A-00091-2018

1/7 Procedimiento Nº: A/00091/2018 RESOLUCIÓN: R/01348/2018 En el procedimiento A/00091/2018, instruido por la Agencia Española de Protección de Datos en virtud de denuncia de D. B.B.B. y en base a los siguientes, HECHOS PRIMERO: Con fecha 24 de enero de 2018 tiene entrada en esta Agencia escrito de D. B.B.B. (en adelante el denunciante), comunicando una posible infracción a la LOPD motivada por la instalación de cámaras de video-vigilancia en el establecimiento denominado “GIMNASIO RADICAL " situado en la ***DIRECCION.1, cuyo titular es la D. A.A.A. (en lo sucesivo el denunciado). Se denuncia la instalación de cámaras de videovigilancia en un centro deportivo (gimnasio) sin informar a los trabajadores, con un total de 8 cámaras, incluyendo algunas que apuntan a la entrada del vestuario masculino que pueden grabar en su interior si no se cierra la puerta. El denunciante también indica que ha visto al responsable del centro visionando las imágenes, accediendo desde su portátil y su dispositivo móvil. Hay una cámara en la sala de usos múltiples donde se realizan estiramientos. También la sala que los empleados utilizaban antes de la instalación de la cámara como zona de descanso, no disponiendo en la actualidad de zona de descanso libre de cámaras. Y, entre otra, anexa la siguiente documentación:  Reportaje fotográfico en el que se observa la existencia de cámaras instaladas en zonas de práctica deportiva. Se observa también una cámara en una pequeña sala con sillas.  No aporta documentación acreditativa, evidencia o indicio de que las cámaras hayan sido utilizadas para control laboral. SEGUNDO. Con fecha 1 de febrero de 2018, por parte de los Servicios de Inspección de esta Agencia, se solicita información al responsable del sistema de videovigilancia denunciado. El 19 de febrero de 2018 tiene entrada en esta Agencia, escrito de respuesta la empresa de seguridad que da servicio al denunciado, ACACIO SISTEMAS DE ALARMA, S.L., en el que se pone de manifiesto lo siguiente:  El responsable del sistema es D. A.A.A..  Respecto de los lugares donde se encuentran ubicadas las cámaras de videovigilancia: Se encuentran instaladas ocho cámaras, todas interiores, en diferentes ubicaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Aportan plano de los lugares donde se ubican las cámaras citadas y fotografías de las mismas. Aportan también fotografías del campo de visión de las cámaras, verificándose lo siguiente: La cámara 1 recoge la sala de “cardio”. La cámara 2 recoge la sala de “peso libre” o pesas. La cámara 3 recoge la recepción y zona de vending. La cámara 4 recoge la sala colectiva (de usos múltiples). Las cámaras 5 y 6 recogen la sala de musculación con máquinas de fitness.  La cámara 7 capta un almacén.  La cámara 8 capta un Hall (o pequeña sala distribuidora rodeada de puertas) con varias sillas s su alrededor.       La finalidad de la instalación es la seguridad, para que desde la CRA (Central Receptor de Alarmas) se puedan consultar las imágenes en caso de salto de alarma.  La instalación la realizó ACACIO SISTEMAS DE ALARMA, S.L., empresa de seguridad con el número 2765. Adjuntan copia de un contrato de servicios de seguridad suscrito entre el denunciado y la empresa ACACIO SISTEMAS DE ALARMA, S.L. firmado el 21 de julio de 2017.  Respecto de la información facilitada sobre la existencia de cámaras, el denunciado aporta dos fotografías de un cartel donde se informa de la existencia de cámaras de videovigilancia, así como del responsable ante el que ejercitar los derechos reconocidos por la LOPD. Según las fotografías aportadas el cartel se encuentra en el acceso a las instalaciones. Aportan también copia del formulario informativo a disposición de los interesados en el que se detalla cómo finalidad de la captación de las imágenes exclusivamente la seguridad.  En relación con las personas que pueden acceder al sistema de videovigilancia, manifiestan que solo accede el responsable del fichero, así como personal técnico de la empresa de seguridad para mantenimiento en caso necesario, y los operadores de la CRA en el caso de salto de alarma para la verificación por imagen del evento (en este último caso cuando la alarma se encuentra conectada y por tanto encontrándose las instalaciones sin personal ni clientes).  El sistema almacena las imágenes en un grabador de 8 entradas durante 11 días. El código de inscripción del fichero en el Registro General de Protección de Datos de esta Agencia es el ***CODIGO.1. TERCERO: Con fecha 26 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento a la entidad denunciada, por presunta infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.

1. c)de la citada ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 CUARTO: En fecha 17 de abril de 2018, se notificó el citado acuerdo de audiencia previa al procedimiento de apercibimiento a la entidad denunciada tal y como figura en el certificado emitido por el Servicio de Correos que forma parte del expediente. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, el 27 de abril y el 21 de mayo de 2018, se han registrado en esta Agencia, escritos de alegaciones de la entidad denunciada, en los que se pone de manifiesto lo siguiente:  Los hechos recogidos en la denuncia carecen de fundamento. El sistema de videovigilancia denunciado se instaló con una finalidad de seguridad no de control laboral (y así se recoge en el informe de la empresa instaladora y en la inscripción del fichero de videovigilancia) por lo que no hay una obligación de informar a los trabajadores de forma individualizada.  La cámara que apunta a la puerta del vestuario masculino, lo único que capta cuando la puerta está abierta es una pared (aporta fotografía). De todos modos, esta puerta nunca está abierta, pues dispone de un sistema de muelles que impide que se quede abierta (aporta fotografía).  Ninguna cámara está orientada o captando zonas de descanso de los trabajadores, la zona a la que se alude en la denuncia es una zona de paso a un almacén y a una sala colectiva de ejercicios (aporta fotografía).  En relación con la vulneración del principio de proporcionalidad, la entidad actuó de buena fe pues desconocía que no se podían instalar cámaras en las salas de aparatos y tampoco fue informada por la empresa instaladora. Además las cámaras están colocadas a tal distancia y posición que hacen muy difícil la identificación de las personas que se encuentran en la sala.  Tras recibir el acuerdo de audiencia previa al apercibimiento, han solicitado a la empresa instaladora ACACIO SISTEMAS DE ALARMA, S.L., empresa de seguridad inscrita con el número 2765, que configure el videograbador para que las cámaras 1, 2, 4, 5 y 6 sólo graben imágenes y las almacenen en el disco duro cuando el gimnasio permanece cerrado al público. Tienen expuestos carteles informativos para los usuarios del gimnasio en los que se detalla el horario de grabación de las cámaras. (Aportan copia del cartel e informe de la empresa ACACIO SISTEMAS DE ALARMA, S.L. en el que se señala que las cámaras 1, 2, 4, 5 y 6 “únicamente almacenen grabaciones en el disco duro en los tramos horarios que nos ha solicitado nuestro cliente. Se detallan los tramos horarios en los que sí se almacenan grabaciones de estas cámaras: de lunes a jueves comienzan a grabar de 22:30 hasta las 07:00 del día siguiente; viernes comienzan a grabar de 22:00 hasta las 10:00 del día siguiente; sábados comienzan a grabar a las 13:00 hasta las 07:00 del lunes. Dicha configuración queda realizada en fecha 11/05/2018.” FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Antes de entrar de lleno en el análisis de la cuestión que aquí nos ocupa, es conveniente volver a recordar cuáles son los requisitos que debe cumplir un sistema de videovigilancia para ser acorde con la normativa de protección de datos: - Respetar el principio de proporcionalidad. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. - Se deberá cumplir el deber de informar a los afectados en el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006). En concreto: “
3. a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
4. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.” Hay que tener en cuenta que el distintivo del apartado
5. a)debe por un lado avisar de la existencia de una zona videovigilada y por otro debe identificar al responsable del tratamiento o, en caso de grabar imágenes, al responsable del fichero ante el que los interesados podrán ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD. III El artículo 3.
6. a)de la LOPD define datos de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables.” Se completa dicha definición con lo establecido en el artículo 5.1
7. f)del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que señala que son datos de carácter personal “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. El apartado
8. c)del artículo 3 de la LOPD recoge la definición de tratamiento de datos, entendiendo por tal “… operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Del examen de la documentación obrante en el expediente, se desprendía que varias cámaras del sistema denunciado (números 1, 2, 4, 5 y 6) captan espacios como la sala de cardio, de pesas, de musculación, de actividades colectivas y de fitness dentro del gimnasio, en los que el tratamiento de las imágenes vulneraba el principio de proporcionalidad regulado en el artículo 4.1 de la LOPD, que dispone lo siguiente: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” El principio de proporcionalidad en el tratamiento de los datos de carácter personal supone que el tratamiento de los datos sea ajustado y proporcionado a la finalidad a la que se dirige ese tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La Instrucción 1/2006, regula en su artículo 4, el principio de proporcionalidad en el tratamiento de los datos en el ámbito de la videovigilancia, en los siguientes términos: “1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.” El denunciado tiene declarada como finalidad de su sistema de videovigilancia: la videovigilancia (seguridad). Este fin se puede conseguir sin necesidad de captar imágenes de personas identificadas o identificables en las zonas del gimnasio como la sala de cardio (cámara 1), de pesas (cámara 2), de actividades colectivas (cámara 4), de musculación (cámara 5) y de fitness (cámara 6). En estos espacios por su propia naturaleza, las personas llevan a cabo actividades cuya captación gráfica (imágenes grabadas o visualizadas) puede afectar fuertemente a los derechos a la intimidad y al derecho a la propia imagen de los afectados además del derecho a la protección de sus datos personales (la imagen lo es). Deberán tenerse en cuenta estas circunstancias de tal forma que la grabación de imágenes de personas identificadas o identificables en estos espacios, resulta desproporcionada en relación con la finalidad de seguridad que se persigue, pudiendo utilizarse otros medios menos intrusivos para reforzar la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 En sus alegaciones durante el trámite de audiencia previa, la entidad denunciada alega y acredita haber solicitado a la empresa instaladora ACACIO SISTEMAS DE ALARMA, S.L. para que configure el videograbador de tal forma que las cámaras sólo graban imágenes cuando el gimnasio está cerrado al público (de lunes a jueves de 22:30 a 07:00 horas del día siguiente; viernes de 22:00 a 10:00 horas del día siguiente y sábados de 13:00 a 07:00 horas del lunes). De esta forma no se grabará a ninguna persona ejercitándose en las salas del gimnasio. Llegados a este punto, es obligado recordar a la entidad denunciada que las cámaras 1, 2, 4, 5 y 6 no sólo deben grabar imágenes en el horario en que el gimnasio esté cerrado al público, sino que deben tener en cuenta que sólo podrán visualizarse imágenes captadas por estas cámaras dentro de ese horario. Es decir, que si se visualizan las imágenes captadas por esas cámaras en un monitor, móvil o cualquier otro dispositivo en tiempo real, sólo podrán visionarse durante el horario en que el gimnasio está cerrado al público. IV Así pues, durante el trámite de audiencia previa, la entidad denunciada ha acreditado haber subsanado las irregularidades de su sistema de videovigilancia. En este sentido, conviene traer a colación lo señalado por la Sentencia de la Audiencia Nacional de 29-11-2013, de acuerdo con cuyo Fundamento Jurídico SEXTO, los procedimientos de apercibimiento que finalizan sin requerimiento se deben resolver como archivo, debiendo estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a D. A.A.A. (GIMNASIO RADICAL). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es