A-00095-2014

1/9 Procedimiento Nº: A/00095/2014 RESOLUCIÓN: R/01630/2014 En el procedimiento A/00095/2014, instruido por la Agencia Española de Protección de Datos a la ante la entidad UDON BARCELONA, S.L. con CIF nº: ********, vista la denuncia presentada por D. D.D.D., Dª C.C.C., Dª A.A.A. y Dª B.B.B., y en base a los siguientes, HECHOS PRIMERO: Con fecha 21 de mayo de 2013, tiene entrada en esta Agencia el escrito de la Autoritat Catalana de Protecció de Dades, dando traslado a la denuncia (en escrito conjunto) interpuesta por D. D.D.D., Dª C.C.C., Dª A.A.A. y Dª B.B.B. (en lo sucesivo los denunciantes), poniendo de manifiesto una posible infracción a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) motivada por la instalación de videocámaras en varias sedes de la entidad UDON BARCELONA, S.L. con CIF nº: ******** (en adelante el denunciado) en concreto en las situadas en las calles (C/...............1) y (C/...............2) de BARCELONA. Los denunciantes señalan que en los centros denunciados hay instaladas cámaras de videovigilancia enfocando lavabos, zonas de descanso y vestuarios. Aportan un CD con tres grabaciones de cada una de las sedes denunciadas, en los que se aprecia la existencia de cámaras en una especie de almacén donde están situadas las taquillas de los trabajadores. Los denunciantes también manifiestan que la entidad no ha informado a sus trabajadores de la instalación del sistema de videovigilancia y que en numerosas ocasiones ha dado muestra de controlarlos con las cámaras pues ha exigido mayor actividad a algunos trabajadores pues han observado a través de las cámaras que no trabajaban lo suficiente. No aportan ningún elemento que sirva para acreditar esta última manifestación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, el 11 de diciembre de 2013, por los Servicios de Inspección de esta Agencia se solicitó información al denunciado, que contestó a través de escrito registrado el 13 de enero de 2014, en el que se pone de manifiesto lo siguiente: - C/ Jorge Juan, 6 28001 – Madrid No informan del número de cámaras instaladas en cada centro. No aportan reportaje fotográfico de las cámaras instaladas ni de las imágenes que captura cada una de ellas. No informan del tiempo de conservación de las imágenes. La instalación de los sistemas de videovigilancia en los indicados locales, la realiza la empresa SIGHORE, S.L., proveedora en materia de montajes de instalaciones informáticas, y especializada en el sector de la hostelería. Aportan copia de las facturas relativas a los trabajos de instalación. www.agpd.es sedeagpd.gob.es 2/9 - - - La instalación de los sistemas de videovigilancia, en los distintos locales de la empresa, se lleva a cabo por motivos de seguridad, concretamente se decide su instalación a raíz de la comisión de diversos hurtos, en alguno de sus establecimientos. Aportan fotografías de los distintos carteles colocados en los tres locales, en los cuales se informa de la existencia de una zona videovigilada y se identifica al responsable ante el que ejercer los derechos reconocidos en la LOPD. Acompañan copia de un ejemplar del modelo de formulario informativo que se encuentra a disposición de quien lo requiriera. Respecto al procedimiento empleado para informar a los trabajadores, acerca del la finalidad por la cual se han instalado las cámaras de videovigilancia, la entidad denunciada señala que no se ha creído necesario informar a los trabajadores de forma específica ya que la finalidad de las cámaras no es el control laboral sino la videovigilancia. Añaden que si en un futuro se quisiera utilizar las cámaras para el control laboral, modificarían la finalidad del fichero inscrito y procederían a informar a los trabajadores. A través de diligencia de 15 de abril de 2014 de consulta al Registro General de Protección de Datos, se ha comprobado la existencia de un fichero inscrito denominado VIDEOVIGILANCIA con el código ***COD.1 cuyo responsable es la empresa UDON BARCELONA, S.L. TERCERO: Con fecha 14 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento a la entidad UDON BARCELONA, S.L. con CIF nº: ********, por presuntas infracciones de los apartados 1 y 5 del artículo 4 de la LOPD, tipificadas como graves en el artículo 44.3.

1. c)de dicha norma. CUARTO: En fecha 23 de mayo de 2014, se notificó el citado acuerdo de audiencia previa al procedimiento de apercibimiento a la entidad denunciada tal y como figura en la copia de acuse de recibo expedido por el Servicio de Correos y que forma parte de este expediente. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, el 13 de junio de 2014, se ha recibido en esta Agencia, escrito de la entidad denunciada, en el que alega lo siguiente: - La intención de la entidad denunciada no es la de no colaborar con la Agencia Española de Protección de Datos, si no ha facilitado determinada información, tales como el tiempo de conservación de las imágenes o la zona de captación de las cámaras denunciadas, es porque en la solicitud de información realizada desde esta Agencia no se contenían dichos extremos. - En relación con el tiempo de conservación de las imágenes, ya que las cámaras graban, manifiestan que no excede de 30 días tal y como establece la Instrucción 1/2006. Aportan para acreditarlo certificación expedida el 27 de mayo de 2014, por el administrador de la empresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 INSTRONIC 2000, S.L. que instaló las cámaras. - Respecto a la captación de imágenes en zonas como comedores, taquillas, lavabos o zonas de descanso, señalan que no se captan imágenes en ninguno de esos espacios y para acreditarlo aportan imágenes de la zona de captación de las distintas cámaras así como la certificación de la empresa instaladora ya citada. - La entidad denunciada realiza una serie de aclaraciones que tienen que ver con las cámaras instaladas en sus restaurantes de la calle Tallers, calle Princesa y calle Consell de Cent aportando plano con la situación de las mismas: o o En el momento de la toma de imágenes que se aportan con este escrito, había una cámara estropeada en el restaurante de la calle Tallers, no les ha sido posible remitir las imágenes de esa cámara pero la situación de la misma en una esquina del comedor hace evidente el que no capte imágenes en espacios íntimos (vestuarios, zonas de descanso…). En los restaurantes de la calle Tallers y de la calle Consell de Cent hay cámaras en unos almacenes (a los que debe referirse la denuncia) que no están operativas pero que no se han retirado por razones disuasorias para evitar el robo de género de estos almacenes. De hecho en las imágenes aportadas de la cámara instalada en el local de la calle Consell de Cent se aprecia que el aparato no tiene cable. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Antes de entrar de lleno en el análisis de la cuestión que aquí nos ocupa, es conveniente hacer hincapié en los requisitos que debe cumplir un sistema de videovigilancia para ser acorde con la normativa de protección de datos ya que la presencia del mismo puede suponer una vulneración del requisito de consentimiento de los afectados. Así pues hay que tener en cuenta lo siguiente: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 7 de la Ley 23/92 de Seguridad Privada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. - Se deberá cumplir el deber de informar a los afectados en el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006). En concreto: “
3. a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
4. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.” - Salvo en el caso de que el tratamiento consista exclusivamente en la reproducción o emisión de imágenes en tiempo real, se deberá notificar previamente a esta Agencia la creación del fichero que contenga las imágenes para su inscripción en el Registro General de Protección de Datos. III En primer lugar, conviene realizar una aclaración a las alegaciones de la entidad denunciada. En su escrito esta entidad señala que no ha facilitado determinada información a esta Agencia porque no se la hemos solicitado y aporta para acreditarlo copia de la solicitud de información de 11 de diciembre de 2013 con referencia: 331104/2013, en la que se incluyen sólo dos páginas cuando en el propio escrito como encabezado de cada una de las páginas en su margen superior derecho aparece: 1/3 y 3/3. Esta Agencia remitió además de esa solicitud de información otra más con referencia: 268284/2013, enviada el 11 de octubre de 2013. En ambas solicitudes de información se piden fotografías de las cámaras y de la imagen captada por cada una de ellas, así como en el caso de grabación, detalles del sistema utilizado, acceso al mismo y tiempo de conservación de las imágenes. La copia que ha remitido la entidad denunciada para apoyar su alegación contiene sólo dos hojas (aunque en la paginación aparece 1/3 y 3/3), cuando el documento tenía tres páginas impresas en dos hojas, en la página 2/3 (cuya copia no se aporta) se concretaba la información antes citada. IV Se imputa a la entidad UDON BARCELONA, S.L. con CIF nº: ******** como responsable de los sistemas de videovigilancia instalados en sus locales de las calles (C/...............1) y (C/...............2) de BARCELONA, por la comisión de una infracción del apartado 5 y otra del apartado 1 del artículo 4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 El artículo 4.5 de la LOPD, dispone lo siguiente: “5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados... Está exigencia deriva del principio de calidad de los datos y hay que ponerla a su vez en relación con el artículo 6 de la Instrucción 1/2006, que establece: “Cancelación.- Los datos serán cancelados en el plazo máximo de un mes desde su captación.” Es decir, que las imágenes grabadas por las cámaras de un sistema de videovigilancia deberán cancelarse tal y como se recoge en la Instrucción 1/2006 como máximo en un plazo de 30 días para de esta forma respetar la proporcionalidad en el tratamiento de datos evitando el tratamiento de aquellos que han dejado de ser necesarios y respetando la calidad de los mismos al cancelarlos una vez se haya conseguido la finalidad para la que hubieran sido recabados. En el caso que nos ocupa, durante la fase de actuaciones previas, la entidad denunciada no ha aportado información relativa al tiempo de conservación de las imágenes teniendo en cuenta que las cámaras que forman parte de sus sistemas de videovigilancia graban y almacenan imágenes. Esta infracción aparece tipificada como grave en el artículo 44.3.
5. c)de la LOPD, que considera como tal: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. No obstante lo anterior, en las alegaciones al acuerdo de audiencia previa realizadas por la entidad denunciada, se afirma que el videograbador no almacena imágenes por tiempo superior a 30 días, respetando por tanto los preceptos legales. Aporta para acreditarlo una certificación del administrador de la empresa instaladora de las cámaras: INSTRONIC 2000, S.L. V En relación con la infracción del artículo 4.1 de la LOPD, cabe señalar que la LOPD regula en su artículo 4 el principio de calidad de datos, que contiene a su vez el principio de proporcionalidad, aplicable al supuesto de hecho que nos ocupa, en lo relativo a la captación de imágenes en un almacén donde además de conservarse el género de los restaurantes se encuentran las taquillas de los trabajadores y el lugar donde se ponen el uniforme. La LOPD garantiza el cumplimiento del principio de proporcionalidad en todo tratamiento de datos personales, cuando señala en su artículo 4 que: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. En este sentido, el Dictamen 4/2004, del Grupo de Trabajo del artículo 29 de la Directiva 95/46/CE del parlamento europeo y del consejo de 24 de octubre relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en relación al tratamiento de datos personales mediante vigilancia por videocámara, apartado D), señala lo siguiente: “D) Proporcionalidad del recurso a la vigilancia por videocámara. El principio según el cual los datos deberán ser adecuados y proporcionales al fin perseguido significa, en primer lugar, que el circuito cerrado de televisión y otros sistemas similares de vigilancia por videocámara sólo podrán utilizarse con carácter subsidiario, es decir: con fines que realmente justifiquen el recurso a tales sistemas. Dicho principio de proporcionalidad supone que se pueden utilizar estos sistemas cuando otras medidas de prevención, protección y seguridad, de naturaleza física o lógica, que no requieran captación de imágenes (por ejemplo, la utilización de puertas blindadas para combatir el vandalismo, la instalación de puertas automáticas y dispositivos de seguridad, sistemas combinados de alarma, sistemas mejores y más potentes de alumbrado nocturno en las calles, etc.) resulten claramente insuficientes o inaplicables en relación con los fines legítimos mencionados anteriormente”. El principio de proporcionalidad en materia de videovigilancia también aparece recogido en la Instrucción 1/2006, en su artículo 4, cuyo contenido establece que: “1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida”. El cumplimiento del principio de proporcionalidad, está íntimamente ligado a la finalidad perseguida con la instalación de un sistema de videovigilancia, que en todo caso deberá C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 ser legítima y proporcionada. Así se desprende de la Sentencia del Tribunal Constitucional 207/1996 que determina que la proporcionalidad es: «una exigencia común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad, y más en particular de las medidas restrictivas de derechos fundamentales adoptadas en el curso de un proceso penal viene determinada por la estricta observancia del principio de proporcionalidad. En este sentido, hemos destacado que, para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres siguientes requisitos o condiciones <<si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)”. En el caso que nos ocupa, la finalidad de seguridad que se persigue con la instalación de un sistema de videovigilancia para evitar hurtos, se consigue sin necesidad de captar imágenes de personas identificadas o identificables en el lugar donde se encuentran las taquillas del personal que por la propia distribución de los establecimientos denunciados, puede servir también para vestuario de los trabajadores. En estos espacios por su propia naturaleza, las personas llevan a cabo actividades cuya captación gráfica (imágenes grabadas o visualizadas) puede vulnerar los derechos a la intimidad y a la propia imagen de los afectados además del derecho a la protección de sus datos personales (la imagen lo es). Deberán tenerse en cuenta estas circunstancias de tal forma que la grabación de imágenes de personas identificadas o identificables en estos espacios, resulta desproporcionada para la finalidad perseguida. El artículo 44.3.
6. c)de la LOPD tipifica como infracción grave:
7. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave. VI No obstante lo anterior, durante la tramitación de este procedimiento, la entidad denunciada ha manifestado que las dos cámaras instaladas en almacenes donde también se encuentran las taquillas de los trabajadores, no están operativas y que se mantienen con efectos disuasorios para evitar el robo del material conservado en los almacenes. Afirma por tanto, que no se captan ni graban imágenes en lugares en los que por su propia naturaleza, las personas llevan a cabo actividades cuya captación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 gráfica puede vulnerar los derechos a la intimidad y a la propia imagen de los afectados. Así pues, al no existir constancia de que las dos cámaras instaladas en los almacenes de las calles Consell de Cent y Tallers, funcionen y capten imágenes de personas, y de acuerdo con el principio de presunción de inocencia, que impide imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor, se determina en el presente caso resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. No obstante, resultaría plenamente fundada la imposición de una sanción si en el futuro continuaran ubicadas estas cámaras en los lugares donde se encuentren las taquillas/vestuario de los trabajadores, pues tal situación es susceptible de crear una expectativa de captación indebida de imágenes. En consecuencia, de acuerdo con lo previsto en los apartados
8. a)y
9. f)del artículo 37 de la LOPD se le requiere formalmente para que retire la cámara pudiendo imputarse en caso contrario la comisión de las infracciones que resulten de la aplicación del artículo 44 de la LOPD que podrían derivar en la imposición de las correspondientes sanciones recogidas en el artículo 45 de la misma ley. En consecuencia, De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad UDON BARCELONA, S.L. y a D. D.D.D., Dª C.C.C., Dª A.A.A. y Dª B.B.B. (en la dirección indicada en su escrito conjunto). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos En cumplimiento del artículo 5 de la Ley Orgánica 15/1999, se le informa de que los datos de carácter personal se incluyen en el fichero denominado “Expedientes de la Inspección de Datos”, creado por Resolución de 27 de julio de 2001. La finalidad del fichero es la gestión y tramitación de expedientes de la Inspección de Datos. Pueden ser destinatarios de la información los interesados en los procedimientos, los órganos jurisdiccionales, el Ministerio Fiscal, el Defensor del Pueblo, otras Autoridades de Control, las Administraciones Públicas y las Cortes Generales. El afectado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición ante el responsable del tratamiento, la Agencia Española de Protección de Datos, calle Jorge Juan nº 6, 28001 Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es