo tiene facultad de disposición
el sujeto afectado, pues no en vano el derecho a la intimidad es
un derecho individual y no colectivo. Por ello es igualmente ilícita
la comunicación a cualquier tercero, con independencia de
la relación que mantenga con él la persona a que se
refiera la información (...)”.
En este sentido, la Audiencia Nacional ha señalado, entre
otras, en Sentencias de fechas 14/09/2001 y 29/09/2004 lo siguiente:
<<Este deber de sigilo resulta esencial en las sociedades
actuales cada vez mas complejas, en las que los avances de la técnica
sitúan a la persona en zonas de riesgo para la protección
de derechos fundamentales, como la intimidad o el derecho a la protección
de los datos que recoge el artículo 18.4 de la CE. En efecto,
este precepto contiene un “instituto de garantía de
los derechos a la intimidad y al honor y del pleno disfrute de los
derechos de los ciudadanos que, además, es en sí mismo
un derecho o libertad fundamental, el derecho a la libertad frente
a las potenciales agresiones a la dignidad y a la libertad de la
persona provenientes de un uso ilegítimo del tratamiento
mecanizado de datos” (STC 292/2000). Derecho fundamental a
la protección de los datos que “ persigue garantizar
a esa persona un poder de control sobre sus datos personales, sobre
su uso y destino” (STC 292/2000) que impida que se produzcan
situaciones atentatorias con la dignidad de la persona, “es
decir, el poder de resguardar su vida privada de una publicidad
no querida>>.
En el presente caso ha quedado acreditado que el Administrador facilitó
al denunciante un listado conteniendo algunos datos personales de
los doce propietarios de la Comunidad, sin embargo no consta acreditado
que el Administrador contara con el consentimiento de todos ellos
para la revelación de los mismos al denunciante, por lo que
ha de entenderse vulnerado el deber de secreto que impone el artículo
10 de la LOPD.
III
El artículo 43.1 de la LOPD señala que “Los
responsables de los ficheros y los encargados de los tratamientos
estarán sujetos al régimen sancionador establecido
en la presente Ley”.
Las figuras de “responsable del fichero” y “encargado
del tratamiento” se definen, respectivamente, en los artículos
3.d) y 3.g), que recogen lo siguiente:
“d) Responsable del fichero o tratamiento: Persona física
o jurídica, de naturaleza pública o privada, u órgano
administrativo, que decida sobre la finalidad, contenido y uso del
tratamiento.”
“g) Encargado del tratamiento: La persona física o
jurídica, autoridad pública, servicio o cualquier
otro organismo que, solo o conjuntamente con otros, trate datos
personales por cuenta del responsable del tratamiento.”
En este caso, la Comunidad de Propietarios es la responsable del
fichero mientras que el Administrador actúa como encargado
del tratamiento.
El artículo 12 de la LOPD permite que el responsable del
fichero habilite el acceso material a los datos de carácter
personal por parte del encargado del tratamiento e impone una serie
de garantías para los afectados, entre las que se encuentra,
la prohibición del encargado del tratamiento de comunicar
los datos a otras personas ni siquiera para su conservación.
Añadiendo el punto 4 delo citado artículo 12 que “en
el caso de que el encargado del tratamiento destine los datos a
otra finalidad, los comunique o los utilice incumpliendo las estipulaciones
del contrato, será considerado, también, responsable
del tratamiento, respondiendo de las infracciones en que hubiera
incurrido personalmente.”
IV
Manifiesta el Administrador en su defensa que la Junta de Propietarios
acordó que se entregara al denunciante el citado listado,
que él se limitó a ejecutar dicho acuerdo y que no
existe el elemento de la culpabilidad en la realización de
los hechos.
Ante tales manifestaciones ha de destacarse que, de las pruebas
practicadas en el presente procedimiento sancionador, no existe
constancia documental de que el Administrador haya entregado el
citado listado, conteniendo los datos de los propietarios al denunciante,
por encargo de la Junta de Propietarios.
Por el contrario, en este caso, existe constancia de que el Administrador
entregó el referido listado al denunciante, sin que se haya
acreditado que actuara por orden de la Comunidad. Es más
dos de tales propietarios han negado expresamente que tales hechos
se hubieran producido con su consentimiento, siendo uno de ellos
el propio arrendador del denunciante.
El Administrador debió cerciorarse de que la entrega al denunciante
de los datos de los propietarios se realizaba con su consentimiento,
pues se encuentra obligado al secreto profesional y tiene el deber
de guardar los datos y custodiarlos. El Administrador no observó
una conducta diligente tendente a salvaguardar el deber de secreto.
El Tribunal Supremo viene entendiendo que existe imprudencia siempre
que se desatiende un deber legal de cuidado, es decir, cuando el
sujeto infractor no se comporta con la diligencia exigible. Diligencia
cuyo grado de exigencia se determinará en atención
a las circunstancias concurrentes tales como el especial valor del
bien jurídico protegido, la profesionalidad exigible al infractor,
etc. En este sentido, la Sentencia del Tribunal Supremo de 05/06/1998
exige a los profesionales del sector “un deber de conocer
especialmente las normas aplicables”.
Aplicando la anterior doctrina, la Audiencia Nacional viene exigiendo
a las entidades que operan en el mercado de datos una especial diligencia
a la hora de operar con ellos, visto que se trata de la protección
de un derecho fundamental de las personas a las que se refieren
los datos, por lo que los depositarios de estos deben ser especialmente
diligentes y cuidadosos a la hora de realizar operaciones con los
datos.
En este caso, como se ha expuesto anteriormente, el Administrador
desatendió su deber de diligencia, lo que basta para consumar
la infracción, que puede cometerse por culpa a tenor del
artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de
Régimen Jurídico de las Administraciones Públicas
y del Procedimiento Administrativo Común, que dispone que
“sólo pueden ser sancionadas por hechos constitutivos
de infracción administrativa los responsables de los mismos,
aún a título de simple inobservancia”.
V
Asimismo manifiesta el Administrador que no es responsable del fichero,
sin embargo ha de señalarse que el deber de secreto incumbe
al responsable del fichero y a quienes intervienen en cualquier
fase del tratamiento, entendiéndose por tratamiento de datos,
de acuerdo con el artículo 3.c) de la LOPD, las “operaciones
y procedimientos técnicos de carácter automatizado
o no, que permitan la recogida, grabación, conservación,
elaboración, modificación, bloqueo y cancelación,
así como las cesiones de datos que resulten de comunicaciones,
consultas, interconexiones y transferencias”.
VI
Finalmente, aduce el denunciado que los datos facilitados al denunciante
figuran en el Registro de la Propiedad que es un Registro público.
El artículo 3.j) de la LOPD considera fuente de acceso público
aquellos ficheros cuya consulta puede ser realizada por cualquier
persona, no impedida por una norma limitativa, o sin más
exigencia que, en su caso, el abono de una contraprestación.
Tienen la consideración de fuentes de acceso público,
exclusivamente, el censo promocional, los repertorios telefónicos
en los términos previstos por su normativa específica
y las listas de personas pertenecientes a grupos de profesionales
que contengan únicamente los datos de nombre, título,
profesión, actividad, grado académico, dirección
e indicación de su pertenencia al grupo. Asimismo, tienen
el carácter de fuentes de acceso público, los Diarios
y Boletines oficiales y los medios de comunicación.
El artículo 607 del Código Civil establece con carácter
general la publicidad del Registro de la Propiedad.
El Reglamento Hipotecario tras las modificaciones introducidas por
el Real Decreto 1867/1998, de 4 de septiembre, prohíbe en
el apartado 2 del artículo 332 “el acceso directo,
por cualquier medio, al núcleo central de la base de datos
del archivo del Registrador, que responderá de su custodia,
integridad y conservación, así como su incorporación
de la base de datos para su comercialización o reventa”.
Añade el punto 3 del aludido artículo que “quien
desee obtener información de los asientos deberá acreditar
ante el Registrador que tiene interés legítimo en
ello. Cuando el que solicite la información no sea directamente
el interesado, sino encargado para ello, deberá acreditar
a satisfacción del Registrador el encargo recibido y la identificación
de la persona o entidad en cuyo nombre actúa. Se presumen
acreditadas las personas o entidades que desempeñen una actividad
profesional o empresarial relacionada con el tráfico jurídico
de bienes inmuebles tales como entidades financieras, abogados,
procuradores, graduados sociales, auditores de cuentas, gestores
administrativos, agentes de la propiedad inmobiliaria y demás
profesionales que desempeñen actividades similares, así
como las Entidades y Organismos públicos y los detectives,
siempre que expresen la causa de la consulta y ésta sea acorde
con la finalidad del Registro.”
El Registro de la Propiedad no tiene el carácter de fuente
accesible al público a efectos de la LOPD pues no se incluye
entre las citadas en el artículo 3.j) de dicha norma y el
acceso al mismo requiere la existencias de interés legítimo,
que debe ser apreciada por el Registrador, por lo que no opera en
este caso la excepción prevista en el artículo 11.2.b)
que autoriza la cesión de datos sin consentimiento de los
afectados “cuando se trate de datos recogidos de fuentes accesibles
al público”.
VII
El artículo 44.2.e) de la LOPD califica como infracción
leve: “Incumplir el deber de secreto establecido en el artículo
10 de esta ley, salvo que constituya infracción grave”
En este caso el Administrador ha incurrido en la infracción
leve descrita pues incumplió el deber de secreto previsto
en el artículo 10 de la LOPD, revelando los datos personales
de los propietarios de Edificio (...........................), de
nombre y apellido, y otros datos como piso y cuota.
Los hechos que se imputan en el presente procedimiento constituyen
la infracción leve descrita en el artículo 44.2.e),
dado que la información facilitada no puede servir para obtener
una evaluación de la personalidad del individuo, pues el
incumplimiento del deber de secreto sólo constituye el tipo
agravado en los casos específicamente enunciados en el artículo
44.3.g) de la LOPD, es decir, cuando la vulneración del secreto
afecte a “...los datos de carácter personal incorporados
a ficheros que contengan datos relativos a la comisión de
infracciones administrativas o penales, Hacienda Pública,
servicios financieros, prestación de servicios de solvencia
patrimonial y crédito, así como aquellos otros ficheros
que contengan un conjunto de datos de carácter personal suficientes
para obtener una evaluación de la personalidad del individuo”
En este sentido, la Audiencia Nacional ha sentado la doctrina contenida,
entre otras, en su Sentencia de 18/01/2002 referente a que “la
diferencia entre los dos tipos señalados se encuentra, además
de la circunstancia de que el dato proceda de uno de los ficheros
que relaciona el artículo 44.4g) que el contenido del dato
tenga esa naturaleza a que alude el inciso final del expresado precepto
legal”.
En este caso la información proporcionada al denunciante
no permite hacer ninguna valoración sobre el perfil o personalidad
de los titulares de los datos, por lo que la conducta es subsumible
en la infracción leve del artículo 44.2.e) de la LOPD.
VIII
El artículo 45 de la LOPD dispone en sus puntos 1 y 4 lo
siguiente:
“1. Las infracciones leves serán sancionadas con multa
de 601,01 € a 60.101,21 €”.
“4. La cuantía de las sanciones se graduará
atendiendo a la naturaleza de los derechos personales afectados,
al volumen de los tratamientos efectuados, a los beneficios obtenidos,
al grado de intencionalidad a la reincidencia, a los daños
y perjuicios causados a personas interesadas y a tercera personas,
y a cualquier otra circunstancia que sea relevante para determinar
el grado de antijuiridicidad y de culpabilidad presentes en la concreta
actuación infractora”.
En base a estos criterios de graduación de las sanciones,
y, en especia, a la ausencia de intencionalidad observada en el
procedimiento, procede imponer al Administrador la sanción
en su cuantía mínima.
Vistos los preceptos citados y demás de general aplicación,
El Director de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: IMPONER a la entidad MERCALAR SERVICIOS,
S.L., por una infracción del artículo 10 de la LOPD,
tipificada como leve en el artículo 44.2.e) de dicha norma,
una multa de 601,01 € (seiscientos un euros con un céntimo)
de conformidad con lo establecido en el artículo 45. 1 y
4 de la citada Ley Orgánica.
SEGUNDO: NOTIFICAR la presente resolución a MERCALAR SERVICIOS,
S.L., (C/...............................), y a D. J.C.R., (C/...............................).
CUARTO: Advertir al sancionado que la sanción
impuesta deberá hacerla efectiva en el plazo de pago voluntario
que señala el artículo 68 del Reglamento General de
Recaudación, aprobado por Real Decreto 939/2005, de 29 de
julio, en relación con el art. 62 de la Ley 58/2003, de 17
de diciembre, mediante su ingreso en la cuenta restringida nº
0000 0000 00 00000000000 abierta a nombre de la Agencia Española
de Protección de Datos en el Banco Bilbao Vizcaya Argentaria,
S.A. o en caso contrario, se procederá a su recaudación
en período ejecutivo. Si recibe la notificación entre
los días 1 y 15 de cada mes, ambos inclusive, el plazo para
efectuar el pago voluntario será hasta el día 20 del
mes siguiente o inmediato hábil posterior, y si recibe la
notificación entre los días 16 y último de
cada mes, ambos inclusive, el plazo del pago será hasta el
5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el apartado 2 del artículo
37 de la LOPD, en la redacción dada por el artículo
82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas
y del orden social, la presente Resolución se hará
pública, una vez haya sido notificada a los interesados.
La publicación se realizará conforme a lo previsto
en la Instrucción 1/2004, de 22 de diciembre, de la Agencia
Española de Protección de Datos sobre publicación
de sus Resoluciones.
Contra esta resolución, que pone fin a la vía administrativa
(artículo 48.2 de la LOPD), y de conformidad con lo establecido
en el artículo 116 de la Ley 30/1992, de 26 de noviembre,
de Régimen Jurídico de las Administraciones Públicas
y del Procedimiento Administrativo Común, los interesados
podrán interponer, potestativamente, recurso de reposición
ante el Director de la Agencia Española de Protección
de Datos en el plazo de un mes a contar desde el día siguiente
a la notificación de esta resolución, o, directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo
de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo
25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción
Contencioso-administrativa, en el plazo de dos meses a contar desde
el día siguiente a la notificación de este acto, según
lo previsto en el artículo 46.1 del referido texto legal.
Madrid, 9 de junio de 2006
EL DIRECTOR DE LA AGENCIA ESPAÑOLA
DE PROTECCIÓN DE DATOS
Fdo.: José Luis Piñar Mañas
|
