1/6 Procedimiento Nº AP/00006/2015 RESOLUCIÓN: R/00769/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00006/2015, instruido por la Agencia Española de Protección de Datos a la entidad INSTITUTO DE ESTUDIOS GALLEGOS XXXXX (CONSEJO SUPERIOR DE INVESTIGACIONES CIENTIFICAS), vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 25/02/2014 tuvo entrada en esta Agencia una denuncia de D. A.A.A. (en adelante el denunciante) comunicando posible infracción a la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), motivada por cámaras de videovigilancia cuyo titular es la entidad XUNTA DE GALICIA instaladas en "INSTITUTO DE ESTUDIOS GALLEGOS XXXXX" (en adelante el denunciado) en (C/............1) (A CORUÑA), sin carteles de zona videovigilada, enfocado hacia vía pública. Adjunta 4 fotografías. En una se visiona una cámara situada en una fachada enfocando la acera de la calle barriendo la misma, al configurarse con un modo de enfoque abierto, no pegada propiamente a la fachada. En otra, colocada también en la fachada, al lado de la primera, orientada hacia la otra vertiente de la fachada, se enfoca hacia un edificio, su acceso, desconociendo que tipo de edificio es, pero en todo caso vía pública. De la primera cámara se aporta otra foto con el área que posiblemente recoge, tratándose de una amplia superficie de la vía pública. No se aprecian carteles cercanos a las cámaras. De la segunda cámara, el denunciante indica que enfoca hacia la entrada de una “guardería”. Añade el denunciante que no figura inscrito fichero alguno. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad INSTITUTO DE ESTUDIOS GALLEGOS XXXXX, identificada por la XUNTA DE GALICIA el 8/08/2014 como entidad que se halla ubicada en el edificio de la calle denunciada. A) Con fecha 28/10/2014 manifiesta el INSTITUTO DE ESTUDIOS GALLEGOS XXXXX: 1) Si bien el edificio pertenece a la XUNTA DE GALICIA, en el mismo tienen su sede diferentes organismos e Instituciones, como el Consello Escolar de Galicia, el Centro Ramón Piñeiro o el Instituto de Estudios Gallegos XXXXX. Este último es un Centro mixto, del Consejo Superior de Investigaciones Científicas (CSIC) y de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Xunta de Galicia. 2) Reconocen que el Instituto, propietario del sistema, no ha solicitado la creación de fichero y que no se cumple con la colocación de los carteles informativos. Solo en el momento de la instalación se informó al responsable de la Oficina Técnica de la Consellería de Presidencia de la Xunta, y se solicitó su aprobación como responsable del local. Aporta copia de escrito de 3/06/2008 en que se remite Memoria, añadiendo “Se solicita su aprobación”. 3) La instalación se efectuó por FICHET Sistemas y Servicios SA. 4) Las causas que motivaron su colocación fueron, según constan en la Memoria adjunta al expediente, que se carecía de vigilancia en la planta sótano del edificio, con ventanales a ras de suelo. En esa parte se sitúa el Laboratorio de Arqueología y la Biblioteca. Esta última es muy valiosa. De la documentación que acompaña se desprende que el expediente fue aprobado en el 2008 y que el Organismo peticionario del gasto al Ministerio de Economía es el CSIC y el que tramita el crédito, apreciándose que figura la petición de 6 cámaras. Como dirección donde se deben entregar los bienes figura la (C/............1). En la Memoria se refleja que en la Biblioteca y Laboratorio de Arqueología situado en la planta sótano con ventanales exteriores a ras de suelo, carecen de vigilancia y seguridad antincendios y que se implante para su control antirrobos cámaras interiores y exteriores del edificio con control en centralita a la entrada del edificio. En la dirección del servicio consta el Instituto. También figura un certificado de la instalación por parte del Gerente del Instituto fechado a 2/10/2008. La memoria de la instalación se refiere también al Instituto y explicita que dada la extensión del edificio, 6756 metros cuadrados y el valor de la documentación y datos, sería posible acceder fácilmente, y se estima precisa la instalación de un sistema de CCTV perimetral con grabación permanente. 5) Declaran que el sistema se compone de 6 cámaras (dos estropeadas) repartidas: dos en el exterior, y cuatro en el interior. Ninguna con zoom ni posibilidad de movimiento. Aporta croquis de la situación. 6) No se dispone de autorización administrativa para captar imágenes de la vía pública con las cámaras exteriores. “Las dos cámaras están orientadas a las dos puertas de entrada situadas en la planta sótano”. 7) Solo existe un monitor situado a la entrada del edificio, al que únicamente tiene acceso el personal de seguridad de la empresa Vigilancia Integrada SA contratada por la Xunta de Galicia para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 realizar el control de accesos. Se aporta copia del contrato de 20/09/2013 para la contratación de servicios de vigilancia y seguridad en los edificios administrativos de la XUNTA. 8) El sistema de grabación de imágenes es en grabador digital de 160 GB. 9) No se encuentra conectada a central de alarmas. B) Con fecha 6/11/2014 se recibe por correo electrónico desde el Instituto, dossier fotográfico con croquis de la situación en la que se hallan las cámaras. En una de ellas, se observa una vista general que da una perspectiva más completa del edificio. Respecto de las cámaras objeto de la denuncia, la 1, que enfoca a Rúa Das Rodas (se aporta foto sacada de la toma del monitor que recoge las imágenes), y pese al brillo, se aprecia que capta la vía pública, alcanzando incluso el área de circulación de vehículos, a la izquierda de la misma. Asimismo, se observa de la foto de la vista general de dicha calle, que existe una puerta de acceso, no viéndose dos ventanas a ras de suelo. La cámara 2, “entrada sótano Guardería” enfoca vía pública, sin explicitar el fin de la misma, y desconociendo el motivo de porque enfoca la entrada de la guardería. Adicionalmente, aporta fotos de las cámaras del interior: Biblioteca, escaleras emergencia y laboratorio arqueología. En ningún espacio se observa carteles de videovigilancia. TERCERO: Con fecha 12/02/2015 el Director de la Agencia acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas al INSTITUTO DE ESTUDIOS GALLEGOS XXXXX (CONSEJO SUPERIOR DE INVESTIGACIONES CIENTIFICAS) por:
- a)Infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12 de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “ El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” en relación con la Instrucción 1/2006, de 8/11, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (Instrucción de videovigilancia), artículos 2 y 4. Esta infracción está tipificada como grave en el artículo 44.3.
- b)de la LOPD.
- b)Infracción del artículo 5.1 de la LOPD, que señala que: 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.”, en relación con el artículo 3 de la Instrucción 1/2006 de videovigilancia. Esta infracción está tipificada como leve en el artículo 44.2.
- c)de la LOPD que precisa:”El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.”
- c)Infracción del artículo 20.1 de la Ley Orgánica 15/1999, de 13/12 de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “La creación, modificación o supresión de los ficheros de las Administraciones públicas sólo podrán hacerse por medio de disposición general publicada en el «Boletín Oficial del Estado» o Diario Oficial correspondiente.” en relación con la Instrucción 1/2006, de videovigilancia, artículo 7. Esta infracción está tipificada como grave en el artículo 44.3.
- a)de la LOPD que la define como: “Proceder a la creación de ficheros de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general, publicada en el “Boletín Oficial del Estado” o diario oficial correspondiente.” CUARTO: El acuerdo de inicio se dirigió al Instituto de Estudios Gallegos XXXXX, Gerencia, en Avda. de Vigo s/n de Santiago de Compostela, que fue el órgano responsable que en actuaciones previas informó sobre el sistema de grabación y aportó documentación sobre la contratación del sistema, si bien el edificio en el que están las cámaras está ubicado en (C/............1). El acuerdo de inicio fue devuelto por el Servicio de Correos con las anotaciones de 20/02/2015 “Ausente”, y 23/02/2015 “desconocido”. El acuerdo fue remitido el 9/03/2015 a publicar en edictos del Ayuntamiento y el 14/03/2015 figura publicado en el BOE. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La denuncia tuvo entrada en la Agencia el 25/02/2014, por lo que transcurrió un año sin que el acuerdo de inicio fuera notificado. De conformidad con el art. 122.4 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD, (RLOPD) las actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el párrafo segundo “hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 “El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” El acuerdo de inicio de 12/02/2015, se originó por la denuncia de 25/02/2014 y se notifica en edictos y BOE, se envió al Ayuntamiento el 9/03, en el BOE se publica el 14/03/2015. El artículo 92.3 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC), establece que, “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción.” En tal sentido, pudiera desprenderse que las infracciones continúan subsistiendo. Al objeto de depurar los hechos denunciados, se procede a iniciar nuevo procedimiento de actuaciones de investigación, con el expediente E/01870/2015. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO del presente procedimiento contra el INSTITUTO DE ESTUDIOS GALLEGOS XXXXX (CSIC). SEGUNDO: INICIAR nuevas actuaciones previas de investigación identificadas con el expediente E/01870/2015 TERCERO: NOTIFICAR la presente resolución al GALLEGOS XXXXX (CSIC), y a A.A.A.. INSTITUTO DE ESTUDIOS CUARTO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es