1/7 Procedimiento Nº: A/00091/2017 RESOLUCIÓN: R/01457/2017 En el procedimiento A/00091/2017, instruido por la Agencia Española de Protección de Datos en virtud de denuncia de D. A.A.A. (en representación de la entidad DEL PASO INVERSIONES Y PROMOCIONES INMOBILIARIAS S.L.) y en base a los siguientes, HECHOS PRIMERO: Con fecha 28 de abril de 2016 tiene entrada en esta Agencia escrito de denuncia de D. A.A.A. (en representación de la entidad DEL PASO INVERSIONES Y PROMOCIONES INMOBILIARIAS S.L.) (en lo sucesivo el denunciante), en el que comunica una posible infracción a la LOPD, motivada por la instalación de un sistema de videovigilancia en el EDIFICIO XXXX, (C/...1) (MÁLAGA) y cuyo titular es la entidad CARE REN, S.L. con CIF nº: B****** (en adelante el denunciado). En la denuncia se señala que la entidad denunciada y su representante D. B.B.B. han instalado un sistema de videovigilancia en espacios comunes de los bloques 15 y 16 de esta urbanización en la que la entidad denunciante posee 11 apartamentos sin solicitar autorización. Por otro lado, denuncia que en la recepción de The Harbour Club (ubicado también en esta urbanización y propiedad de la entidad denunciada) se encuentra situado un monitor en el que se reproducen las imágenes que captan las cámaras, siendo accesible a todo aquel que se encuentre en la recepción. Se aporta reportaje fotográfico, cinco fotografías, en las que se aprecia un monitor y dos cámaras en el interior de un edificio. SEGUNDO: La Inspección de Datos, con fechas 15 de diciembre de 2016 y 8 de febrero de 2017, requiere a la entidad CARE REN, S.L. información sobre el sistema de videovigilancia denunciado que está instalado en el EDIFICIO XXXX, (C/...1) (MÁLAGA), no habiéndose obtenido respuesta hasta la fecha. Dichos escritos fueron entregados en destino el día 23 de diciembre de 2016 y el día 9 de febrero de 2017. La Inspección de Datos, con fecha de 15 de diciembre de 2016 y de 8 de febrero de 2017, requiere a D. B.B.B. (apoderado de la entidad denunciada) información sobre el sistema de videovigilancia denunciado, no habiéndose obtenido respuesta hasta la fecha. El primer escrito fue devuelto a su origen por “ausente” y “caducado” y el segundo fue entregado en destino el día 21 de febrero de 2017. TERCERO: Con fecha 27 de marzo de 2017, la Directora de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento al denunciado, por presuntas infracciones de los artículos 6.1 y 4.1 de la LOPD, tipificadas como graves respectivamente en los artículos 44.3.
- b)y 44.3.
- c)de la citada ley orgánica. CUARTO: En fecha 4 de abril de 2017, se notificó el citado acuerdo de audiencia previa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 al procedimiento de apercibimiento a la entidad denunciada tal y como figura en la copia de acuse de recibo expedido por el Servicio de Correos y que forma parte de este expediente. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, el 27 de abril y 11 de mayo de 2017, se han registrado en esta Agencia, escritos de alegaciones de la entidad denunciada, en el que se pone de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid • La entidad denunciada remitió la información solicitada por esta Agencia en la fase de actuaciones previas, relativa a su sistema de videovigilancia por correo certificado el 7 de marzo de 2017, siendo registrada dicha documentación en esta Agencia el 9 de marzo de 2017, sin embargo no pudieron ser tenidas en cuenta por incorporarse al expediente en fecha posterior a la firma del acuerdo de audiencia previa al apercibimiento, sí van a ser tenidas en cuenta en esta resolución junto con el resto de alegaciones realizadas por la entidad denunciada. • En el edificio hay dos portales, números 15 y 16. En el número 16 sí hay constituida una comunidad de propietarios pero en el número 15 no, la gestión la lleva en su conjunto el propietario del edificio (entidad denunciada). El edificio es un aparta hotel y se explota bajo el norme comercial de “Harbour Club Apart Hotel”. Aportan copia de un acta de la Junta General Ordinaria de la Comunidad de Propietarios del portal 16, celebrada el 22 de marzo de 2016 en la que expresamente se recoge “En primer lugar, decir que la junta es de la C.P. El XXXX VI, que el Bloque 15 al ser de un único dueño y por acuerdo previo en acta lleva la gestión de su propiedad él mismo, por lo que se queda fuera de la gestión en la comunidad y como consecuencia de esta reunión. De la misma forma se acordó llevar comunidades distintas para el bloque 16, los locales y los garajes, como no se puede hacer, se llevaran las gestiones de los mismos de forma separada, atendiendo a grupos de reparto. Conclusión: La gestión que va a llevar la C.P. El XXXX VI de ahora en adelante comprende el Bloque 16 en su conjunto, con sus locales y garajes (por separación física), ya que el Bloque 15 la gestión la llevara su dueño y no se reflejará en las actas de la comunidad.” • El representante de la entidad denunciada, señala que han tenido serios conflictos con el denunciante que ha intentado una compraventa fraudulenta del Bloque 15 y aporta copia de dos sentencias judiciales. La sentencia de 9 de mayo de 2016 del Juzgado de Primera Instancia nº ** de Málaga en el Juicio Ordinario nº ****/14 en la que se establece que el denunciante no ejercitó la opción de compra pactada en tiempo y forma no pudiendo por tanto exigir el cumplimiento de las condiciones de la compraventa futura que se estableció en ese documento. La sentencia de 13 de octubre de 2015 del Juzgado de Primera Instancia nº ** de Málaga recaída en el procedimiento ordinario **/2014 en la que se estima la demanda presentada por la entidad CARE REN, S.L. y se declara la nulidad de la compraventa formalizada en escritura pública por www.agpd.es sedeagpd.gob.es 3/7 ausencia de causa y simulación en el precio. • El responsable del sistema de videovigilancia denunciado es la entidad CARE REN, S.L. con CIF nº: B-******. • La empresa instaladora del sistema es DHS 2020, S.L., aportan copia de la factura de 7 de junio de 2016. • La causa por la que se instaló el sistema de videovigilancia fue evitar el actos de vandalismo y robos en el edificio. • Las cámaras no graban imágenes sólo visualizan y las muestran en el monitor que se encuentra en la recepción del aparta hotel. • Hay 8 carteles que avisan de la existencia de una zona videovigilada distribuidos por el espacio del aparta hotel en los que se incluyen los datos del responsable de tratamiento. Aporta copia del cartel e imágenes de su ubicación. • Tienen formularios informativos que incluyen los contenidos del artículo 5.1 de la LOPD a disposición de los interesados en la recepción del edificio de aparta hotel. Facilitan copia del mismo. • El sistema de videovigilancia se compone de un monitor y de cuatro cámaras que son fijas y sin zoom. Adjunta fotos del monitor y de los dispositivos así como de su ubicación. Las cámaras sólo visualizan imágenes no graban y no captan imágenes de la vía pública sino únicamente del interior del edificio. • En su último escrito de alegaciones, la entidad denunciada aporta imágenes en las que se aprecia que se ha reorientado el monitor dirigiéndose hacia el interior de la oficina de recepción, de este modo sólo es visible para el personal autorizado y no para los clientes y público en general del establecimiento. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Antes de entrar de lleno en el análisis de la cuestión que aquí nos ocupa, es conveniente volver a recordar cuáles son los requisitos que debe cumplir un sistema de videovigilancia para ser acorde con la normativa de protección de datos: - Respetar el principio de proporcionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. - Se deberá cumplir el deber de informar a los afectados en el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006). En concreto: “
- a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.” Hay que tener en cuenta que el distintivo del apartado
- a)debe por un lado avisar de la existencia de una zona videovigilada y por otro debe identificar al responsable del tratamiento o, en caso de grabar imágenes, al responsable del fichero ante el que los interesados podrán ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD. - Salvo en el caso de que el tratamiento consista exclusivamente en la reproducción o emisión de imágenes en tiempo real, cuando se graben imágenes se deberá notificar previamente a esta Agencia la creación del fichero que contenga las imágenes para su inscripción en el Registro General de Protección de Datos. III El artículo 3 de la LOPD define datos de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables.” Se completa dicha definición con lo establecido en el artículo 5.1
- f)del Reglamento de Desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD) que señala que son datos de carácter personal “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. El principio de consentimiento es uno de los principios básicos de la protección de datos viene recogido en el artículo 6.1 de la LOPD que dispone que: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” En el caso que nos ocupa, del análisis de la documentación que en ese momento constaba formando parte del expediente, se desrpendía que la entidad denunciada había instalado cámaras en la urbanización en la que explota apartamentos turísticos y donde también hay otros propietarios como la entidad denunciante. Las cámaras podían estar captando espacios comunes (al entenderse que sí existía una comunidad de propietarios, tal y como se manifestaba en el escrito de denuncia). No constaba la autorización de la comunidad de propietarios para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 instalación de estas cámaras. El régimen que rige la forma de tomar acuerdos de las comunidades de propietarios, se establece en la Ley 49/1960, de 21 de julio de Propiedad Horizontal (LPH). El artículo 17 de esta ley regula el quórum y régimen de la aprobación de acuerdos por la Junta de Propietarios señalando que: “Los acuerdos de la Junta de propietarios se sujetarán a las siguientes normas: La unanimidad sólo será exigible para la validez de los acuerdos que impliquen la aprobación o modificación de las reglas contenidas en el título constitutivo de la propiedad horizontal o en los estatutos de la comunidad. El establecimiento o supresión de los servicios de ascensor, portería, conserjería, vigilancia u otros servicios comunes de interés general, incluso cuando supongan la modificación del título constitutivo o de los estatutos, requerirá el voto favorable de las tres quintas partes del total de los propietarios que, a su vez, representen las tres quintas partes de las cuotas de participación. El arrendamiento de elementos comunes que no tenga asignado un uso específico en el inmueble requerirá igualmente el voto favorable de las tres quintas partes del total de los propietarios que, a su vez, representen las tres quintas partes de las cuotas de participación, así como el consentimiento del propietario directamente afectado, si lo hubiere. (…) A los efectos establecidos en los párrafos anteriores de esta norma, se computarán como votos favorables los de aquellos propietarios ausentes de la Junta, debidamente citados, quienes una vez informados del acuerdo adoptado por los presentes, conforme al procedimiento establecido en el artículo 9, no manifiesten su discrepancia por comunicación a quien ejerza las funciones de secretario de la comunidad en el plazo de 30 días naturales, por cualquier medio que permita tener constancia de la recepción. Los acuerdos válidamente adoptados con arreglo a lo dispuesto en esta norma obligan a todos los propietarios”. La falta de autorización de la junta en una comunidad de propietarios para instalar cámaras que pueden captar elementos comunes, supone la vulneración del artículo 6.1 de la LOPD, ya que el tratamiento de imágenes que se realiza a través de ese sistema de videovigilancia no cuenta con la debida legitimación. No obstante lo anterior, en este supuesto concreto, no pudo tenerse en cuenta el escrito de alegaciones de la entidad denunciada que sí contestó al requerimiento de información realizado por parte de esta Agencia en la fase de actuaciones previas. Por esta razón, se partía del hecho de la existencia de una comunidad de propietarios en el edificio donde se han instalado las cámaras denunciadas. Una vez analizada toda la información obrante en el expediente (incluido el escrito de alegaciones citado anteriormente), cabe señalar que no hay constituida ninguna comunidad de propietarios en el edificio de la entidad denunciada. Hay dos bloques separados, el número 15 (dedicado a apartahotel y donde se instalan las cámaras) y el número 16 (donde sí hay constituida una comunidad de propietarios independiente). Así pues la entidad denunciada no tiene que solicitar la autorización de ninguna comunidad de propietarios para instalar el sistema de videovigilancia pues el edificio pertenece por entero a esta entidad que lo explota también en su totalidad como apartahotel. Las cámaras sólo captan el interior del edificio, no graban imágenes, hay carteles y formulario informativo. El sistema denunciado por tanto, no vulnera el artículo 6.1 de la LOPD ya que no es necesaria la autorización de la comunidad de propietarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 IV Se imputaba también a la entidad denunciada una infracción del artículo 4.1 de la LOPD, que dispone lo siguiente: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Este artículo consagra entre otros, el principio de proporcionalidad en el tratamiento de los datos de carácter personal que supone que el tratamiento de los datos sea ajustado y proporcional a la finalidad a la que se dirige el mismo, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La pertinencia en el tratamiento de los datos no sólo debe producirse en el ámbito de la recogida de los datos, sino que habrá de respetarse también en el posterior tratamiento que se realice de los mismos. Además hay que tener en cuenta que la finalidad del tratamiento debe presidir el mismo, de tal forma que no es aceptable que se traten datos excesivos, que exceden o que no son adecuados en relación con la misma (teniendo en cuenta que la finalidad debe ser legítima). Por esta razón, el uso y visualización de las imágenes captadas a través de un sistema de videovigilancia, se debe limitar a la finalidad de control de la seguridad del establecimiento donde está instalado. En este caso concreto, el tratamiento de las imágenes que podía efectuarse a través de su visualización en el monitor que está ubicado en la recepción del apartahotel, podía no ser pertinente ni proporcionado, ya que era accesible y visible por todos los clientes del apartahotel al estar dirigido hacia fuera. Las imágenes sólo deben visualizarse por las personas autorizadas para ello y legitimadas para llevar a cabo su tratamiento, teniendo en cuenta además que las imágenes que se visualizaban en este monitor reproducían espacios que no se encuentran a la vista de las personas que lo están mirando, pues hay varias cámaras distribuidas por el establecimiento. Esta circunstancia suponía la vulneración del artículo 4.1 de la LOPD. No obstante lo anterior, durante el trámite de audiencia previa al apercibimiento, la entidad denunciada ha manifestado que ha reorientado el monitor que reproduce las imágenes de las cámaras hacia el interior de la oficina donde se encuentra la recepción para que el mismo sea accesible y visible sólo por el personal autorizado, sin que puedan verlo los clientes que se encuentren en recepción. Y así lo acredita por medio de las imágenes que aporta en las que efectivamente se aprecia que el monitor ha sido reorientado de tal forma que los clientes del apartahotel sólo pueden ver la parte trasera del mismo y no las imágenes de las cámaras. V Así pues, durante el trámite de audiencia previa, la entidad denunciada ha acreditado que su sistema de videovigilancia no necesita de la autorización de la comunidad de propietarios pues todo el edificio es propiedad de la entidad y ha acreditado haber subsanado la irregularidad que vulneraba el artículo 4.1 de la LOPD, al haber reorientado el monitor que reproduce las imágenes de las cámaras. En este sentido, conviene traer a colación lo señalado por la Sentencia de la Audiencia Nacional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 de 29-11-2013, de acuerdo con cuyo Fundamento Jurídico SEXTO, los procedimientos de apercibimiento que finalizan sin requerimiento se deben resolver como archivo, debiendo estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno al denunciado, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad CARE REN, S.L. y a su apoderado D. B.B.B.. 3. NOTIFICAR la presente Resolución a D. A.A.A. (en representación de la entidad DEL PASO INVERSIONES Y PROMOCIONES INMOBILIARIAS S.L.). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es