1/5 Procedimiento Nº A/00427/2017 RESOLUCIÓN: En el procedimiento A/00427/2017, instruido por la Agencia Española de Protección de Datos en relación con OILSAN FAST FOOD, S.L., vista la denuncia presentada, y con base en los siguientes:, ANTECEDENTES DE HECHO PRIMERO: Con fecha 14/11/17 tiene entrada en esta Agencia escrito de Dª A.A.A. (en adelante la denunciante) comunicando posible infracción a la Ley Orgánica 15/1999, de 13 de diciembre, motivada por la presencia de cámaras de videovigilancia cuyo titular es OILSAN FAST FOOD, S.L., (en adelante la denunciada) instalada en la terraza de su establecimiento, DOMINO’S PIZZA sito en ***DIRECCIÓN.1 sin informar de la existencia de zona videovigilada. Adjunta: reportaje fotográfico en el que se observan las cámaras instaladas, así como que no consta la existencia de carteles informativos. SEGUNDO: A la vista de los hechos denunciados, la Inspección de Datos de esta Agencia Española de Protección de Datos consideró que el tratamiento de los datos personales que se realiza a través del sistema a las que se refiere la denuncia, no cumple las condiciones que impone la normativa sobre protección de datos. TERCERO: Con fecha 16/2/18 se remitió por la entidad denunciada escrito de alegaciones, manifestando que el sistema de videovigilancia fue instalado por la mercantil VISEGUR SA,, aportándose copia del contrato de prestación de servicios suscrito con la misma. Se manifiesta que el sistema cumple todos los requisitos establecidos en materia de protección de datos, y en particular se aporta fotografía del cartel instalado en el que se avisa de la existencia de cámaras de videovigilancia de acuerdo el modelo establecido. FUNDAMENTOS DE DERCHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Antes de entrar de lleno en el análisis de la cuestión que aquí nos ocupa, conviene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 hacer hincapié en los requisitos que debe cumplir un sistema de videovigilancia. Así pues hay que tener en cuenta lo siguiente: Respetar el principio de proporcionalidad. Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Se deberá cumplir el deber de informar a los afectados en el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006). En concreto: “
- a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.” Hay que tener en cuenta que el distintivo del apartado
- a)debe por un lado avisar de la existencia de una zona videovigilada y por otro debe identificar al responsable del tratamiento o, en caso de grabar imágenes, al responsable del fichero ante el que los interesados podrán ejercitar los derechos de acceso, rectificación, cancelación y oposición reconocidos en la LOPD. Salvo en el caso de que el tratamiento consista exclusivamente en la reproducción o emisión de imágenes en tiempo real, cuando se graben imágenes (fuera del ámbito privado) se deberá notificar previamente a esta Agencia la creación del fichero que contenga las imágenes para su inscripción en el Registro General de Protección de Datos. III Debe tenerse en cuenta que la imagen de una persona identificada o identificable constituye un dato personal, por lo que su tratamiento está sujeto a la normativa de protección de datos constituida, fundamentalmente, por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, su Reglamento de desarrollo aprobado por Real Decreto 1720/2007, de 21 de diciembre, y, en particular, en lo que en materia de videovigilancia se refiere, por lo dispuesto en la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de videovigilancia a través de sistemas de cámaras o videocámaras, sin perjuicio de que le resulten aplicables otras normas. En aplicación de dicha normativa, para que la captación de imágenes en el establecimiento denunciado, constitutiva de un tratamiento de datos personales, sea lícita será preciso que se encuentre legitimada en la forma prevista en el artículo 6 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 la Ley Orgánica 15/1999 conforme al cual “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Así lo dispone también el artículo 2 de la Instrucción 1/2006 “1.- Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2.- Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” IV En el artículo 5 de la LOPD se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, el denunciado debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Hay que tener en cuenta que la captación y/o la grabación de imágenes de personas identificadas, o identificables, con fines de vigilancia mediante cámaras, videocámaras o cualquier otro medio técnico análogo, constituye un tratamiento de datos personales sometido a la Ley Orgánica de Protección de Datos (LOPD). Además dicho sistema de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 videovigilancia no podrá obtener imágenes de espacios públicos, ya que esta posibilidad está reservada en exclusiva a las Fuerzas y Cuerpos de Seguridad en el ejercicio de sus funciones, salvo imágenes parciales y limitadas que resulten imprescindibles para la vigilancia o sea imposible evitarlas. En todos los casos la legislación impone un deber de informar de la existencia de un sistema de videovigilancia. Para este fin debe colocarse un cartel suficientemente visible en los accesos a las zonas vigiladas, que indicará de forma clara la identidad del responsable de la instalación y, si constituye un fichero, ante quién y dónde dirigirse para ejercer los derechos que prevé la normativa de protección de datos. En este caso, se deduce que el denunciado cumple con el deber de información, lo que se acredita con las imágenes aportadas del cartel instalado, que se ajustan al modelo oficial, y en el que resulta plenamente identificable el responsable de la instalación y la dirección de ejercicio de los derechos ARCO. Por tanto, se acredita que la entidad denunciada, como responsable del sistema de videovigilancia instalado en el establecimiento DOMINO’S PIZZA, sito en ***DIRECCIÓN.1 cumple con el deber de informar establecido en el artículo 5 de la LOPD. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a DOMINO´S PIZZA-OILSAN FAST FOOD, S.L., De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es