1/14 Procedimiento Nº: A/00420/2017 RESOLUCIÓN: R/00075/2018 En el procedimiento A/00420/2017, instruido por la Agencia Española de Protección de Datos en virtud de denuncia de D. A.A.A., D. B.B.B. y Dª C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 7 de agosto de 2017 tiene entrada en esta Agencia escrito de D. A.A.A., D. B.B.B.y Dª C.C.C. (en adelante los denunciantes), comunicando una posible infracción a la LOPD motivada por la instalación de cámaras de videovigilancia en el establecimiento denominado "EL PERÚ ***LOC.1 WELLNESS" ubicado en la (C/...1), cuyo titular es la entidad PROMOCIÓN DE ESPACIOS RECREATIVOS URBANOS, S.L. (P.E.R.U.) con CIF nº: ***CIF.1 (en lo sucesivo el denunciado). Los denunciantes manifiestan que el centro denunciado tiene instaladas cámaras de videovigilancia en zonas como la sala de fitness o la piscina y zonas exteriores, sin carteles informativos. Adjuntan fotos de las cámaras. SEGUNDO. Con fecha 5 de junio de 2017, por parte de los Servicios de Inspección, se solicita información al responsable del sistema de videovigilancia denunciado. El 20 de junio de 2017 tiene entrada en esta Agencia, escrito de respuesta de la entidad denunciada, en el que se pone de manifiesto lo siguiente: El responsable del sistema de videovigilancia es la entidad PROMOCIÓN DE ESPACIOS RECREATIVOS URBANOS, S.L. (P.E.R.U.) con CIF nº: ***CIF.1. La empresa que realizó la instalación del sistema de videovigilancia fue SEGURIDAD CERES, S.A. Aporta copia del contrato de instalación, de 14 de marzo de 2007. La finalidad declarada del fichero es la de seguridad y control de accesos. Aportan fotografías del cartel de aviso de existencia de cámaras de videovigilancia, situado en la puerta de entrada al establecimiento. En el cartel se incluyen los datos identificativos del responsable del fichero ante el que ejercitar los derechos reconocidos en la LOPD. Aportan copia del formulario informativo al que se refiere el artículo 3.b de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006), donde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 se indica el procedimiento para facilitar los formularios tras la petición de los interesados. Accede a las imágenes únicamente el responsable de seguridad y gerente de la entidad denunciada. Adjuntan copia del documento de seguridad. Los monitores permanecen apagados y sólo se encienden cuando se realizan funciones de mantenimiento, para acceder a las imágenes se necesita usuario y contraseña que sólo tiene el personal autorizado. Aportan plano indicando la situación de las cámaras de videovigilancia, así como fotografía de cada uno de los dispositivos reflejando su ubicación e identificación, y fotografía de la imagen que capta cada una de las cámaras, de lo que se desprende que las mismas toman imágenes de espacios interiores y exteriores. Hay 48 cámaras cuyas grabaciones se almacenan en tres grabadores (dieciséis cámaras en cada grabador). Del análisis de estas imágenes se desprende lo siguiente: Las cámaras interiores captan: la recepción, cafetería, mostrador, pasillos, acceso parking, parking, salas de mantenimiento, depuradora, escaleras de emergencia, salas de fitness y de aparatos y piscinas. Las cámaras exteriores captan: zonas de acceso y zonas interiores al aire libre. Las cámaras identificadas como 10, 11 y 12 del V01 toman imágenes de la sala de aparatos de gimnasia. Las cámaras identificadas como 7 y 8 del V01 toman imágenes de las piscinas. Cámara 1 del V03 (acceso Joker) capta imágenes de la vía pública. Cámara 3 del V03 (montacargas) capta imágenes de la vía pública. Cámaras 4 y 5 del V03 (acceso Guadalupe) captan imágenes de la vía pública. Cámara 7 del V03 (acceso fitness) capta vía pública. Consta en el Registro General de Protección de Datos la inscripción de un fichero denominado “VIGILANCIA” con el código ***COD.1 cuyo responsable es la entidad PROMOCIÓN DE ESPACIOS RECREATIVOS URBANOS, S.L. TERCERO: Con fecha 30 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento a la entidad denunciada, por presunta infracción de los artículos 4.1 y 6.1 de la LOPD, tipificadas como graves respectivamente en los artículos 44.3.
- c)y 44.3.
- b)de dicha norma. CUARTO: En fecha 4 de diciembre de 2017, se notificó el citado acuerdo de audiencia previa al procedimiento de apercibimiento a la entidad denunciada, tal y como figura C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 en el certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada y que forma parte de este expediente. QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, se ha registrado en esta Agencia el 3 de enero de 2018 escrito de alegaciones de D. D.D.D., representante de la entidad PROMOCIÓN DE SPACIOS RECREATIVOS URBANOS, S.L. (PERU) en el que se pone de manifiesto lo siguiente: La entidad realiza diferentes alegaciones según se trate de la vulneración del artículo 6.1 por las cámaras exteriores o del artículo 4.1 por las cámaras interiores. En relación al artículo 6.1 y las cámaras exteriores, aplican el principio de proporcionalidad y entienden que las cámaras 1, 3, 4, 5, y 7 sólo captan zonas de acceso e interiores al aire libre, cumpliendo con la finalidad declarada de seguridad y control de acceso. Las cámaras están orientadas de tal forma que su objetivo de vigilancia principal es el entorno privado siendo, según su parecer, la captación de la vía pública la mínima imprescindible para el fin perseguido. La cámara 1 “acceso Joker”, sólo graba la parte de la carretera por la que accede al complejo y no la carretera en su totalidad. La cámara 3 “montacargas” y cámaras 4 y 5 “acceso Guadalupe”, captan exclusivamente la porción de la vía pública relativa a dichos accesos, no captan la acera o la carretera en su totalidad. Captan los edificios de enfrente a los accesos pero se orientan principalmente al acceso del centro y si las cámaras se ubicasen de otro modo sería imposible cumplir con el fin perseguido. La imagen no se puede considerar invasiva pues resulta imposible identificar a las personas que se encuentran en los mismos y tampoco visualizar las actividades que llevan a cabo. La cámara 7 “acceso fitness”, se limita a grabar la zona de acceso al público y al fondo se pueden visualizar vehículos aparcados pero es una captación accesoria. Invoca la Sentencia de la Audiencia Nacional de 26 de diciembre de 2013 en la que se declara que el tratamiento de imágenes debe referirse a personas y no a imágenes de placas o números de matrícula. Por lo expuesto consideran que su sistema es un medio adecuado, pertinente y no excesivo en relación con las finalidades legítimas para las que dichas imágenes se obtienen: la vigilancia y seguridad del centro y evitación de actos vandálicos y delictivos. El centro deportivo es un gran complejo con aparcamiento y otros usos complementarios por lo que el sistema de videovigilancia resulta imprescindible para garantizar la seguridad. Aportan copia de una denuncia ante la Policía Nacional, por robo en una tienda de deportes el 15 de enero de 2009 y copia de grabaciones de una de las cámaras exteriores de una reyerta entre varios individuos con arma blanca. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 Asimismo señalan que la entidad ha inscrito el fichero de videovigilancia que tiene carteles que informan de la existencia de una zona videovigilada; que se identifica al responsable del fichero; que los monitores de visualización se encuentran apagados y únicamente se encienden cuando se realizan funciones de mantenimiento o cuando ocurre alguna incidencia; que sólo acceden a las imágenes el responsable de seguridad y el gerente de la sociedad; que para el acceso a las imágenes es necesario usuario y contraseña y por último, que las imágenes se conservan por un plazo máximo de 1 mes. En relación al artículo 4.1 y las cámaras interiores, aplican el principio de proporcionalidad haciendo hincapié en la Instrucción 1/2006 que señala que se admitirá la instalación de cámaras o videocámaras cuando la finalidad de videovigilancia no pueda obtenerse mediante otros medios que no exijan esfuerzos desproporcionados. Teniendo en cuenta esta premisa, la entidad denunciada entiende que la instalación de las cámaras interiores 7, 8, 10, 11 y 12 estaría justificada. Las cámaras 7 y 8 toman una imagen panorámica de las piscinas para incluir en la captación el cerramiento de la zona de piscinas que es acristalado así como la puerta de acceso a esta zona. Es la única forma que tienen de controlar el acceso a esta zona y evitar que ocurran actos vandálicos en la cristalera. Con las cámaras 10, 11 y 12 ocurriría lo mismo pues toman una imagen panorámica de las salas y su finalidad es la de controlar los accesos a esta zona. La entidad denunciada tiene contratado un controlador las 24 horas a través de la empresa Suman Social, S.L., pero no es una medida suficiente para garantizar la seguridad y el control de los accesos al área deportiva pues se trata de un macro complejo deportivo de 25.000 metros cuadrados. Si este controlador se dedicara únicamente a controlar los accesos de la zona de piscina y salas de aparatos y fitness no sería suficiente para el resto de instalaciones y si es un esfuerzo económico desproporcionado para la entidad denunciada verse obligada a contratar controladores para todas las instalaciones del complejo durante las 24 horas. Por esta razón es imprescindible la instalación de videovigilancia. Para exponer en la práctica los problemas de seguridad ante los que se encuentra este centro, se expone el caso de un acoso sexual a una de las monitoras por parte de un socio al que se expulsó del centro y que reclamó una indemnización judicialmente, gracias a las grabaciones se pudo probar el acoso sufrido por la trabajadora (sentencia 130/2008 de 31 de octubre de la Audiencia Provincial de Cáceres). Entiende la entidad denunciada que la instalación de su sistema de videovigilancia tiene más beneficios que perjuicios para alcanzar el fin perseguido que es el de la seguridad del centro y de sus usuarios así como controlar los accesos y sin perjudiciar a las personas ya que los monitores se encuentran apagados y sólo se encienden cuando se realizan funciones de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 mantenimiento o cuando ocurre alguna incidencia. A estas imágenes sólo accede el responsable de seguridad y el gerente de esta sociedad ni siquiera el controlador 24 horas. Por último señala, que aunque el tratamiento de las imágenes pudiera afectar a la intimidad de las personas y a la propia imagen, no es un derecho fundamental absoluto tal y como ha establecido en su doctrina el Tribunal Constitucional. SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: En el complejo deportivo denominado "EL PERÚ ***LOC.1 WELLNESS" ubicado en la (C/...1), hay instalado un sistema de videovigilancia compuesto de tres vídeograbadores y 48 cámaras ubicadas en el interior y en el exterior del complejo. SEGUNDO: El responsable del sistema de videovigilancia denunciado es la entidad PROMOCIÓN DE ESPACIOS RECREATIVOS URBANOS, S.L. (P.E.R.U.) con CIF nº: ***CIF.1. TERCERO: En el expediente consta que hay expuestos varios carteles que avisan de la existencia de una zona videovigilada y que incluyen los datos identificativos del responsable del fichero. También consta que existen formularios informativos a disposición de los interesados con el contenido del artículo 5.1 de la LOPD. CUARTO: La entidad denunciada ha afirmado tanto en la fase de actuaciones previas como en la audiencia previa que los monitores de visualización permanecen apagados y únicamente se encienden cuando hay que hacer labores de mantenimiento o ha ocurrido alguna incidencia. QUINTO:Las cámaras graban imágenes y hay fichero de videovigilancia inscrito en el Registro General de Protección de Datos con el código: ***COD.1. SEXTO: Las imágenes grabadas se conservan por espacio de un mes, a las mismas sólo acceden dos personas autorizadas (responsable de seguridad y gerente de la sociedad) con clave de usuario y contraseña. SÉPTIMO: La entidad denunciada afirma que la finalidad de las cámaras es la de la seguridad del centro y de sus usuarios y el control de acceso. OCTAVO: Consta en el expediente a través del análisis de las imágenes del campo de visión de las cámaras exteriores que la 1 (acceso Joker- incluye carretera), la 3 (montacargas incluye aceras, carretera y edificios de enfrente), la 4 y la 5 (acceso Guadalupe- acera, carretera y edificios de enfrente) y la 7 (acceso fitness- zona de acceso público y coches aparcados) del V03 captan vía pública. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 NOVENO: Consta en el expediente a través del análisis de las imágenes del campo de visión de las cámaras interioreses que la 7 y la 8: piscinas; y las 10, 11 y 12: sala de aparatos) están captando espacios pertenecientes al centro deportivo, pero en los que el tratamiento de las imágenes vulnera el principio de proporcionalidad, ya que el tratamiento de imágenes en las zonas de piscina y salas de aparatos y fitness afecta fuertemente a los derechos a la intimidad y al derecho a la propia imagen de los afectados además del derecho a la protección de sus datos personales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Antes de entrar de lleno en el análisis de la cuestión que aquí nos ocupa, cabe hacer hincapié en los requisitos que se debe cumplir en el tratamiento de imágenes por medio de videocámaras: - Respetar el principio de proporcionalidad. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. - Se deberá cumplir el deber de informar a los afectados en el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006). En concreto: “
- a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 Hay que tener en cuenta que el distintivo del apartado
- a)debe por un lado avisar de la existencia de una zona videovigilada y por otro debe identificar al responsable del tratamiento o, en caso de grabar imágenes, al responsable del fichero ante el que los interesados podrán ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD. - Salvo en el caso de que el tratamiento consista exclusivamente en la reproducción o emisión de imágenes en tiempo real, cuando se graben imágenes se deberá notificar previamente a esta Agencia la creación del fichero que contenga las imágenes para su inscripción en el Registro General de Protección de Datos. III En primer lugar conviene dejar clara una cuestión, desde esta Agencia no se exige a la entidad denunciada que desinstale su sistema de videovigilancia, se entiende perfectamente que un centro tan grande necesita de sistemas de seguridad adicionales como pueda ser un sistema de videovigilancia como este que nos ocupa, integrado por tres videograbadores y 48 cámaras. El sistema en sí no se discute sino que al igual que la entidad denunciada señala que el derecho a la intimidad o a la protección de datos no es absoluto, lo mismo puede decirse de la seguridad, el interés legítimo que pueda tener la entidad en procurar la seguridad de sus bienes y de los trabajadores y usuarios de las instalaciones no es absoluto, no puede pasar por encima de otros derechos fundamentales e intereses legítimos. Por esa razón, de todas las cámaras que integran este sistema únicamente el tratamiento de imágenes que se realiza con 5 cámaras exteriores y 5 interiores afecta a las exigencias establecidas en la normativa de protección de datos de carácter personal. Asimismo, es útil aclarar que puesto que la entidad denunciada cumple con las condiciones establecidas en el artículo 45.6 de la LOPD se está tramitando un procedimiento de apercibimiento y no un procedimiento sancionador. La diferencia estriba que en el primer caso, el apercibimiento llevará aparejada la exigencia de una serie de medidas que el responsable del fichero tendrá que llevar a cabo para que el sistema denunciado sea totalmente acorde con la LOPD. Únicamente en el caso de que el responsable no lleve a cabo las medidas requeridas con el apercibimiento se iniciará un procedimiento sancionador que puede terminar en multas de 40.001 a 300.000 euros. El artículo 3.
- a)de la LOPD define datos de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables.” Se completa dicha definición con lo establecido en el artículo 5.1
- f)del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que señala que son datos de carácter personal “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 El apartado
- c)del artículo 3 de la LOPD recoge la definición de tratamiento de datos, entendiendo por tal “… operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para que un tratamiento de datos de carácter personal sea legítimo deberá contar con el consentimiento del afectado, siendo este uno de los principios básicos en la protección de datos de carácter personal, recogido en el artículo 6.1 de la LOPD: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” Hay que tener en cuenta además que en el ámbito de la captación de imágenes de la vía pública la ley establece una serie de limitaciones. El artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado en lugares públicos establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Esta norma sólo legitima a los Cuerpos y Fuerzas de Seguridad del Estado, en principio, para el tratamiento de imágenes captadas en la vía pública remitiendo en su artículo 10 al régimen sancionador de la LOPD en caso de incumplimiento de sus preceptos. La entidad denunciada, entiende que la captación que realiza de la vía pública es proporcional pues el objeto principal de las cámaras es el propio complejo deportivo y porque según su parecer, el espacio público incluido en el campo de visión de las cámaras 1, 3, 4 y 5 y 7 es poco invasivo y necesario para garantizar la seguridad. Ejemplos de captación proporcional de la vía pública por entenderse necesario para la finalidad de control de acceso al edificio son la cámara 1 “acceso Vadepizza” o la cámara que cubre el “acceso Josefinas”. En el supuesto que nos ocupa, del examen de la documentación obrante en el expediente se desprende que de las cámaras que se encuentran en el exterior del centro deportivo, las cámaras 1 (acceso Joker- incluye carretera), 3 (montacargas incluye aceras, carretera y edificios de enfrente), 4 y 5 (acceso Guadalupe- acera, carretera y edificios de enfrente) y 7 (acceso fitness- zona de acceso público y coches aparcados) del V03 captan vía pública de forma desproporcionada. Tal y como se ha indicado la captación de imágenes en espacio público está reservada a las Fuerzas y Cuerpos de Seguridad del Estado, por lo que la entidad denunciada está llevando a cabo un tratamiento de imágenes sin la debida legitimación. Respecto a la cámara 1 “acceso Joker” lo que se quiere controlar es el acceso al edificio por la puerta roja para realizar este control se capta un espacio privado muy amplio delante de la puerta y aun así se incluye en la imagen una parte de la vía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 pública cercana que no es necesaria para la finalidad declarada por lo que deberá reorientarse la cámara y dirigirse directamente hacia la puerta de entrada evitando la vía pública o podrán introducirse en el sistema máscaras de privacidad que oculten el espacio de vía pública que no se puede visualizar. Lo mismo puede decirse del resto de cámaras exteriores: las cámaras 3, 4, 5 y 7 no se dirigen como afirma la entidad denunciada de forma directa hacia las puertas de acceso al complejo sino que captan bastante espacio privativo del complejo, incluyendo espacio de la vía pública que no es necesario captar para el control de estos accesos, entre otras cosas porque el propio complejo cuenta con un amplio espacio peatonal privado que lo rodea, por lo que se deberá reorientar las cámaras y dirigirlas directamente hacia las puertas de acceso evitando la captación de la vía pública cercana o introducir máscaras de privacidad que oculten las zonas que no pueden visualizarse. Los hechos descritos suponen la vulneración del artículo 6.1 de la LOPD que aparece tipificada como grave en el artículo 44.3.
- b)de la LOPD, que considera como tal: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Dicha infracción podría ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. IV En segundo lugar, del examen de la documentación obrante en el expediente, se desprende que hay varias cámaras interiores del V01 (cámaras 7 y 8: piscinas; y cámaras 10, 11 y 12: sala de aparatos) que están captando espacios pertenecientes al centro deportivo, pero en los que el tratamiento de las imágenes vulnera el principio de proporcionalidad regulado en el artículo 4.1 de la LOPD, que dispone lo siguiente: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” El principio de proporcionalidad en el tratamiento de los datos de carácter personal supone que el tratamiento de los datos sea ajustado y proporcionado a la finalidad a la que se dirige el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La Instrucción 1/2006, regula en su artículo 4, el principio de proporcionalidad en el tratamiento de los datos en el ámbito de la videovigilancia, en los siguientes términos: “1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.” La entidad denunciada declara como finalidad del sistema de videovigilancia la seguridad y control de accesos. Estos fines se pueden conseguir sin necesidad de captar imágenes de personas identificadas o identificables en las zonas de las piscinas y de las salas de aparatos y fitness. En estos espacios por su propia naturaleza, las personas llevan a cabo actividades cuya captación gráfica (imágenes grabadas o visualizadas) puede afectar fuertemente a los derechos a la intimidad y al derecho a la propia imagen de los afectados además del derecho a la protección de sus datos personales (la imagen lo es). La grabación de imágenes de personas identificadas o identificables en estos espacios, resulta desproporcionada en relación con la finalidad de seguridad que se persigue, pudiendo utilizarse otros medios menos intrusivos para reforzar la misma. La entidad denunciada entiende que las cámaras son proporcionadas porque contratar a personal que controle cada una de las salas supondría un esfuerzo económico que no puede asumir y porque al estar apagados los monitores de visualización, no suponen una gran intromisión en la intimidad de los usuarios. Llegados a este punto, se vuelve a incidir en el hecho que desde esta Agencia no se está cuestionando todo el sistema de videovigilancia del complejo, sino únicamente una serie de cámaras. Analizando las distintas alegaciones realizadas por la entidad denunciada, resulta difícil entender cómo las cámaras pueden reforzar la seguridad de las zonas de piscinas y de las salas de aparatos y fitness así como controlar el acceso a las mismas cuando según afirman tienen apagados los monitores de visualización que reproducen las imágenes de las cámaras. No parece que puedan ser muy útiles para las finalidades declaradas. Evidentemente si el problema en estas zonas (piscinas y salas de aparatos y fitness) es el control de acceso, el mismo se puede controlar por medio de tornos (existentes en otras zonas del complejo deportivo tal y como se aprecia en varias de las imágenes aportadas a este expediente) o situando la cámara únicamente en la entrada a estas zonas sin que se incluya en su campo de visión la piscina o la sala de aparatos y fitness. Otro de los problemas que alega la entidad denunciada en la zona de piscina es la seguridad del acristalamiento y sistema de cierre de la misma, afirmando que la cámara disuade la comisión de actos vandálicos o delictivos, pues bien este objetivo también podría alcanzarse situando la cámara encima del cierre acristalado orientada hacia el mismo evitando la captación de la zona de la piscina. A pesar de que la entidad denunciada no ha hecho referencia a esta cuestión, desde esta Agencia se entiende que un complejo deportivo tan amplio debe contar con suficientes profesionales para asesorar y atender a los usuarios del centro deportivo en la piscina, sala de aparatos y de fitness y que su presencia también servirá para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 reforzar la seguridad de estos usuarios y para disuadir de comportamientos poco cívicos. Si la cuestión de la seguridad primara por encima de los demás derechos e intereses también deberían situarse cámaras en los vestuarios de los usuarios dónde pueden producirse robos u otro tipo de conflictos y sin embargo a nadie se le ocurre plantear algo parecido, lo mismo puede decirse de las zonas de piscina y salas de aparatos y fitness, lugares donde las personas por su indumentaria y por las actividades que llevan a cabo están más expuestas a una intromisión en su intimidad o derecho a la propia imagen y a la protección de sus datos de carácter personal (imagen) resultando por tanto el tratamiento de las imágenes captadas en estos lugares excesivo, no adecuado y desproporcionado para la finalidad de seguridad y control de acceso declarada por la entidad denunciada. La infracción al artículo 4 de la LOPD, aparece tipificada como grave en el artículo 44.3.
- c)de la LOPD, que considera como tal: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Dicha infracción podría ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. V Finalmente y en relación con lo anterior, el apartado 6 al artículo 45 de la LOPD establece que: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)que el infractor no hubiese sido sancionado o apercibido con anterioridad.
- a)Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Los criterios a los que alude el artículo 45.6 de la LOPD, vienen recogidos en el apartado 5 de este mismo artículo, que dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Así pues el apartado 6 del artículo 45 de la LOPD, habilita para la aplicación del apercibimiento como paso previo a la apertura de un procedimiento sancionador (en caso de incumplimiento de las medidas requeridas por esta Agencia), ya que la aplicación de esta figura es más favorable para el presunto infractor. En el presente supuesto se aplica el apercibimiento pues se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD, es decir estamos ante hechos constitutivos de dos infracciones graves y la entidad denunciada no ha sido sancionada ni apercibida por esta Agencia con anterioridad. Junto a ello se observa una disminución de su culpabilidad ya que no consta que su actividad esté relacionada con el tratamiento de datos de carácter personal o que existan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00420/2017) a la entidad PROMOCIÓN DE ESPACIOS RECREATIVOS URBANOS, S.L. (P.E.R.U.) con CIF nº: ***CIF.1, como responsable del tratamiento de imágenes realizado a través del sistema de videovigilancia instalado en el complejo deportivo denominado "EL PERÚ ***LOC.1 WELLNESS", con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. 2.- APERCIBIR (A/00420/2017) a la entidad PROMOCIÓN DE ESPACIOS RECREATIVOS URBANOS, S.L. (P.E.R.U.), como responsable del tratamiento de imágenes realizado a través del sistema de videovigilancia instalado en el complejo deportivo denominado "EL PERÚ ***LOC.1 WELLNESS", con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación a la denuncia por infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 3.- REQUERIR a la entidad PROMOCIÓN DE ESPACIOS RECREATIVOS URBANOS, S.L. (P.E.R.U.) de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD para que acredite en el plazo de un mes desde este acto de notificación lo siguiente: 1.- Cumpla lo previsto en el artículo 6.1 de la LOPD. En concreto se insta a la entidad denunciada a acreditar la retirada, reorientación o introducción de máscaras de privacidad en las cámaras exteriores identificadas como las cámaras 1 (acceso Joker), 3 (montacargas), 4 y 5 (acceso Guadalupe) y 7 (acceso fitness), para que limiten la porción de vía pública captada por estas cámaras a la mínima imprescindible para llevar a cabo la función de seguridad y vigilancia de las instalaciones. Puede justificar la adopción de estas medidas, por medio, por ejemplo, de fotografías que evidencien la retirada de las cámaras o muestren el nuevo campo de visión de las cámaras una vez hayan sido reorientadas, reubicadas o introducido máscaras de privacidad. 2.- Cumpla lo previsto en el artículo 4.1 de la LOPD. En concreto se insta a la entidad denunciada a justificar la retirada cámaras interiores 7 y 8: piscinas; y cámaras 10, 11 y 12: sala de aparatos para no captar imágenes en estas zonas. Puede justificar la adopción de estas medidas, por medio, por ejemplo, de fotografías que evidencien la retirada de estas cámaras. 3.- Informe a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el punto anterior, acreditando dicho cumplimiento (a través por ejemplo de las fotografías mencionadas en los párrafos anteriores). Se le informa de que en caso de no atender el citado requerimiento, podría incurrir en una infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. 4.- NOTIFICAR el presente Acuerdo a la entidad PROMOCIÓN DE ESPACIOS RECREATIVOS URBANOS, S.L. (P.E.R.U.). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es