Una inmobiliaria es multada con 20.000 euros por hacer fotos y vídeos de los buzones de las comunidades de propietarios que visitaban

La Agencia Española de Protección de Datos (AEPD) ha sancionado con una multa de 20.000 euros a una inmobiliaria por hacer fotografías y vídeos de los buzones de las comunidades de propietarios que visitaban sus trabajadores y elaborar una base de datos con esa información.

Esta práctica es vulneradora del Reglamento General de Protección de Datos (RGPD), al haberse recabado los datos de los titulares de los inmuebles sin contar la empresa con una base de legitimación para ello e, igualmente, tampoco se informó a los propietarios del tratamiento que se iba a hacer con esos datos. 

La resolución de la AEPD multando a la inmobiliaria (disponible en el botón ‘descargar resolución’) llega a raíz de que este organismo público iniciara un procedimiento sancionador contra la misma a raíz de que un antiguo trabajador interpusiera una reclamación informando de los hechos.

(Imagen: E&J)

Una actuación contraria al RGPD

El extrabajador, quien se presentaba así en la reclamación interpuesta ante la AEPD, manifestaba que cuando prestaba servicios en la citada inmobiliaria, sus superiores reunieron a los empleados instándoles a que realizaran fotos y vídeos de los buzones de las comunidades de propietarios de los inmuebles que visitaran para elaborar una base de datos, sin recabar el consentimiento de los titulares de los datos y sin informar a estos al respecto. 

En concreto tenían que recabar los siguientes datos: la calle, el número de bloque y los nombres que aparecían en los buzones junto con la planta y la puerta en la que estos habitan. 

El reclamante señalaba a la Agencia que él se negó a realizar dicha actuación por cuanto conocía que era ilegal al ser contraria a la normativa de protección de datos y así se lo hizo saber a uno de sus superiores mediante una conversación mantenida por teléfono (conversación que adjuntó en vídeo en formato mp4 junto a la reclamación interpuesta), en la que su superior reconocía que no era legal pero que era la “única forma” que tenían de hacer zona. 

Ante la negativa de este empleado a recabar datos de potenciales clientes, la empresa le comunicó la voluntad de prescindir de sus servicios.

Asimismo, junto a la reclamación el extrabajador adjuntó fotografías de buzones que le consta que se han subido a la base de datos de la empresa, donde figuran nombres y números de puerta.

(Imagen: E&J)

20.000 euros de multa

La Agencia Española de Protección de Datos dio traslado de dicha reclamación a la inmobiliaria reclamada. La empresa respondió negando haber propuesto/sugerido/obligando/indicando tal forma de actuar a ese trabajador o a cualquier otro. Asimismo, alegaba en su escrito de respuesta que nunca había recibido ninguna queja ni reclamación negativa relacionado con la protección de datos ni de cualquier otro tipo; y que disponía de una aplicación interna donde constaban las bases de datos de los propietarios de inmuebles cuyo consentimiento había sido recabado de forma lícita y la cual era usada a la hora de promocionar y vender viviendas.

En el mes de agosto, la AEPD admitió a trámite la reclamación y procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos. 

Como consecuencia de las actuaciones realizadas, el organismo se personó en el establecimiento y allí, tras solicitar conectarse a la base de datos, tuvo conocimiento de la existencia de un registro de clientes, de los cuales alguno sólo constaba el nombre, apellido, dirección y fecha de último contacto, sin contener el número de teléfono ni correo electrónico de contacto. Es más, en algunos de esos clientes la casilla relativa a la privacidad contaba el siguiente texto: “En espera de privacidad escrita”.

La Agencia requirió información sobre tal base de datos, a lo que la administradora de la empresa manifestó que no se trataban de clientes, que sólo disponían de su nombre y apellidos y su dirección postal en calidad de potenciales clientes, ya que los datos eran registrados al considerarse que se trataba de personas que tenían el potencial para estar interesados en sus servicios, aunque en la fecha de redacción del presente escrito aún no habían podido contactar con ellas.

Asimismo, la inmobiliaria informó que esa información había sido obtenida de una fuente de acceso al público y que el procedimiento habitual que seguían los agentes de la empresa cuando recogían datos personales de un potencial cliente, a fin de dar cumplimiento al deber de informar al interesado sobre el tratamiento de sus datos personales y a los principios de lealtad y transparencia, era facilitar al interesado la información recogida en el artículo 14 del Reglamento General de Protección de Datos. 

No obstante, de acuerdo con lo indicado anteriormente, “en este caso, dado que no se dispone de más datos de contacto, no ha existido esta primera comunicación, al no haber sido posible establecer un primer contacto con el potencial cliente, y es por ese motivo, que todavía no se le ha podido facilitar la información sobre el tratamiento de sus datos personales”, señala la inmobiliaria a la AEPD.

Como consecuencia de que la inmobiliaria podría haber cometido presuntas infracciones del Reglamento General de Protección de Datos, la Agencia inició un procedimiento sancionador, el cual ha finalizado imponiendo a Talavera empresa reclamada una sanción de multa administrativa de 20.000 euros por vulnerar varios preceptos legales del Reglamento General de Protección de Datos (RGPD), concretamente, los artículos 6.1 y 14 de dicho Reglamento.

(Imagen: E&J)

La inmobiliaria carece de base de licitud para tratar esos datos

En el presente caso, de acuerdo con lo establecido en los apartados 1 y 2 del artículo 4 del RGPD, consta la realización de un tratamiento de datos personales por parte de la inmobiliaria por cuanto recoge y conserva datos personales de personas físicas. La empresa encargada de gestionar la compraventa de inmuebles realiza esta actividad en su condición de responsable del tratamiento de los datos de los clientes, dado que es quien determina los fines y medios de tal actividad.

Sin embargo, los datos personales recabados de los buzones de las comunidades de propietarios de los inmuebles visitados han sido obtenidos por parte de la inmobiliaria sin contar con base de licitud para tratar esos datos, conforme establece el artículo 6.1 del RGPD.

Y, pese a que la empresa intentó justificar ante la AEPD que esos datos, los cuales figuraban en su base de datos, habían sido obtenidos de fuentes públicas, la Agencia señala al respecto en la resolución que el directorio público no incorpora el dato del número de piso; dato que sí figuraba en la base de datos de la inmobiliaria.

Por tanto, “vistas las circunstancias concurrentes, se entiende que se habría producido una captación de los nombres, apellidos y dirección de los buzones de las comunidades de propietarios de los inmuebles para elaborar una base de datos, sin recabar el consentimiento de los titulares de los datos para su tratamiento, por parte de la inmobiliaria, sería un tratamiento ilícito de datos personales”, señala la AEPD.

Es decir, que los hechos son constitutivos de una infracción de procedimiento derivada de la recogida y conservación de datos de los buzones de comunidades propietarios sin que exista legitimación para ello. En consecuencia, la reclamante ha cometido una infracción al vulnerar el artículo 6.1 del RGPD, razón por la cual se impone a la inmobiliaria una sanción de multa administrativa de 10.000 euros.

(Imagen: E&J)

No se facilitó información del tratamiento a los interesados

Por otro lado, el artículo 14 del RGPD establece la obligación del responsable del tratamiento de proporcionar información clara y accesible al interesado cuando los datos personales no han sido obtenidos directamente de él. Dicha obligación tiene como finalidad garantizar la transparencia en el tratamiento de los datos, máxime cuando los mismos no se han obtenido directamente de los interesados.

En el presente supuesto, la inmobiliaria no proporcionó a los titulares de los inmuebles cuyos datos fueron recabados de los buzones, ningún tipo de información sobre el tratamiento que iban a realizar con sus datos recabados. Es más, en la investigación llevada a cabo por la AEPD se tuvo conocimiento de que en la base de datos de la empresa se insertaron datos de posibles clientes o clientes potenciales (recogiéndose el nombre y apellidos y dirección postal de los mismos), sin embargo, la inmobiliaria no facilitó a los interesados información sobre el tratamiento que se iba a hacer de sus datos personales, los cuales fueron obtenidos de manera ajena a los interesados. 

Por tanto, los hechos evidencian que la reclamada cometió una infracción de procedimiento al no informar a los interesados de que los datos personales que les conciernen estaban siendo tratados. Es decir, que la inmobiliaria vulneró lo establecido en el artículo 14 del RGPD. Y por dicha vulneración, la Agencia Española de Protección de Datos le ha impuesto una sanción de multa administrativa de 10.000 euros.