AAPP-00025-2015

1/8 Procedimiento Nº AP/00025/2015 RESOLUCIÓN: R/02236/2015 Mediante Acuerdo de fecha 23/4/15 se inició procedimiento de declaración de Infracción de Administraciones Públicas nº AP/00025/2015 instruido por la Agencia Española de Protección de Datos a UNIVERSIDAD DE VIGO por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 9/5/14 tiene entrada en esta Agencia escrito de D. A.A.A. (en adelante el denunciante) comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de videovigilancia cuyo titular es la entidad UNIVERSIDAD DE VIGO (en adelante el denunciado) instaladas en "ESCUELA UNIVERSITARIA DE INGENIERIA TECNICA INDUSTRIAL" ubicado en (C/...........1) (PONTEVEDRA), sin carteles de zona videovigilada, enfocado hacia vía pública. Adjunta: reportaje fotográfico de dos cámaras en fachada, un cartel de zona videovigilanda sin indicación del responsable y otro cartel de empresa de seguridad. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/04482/

1. Concluyéndose la investigación con informe siguiente de la Inspección de Datos de fecha 12/03/
2. TERCERO: En fecha 23/4/15 por el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas a UNIVERSIDAD DE VIGO con arreglo a lo dispuesto en el artículo 46 de LOPD, con arreglo a lo dispuesto en el artículo 46 de LOPD, por la presunta infracción del artículo 6.1 de dicha norma, tipificada como grave en el artículo 44.3.b de la citada Ley Orgánica. El motivo de dicho inicio estuvo en que, salvo prueba en contrario, la Universidad de Vigo, como responsable del sistema de videovigilancia, ha desconectado tres cámaras exteriores para evitar la captación de vía pública, quedando hábil la que capta el aparcamiento trasero con verja pero con captación de la vía pública. Lo que puede suponer, salvo prueba en contrario, un tratamiento no amparado por lo dispuesto el artículo 6.1 y 6.2 de la LOPD, y una vulneración del mismo, al exigirse en este artículo el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. CUARTO: Por la UNIVERSIDAD DE VIGO se presentó, con fecha 19/5/15 escrito de alegaciones, manifestando lo siguiente: 1- Que ha quedado probado que la Universidad dispone de las autorizaciones necesarias para la colocación de un sistema de videovigilancia y que las cámaras que pudiesen grabar vía pública fueron desconectadas a excepción de la cámara núm. 5 respecto a la cual se procedió a pedir autorización, 2- Que a dicha fecha no se ha recibido contestación alguna, ni positiva ni negativa, a la solicitud de autorización. Procediéndose a anular dicha cámara adjuntándose para su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 justificación imagen del centro de control de imágenes así como certificado de la empresa de seguridad certificando dicha desconexión QUINTO: Se procedió, con fecha 17/6/15, a la apertura de periodo de práctica de pruebas, practicándose las siguientes:
3. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante UNIVERSIDAD DE VIGO, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04482/
5. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00025/2015 presentadas por UNIVERSIDAD DE VIGO, y la documentación que a ellas acompaña. HECHOS PROBADOS 1º Consta denuncia de D. A.A.A. relativa a la existencia de un sistema de videovigilancia instalado en la "ESCUELA UNIVERSITARIA DE INGENIERIA TECNICA INDUSTRIAL" ubicado en (C/...........1) (PONTEVEDRA), en el que no existen carteles de zona videovigilada, y que enfoca la vía pública. 2º Se adjuntó reportaje fotográfico de dos cámaras en fachada, un cartel de zona videovigilanda sin indicación del responsable y otro cartel de empresa de seguridad 3º Constan las siguientes alegaciones presentadas por la entidad denunciada, en la fase de actuaciones previas de inspección en relación a dichos hechos A) Que la entidad responsable es la Facultad de Ingeniería Técnica Industrial es la UNIVERSIDAD DE VIGO. B) Que La empresa que realizó la instalación del sistema de videovigilancia es PROSEGUR COMPAÑIA DE SEGURIDAD, S.A. Se adjunta copia del contrato. C) Respecto a las causas que han motivado la instalación de las citadas cámaras y su finalidad, se adjunta en el Anexo II la “Normativa reguladora de uso de sistemas de videovigilancia de la Universidad de Vigo” en la que se especifica las razones de la instalación de cámaras de seguridad y la normativa utilizada en su caso, que básicamente son: -- “la de garantizar la seguridad de los bienes y de las personas, controlando el acceso a los edificios, el acceso a los aparcamientos, la seguridad interior de los edificios y zonas comunes y la seguridad en las instalaciones deportivas” (artículo 1). * En cuanto a la autorización administrativa para instalar cámaras en vía pública, en el propio contrato celebrado entre las partes aparece la referencia al nº de homologación 2816959 y visado el 20/09/2011 realizado ante la Policía Nacional. D) Que es la UNIVERSIDAD DE VIGO, como administración pública independiente, es la encargada de gestionar todos los edificios que de ella dependen. La facultad de Ingeniería Técnica Industrial pertenece a la propia Universidad de Vigo, quien se encarga de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 gestión. La cámara en cuestión está instalada en el propio edificio - facultad, y se ha instalado de acuerdo con la normativa interna aprobada en el Consello de Goberno de la Universidad de Vigo el 9 de junio de
6. E) Se adjunta fotografía de los carteles donde se informa de la existencia de las cámaras y en los que se identifica el responsable ante el que se pueden ejercitar los derechos recogidos en los artículos 15 y siguientes de la Ley Orgánica 15/1999, que están ubicados en las fachadas del edificio. F) Se adjunta modelo del formulario informativo a disposición de los ciudadanos. Así mismo, el procedimiento a seguir está indicado en la normativa interna de la Universidad de Vigo, y los responsables del centro son conocedores del mismo (artículo 12 de la normativa interna de la Universidad de Vigo para la instalación de cámaras de videovigilancia - Anexo II). G)* Detalle de las cámaras instaladas y lugares donde se encuentran ubicadas. Se presentan modelos y planos en el Anexo V. Son ocho cámaras: cuatro exteriores (1, 3, 5 y 8), de ellas tres son domos (salvo la 5), y cuatro interiores (2, 4, 6 y 7). -- Están desconectadas las tres domos exteriores, dos de la fachada principal y otra de la fachada trasera (entrada al garaje) (1, 3, y 8). -- La cámara 5 capta aparcamiento trasero en recinto cerrado del edificio, con captación de vía pública, para lo que solicitan autorización. -- Se adjunta en el Anexo VI fotografía de la cámara con indicación expresa del número con el que se identifica sobre el plano de la instalación y fotografía de la imagen captada. -- Se aportan en el Anexo VII fotografías donde se ubican los monitores que visualizan las imágenes, en el centro de cerrado de control de cámaras de seguridad ubicado en el Campus Universitario de Vigo, Lagoas Marcosende, situado en la entrada del edificio Gerencia Servicios Centrales. I) Que únicamente tienen acceso al sistema de videovigilancia el responsable del Comisionado del Departamento Técnico de Obras e Infraestructuras y el personal de vigilancia debidamente autorizado de la empresa Prosegur que está asignado al servicio de la Universidad de Vigo. Se adjunta en el Anexo VIII el contrato celebrado entre las partes relativo al tratamiento de datos personales. J) El sistema utilizado para grabar las imágenes es un equipo de 16 canales con tiempo de grabación 28 días. K) Se informa que el sistema de vigilancia no está conectado a ninguna central de alarmas. 4º Consta diligencia de comprobación e una diligencia se comprueba la inscripción en el Registro General de Protección de Datos del fichero de VIDEOVIXILANCIA con el código nº ***CÓD.1 cuyo responsable es la Gerencia de la Universidad. 5º En este mismo expediente el denunciado ha aportado documentación sobre la Escuela de Empresariales ubicada enfrente del centro denunciado, en (C/...........1) y cuyo titular también es la Universidad de Vigo, y que cumple con todos los requisitos, en concreto, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 aporta: -- Plano de situación de tres cámaras interiores fijas. -- Foto de cartel informativo en fachada del centro. -- Fotos de tres cámaras e imágenes captadas: cámaras 1 y 2 de los accesos al interior del recinto y cámara 3 del acceso al interior del edificio. >>>>> 6º Constan manifestaciones de la entidad denunciada en el sentido que se ha procedido a anular dicha cámara adjuntándose para su justificación imagen del centro de control de imágenes así como certificado de la empresa de seguridad certificando dicha desconexión. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo
7. g) en relación con el artículo 36 de la LOPD. II La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.d) de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (…) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso, UNIVERSIDAD DE VIGO es responsable del tratamiento de conformidad con las definiciones legales, por tanto está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD III Respecto de los hechos objeto de denuncia, hay que señalar, en primer lugar, que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado a) del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra c) el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.
8. f) del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.a) de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal. La Directiva 95/46/CE en su Considerando 14 afirma: “