HECHOS
La Comunidad de Propietarios en cuestión ha expuesto públicamente un acta de su asamblea en los expositores de los ascensores del edificio.
En ese documento figuraban el nombre, apellidos, pisos y puerta de los asistentes y representados.
Concretamente se detallaban piso y puerta de los implicados en los temas tratados de la reunión, afectados por la denuncia de la Comunidad por obras consideradas irregulares.
Esta publicación se ha llevado a cabo a pesar de que, paralelamente, se ha notificado a los vecinos implicados de forma simultanea mediante carta certificada con prueba de recibo.
En este sentido, la Comunidad ha alegado que las cartas certificadas no aportan constancia fehaciente de la entrega en tanto que son recogidas por los porteros.
Además, hace hincapié en que el acta de la Junta era especialmente importante por acordarse la iniciación de acciones judiciales contra los vecinos implicados, y que se ha actuado de tal modo con el objetivo de ser garantistas en la notificación y evitar su impugnación futura por indefensión.
FUNDAMENTOS
El artículo 51.f) RGPD establece la responsabilidad proactiva de los Responsables de Tratamiento (en este caso, la Comunidad de Propietarios). Esto supone que es responsable de cumplir la normativa, pero también de ser capaz de demostrar dicho cumplimiento.
A ello se añade la obligación de garantizar la seguridad de los tratamientos aplicando medidas técnicas y organizativas que hagan frente a tratamientos no autorizados o ilícitos, así como a la pérdida, destrucción o daño accidental de los datos personales.
En ningún caso, la iniciación de acciones legales contra parte de los vecinos justifica la publicación de los datos personales de todos los asistentes a dicha Junta en actas a la vista en los expositores. Otros medios como un burofax o las cartas certificadas garantizan la protección de datos personales de los denunciados y del resto de vecinos.
RESOLUCIÓN
La Agencia ha resuelto sancionar a la Comunidad de Propietarios con una multa de 15.000 €, y para ello ha tenido en cuenta que se ha tratado de una acción negligente o sin intencionalidad pero significativa, en la que se han visto afectados datos personales de identificación.
