1/7 Procedimiento Nº: A/00252/2014 RESOLUCIÓN: R/02160/2014 En el procedimiento A/00252/2014, instruido por la Agencia Española de Protección de Datos a Dª A.A.A., y D. B.B.B., vista la denuncia presentada por D. C.C.C. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 30/10/13 Con fecha 30 de octubre de 2013 tiene entrada en esta Agencia escrito remitido por D. C.C.C. (en adelante el denunciante) comunicando posible infracción a la Ley Orgánica 15/1999 motivada por la existencia de cámaras de videovigilancia en la propiedad sita en (C/................1) (VALENCIA) cuyo titular es Dña. A.A.A. con NIF ***NIF.1 y D. B.B.B. con NIF ***NIF.2 (en adelante los denunciados). En escrito el denunciante manifiesta que se han instalado dos cámaras de videovigilancia en la vivienda denunciada, colindante con su vivienda y orientadas hacia su propiedad. No existe cartel informativo de zona videovigilada. Se adjunta a la denuncia plano de ubicación del sistema. SEGUNDO: El Director de la Agencia Española de Protección de Datos, tras la recepción de la denuncia, ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, concluyéndose con el siguiente informe (E/07804/2013) de fecha 11/9/14: <<<<< Con fecha 15 de enero de 2014 se solicita información a los titulares del sistema, teniendo entrada en esta Agencia escrito de fecha 7 de febrero de 2014 en el que manifiestan: * Informados de robos perpetrados en la zona donde residen, decidieron la instalación del sistema. * El sistema se compone de dos fotodetectores perimetrales y tres fotodetectores interiores, instalados por la empresa SECÚRITAS DIRECT (en adelante la empresa de seguridad) y conectados a su central de alarmas. * Se adjunta copia del certificado de instalación y conexión suscrito por D. D.D.D. con la empresa de seguridad, de fecha 19 de abril de 2013, cuyo objeto es “la instalación/mantenimiento y prestación de servicios de seguridad a través de Central de Alarmas, para el inmueble objeto de protección sito (C/................1)” (documento Doc.1). * El personal de la empresa de seguridad y los denunciados son los únicos con acceso a los saltos de alarma e imágenes captadas por los fotodetectores del sistema. * Acompaña reportaje fotográfico (Doc.2), de cuyo análisis se desprende y puede observarse: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 -- La existencia de cartel informativo con los datos de la empresa de seguridad, en el que se informa “del sistema de alarma con grabación de imágenes y aviso a la policía”. Se localiza en la fachada del domicilio, junto al interfono y la cancela de entrada a la propiedad. -- Imágenes, que corresponden a dependencias interiores de la vivienda, captadas por tres fotodetectores. -- Imagen recogida por el “fotodetector de entrada”, en la cual puede observarse unas escaleras exteriores de acceso a la vivienda, un área de patio y al fondo y el lateral derecho, un ángulo con fachadas correspondientes a dos viviendas colindantes. -- Imagen captada por el “fotodetector de la fachada trasera”, la cual recoge uno de los accesos a la vivienda, la zona trasera de patio y piscina y al fondo, se observa el lateral de una de las viviendas colindantes. -- Con fecha 20 de mayo de 2014 se solicita a los responsables información complementaria en relación a la cámara instalada en la cancela de acceso a la vivienda. Resultando la misma devuelta por el servicio de Correos con la indicación “AUSENTE REPARTO”. -- Con fecha 23 de julio de 2014 se reitera a los titulares del sistema la solicitud de información complementaria, resultando la misma devuelta por el servicio de Correos con la indicación “AUSENTE REPARTO”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 serán de aplicación. De acuerdo con aquella definición de tratamiento de datos personales, la captación de imágenes de las personas constituye un tratamiento de datos personales incluido en el ámbito de aplicación de la normativa citada. El artículo 1.4 del Real Decreto 1332/1994, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, considera datos de carácter personal a “toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a una persona física identificada o identificable”. Atendiendo a la definición contenida en las normas citadas, que considera dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, las captaciones de imágenes indicadas se ajustarán a este concepto siempre que permitan la identificación de las personas que aparecen en dichas imágenes. Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (en lo sucesivo Instrucción 1/2006), en sus artículos 1.1 y 2 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” “Artículo 2. 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” De acuerdo con los preceptos transcritos, la cámara reproduce la imagen de los afectados por este tipo de tratamientos y, a efectos de la LOPD, la imagen de una persona constituye un dato de carácter personal, toda vez que la información que capta concierne a personas y suministra información sobre la imagen personal de éstas, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. De conformidad con la normativa expuesta, la captación de imágenes a través de videocámaras constituye un tratamiento de datos personales, cuyo responsable son los titulares del local denunciado, toda vez que son los que deciden sobre la finalidad contenido y uso del citado tratamiento. III El artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de carácter personal (en lo sucesivo LOPD), que señala que: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” El artículo 44.3.
- b)de la LOPD, en la redacción dada por la disposición final quincuagésima sexta de la Ley 2/2011, considera infracción grave “tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta ley y sus disposiciones de desarrollo” En este caso, de las imágenes aportadas se deduce que el fotodetector situada en la entrada como en la fachada trasera están captando las viviendas colindantes a su propiedad, excediéndose por tanto de lo que debe considerarse un tratamiento de imágenes en un ámbito doméstico. Debe tenerse en cuenta que las videocámaras no podrán captar imágenes de las personas que se encuentren fuera de la propiedad particular ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad, o que opere la excepción establecida el artículo 4.3 de la Instrucción 1/2006 de esta Agencia que establece: “las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida” IV El artículo 5.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal señala que: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. Se deberá cumplir el deber de informar a los afectados en el modo previsto en la instrucción 1/2006 de la Agencia Española de Protección de Datos. En concreto:
- a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. La infracción de este artículo se tipifica en el artículo 44.2.
- c)de la LOPD, en redacción dada por la disposición final quincuagésima sexta de la Ley 2/2011, -de aplicación a este caso por ser norma más favorable-, que considera infracción leve: “El incumplimiento del deber de información del afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado” En este caso, se adjunta fotografía del cartel informativo instalado con los datos de la empresa de seguridad, No obstante se recuerda que la Instrucción 1/2006 de esta Agencia incorpora un modelo de distintivo informativo cuyo uso y exhibición es obligatoria, por lo que el cartel instalado debería ajustarse al modelo diseñado en dicha instrucción. VI La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos, en lugar del existente hasta su entrada en vigor, del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: - Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. - Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 hubiera determinado procederá la apertura del correspondiente sancionador por dicho incumplimiento”. procedimiento La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 17) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 127.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constando beneficios obtenidos como consecuencia de la comisión de la infracción. Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00252/2014) A Dª A.A.A. y D. B.B.B. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6, de la LOPD, tipificada, como grave en el artículo 44.3.b; de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR 2.1 REQUERIR a Dª A.A.A. y D. B.B.B.. como titulares de la instalación del sistema de videovigilancia, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley : El cumplimiento de lo previsto en el artículo 6, procediendo a redirigir la posición de los fotodetectores situados en la entrada como en la fachada trasera, para que sólo capten C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 su propiedad privada 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando fotografías, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación (A/00525/2014), podría incurrir en una infracción del artículo 37.1.
- f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
- f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
- i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a Dª A.A.A. y D. B.B.B. . 4.- NOTIFICAR el presente Acuerdo a D. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es