Sanción de 4.000 € por ceder datos personales de unos inquilinos

La Agencia Española de Protección de Datos ha sancionado con 4.000 euros a una empresa del sector inmobiliario por una infracción del art. 6.1 RGPD, por haber proporcionado a terceras empresas los datos personales de la parte reclamante y su pareja, tras haber mediado en el contrato de arrendamiento celebrado por estos; sin autorización ni legitimación para ello. Esta actuación se realizó tras la liquidación de la fianza.

La parte reclamante indica en su escrito de reclamación que “el día 30/08, se hace efectiva la entrega de llaves y la finalización del contrato de alquiler del piso situado en la ***DIRECCION.1. […] El día 17/09, […], recibo un correo con un archivo PDF donde se notifica la devolución de la fianza depositada al inicio. Dentro de este archivo, también se notifica el descuento de gastos: 108.9€ de la cerradura, 34,64€ del agua y 175,45€ de limpieza. De esta última factura, no nos habían informado de su existencia, ni del coste que tenía, pero en cambio, en el archivo PDF que nos envían, salen como clientes mi nombre y DNI mío y el nombre y DNI de mi pareja, cuando nosotros no hemos autorizado en ningún momento el uso de estos datos […]”.

En fecha 16/08/2022 la Directora de la AEPD acuerda iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD.

En fecha 13/09/2022 la reclamada presenta sus alegaciones, en las que desglosa estos argumentos:

• El reclamante y su pareja suscribieron el 01/02/2020 un contrato de arrendamiento de una vivienda “en cuya celebración medió” la inmobiliaria, “que tenía conferida la administración de la misma”. Añade que en el contrato se incluyeron los datos personales de ambos reclamantes” Expone que “La finalidad del tratamiento declarada e informada en la política de privacidad de la web corporativa es la prestación de servicios inmobiliarios entre los que se incluyen la comunicación de datos a proveedores industriales cuando sea necesario para la prestación de algún servicio solicitado.” Tras lo cual, afirma sin más: “Queda así acreditado que [la inmobiliaria] contaba con base legal para el tratamiento de los datos de los arrendatarios. […]”

• En la alegación segunda, expone que “nosotros como parte intermediadora entre el arrendador y el arrendatario, es la que se encarga de hacer cumplir las exigencias contractuales y por tanto la que ofrece la posibilidad de contratar los servicios necesarios para tal fin. […]

  Por lo tanto, es habitual que los arrendatarios soliciten dichos servicios adicionales a la Administración de fincas para que se lleven a cabo servicios de reparaciones y mantenimiento de inmuebles, y por consiguiente son servicios que acaba facturando directamente el proveedor de los servicios.

  Se ha demostrado que para el cambio de bombín el arrendatario acepta expresamente la contratación de dicho servicio, pero sin embargo no está conforme con el importe del servicio de limpieza efectuado. (pero no de la ejecución del servicio en sí). […] Las facturas siempre deben emitirse a nombre del arrendatario ya que el importe de las mismas corre de su cuenta y tampoco podemos privar al arrendatario de tener una factura acreditativa del pago de un concepto descontado de la fianza, en el que consten todos los detalles del concepto, para poder reclamar con posterioridad contra la propiedad o por temas fiscales etc. […] Evidentemente dicha empresa precisa de los datos personales para emitir su correspondiente factura que sirve como documento para la liquidación de la fianza.”

En fecha, 10/04/2023 se dictó resolución por la Directora de la Agencia Española de Protección de Datos, en virtud de la cual se imponía a la reclamada una multa de 4.000 euros por una infracción del artículo 6.1 del RGPD.

La AEPD, indica que “La conducta en la que se concreta la infracción del RGPD de la que se responsabiliza a la inmobiliaria consistió en comunicar los datos personales del reclamante y de su pareja -el nombre, dos apellidos y el NIF- a terceras empresas, quienes emitieron a nombre de ambos, en calidad de clientes, sendas facturas por los conceptos de “suministro e instalación de un bombillo de seguridad en la puerta de entrada de la vivienda” y “limpieza integral”.

Continúa la AEPD diciendo que, “no hay duda de que la inmobiliaria, en su condición de administradora de la vivienda arrendada, estaba legitimada en virtud del contrato de arrendamiento celebrado y sobre la base del artículo 6.1.b) del RGPD para tratar los datos personales de los coarrendatarios cuando el tratamiento fuese necesario para el desenvolvimiento y ejecución de ese contrato de arrendamiento. Por tanto, era lícito que tratara los datos de ambos arrendatarios con la finalidad de exigirles, durante la liquidación de la fianza, la indemnización económica de la que eran acreedoras las propietarias del inmueble y que derivaba de las obligaciones que, en virtud del contrato celebrado, nacieron a cargo de los coarrendatarios. Ese y no otro era el tratamiento necesario para el desenvolvimiento o ejecución del mentado contrato de arrendamiento. […]

"En definitiva, el tratamiento que resultaba “necesario” para la ejecución del contrato de arrendamiento se ceñía a exigir a los arrendatarios el importe de la indemnización debida, para lo que, en este caso, bastaba descontar de la fianza depositada su importe. La inmobiliaria así lo hizo, a tenor del documento de liquidación en formato pdf que envió al reclamante, en el que se reflejaba el importe de las dos fianzas depositadas –“Incosol” y “Fianza”- y el de los gastos a deducir –“Limpieza piso”, “Agua” y “Factura cambio cerradura”- y el resultado de la compensación, favorable al reclamante. Cosa distinta es que la reclamada comunicara los datos de los coarrendatarios a empresas proveedoras de servicios en calidad de clientes de tales empresas. Ese tratamiento en ningún caso podía tener su fundamento en el apartado b) del artículo 6.1. del RGPD en conexión con el citado contrato de arrendamiento".

Por todo lo mencionado anteriormente, la AEPD, en la resolución de este procedimiento sancionador considera la existencia de una infracción del art. 6.1 del RGPD, tipificada en el art. 83.5 del RGPD, y se le ha impuesto una sanción de 4.000 euros.

En definitiva, aquellas empresas del sector inmobiliario que realicen actuaciones similares a las de la entidad multada deben saber que es altamente probable que la AEPD les sancione, si bien, pueden evitarlo contratando los servicios de técnicos y especialistas jurídicos en la materia, como Unive Abogados, con amplia experiencia en adaptación de empresas privadas a la normativa de protección de datos y desde un enfoque multidisciplinar que hará que su organización se adecue y cumpla con esta y con otras normas relacionadas.