1/9 Procedimiento Nº: A/00269/2017 RESOLUCIÓN: R/02400/2017 En el procedimiento A/00269/2017, instruido por la Agencia Española de Protección de Datos en virtud de denuncia y en base a los siguientes, HECHOS PRIMERO: Con fecha 1 de febrero de 2017 tiene entrada en esta Agencia escrito de denuncia por posible infracción a la LOPD, motivada por la instalación de un sistema de videovigilancia en su sede situada en la calle (C/.....,1) VALLADOLID y cuyo responsable es la entidad ENERGÍAS ***, S.L. (en adelante el denunciado). En el escrito, el denunciante pone de manifiesto la instalación de cámaras de videovigilancia y micrófonos con un motivo subyacente de control laboral y no el de seguridad argumentado por la empresa. También denuncia la posible instalación de un software en los ordenadores que permite ver lo que el trabajador está haciendo en el equipo así como que no se le ha hecho entrega del documento de seguridad. Anexa la siguiente documentación: Copia del documento de normas de utilización de los medios técnicos puestos a disposición por la empresa a sus trabajadores para la realización de la prestación laboral, recibido y firmado por los empleados. Copia del documento de comunicación a los trabajadores, a fecha de 26 de enero de 2017, de la existencia de un sistema de videovigilancia para una mayor seguridad de las instalaciones, recibido y firmado por los trabajadores. Fotografías de una de las cámaras de videovigilancia y del puesto de trabajo. Copia de la cláusula de confidencialidad y aceptación de las funciones y obligaciones del personal del Documento de Seguridad. SEGUNDO: Los Servicios de Inspección de esta Agencia, con fecha 27 de abril de 2017 y solicitan a la empresa denunciada información sobre su sistema de videovigilancia, teniendo entrada en esta Agencia con fecha 9 de mayo de 2017, escrito de respuesta. Advertidas discrepancias en relación al número de cámaras instaladas y sus ubicaciones y ante la falta de información respecto a algunos de los aspectos requeridos, se realiza nueva solicitud de información tanto a la sociedad investigada, con fecha 17 de mayo de 2017, como a la empresa instaladora, con fecha 14 de junio de 2017, recibiendo respuesta de ambas entidades con fecha 2 de junio de 2017 y fecha 5 de julio de 2017, respectivamente. En dichos escritos, se pone de manifiesto lo siguiente: Respecto al sistema de videovigilancia: • El responsable del sistema de videovigilancia es D. C/ Jorge Juan, 6 28001 – Madrid A.A.A., gerente de la www.agpd.es sedeagpd.gob.es 2/9 empresa ENERGÍAS ***, S.L. • El sistema de videovigilancia se ha instalado con fines de seguridad en respuesta a varios intentos de robo. No hace ninguna referencia a la motivación de control laboral a la que se refiere la denuncia. • La comunicación a los empleados de la determinación de la empresa de instalar un sistema de videovigilancia se realiza mediante documento escrito, recibido y firmado por los empleados, de fecha 26 de enero de 2017. En este comunicado se informa que la finalidad del sistema de videovigilancia es la seguridad de las instalaciones. • La empresa que ha realizado la instalación del sistema de videovigilancia es G.G.G., aportando copia del anexo al contrato de arrendamiento de servicios de seguridad relativo a la instalación del sistema de videovigilancia, así como de los certificados de instalación y garantía del sistema de seguridad firmados por el ingeniero técnico de la empresa instaladora. La empresa instaladora manifiesta, en el informe técnico aportado, que sus servicios han consistido exclusivamente en la instalación de un sistema de videovigilancia en modo de CCTV, adjuntando copia del parte de trabajo del técnico instalador, firmado por el propio cliente, y en el que queda constancia que, el denunciado se hace responsable del montaje del micrófono y se instala bajo su responsabilidad. • Respecto a la información facilitada sobre la existencia de cámaras, se aportan fotografías de tres carteles que señalizan la existencia de zonas videovigiladas, uno situado a la entrada del edificio, otro en la zona de oficinas y un último cartel situado en la nave de trabajo, y en los que se incluye la información del responsable del fichero ante el que ejercer los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD. Aporta copia del formulario al que se refiere el artículo 3.b de la Instrucción 1/2006. • El sistema de videovigilancia está compuesto por un total de 3 cámaras interiores dotadas de zoom y posibilidad de movimiento. Una de ellas ubicada en la zona de nave y otras dos en la zona de oficinas, según se aprecia en el plano de ubicación facilitado por el investigado y la empresa instaladora. De las fotografías facilitadas de las cámaras y la disposición de las mismas sobre plano, se deduce que las dos cámaras ubicadas en la zona de oficinas pueden captar imágenes directas del área de trabajo de los empleados. • El micrófono está instalado en el techo de uno de los despachos cerca de la cámara de videovigilancia. La entidad denunciada manifiesta que, tanto las cámaras como el micrófono se activan y registran datos cuando detectan movimiento en el espacio a proteger. Por su parte, la empresa instaladora, y ante la pregunta sobre el modo de configuración del sistema de videovigilancia, afirma en su escrito de respuesta que, tanto las cámaras como el micrófono están configurados en modo de grabación continua. • El denunciado manifiesta que no existe un sistema de monitorización y que las imágenes captadas por las cámaras son grabadas en un sistema DVR HD-CVI tipo Tríbido, al que sólo accede, a través de la dirección IP del sistema de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 grabación y mediante usuario y contraseña, el gerente de la sociedad investigada. Manifiesta que no se accede a consultar ni las imágenes ni las grabaciones de voz salvo que salte la alarma por un posible robo. No concreta el plazo exacto de conservación de las imágenes indicando, en el escrito de respuesta al requerimiento, que estás se sobrescriben conforme se llena el espacio en disco del sistema de grabación. Indica que a dichas grabaciones también podría acceder la empresa que vela por la seguridad de la sociedad si se produce un salto de alarma, sin embargo, la empresa instaladora manifiesta en su escrito de respuesta que el sistema de videovigilancia está configurado en modo de circuito cerrado de televisión (CCTV) y no está conectado a ninguna Central Receptora de Alarmas, siendo la captación de imágenes y sonido almacenada localmente y sólo accesible por el cliente. • El denunciado no aporta el código de inscripción del sistema de videovigilancia en el Registro General de Protección de Datos aunque de la consulta realizada a dicho Registro e incorporada a las actuaciones de inspección de referencia mediante diligencia, se pone de manifiesto que el fichero está inscrito con el código B.B.B.. Se hace constar que, en dicha inscripción, no figuran los datos de ningún encargado del tratamiento pese a que el investigado manifiesta, en su primer escrito de respuesta a requerimiento de información realizado por esta Agencia, la posibilidad de acceso a las imágenes grabadas por parte de una empresa de seguridad. • El investigado manifiesta que no existen cámaras en el exterior de las instalaciones de ENERGÍAS ***, S.L. que capten vía pública. • Respecto a la posible conexión a Centrales Receptoras de Alarmas, aunque el investigado manifiesta en su primer escrito de respuesta que hay una empresa de seguridad que tiene acceso a las imágenes si se produce un salto de alarma, en respuesta al segundo requerimiento practicado manifiesta que el anexo al contrato de arrendamiento de seguridad sólo incluye la instalación de los equipos del sistema de videovigilancia, y que la empresa de seguridad no tiene acceso a las cámaras instaladas. Por su parte, la empresa instaladora, confirma en su escrito de respuesta al requerimiento realizado, que el sistema de videovigilancia no está conectado a ninguna CRA. Respecto a la posible instalación de un software en los equipos de trabajo, queda de manifiesto que los trabajadores han aceptado con su firma las normas de utilización de los medios técnicos puestos a disposición por la empresa para la realización de su prestación laboral. La empresa les informa que puede controlar el uso de las herramienta y los medios técnicos puestos a disposición del trabajador para la realización de su actividad laboral no pudiendo utilizar el correo electrónico, el acceso a internet, el teléfono fijo y el móvil para actividades diferentes a aquellas relacionadas con su puesto de trabajo, haciendo referencia expresa, a la facultad del empresario para adoptar las medidas que estime más oportunas de vigilancia y control en la verificación del cumplimiento de las obligaciones y deberes laborales del trabajador. TERCERO: Con fecha 27 de julio de 2017, la Directora de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento a la entidad denunciada, por presunta infracción de los artículos 4.1, 4.5 y 5.1 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 LOPD, tipificadas como graves (las dos primeras) y leve (la última) respectivamente en los artículos 44.3.
- c)y 44.2.
- c)de la LOPD. CUARTO: En fecha 4 de agosto de 2017, se notificó el citado acuerdo de audiencia previa al procedimiento de apercibimiento a la entidad denunciada, tal y como figura en la copia de acuse de recibo expedido por el Servicio de Correos y que forma parte de este expediente. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, el 24 de agosto de 2017, se ha registrado en esta Agencia, escrito de alegaciones de la entidad denunciada en el que se pone de manifiesto lo siguiente: • Reiteran lo ya dicho en sus escritos anteriores sobre la finalidad de seguridad buscada con la instalación del sistema de videovigilancia tras varios intentos de robo sufridos en las instalaciones de la empresa. • Tal y como se recoge en el acuerdo de audiencia previa, han cumplido con la obligación de inscripción del fichero en el Registro General de Protección de Datos (código B.B.B.). • Han procedido a la implantación de varias medidas correctoras para subsanar las deficiencias puestas de manifiesto, en concreto han llevado a cabo las siguientes medidas: En relación con la vulneración del artículo 4.1 de la LOPD, adjuntan un certificado de la empresa de seguridad instaladora G.G.G. en que se certifica la desinstalación del micrófono impidiendo por tanto que el sistema pueda obtener datos de voz. Respecto a la vulneración del artículo 4.5, consta en el certificado citado de la empresa que se ha procedido a configurar el sistema para que se borren las imágenes grabadas al cabo de los 30 días, eliminándose mediante la sobre escritura de las nuevas imágenes obtenidas. Se informa que aunque no se había configurado como ahora concretamente para la eliminación a los 30 días, el sistema no tenía capacidad de almacenamiento más allá de los 30 días de grabación. Por último en cuanto a la vulneración del artículo 5.1 de la LOPD, ya facilitó en anteriores escritos, el documento firmado por sus trabajadores en el que les informaba de la instalación del sistema de videovigilancia por los intentos de robo sufridos y para una mayor seguridad de las instalaciones. Ahora aporta otro documento firmado por los trabajadores en los que se les informa del uso de los medios técnicos (ordenadores, e-mail, internet…) facilitados por la empresa a los trabajadores cuyo uso puede ser supervisado por la empresa (en ese documento fechado el 26 de enero de 2017 no se dice nada de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 videocámaras). Aporta certificado del grupo G.G.G. firmado el 20 de agosto de 2017 en el que se señala que se ha desmontado el micrófono asociado al CCtv existente y que el mismo no puede grabar más de 30 días pues se ha programado para que si llega a ese número de días, se sobre escriba encima de lo ya grabado. Se adjunta un documento de confidencialidad firmado por un trabajador de la empresa y otro documento con las normas de utilización por parte de los trabajadores de los elementos técnicos facilitados por la empresa, firmado el 26 de enero de 2017 por tres trabajadores y el gerente y administrador de la empresa. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Antes de entrar de lleno en el análisis de la cuestión que aquí nos ocupa, es conveniente volver a recordar cuáles son los requisitos que debe cumplir un sistema de videovigilancia para ser acorde con la normativa de protección de datos: - Respetar el principio de proporcionalidad. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. - Se deberá cumplir el deber de informar a los afectados en el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006). En concreto: “
- a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.” Hay que tener en cuenta que el distintivo del apartado
- a)debe por un lado avisar de la existencia de una zona videovigilada y por otro debe identificar al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 responsable del tratamiento o, en caso de grabar imágenes, al responsable del fichero ante el que los interesados podrán ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD. - Salvo en el caso de que el tratamiento consista exclusivamente en la reproducción o emisión de imágenes en tiempo real, cuando se graben imágenes se deberá notificar previamente a esta Agencia la creación del fichero que contenga las imágenes para su inscripción en el Registro General de Protección de Datos. III El artículo 3 de la LOPD, define en su apartado
- a)lo que se entiende por datos de carácter personal: “cualquier información concerniente a personas físicas identificadas o identificables.” El artículo 5.1.
- f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RLOPD), completa la anterior definición, entendiendo por datos de carácter personal: “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.” De ambas definiciones se deriva que tanto la imagen de una persona (información gráfica o fotográfica) como su voz (información acústica) son datos de carácter personal a cuyo tratamiento habrá que aplicar la LOPD. El artículo 4.1 de la LOPD dispone lo siguiente: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Este artículo consagra entre otros, el principio de proporcionalidad en el tratamiento de los datos de carácter personal que supone que el tratamiento de los datos sea ajustado y proporcionado a la finalidad a la que se dirige el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La pertinencia en el tratamiento de los datos debe producirse en el ámbito de la recogida de los datos y en el posterior tratamiento que se realice de los mismos, teniendo en cuenta además que la finalidad del tratamiento debe presidir el mismo, de tal forma que no es aceptable que se traten datos excesivos, que rebasan o que no son proporcionados y adecuados en relación con la finalidad perseguida que tendrá que ser legítima. Así pues, en este supuesto concreto, se estaba realizando un tratamiendo de datos excesivos (imágenes y voces) resultando desproporcionado para el fin de seguridad de las instalaciones declarado por la entidad denunciada. Esta finalidad de seguridad podía conseguirse plenamente con la sola captación de imágenes sin que esté justificado incluir las voces de las personas que se encuentren en las instalaciones de la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 trabajando. Al captar imágenes y sonido se estaba vulnerando el principio de proporcionalidad ya que como ya se ha indicado anteriormente, se estaban tratando más datos de carácter personal de los necesarios (voces de las personas) para la seguridad general en el establecimiento. Esta circunstancia suponía la vulneración del artículo 4.1 de la LOPD. No obstante lo anterior, durante el trámite de audiencia previa al apercibimiento, la entidad denunciada ha presentado un certificado de la empresa instaladora G.G.G. de 20 de agosto de 2017 en el se indica que han procedido a desmontar el micrófono del sistema de videovigilancia, por lo que el mismo no tiene ya la posibilidad de almacenar datos de voz. IV En el caso que nos ocupa, los hechos descritos podían suponer igualmente otra infracción del artículo 4, esta vez de su apartado 5, que dispone lo siguiente: “5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados... Está exigencia deriva del principio de calidad de los datos y hay que ponerla a su vez en relación con el artículo 6 de la Instrucción 1/2006, que establece: “Cancelación.- Los datos serán cancelados en el plazo máximo de un mes desde su captación.” Es decir, que las imágenes captadas deberán cancelarse tal y como se recoge en la Instrucción 1/2006 como máximo en un plazo de 30 días para de esta forma respetar el principio de calidad de datos recogido en el artículo 4 de la LOPD. En este supuesto, la entidad denunciada en relación al sistema de videovigilancia denunciado no había facilitado la información relativa al tiempo máximo de almacenamiento de las imágenes grabadas, teniendo en cuenta que las cámaras graban y que el fichero resultante de las grabaciones está inscrito en el Registro General de Protección de Datos. Por tanto, estos hechos suponían la vulneración del artículo 4.5 de la LOPD. Sin embargo, con sus últimas alegaciones la entidad denunciada manifiesta que la empresa de seguridad ha configurado su sistema de videovigilancia para que las imágenes grabadas se eliminen a los 30 días por medio de la sobre escritura con las imágenes que se vayan grabando. Así se recoge en el certificado de la empresa de seguridad a la que se ha hecho referencia en el fundamento anterior. V Por último, los hechos expuestos podrían suponer la comisión, por parte de la entidad denunciada de una infracción del artículo 5.1 de la LOPD, según el cual: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. En este caso en concreto, aunque la entidad denunciada sólo ha declarado como finalidad de las cámaras, la seguridad de las instalaciones, por las manifestaciones del denunciante (que ha trabajado en la empresa) y por la propia distribución de las cámaras y su orientación, parece desprenderse que podían ser utilizadas para el control laboral de los trabajadores. En relación con el control empresarial del cumplimiento de las obligaciones laborales de sus trabajadores, hay que tener en cuenta lo que establece el artículo 20.3 del Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (Estatuto de los Trabajadores): “3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad.” La entidad denunciada, manifiesta que ya aportó en escritos anteriores ante esta Agencia, el documento firmado por sus trabajadores en el que se les informaba de la instalación de un sistema de videovigilancia para la seguridad de las instalaciones ante los intentos de robo sufridos. La empresa vuelve a incidir en que la finalidad de las cámaras es la de la seguridad de las instalaciones por lo que a falta de pruebas que acrediten que se utilizan para otros fines distintos, debe entenderse cumplida la obligación de información del artículo 5.1. Eso sí, la entidad denunciada deberá tener en cuenta lo expuesto en el fundamento jurídico IV del acuerdo de audiencia previa al apercibimiento, en relación al posible control empresarial de los trabajadores a través de videocámaras, en ese fundamento se indicaba que para que las imágenes grabadas por el sistema de videovigilancia puedan utilizarse para el control laboral, el responsable del fichero (empresario) deberá garantizar el derecho a la información en la recogida de las imágenes por medio de información específica que deberá ser previa al tratamiento de los datos y tendrá que incluir todos los extremos contenidos en el artículo 5.1 anteriormente expuesto. Esta información debe facilitarse a la representación sindical (en este caso al tratarse de un establecimiento pequeño dicho requisito no se aplicaría), por medio de carteles informativos (este requisito ya se cumple) y mediante información personalizada a cada uno de los trabajadores. Si no se cumple con estos requisitos las cámaras no pueden utilizarse para una finalidad distinta de la declarada, de tal forma que si se declara que se utilizan para la seguridad de las instalaciones, no podrán usarse para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 control empresarial de los trabajadores. VI Así pues, durante el trámite de audiencia previa, la entidad denunciada ha acreditado que se han implantado en su sistema de videovigilancia varias medidas correctoras de las deficiencias puestas de manifiesto durante este procedimiento, acreditando su subsanación. En este sentido, conviene traer a colación lo señalado por la Sentencia de la Audiencia Nacional de 29-11-2013, de acuerdo con cuyo Fundamento Jurídico SEXTO, los procedimientos de apercibimiento que finalizan sin requerimiento se deben resolver como archivo, debiendo estimarse adoptadas ya las medidas correctoras pertinentes en el caso por lo que debe procederse a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno al denunciado, en aplicación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad ENERGÍAS ***, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es