A-00028-2016

1/8 Procedimiento Nº: A/00028/2016 RESOLUCIÓN: R/00785/2016 En el procedimiento A/00028/2016, instruido por la Agencia Española de Protección de Datos a la entidad SECOFUERT INVESTIGACION, S.L., vista la denuncia presentada por la DIRECCIÓN GENERAL DE LA POLICÍA y en virtud de los siguientes, HECHOS PRIMERO: Con fecha de 26 de marzo de 2015 tiene entrada en esta Agencia denuncia de la DIRECCIÓN GENERAL DE LA POLICÍA (en lo sucesivo el denunciante), en la que se comunica una posible infracción a la LOPD, motivada por la instalación de un sistema de videovigilancia en la calle E.E.E., cuyo titular es la entidad SECOFUERT INVESTIGACION, S.L. con CIF nº: B****** (en adelante el denunciado). En la denuncia de la policía se señala que el día 20 de febrero de 2015, los agentes actuantes observaron en una oficina situada en la A.A.A.), la instalación de un circuito cerrado de televisión con varias cámaras, dos de ellas exteriores, enfocando a la vía pública de forma permanente, pudiendo visionarse las imágenes a través de un monitor a la vista de los empleados y personas que acceden a la citada oficina. Se adjuntan fotografías de las cámaras, del cartel y del monitor. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, el 10 de septiembre de 2015, por los Servicios de Inspección de esta Agencia se solicitó información complementaria y colaboración a la Comisaría Local de Puerto del Rosario (denunciante), teniendo entrada en esta Agencia con fecha 21 de octubre de 2015 escrito de contestación, en el que se pone de manifiesto, lo siguiente: El cartel anunciador de la zona videovigilada no identifica a la persona física o jurídica ante quien ejercitar los derechos reconocidos en la LOPD respecto de las imágenes captadas.  El circuito cerrado de televisión consta de cuatro cámaras, una de las cuales capta imágenes de los transeúntes circulando por vía publica de forma continuada. La policía aporta fotografías tomadas durante la inspección, en las que se comprueba que la mayor parte del enfoque de dicha cámara está orientado a zona privada, y solo tangencialmente enfoca a zona pública, en la parte estrictamente necesaria para ver a la persona que esté llamando al portero electrónico.  Las imágenes captadas por la cámara enfocada al exterior aparecen reproducidas en el monitor que se encuentra encima del tablón de anuncios, pudiendo ser visionadas mediante la observación del monitor por todos aquéllos que acceden al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 recibidor. El acceso a las imágenes de la cámara uno es público.  No se ha podido establecer por los agentes actuantes el acceso al visionado de las cámaras dos a cuatro debido a que en el momento de la inspección el monitor señalado como dos se encuentra apagado y en el lugar no se encuentra los responsables del establecimiento. A juicio de los agentes actuantes, y según se aprecia en la direccionalidad de la cámara dos, esta parece también apuntar a la vía pública, si bien no se han podido comprobar las imágenes tomadas por dicha cámara por los motivos expuestos. Del examen del croquis aportado por los agentes se aprecia una imposibilidad material de que dicha cámara enfoque a la vía pública. En las fotografías se aprecia que dicha cámara está por debajo del nivel de la cancela, por lo que la cámara solo podrá captar la vía pública en tanto la cancela esté abierta.  No se ha podido establecer por los agentes actuantes acceso al sistema de grabación de las imágenes debido a que en el momento de la inspección el videograbador se encuentra apagado y la persona ante quien se realiza la inspección manifiesta carecer de conocimientos sobre el particular.  La finalidad de la instalación es la de control de acceso.  El sistema consta de cuatro cámaras, dos situada en los accesos al local, una en el hall de entrada y una más situada en un despacho. El sistema dispone de dos monitores, uno ubicado en el despacho de gerencia y otro en el recibidor de entrada, colocado en una pared a vista de todas las personas que accedan al mismo. Mediante escrito registrado en esta Agencia, el 6 de octubre de 2015, SECOFUERT da traslado a esta Agencia de copia de un escrito presentado a la Comisaría de la Policía Nacional en Puerto del Rosario, en donde se recogen los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid • En los carteles sí aparece identificado el responsable de la instalación ante quien pueden ejercitarse los derechos reconocidos en la LOPD, ya que consta expresamente, LA DIRECCIÓN, tal y como se verifica en las fotografías realizadas por la policía. • Las cámaras instaladas carecen de zoom y no tienen posibilidad de movimiento. • El único monitor que se encuentra encendido es el de la entrada principal, cuyas imágenes no son almacenadas. Funciona como mero portero automático. El segundo monitor, situado en el despacho de Gerencia permanece constantemente apagado, tal y como podrán comprobar en las fotografías que el operativo realizó en fecha de autos. www.agpd.es sedeagpd.gob.es 3/8 • La única persona responsable del fichero de videovigilancia, y así figura inscrita como tal en el mismo, es C.C.C.. Se adjunta copia del fichero de videovigilancia así como el nº de inscripción del mismo. Según dichos documentos, la entidad tiene inscritos dos ficheros de videovigilancia, con números de inscripción G.G.G. y F.F.F.. Dicha inscripción ha sido verificada en el Registro General de Protección de Datos, en las mismas aparece como responsable del fichero o tratamiento, la entidad denunciada, SECOFUERT INVESTIGACION, S.L. • Las imágenes de las cámaras del sistema que graban se almacenan por espacio de 7 días. • En las observaciones del acta levantada por la Policía Nacional se señala que una de las cámaras, concretamente la situada en el acceso a la oficina, obtiene imágenes de la vía pública. Respecto a esto, la entidad denunciada manifiesta que tal como quedaría reflejado en las fotografías tomadas por los agentes, esta cámara enfoca el timbre de entrada a dicha oficina. Además de esto, el acceso al local posee una cancela de más de 1,5 metros de altura por lo que –según la entidadno permite obtener imágenes de la vía pública, aun permaneciendo esta cancela abierta, la zona de vía pública que muestra es mínima, tal como estipula la legislación vigente. Ni durante la inspección realizada por la Policía Nacional ni en el posterior escrito de SECOFUERT se ha aportado documentación acreditativa de disponer del formulario informativo que, debidamente cumplimentado, tiene que estar a disposición de los ciudadanos según se recoge en el artículo 3.b de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006). TERCERO: Con fecha 11 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento a la entidad SECOFUERT INVESTIGACION, S.L., por presunta infracción de los artículos 5.1 y 4.1 de la LOPD, tipificadas respectivamente como leve y grave en los artículos 44.2.

1. c)y 44.3.
2. c)de la citada ley. CUARTO: En fecha 18 de febrero de 2016, se notificó el citado acuerdo de audiencia previa al procedimiento de apercibimiento a la entidad denunciada tal y como figura en la prueba de entrega expedido por el Servicio de Correos y que forma parte de este expediente. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, el 9 de marzo de 2016, se ha registrado en esta Agencia, escrito de alegaciones del representante de la denunciada (D. D.D.D.), en el que pone de manifiesto lo siguiente: • C/ Jorge Juan, 6 28001 – Madrid Han retirado el monitor que se encontraba encima del tablón de anuncios a la vista de todos los trabajadores de la empresa www.agpd.es sedeagpd.gob.es 4/8 y de los clientes que entraban en la oficina y así lo acreditan con una fotografía en la que ya no se aprecia la presencia del monitor. • Han incluido en el dispositivo informativo que avisa de la existencia de una zona videovigilada la identificación concreta del responsable del tratamiento, sustituyéndola por la genérica “la Dirección” que figuraba anteriormente. • Pese a haber retirado el monitor alegan que en este se reproducían las imágenes de una de las cámaras que no grababa sino que sólo visualizaba. Ese monitor se utilizaba como portero automático para controlar el acceso a la oficina. De hecho las únicas personas cuya imagen se capta son las que tocan el timbre de la oficina. • Este monitor solo se utiliza los lunes y los viernes, días de atención a los usuarios en la oficina, en noviembre de 2015 se pensó en sustituirlo por un portero doméstico, se aportan distintos presupuestos solicitados para el cambio. • Invocan el informe jurídico de esta Agencia 0294/2009 y el 52/2013 y la presunción de inocencia. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37
3. g)en relación con el artículo 36 de la LOPD. II Antes de entrar de lleno en el análisis de la cuestión que aquí nos ocupa, es conveniente volver a recordar los requisitos que debe cumplir un sistema de videovigilancia para ser acorde con la normativa de protección de datos. Así pues hay que tener en cuenta lo siguiente: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 7 de la Ley 23/92 de Seguridad Privada. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 - Se deberá cumplir el deber de informar a los afectados en el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006). En concreto: “
4. a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
5. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.” Hay que tener en cuenta que el distintivo del apartado
6. a)debe por un lado avisar de la existencia de una zona videovigilada y por otro debe identificar al responsable del tratamiento o, en caso de grabar imágenes, al responsable del fichero ante el que los interesados podrán ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD. - Salvo en el caso de que el tratamiento consista exclusivamente en la reproducción o emisión de imágenes en tiempo real, cuando se graben imágenes se deberá notificar previamente a esta Agencia la creación del fichero que contenga las imágenes para su inscripción en el Registro General de Protección de Datos. III Se imputa a la entidad denunciada, la posible vulneración del artículo 5 de la LOPD, tipificada como infracción leve. A pesar de que la entidad denunciada tenía expuestos carteles informativos de la existencia de una zona videovigilada en el acceso a la oficina no identificaba en los mismos al responsable (nombre y dirección de contacto) del tratamiento. Esta circunstancia suponía la comisión, por parte de la entidad denunciada de una infracción del artículo 5.1 de la LOPD, según el cual: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
8. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
9. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
10. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
11. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. En relación con el deber de información en materia de videovigilancia, debe tenerse en cuenta lo establecido en el artículo 3
12. a)y Anexo de la Instrucción 1/2006 en relación con los hechos que aquí se denuncian respecto a la forma en que debe cumplirse con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 deber de información, el tenor literal de estos preceptos expresa: “Artículo 3. Información. Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en el artículo 5 de La Ley Orgánica 15/1999, de 13 de diciembre. A tal fin deberán:
13. a)Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
14. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.” “Anexo: El distintivo informativo a que se refiere el artículo 3.
15. a)de la presente Instrucción deberá de incluir una referencia a la «LEY ORGÁNICA 15/1999, DE PROTECCIÓN DE DATOS», incluirá una mención a la finalidad para la que se tratan los datos («ZONA VIDEOVIGILADA»), y una mención expresa a la identificación del responsable ante quien puedan ejercitarse los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” En sus alegaciones en el trámite de audiencia la entidad denunciada ha acreditado haber introducido en los carteles informativos expuestos, la identificación del responsable del tratamiento. También ha puesto de manifiesto que tiene a disposición de los interesados formularios con la información exigida en la normativa expuesta, con lo que debe entenderse cumplida la obligación de información regulada en el artículo 5 de la LOPD. IV El artículo 4 de la LOPD dispone lo siguiente: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. Este artículo consagra entre otros, el principio de proporcionalidad en el tratamiento de los datos de carácter personal que supone que el tratamiento de los datos sea ajustado y proporcional a la finalidad a la que se dirige el mismo, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos, al igual que debe limitarse el número de personas que pueden tratar los datos al responsable o encargado del tratamiento, pues el titular de los datos debe conocer quién va a tratarlos siendo esto dificultoso en el caso en el que un número indeterminado de personas pueda acceder a los datos (imágenes). La entidad denunciada ha alegado dos informes jurídicos para fundamentar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 proporcionalidad en relación con el monitor situado en el tablón de anuncios pues entiende que al utilizarse como videoportero sólo durante dos días a la semana, los datos personales que se tratan no son excesivos, en realidad la cuestión aquí no es el número de titulares de datos de carácter personal que pueden ser captados por la cámara (imágenes de personas que acceden a la oficina), sino el número de personas que pueden tratar esos datos al poder visualizarlos, ya que el monitor se encuentra en un lugar accesible para un número indeterminado de personas. La pertinencia en el tratamiento de los datos no sólo debe producirse en el ámbito de la recogida de los datos, sino que habrá de respetarse también en el posterior tratamiento que se realice de los mismos. Este principio se encuentra recogido también, en el artículo 6 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24/10/1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y aparece también reflejado en el Convenio 108, cuyo artículo 5
16. c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. Por tanto, el tratamiento que se efectúa, de las imágenes a través de su visualización en el monitor situado en el tablón de anuncios, no es pertinente ni proporcionado, ya que las imágenes son accesibles y visibles para toda persona que trabaje y entre en el establecimiento (un número indeterminado de personas). Las imágenes sólo deben visualizarse por las personas autorizadas para ello y legitimadas para llevar a cabo su tratamiento, teniendo en cuenta además que las imágenes que se visualizan en el monitor reproducen espacios que no se encuentran a la vista ya que se reproduce el espacio que se encuentra tras la puerta de acceso al establecimiento. En las alegaciones realizadas en el trámite de audiencia, la entidad denunciada ha puesto de manifiesto y ha acreditado que ha retirado el monitor del lugar en el que estaba, a la vista de un número indeterminado de personas. V Así pues, durante la tramitación de este procedimiento, la entidad denunciada ha aportado varias imágenes para acreditar las medidas que ha aplicado a su sistema de videovigilancia. Se ha retirado el monitor de la situación en la que estaba (junto al tablón de anuncios y a la vista de un número de personas indeterminado) y se han introducido los datos identificativos del responsable del tratamiento en los carteles informativos expuestos que avisan de la existencia de una zona videovigilada. De esta forma se han subsanado las irregularidades detectadas. En este sentido, conviene traer a colación lo señalado por la Sentencia de la Audiencia Nacional de 29 de noviembre de 2013, de acuerdo con cuyo Fundamento Jurídico SEXTO, los procedimientos de apercibimiento que finalizan sin requerimiento se deben resolver como archivo, debiendo estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad SECOFUERT INVESTIGACION, S.L. y a la DIRECCIÓN GENERAL DE LA POLICÍA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es