A-00251-2017

1/8 Procedimiento Nº: A/00251/2017 RESOLUCIÓN: R/02822/2017 En el procedimiento A/00251/2017, instruido por la Agencia Española de Protección de Datos en virtud de denuncia de la DIRECCIÓN GENERAL DE LA POLICÍA (BRIGADA PROV. SEG. CUDADANA SECCIÓN DE SEGURIDAD PRIVADA) y en base a los siguientes, HECHOS PRIMERO: Con fecha 13 de octubre de 2016 tiene entrada en esta Agencia escrito de DIRECCIÓN GENERAL DE LA POLICÍA (BRIGADA PROV. SEG. CUDADANA SECCIÓN DE SEGURIDAD PRIVADA) (en lo sucesivo el denunciante) adjuntando escrito de denuncia, por posible infracción a la LOPD, motivada por la instalación de un sistema de videovigilancia en (C/..., 1) cuyo responsable es la entidad B.B.B.. con CIF nº:***CIF.1 (en adelante el denunciado). Con su denuncia, la Dirección General de la Policía, aporta acta de inspección realizada el día 8 de agosto de 2016 en presencia de los dos guardias de seguridad de la empresa PROSEGUR. Se comprueba que hay un sistema de videovigilancia compuesto por diez cámaras, de las que nueve son exteriores. Los agentes actuantes comprueban en el monitor que reproduce las imágenes de las cámaras y que se encuentra en el hall de entrada del edificio, que las cámaras exteriores captan las vías públicas adyacentes: (...), pudiéndose observar a los peatones y a los coches que circulan por las calzadas. SEGUNDO: Con fecha 2 de febrero de 2017 se solicita información a BARAKA GLOBAL INVES, S.L. teniendo entrada en esta Agencia con fecha 23 de febrero de 2017 escrito en el que el representante de la sociedad manifiesta que no son los propietarios del inmueble. El 7 de marzo de 2017 se solicita información sobre el sistema de videovigilancia denunciado a la empresa Prosegur Soluciones Integrales de Seguridad España, S.L., como encargada de la seguridad del ***EDIFICIO.1. Responde a través de escrito registrado el 14 de marzo aportando copia del contrato en inglés suscrito el 31 de julio de 2014, con la empresa F.F.F. para la seguridad del ***EDIFICIO.1. El 22 de marzo de 2017 se solicita desde la Inspección de esta Agencia información sobre el sistema de videovigilancia denunciado a la entidad F.F.F. siendo devuelta la notificación por el Servicio de Correos por “ausente”. En 25 de abril de 2017 se vuelve a solicitar información, esta vez a B.B.B.. (nuevo nombre de la sociedad) siendo devuelto igualmente por el Servicio de Correos por “desconocido”, a pesar de que se ha dirigido a la dirección que aparece en el Registro Mercantil Central: (C/..., 1) Con fecha 20 de abril de 2017 se realiza una visita de inspección en el ***EDIFICIO.1, poniéndose de manifiesto los siguientes hechos, recogidos en el Acta de Inspección: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 - - B.B.B. (anteriormente denominada F.F.F..) es actualmente propietaria del inmueble ***EDIFICIO.1, en el cual hay instalado un sistema de videovigilancia que heredaron del anterior propietario. El sistema de videovigilancia está compuesto por un total de 10 cámaras, de las cuales solo una de ellas está instalada en el interior del edificio, estando las restantes instaladas en las fachadas exteriores. La finalidad del sistema de videovigilancia es la de seguridad del inmueble. Las imágenes se guardan en un videograbador ubicado en la recepción del edificio donde prestan sus servicios el personal de seguridad. Los inspectores comprobaron que se conservan imágenes de los últimos 40 días. A las imágenes tiene acceso el personal de la empresa de seguridad y el personal de B.B.B. autorizado. Las imágenes se reproducen en tiempo real en un monitor ubicado en la recepción del inmueble, las cuales son visionadas por el personal de la empresa de seguridad. El sistema no está conectado a ninguna central receptora de alarmas ni es accesible telemáticamente. A través del monitor, se verificó que el sistema cuenta con 10 cámaras de videovigilancia, una de ellas recoge imágenes del interior y las otras nueve recogen imágenes amplias de las calles circundantes: (...) Se comprobó la existencia un cartel informativo de una zona videovigilada en el que no consta información sobre el responsable del fichero ante el que ejercitar los derechos reconocidos en la LOPD. Se ha verificado por la Inspección de Datos que no consta en el Registro General de Protección de Datos ningún fichero inscrito con la finalidad de videovigilancia cuyo responsable sea B.B.B.. TERCERO: Con fecha 11 de julio de 2017, la Directora de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento al denunciado, por presunta infracción de los artículos 5.1, 6.1 y 4.5 de la LOPD, tipificadas respectivamente como leve y graves en los artículos 44.2.c), 44.3.

1. b)y 44.3.
2. c)de la citada ley. CUARTO: Tras la devolución el 24 de julio de 2017 por el Servicio de Correos de la notificación del acuerdo citado en el punto anterior, por dirección incorrecta. En fecha 14 de agosto de 2017, se notificó el citado acuerdo de audiencia previa al procedimiento de apercibimiento al denunciado tal y como figura en la copia de acuse de recibo expedido por el Servicio de Correos y que forma parte de este expediente. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, el 8 de septiembre y el 9 de octubre de 2017, se han registrado en esta Agencia, dos escritos de alegaciones del denunciado, en el que se pone de manifiesto lo siguiente: • C/ Jorge Juan, 6 28001 – Madrid Han prescindido de los servicios técnicos de la empresa PROSEGUR y han contratado a una nueva empresa para llevar a cabo las distintas medidas correctoras sobre su sistema de videovigilancia. La empresa actual es NETHITS TELECOM www.agpd.es sedeagpd.gob.es 3/8 SOLUTION, S.L., se aporta copia de certificado de la misma en el que recoge que se ha instalado un nuevo grabador, se ha corregido la orientación y enfoque de las cámaras (se han sustituido 8 de las 10 cámaras) y se han ubicado varios carteles que avisan de la existencia de una zona videovigilada en las distintas fachadas del edificio. • En relación con el artículo 6.1, se han cambiado 8 cámaras por otras cámaras nuevas y se han reorientado y ajustado el enfoque de las 10 cámaras que componen el sistema de videovigilancia del edificio de tal forma que se ha limitado el espacio público captado por las mismas. Aportan imágenes del nuevo campo de visión de las cámaras una vez se han corregido sus deficiencias. • Respecto al artículo 4.5, se ha sustituido el grabador por uno nuevo que se ha configurado para almacenar las imágenes por un período máximo de un mes (aportan pantallazo del grabador en el que se aprecia que la configuración del tiempo expirado (día) se limita a 30. • En cuanto al artículo 5.1, se han colocado en todas las fachadas del edificio en lugares visibles, distintivos informativos que avisan de la existencia de una zona videovigilada y que incluyen los datos identificativos del responsable del fichero ante que el poder ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD (aportan fotografías de los distintos carteles y su ubicación). • Por último, han inscrito el fichero de videovigilancia en el Registro General de Protección de Datos con el código nº: C.C.C. (aportan copia del escrito firmado por la Directora de esta Agencia por el que se acuerda la inscripción firmado el 14 de septiembre de 2017). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II En primer lugar es conveniente recordar cuáles son los requisitos que debe cumplir un sistema de videovigilancia para ser acorde con la normativa de protección de datos: - Respetar el principio de proporcionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. - Se deberá cumplir el deber de informar a los afectados en el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006). En concreto: “
4. a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
5. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.” Hay que tener en cuenta que el distintivo del apartado
6. a)debe por un lado avisar de la existencia de una zona videovigilada y por otro debe identificar al responsable del tratamiento o, en caso de grabar imágenes, al responsable del fichero ante el que los interesados podrán ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD. - Salvo en el caso de que el tratamiento consista exclusivamente en la reproducción o emisión de imágenes en tiempo real, cuando se graben imágenes se deberá notificar previamente a esta Agencia la creación del fichero que contenga las imágenes para su inscripción en el Registro General de Protección de Datos. III El artículo 3.
7. a)de la LOPD define datos de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables.” Se completa dicha definición con lo establecido en el artículo 5.1
8. f)del Reglamento de Desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que señala que son datos de carácter personal “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. El apartado
9. c)del artículo 3 de la LOPD recoge la definición de tratamiento de datos, entendiendo por tal “… operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para que un tratamiento de datos de carácter personal sea legítimo deberá contar con el consentimiento del afectado, siendo este uno de los principios básicos en la protección de datos de carácter personal, recogido en el artículo 6.1 de la LOPD: “el tratamiento de los datos de carácter personal requerirá el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 inequívoco del afectado, salvo que la ley disponga otra cosa.” En el ámbito de la captación de imágenes de la vía pública la ley establece una serie de limitaciones. El artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado en lugares públicos establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Esta norma sólo legitima a los Cuerpos y Fuerzas de Seguridad del Estado, en principio, para el tratamiento de imágenes captadas en la vía pública remitiendo en su artículo 10 al régimen sancionador de la LOPD en caso de incumplimiento de sus preceptos. En el supuesto que nos ocupa, del informe aportado por la Policía y del acta de inspección realizada por inspectores de esta Agencia (acompañada de reportaje fotográfico), se desprendía que el sistema de videovigilancia denunciado tiene 10 cámaras, de las cuales nueve son exteriores. En el monitor que reproducía las imágenes de estas cámaras, los inspectores de esta Agencia comprueban y visualizan que todas las cámaras exteriores están captando vía pública de forma no proporcional, ya que incluían en su campo de visión, las aceras (anchas) y la calzada, grabando tanto a los peatones que se encuentran en las aceras como a los coches que circulan por la calzada y que están aparcados. Las calles que se captan son (...). Tal y como se ha indicado la legitimación para el tratamiento de imágenes de la vía pública la tienen las Fuerzas y Cuerpos de Seguridad del Estado por lo que estos hechos suponían la vulneración del artículo 6.1 de la LOPD anteriormente citado. No obstante lo anterior, en las alegaciones que hace la entidad denunciada durante el trámite de audiencia previa, pone de manifiesto y acredita que ha contratado una nueva empresa de seguridad, NETHITS TELECOM SOLUTION, S.L., que se ha encargado de implantar una serie de medidas correctivas para solucionar las deficiencias que presentaba el sistema de videovigilancia denunciado. Entre estas medidas está la sustitución de ocho de las diez cámaras por nuevos dispositivos, y la reorientación y nuevo enfoque de todas ellas para limitar el campo de visión del espacio público al mínimo imprescindible para llevar a cabo la función de seguridad perseguida con las cámaras. Esta limitación se aprecia en las imágenes del nuevo campo de visión de las cámaras que aporta junto con sus alegaciones la entidad denunciada. IV En segundo lugar, los hechos comprobados por los inspectores de esta Agencia, daban lugar la infracción del artículo 4, en su apartado 5, que dispone lo siguiente: “5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados... C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Está exigencia deriva del principio de calidad de los datos y hay que ponerla a su vez en relación con el artículo 6 de la Instrucción 1/2006, que establece: “Cancelación.- Los datos serán cancelados en el plazo máximo de un mes desde su captación.” Es decir, que las imágenes captadas deberán cancelarse tal y como se recoge en la Instrucción 1/2006 como máximo en un plazo de 30 días para de esta forma respetar el principio de calidad de datos recogido en el artículo 4 de la LOPD. En el caso que nos ocupa, los inspectores de esta Agencia, durante la inspección física llevada a cabo en el ***EDIFICIO.1, comprobaron que en el ordenador del sistema de videovigilancia, había imágenes grabadas y guardadas sobrepasando el período de tiempo máximo establecido en treinta días. La entidad denunciada en sus alegaciones durante el trámite de audiencia previa, ha acreditado que se ha corregido esta irregularidad, ya que han sustituido el grabador del sistema de videovigilancia por otro nuevo que admite que se configure el tiempo de almacenamiento de las imágenes a un máximo de treinta días (y así se puede comprobar mediante el certificado que presenta la empresa de seguridad y con el pantallazo que aportan del grabador en el que se aprecia que el tiempo expirado (día) se limita a 30). V Por último, tanto de la denuncia de la Policía como de la inspección física llevada a cabo por inspectores de esta Agencia, se desprendía que el cartel que se encontraba en el exterior del local que avisa de la existencia de cámaras no incluía los datos del responsable del fichero ante el que poder ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos por la LOPD. Así se apreciaba en las fotografías del cartel que acompañaban el acta de inspección. Esta circunstancia suponía la comisión, por parte del denunciado de una infracción del artículo 5.1 de la LOPD, según el cual: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
10. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
11. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
12. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
13. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
14. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. De nuevo, la entidad denunciada, pone de manifiesto en sus alegaciones de la fase de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 audiencia previa, que ha enmendado la situación, ya que ha expuesto en lugares visibles, varios carteles en las distintas fachadas del “***EDIFICIO.1” en los que avisa de la existencia de una zona videovigilada e incluye los datos del responsable ante el que poder ejercitar los derechos reconocidos en la LOPD (aporta fotografías y plano de la ubicación de los distintos carteles). VI Así pues, durante la tramitación de este procedimiento, la entidad denunciada ha justificado que ha introducido varias medidas correctoras de las irregularidades de su sistema de videovigilancia puestas de manifiesto en este expediente. Así, ha informado y acreditado de la reorientación y nuevo enfoque de las diez cámaras del sistema para limitar su campo de visión al espacio público mínimo imprescindible, ha colocado varios carteles en lugares visibles en los que incluye los datos identificativos del responsable, ha cambiado el grabador del sistema por uno que permite que se configure el plazo máximo de almacenamiento de las imágenes a 30 días y ha inscrito el fichero de videovigilancia en el Registro General de Protección de Datos, por lo que en ese sentido, conviene traer a colación lo señalado por la Sentencia de la Audiencia Nacional de 29-11-2013, de acuerdo con cuyo Fundamento Jurídico SEXTO, los procedimientos de apercibimiento que finalizan sin requerimiento deben resolverse como archivo, debiendo estimarse adoptadas ya las medidas correctoras pertinentes en el caso. Por lo tanto, en este caso concreto, debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es