AAPP-00026-2016

1/6 Procedimiento Nº AP/00026/2016 RESOLUCIÓN: R/01845/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00026/2016, instruido por la Agencia Española de Protección de Datos a la entidad INSTITUTO NACIONAL DE GESTION SANITARIA, DIRECCION TERRITORIAL DE MELILLA, vista la denuncia presentada y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 27/2/14 tiene entrada en esta Agencia escrito remitido por la DIRECCIÓN GENERAL DE LA POLICÍA, en el que se remite informe de la JEFATURA SUPERIOR DE POLICÍA DE MELILLA – Brigada provincial de Seguridad Ciudadana comunicando la posible infracción a la Ley Orgánica 15/1999 motivada por la existencia de cámaras de videovigilancia en las instalaciones del HOSPITAL COMARCAL DE MELILLA situado en la (C/...1) de MELILLA y cuyo titular es el la entidad denunciada En resolución de fecha 9/6/14 relativa al procedimiento de Declaración de Infracción de Administraciones Públicas AP/00003/2015, instruido por esta Agencia con relación a dicha denuncia se resolvió requerir a DIRECCION TERRITORIAL DE MELILLA que acreditara, en el plazo de un mes, las medidas de orden interno que impidieran en el futuro pueda producirse una infracción del artículo 6.1 de la LOPD, para lo que se aperturó un expediente de actuaciones previas E/03502/2015. En concreto se debía acreditar la modificación del ángulo de captación de las cámaras instaladas en el exterior que captan vía pública o bien acreditar que se han retirado las cámaras de manera que no se capten imágenes de la vía pública, por medio del envío de imágenes de lo captado una vez modificado en ángulo de enfoque. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/03502/2015; remitiéndose por la Gerencia del Hospital con las modificaciones realizadas en el sistema de videovigilancia perimetral consistente en:

1. a)Sustitución de las cuatro cámaras motorizadas provistas de zoom, por fijas sin zoom
2. b)Mejorado del ángulo de captación de las cámaras con las limitaciones físicas que permite la instalación. Se ha aportado plano de situación de las cámaras, fotografías de cada una de las ubicaciones e instantáneas de la visualización de las cámaras. TERCERO Por parte del Director de la Agencia Española de Protección de Datos se. acordó iniciar procedimiento de declaración de infracción, con fecha 11/6/13, por la presunta infracción del art. 37.1.f de la LOPD. CUARTO: Por el instructor del expediente se procedió a abrir un periodo de pruebas, con fecha 18/07/17 incorporando las actuaciones practicadas en el periodo de actuaciones previas de inspección y el informe E/3502/2015 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La seguridad y la vigilancia, elementos presentes en la sociedad actual, no son incompatibles con el derecho fundamental a la protección de la imagen como dato personal, lo que exige respetar la normativa existente en materia de protección de datos. Las imágenes se consideran un dato de carácter personal. El concepto de dato de carácter personal se define en el artículo 3.
4. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables” y en el artículo 1.4 del Real Decreto 1332/1994, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, que continúa en vigor de conformidad con lo establecido en la disposición transitoria tercera de la LOPD, como “toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a una persona física identificada o identificable”. En este mismo sentido se pronuncia el artículo 2.
5. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de la citada Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal. III Respecto a la legitimación en el tratamiento de las imágenes, la respuesta se encuentra en el artículo 2 de la Instrucción 1/2006, que establece que: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respectar en todo caso los requisitos exigidos por la legislación vigente en la materia”. IV En relación a las cámaras situadas en el interior del establecimiento la habilitación legal para el tratamiento de las imágenes de las personas físicas con fines de vigilancia procede de la Ley 25/2009, de 27 de diciembre, de modificación de diversas leyes para su adaptación a la Ley 17/2009, de 23 de noviembre, sobre el libre acceso a las actividades de servicios. Esta modifica la Ley 23/1992, de 30 de junio, de Seguridad Privada añadiendo una Disposición Adicional Sexta en la que se determina que cualquier particular o empresa cuya actividad no sea la propia de una empresa de seguridad privada podrá “vender, entregar, instalar y mantener equipos técnicos de seguridad” sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas. De este modo, dado que la ley permite la instalación y mantenimiento de dichos equipos por empresas distintas a las de seguridad privada, legitima a quienes adquieran de estos dispositivos para tratar los datos personales derivados de la captación de las imágenes sin necesidad de acudir a empresas de seguridad privada, siendo dicho tratamiento conforme a lo previsto en la Ley Orgánica de Protección de Datos de Carácter Personal. En todo caso, el tratamiento de las imágenes deberá cumplir los restantes requisitos exigibles en materia de protección de datos de Carácter Personal, recogidos en la Ley Orgánica y, en particular, en la instrucción 1/2006 ya citada. V En relación a las cámaras colocadas en el exterior del establecimiento es preciso conocer la regulación que sobre esta materia se contempla en el artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos que establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Este precepto debe ponerse en relación con lo dispuesto en el artículo 3
6. e)de la Ley Orgánica 15/1999, donde se prevé que: “Se regirán por sus disposiciones específicas y por lo especialmente previsto, en su caso, por esta Ley Orgánica los siguientes tratamientos de datos personales:
7. e)Los procedentes de las imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, de conformidad con la legislación sobre la materia”. El artículo 3.1 y 2 de la citada Ley Orgánica 4/1997, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 “1. La instalación de videocámaras o de cualquier medio técnico análogo en los términos del artículo 1.2 de la presente Ley está sujeta al régimen de autorización, que se otorgará, en su caso, previo informe de un órgano colegiado presidido por un Magistrado y en cuya composición no serán mayoría los miembros dependientes de la Administración autorizante. 2. Las instalaciones fijas de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado y de las Corporaciones Locales serán autorizadas por el Delegado del Gobierno en la Comunidad Autónoma de que se trate, previo informe de una Comisión cuya presidencia corresponderá la Presidente del Tribunal Superior de Justicia de la misma Comunidad. La composición y funcionamiento de la Comisión, así como la participación de los municipios en ellas, se determinarán reglamentariamente.” La legitimación para el uso de instalaciones de video vigilancia se ciñe a la protección de entornos privados. La prevención del delito y la garantía de la seguridad en las vías públicas corresponden en exclusiva a las Fuerzas y Cuerpos de Seguridad del Estado. Por tanto la regla general es la prohibición de captar imágenes de la calle desde instalaciones privadas. En consecuencia, sí las cámaras graban la vía pública el responsable de las mismas, deberá de dirigirse a la Delegación del Gobierno a los efectos de obtener la autorización de las mismas. No obstante lo anterior, hay que tener en cuenta lo dispuesto en el artículo 4.3 de la citada instrucción establece que. “las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida” Es necesario analizar si opera la excepción establecida en el art. 4.3. En definitiva si existe un tratamiento proporcional al fin pretendido. La Instrucción 1/2006 hace especial referencia a la necesidad de ponderar los bienes jurídicos protegidos. Así viene a señalar expresamente que la instalación de este tipo de dispositivos se deberá respetar el principio de proporcionalidad, valorando así la posibilidad de adoptar otros medios menos intrusivos a la intimidad de las personas, con el fin de prevenir interferencias injustificadas en los derechos y libertades fundamentales. En cuanto a la proporcionalidad, tal y como señala la propia Instrucción, la Sentencia del Tribunal Constitucional 207/1996 determina que se trata de “una exigencia a común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad, y más en derechos a la integridad física y a la intimidad, y más en particular de las medidas restrictivas de derechos fundamentales adoptadas en el curso de un proceso penal viene determinada por la estricta observancia del principio de proporcionalidad” Por consiguiente si la finalidad de la instalación de cámaras de videovigilancia tiene como objetivo controlar por ejemplo, determinados actos de vandalismo, robos o acciones violentas que vienen siendo habituales en la finca, en principio, la medida podría considerarse idónea, necesaria y proporcional, siempre y cuando se limitase estrictamente a esa finalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Dicho criterio de la proporcionalidad deriva del principio del interés legítimo como presupuesto legitimador del tratamiento de datos personales. Así el artículo 7 de la Directiva 95/46/CE, de 24 de octubre determina que: “Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si: (…)
8. f)es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del Art. 1 de la presente Directiva.: en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales”. Al amparo de lo anterior la Audiencia Nacional, ponderando caso por caso entre el interés legítimo del responsable del tratamiento y los derechos y libertades fundamentales de los afectados, ha entendido en diversas sentencias , que los derechos y libertades fundamentales de los afectados – esto es, las personas cuyas imágenes sean visionadas y, en su caso, grabadas por las cámaras de seguridad – no se ven lesionados hasta el punto de prevalecer sobre el interés legítimo cuando concurran unas serie de circunstancias, entre ellas la seguridad de las personas o de las instalaciones que pueden ser mejor preservadas con la instalación de un sistema de videovigilancia, siempre que se cumplan las garantías establecidas en la Instrucción 1/2006 antes mencionada, destacando en particular el deber de información y los derechos de las personas a que se refieren los artículos 15 y ss. LOPD. Pues bien en este caso valorando la documentación aportada por la entidad denunciada, y teniendo en cuenta el área captada por las cámaras y siempre que se mantengan en las mismas condiciones, puede entenderse existe un tratamiento proporcional y legítimo que justificaría su instalación, de acuerdo al fin pretendido, siendo la porción de vía pública que se capta la mínima posible. Y que por consiguiente se ha acreditado que se han adoptado las medidas correctoras requeridas en la Resolución de 9/6/15 (procedimiento AP/3/15). VI Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: 1. PROCEDER AL ARCHIVO del presente procedimiento de Declaración de Infracción de las Administraciones Públicas. 2. NOTIFICAR la presente Resolución a INSTITUTO NACIONAL DE GESTIÓN SANITARIA EN MELILLA De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es