AAPP-00034-2016

1/13 Procedimiento Nº AP/00034/2016 RESOLUCIÓN: R/02662/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00034/2016, instruido por la Agencia Española de Protección de Datos a la DIPUTACION PROVINCIAL DE A CORUÑA, vista la denuncia presentada por Dª. A.A.A., Dª. C.C.C., Dª. B.B.B. y Dª. D.D.D., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 5 de agosto de 2015, tuvo entrada en esta Agencia escrito de Doña A.A.A., Doña C.C.C., Doña B.B.B. y Doña D.D.D. (en adelante las denunciantes) comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de videovigilancia cuyo titular es la Diputación Provincial de A Coruña (en adelante la denunciada) instaladas en el Albergue Centro Etnográfico de Curtis, sin carteles de zona videovigilada, enfocado hacia vía pública, enfocando hacia zonas comunes. Las denunciantes declaran la existencia de cámaras en el interior y exterior del edificio, una de ellas en el recinto cocina-comedor, sin carteles. Adjuntan reportaje fotográfico. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información al Ayuntamiento de Curtis y a la Diputación Provincial de A Coruña, teniendo conocimiento de lo siguiente: Con fecha 3 de noviembre de 2015 se solicitó información al responsable del establecimiento, que manifestó lo siguiente: 1. “El responsable del sistema de videovigilancia es la Diputación de A Coruña. 2. La empresa adjudicataria del contrato de ‘Suministro e instalación de sistemas de detección e intrusión y CCTV en el Centro Etnográfico de Teixeiro’ fue TECNOLOGIAS PLEXUS, SL, con CIF B******, (se adjunta copia del contrato-Anexo 1). 3. La causa que motivó la instalación de este sistema de seguridad fue la necesidad de proteger al edificio y sus bienes debido al robo de todo el material expositivo y enseres, así como diversos desperfectos sufridos en el año 2013. Este hecho se denunció ante la Guardia Civil de Curtis. El valor global estimado ascendió a 60.028,01 €. La ubicación del edificio, alejada respecto al núcleo de población, favorece la posibilidad de acceder a él con fines delictivos. 4. Las cámaras exteriores están situadas y orientadas hacia la parcela, únicamente toman imágenes de la zona inmediata al exterior del edificio y sus accesos, todos ellos dentro de la propia parcela. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 5. Existe libre acceso público peatonal a todo el perímetro del edificio. En las inmediaciones del inmueble discurre un paseo fluvial. Únicamente se restringe el acceso de vehículos en el vial de acceso mediante una barrera abatible que se encuentra aprox. a 35 m. del edificio. 6. En el anexo 2 se adjuntan fotografías de los carteles informativos de existencia de cámaras de vigilancia según modelo oficial, Se encuentran situados en todas las puertas de acceso al edificio así como en la caseta de instalaciones situada en el límite de la parcela. 7. Se aporta copia de modelo informativo con indicación del responsable. 8. El sistema de videovigilancia está compuesto por ocho cámaras interiores y cuatro exteriores. Todas ellas son fijas y no disponen de zoom. Se adjunta plano de planta de la ubicación de las cámaras en el anexo 4. 9. En el anexo 5 se pueden comprobar la visión y fotografía de cada una de las cámaras. Se observa que las cámaras CEM-1 a CEM-8 captan imágenes interiores del edificio. La cámara CEM-8 se corresponde con la del recinto cocina-comedor de las fotos de la denuncia. Las cámaras CEM-9 a CEM-12 captan imágenes del exterior dentro del recinto. 10. Se puede acceder a las imágenes captadas por las cámaras en: a. Centro Etnográfico de Teixeiro, Lugar Braña, Teixeiro, 15320 Curtis, A Coruña. b. Palacio Provincial - Puesto de Seguridad, (C/...1)-A Coruña. En el anexo 5 constan fotografías de los monitores. 11. Poseen acceso al sistema de videovigilancia las siguientes entidades o empresas: a. Ayuntamiento de Curtis. Servicio prestado: Gestión de visitas. (C/...2) Teixeiro-Curtis, A Coruña. CIF P-*****. b. Eulen Seguridad SA. Servicio prestado: Vigilancia. (C/...3) Madrid. CIF A****. c. Elecnor SA. Servicio prestado: Mantenimiento de las instalaciones. (C/...4) Madrid. CIF A-*****. Se adjunta en el anexo 6 la copia del contrato de mantenimiento 12. La grabación de imágenes se efectúa por un tiempo de conservación de 15 días. El acceso se realiza desde el mismo Centro Etnográfico de Teixeiro, El código de inscripción del fichero en el Registro General de Protección de Datos es el ***CÓD.1. Mediante una diligencia se ha comprobado la inscripción con ese nº del fichero REGISTRO DE USUARIOS DE TARJETAS DE ACCESO AJENOS A LA DIPUTACION PROVINCIAL a nombre del denunciado y con finalidad VIDEOVIGILANCIA; SEGURIDAD Y CONTROL DE ACCESO A EDIFICIOS. 13. El sistema de videovigilancia no está conectado a ninguna central de alarmas. Con fecha 13 de enero de 2016, se solicitó información al Ayuntamiento de Curtis que manifestó que “… el Centro ALBERGUE CENTRO ETNOGRÁFICO DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 CURTIS no es propiedad de este Ayuntamiento, sino que su titular es la Diputación Provincial de La Coruña”. TERCERO: De la información obtenida en las Actuaciones Previas de Investigación se desprende que la Diputación Provincial de A Coruña tendría suscrito un contrato de prestación de servicios con las entidades Eulen y Elecnor, encargadas del mantenimiento y visionado de las imágenes, que no recogería las estipulaciones del artículo 12. Por otra parte, no consta documentación acreditativa que autorice al Ayuntamiento de Curtis al acceso a las imágenes del sistema de videovigilancia. Del examen de la documentación aportada por la Diputación Provincial de A Coruña, se deduce que no se recoge referencia alguna a la protección de datos personales lo que podría suponer un incumplimiento de los deberes formales establecidos en el artículo 12.2 de la LOPD. CUARTO: Con fecha 11 de julio de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de Declaración de Infracción de Administraciones Públicas a la DIPUTACION PROVINCIAL DE A CORUÑA por la presunta infracción del artículo 12.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.

1. d)de dicha norma. QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la DIPUTACION PROVINCIAL DE A CORUÑA presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “Los Pliegas de cláusulas administrativas y técnicas particulares forman parte integrante de los contratos que las administraciones públicas formalizan con terceros al objeto de realizar una obra, un suministro o prestar un servicio. En el presente caso, tanto los pliegos que rigieron el contrato de instalación de sistemas de detección e intrusión y CCTV en el Centro Etnográfico de Teixeiro — Curtis, como los que rigen los contratos de servicios posteriores contienen cláusulas en las que se establece expresamente la obligatoriedad de cumplir en todas las fases del contrato la normativa de protección de datos de carácter personal. Así, el pliego de cláusulas administrativas y técnicas particulares para la contratación del SUMINISTRO E INSTALACIÓN DE SISTEMAS DE DETECCIÓN E INTRUSIÓN Y CCTV EN EL CENTRO ETNOGRÁFICO DE TEIXEIRO-CURTIS formalizado con la empresa TECNOLOGIAS PLEXUS, S.L.. (contrato administrativo n° 167/2013 de fecha 19/07/2013, (…) En relación con las empresas que tienen acceso al sistema de videovigilancia, el pliego de cláusulas administrativas y técnicas particulares para la contratación de los servicios de SEGURIDAD Y VIGILANCIA en diversos edificios provinciales (lote único), formalizado con la empresa EULEN SEGURIDAD. SA. (contrato administrativo nº 69/2012 de fecha 19/06/2012, (…) Por su parte, el pliego de cláusulas administrativas y técnicas particulares para la contratación de los servicios de MANTENIMIENTO DE LAS INSTALACIONES DE DETECCIÓN Y EXTINCIÓN DE INCENCIOS, SEGURIDAD Y CONTROL DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 PRESENCIA formalizado con la empresa ELECNOR. SA. (contrato administrativo n° 135/2015 de fecha 23/06/2015, (…) Se adjunta como anexo 1 copia de los pliegos de cláusulas administrativas y técnicas particulares de ambos contratos, con el fin de que se pueda comprobar el cumplimiento de los derechos formales establecidos en la LOPD por parte de la Diputación de A Coruña. Por lo expuesto, queda acreditado que los contratos (de los que forman parte los pliegos) contienen referencia expresa a la obligatoriedad de cumplir la normativa sobe protección de datos de carácter personal en todas las fases del contrato y aún tras su terminación y con posterioridad a la misma. (…) La Diputación Provincial de A Coruña, no cuenta con los medios personales suficientes para garantizar la apertura al público del Centro Etnográfico. Por este motivo con fecha 05/02/2015 suscribió un convenio de colaboración con el Ayuntamiento de Curtis para instrumentalizar la gestión del Centro de tal modo que es esta administración pública la que presta el servicio de atención a visitantes en nombre de la Diputación, que es la propietaria del inmueble (se acompaña documento en el anexo 1). En virtud del citado convenio de colaboración el Ayuntamiento de Curtis accede al sistema de videovigilancia de igual modo que si se tratase de la Diputación. El acceso se realiza desde el mismo Centro Etnográfico de Teixeiro. La grabación de imágenes se efectúa por un tiempo de conservación de quince días.” Concluye el escrito de alegaciones solicitando que se deje sin efecto el procedimiento de declaración de infracción de Administraciones Públicas a la Diputación Provincial de A Coruña. SEXTO: Con fecha 20 de septiembre de 2016, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la DIPUTACION PROVINCIAL DE A CORUÑA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/06336/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00034/2016 presentadas por la DIPUTACION PROVINCIAL DE A CORUÑA, y la documentación que a ellas acompaña. 3. Se requiere a la Diputación Provincial de A Coruña para que, en el plazo de quince días, aporte constancia de que en los contratos de prestación de servicios con las entidades Eulen y Elecnor se recogen todos los extremos previstos en el artículo 12.2 de la LOPD, en particular lo relativo a las medidas de seguridad a que se refiere el artículo 9 LOPD que el encargado del tratamiento está obligado a implementar, según lo que prevé el segundo párrafo del artículo 12.2 de la LOPD. SÉPTIMO: Con fecha 13 de octubre de 2016, tiene entrada en el Registro de esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Agencia un escrito de la Diputación en respuesta a lo solicitado en pruebas. Aporta en su escrito la copia de los siguientes contratos: Contrato administrativo n° 69/2012 de fecha 19/06/2012, formalizado con la empresa EULEN SEGURIDAD, SA relativo a la contratación de los servicios de SEGURIDAD Y VIGILANCIA en diversos edificios provinciales (lote único), acompañado del pliego de cláusulas administrativas y técnicas particulares firmado por el adjudicatario. Contrato administrativo n° 135/2015 de fecha 23/06/2015, formalizado con la empresa ELECNOR, SA. relativo a la contratación de los servicios de MANTENIMIENTO DE LAS INSTALACIONES DE DETECCIÓN Y EXTINCIÓN DE INCENCIOS. SEGURIDAD Y CONTROL DE PRESENCIA acompañado de pliego de cláusulas administrativas y técnicas particulares para la contratación firmado por el adjudicatario. OCTAVO: Con fecha 17 de octubre de 2016, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que la DIPUTACION PROVINCIAL DE A CORUÑA ha infringido lo dispuesto en el artículo 12.2 de la LOPD, lo que supone una infracción tipificada como leve en el artículo 44.2.
2. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 12.2 de la mencionada Ley. HECHOS PROBADOS PRIMERO: Se ha comunicado a esta Agencia la posible infracción a la Ley Orgánica 15/1999 por la instalación de un sistema de cámaras de videovigilancia en el Albergue Centro Etnográfico de Curtis. Adjuntan los denunciantes un reportaje fotográfico de la instalación. SEGUNDO: A requerimiento de esta Agencia la Diputación de A Coruña ha informado que es la responsable del sistema denunciado y que la finalidad de su instalación es proteger el edificio y sus bienes porque el edificio está alejado del núcleo de población y fue objeto de un robo. Informan sobre la empresa adjudicataria del contrato de suministro e instalación del sistema en el Centro Etnográfico de Teixeiro y se aporta el contrato suscrito con ella. La Diputación ha informado de que el sistema de videovigilancia está compuesto por ocho cámaras interiores y cuatro exteriores, todas ellas son fijas y no disponen de zoom. Se adjunta plano con la ubicación de las cámaras y fotografías de cada cámara y de lo captado por ellas. La Inspección de esta Agencia ha constatado que las cámaras denominadas CEM-1 a CEM-8 captan imágenes interiores del edificio. La cámara CEM-8 se corresponde con la del recinto cocina-comedor de las fotos de la denuncia. Las cámaras CEM-9 a CEM-12 captan imágenes del exterior, dentro del recinto del edificio. TERCERO: Se adjuntan fotografías de los carteles informativos de existencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 cámaras de vigilancia según modelo oficial. Se encuentran situados en todas las puertas de acceso al edificio y en la caseta de instalaciones situada en el límite de la parcela. Se aporta copia de modelo de clausula informativa con indicación del responsable. CUARTO: Respecto del acceso y grabación de las imágenes se ha informado de que: Se puede acceder a las imágenes captadas por las cámaras en el Centro Etnográfico de Teixeiro en Curtis y en el Palacio Provincial, Puesto de Seguridad, Avda. Alférez Provisional, 2, A Coruña. Tienen acceso al sistema de videovigilancia el Ayuntamiento de Curtis, la empresa Eulen Seguridad SA. y la empresa Elecnor SA. Se adjunta la copia de contratos suscritos con estas empresas. Manifiesta la Diputación que las imágenes se conservan durante 15 días y que se ha inscrito el correspondiente fichero en el Registro General de Protección de Datos. La Inspección de Datos ha comprobado la inscripción del fichero REGISTRO DE USUARIOS DE TARJETAS DE ACCESO AJENOS A LA DIPUTACION PROVINCIAL a nombre del denunciado y con finalidad VIDEOVIGILANCIA; SEGURIDAD Y CONTROL DE ACCESO A EDIFICIOS. QUINTO: La Diputación de A Coruña y el Concello de Curtis han suscrito un Convenio de Colaboración cuyo objeto es establecer las bases de colaboración entre ambos para garantizar la apertura del Centro Etnográfico de Curtis. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II En primer lugar procede situar la materia de videovigilancia en su contexto normativo. Así el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar” En cuanto al ámbito de aplicación de la LOPD, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”, definiéndose el concepto de dato de carácter personal en el apartado
4. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 El artículo 3 de la LOPD define en su letra
5. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El artículo 5.1.
6. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
7. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. La Exposición de Motivos de la Instrucción 1/2006, de 8 de noviembre, de esta Agencia Española de Protección de Datos, relativa al tratamiento de los datos con fines de videovigilancia señala que: “La seguridad y la vigilancia, elementos presentes en la sociedad actual, no son incompatibles con el derecho fundamental a la protección de la imagen como dato personal, lo que en consecuencia exige respetar la normativa existente en materia de protección de datos, para de esta manera mantener la confianza de la ciudadanía en el sistema democrático”. Sigue señalando: “Las imágenes se consideran un dato de carácter personal, en virtud de los establecido en el artículo 3 de la Ley Orgánica 15/1999…”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. Por su parte, la citada Instrucción 1/2006, siguiente: dispone en su artículo 1.1 lo “1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” (el subrayado es de la Agencia Española de Protección de Datos). La Instrucción 1/2006 en su artículo 2 establece lo siguiente: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal. De acuerdo con los preceptos transcritos, la cámara reproduce la imagen de los afectados por este tipo de tratamientos y, a efectos de la LOPD, la imagen de una persona constituye un dato de carácter personal, toda vez que la información que capta concierne a personas que las hacen identificadas o identificables y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. III El artículo 12 de la LOPD, establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 La prestación objeto del contrato que la DIPUTACION PROVINCIAL DE A CORUÑA suscribió con las empresas de servicios de seguridad y vigilancia del Albergue Centro Etnográfico de Curtis, se encuadraría en la situación prevista en el referido artículo 12 de la LOPD siempre y cuando dicho contrato cumpliese con todos los requisitos previstos en el citado precepto. De la lectura del citado artículo 12 se deduce que, para que concurra la figura de “el acceso a los datos por cuenta de tercero”, la relación deberá estar regulada en un contrato que deberá constar por escrito o en alguna forma que permita acreditar su celebración y contenido. El citado precepto permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. Sin embargo, ese acceso o tratamiento por parte del que presta el servicio aparece rodeado de unas garantías para los afectados que el propio art. 12 impone. La primera de ellas estriba en que haya una constancia expresa de que el responsable del fichero ha encargado el tratamiento de los datos para lo cual se exige que conste en un contrato. A este respecto, el art. 12 impone un requisito formal: que el contrato o bien debe constar escrito o, en todo caso, acreditarse formalmente su celebración. Es decir, la norma impone que siempre exista una relación jurídica de naturaleza contractual entre el responsable y el tercero al que encarga el tratamiento y, además, exige una constancia formal de dicha relación. Esta exigencia es congruente con el sistema de protección de la LOPD ya que, sin consentimiento ni conocimiento de los afectados se está permitiendo un tratamiento de sus datos personales por parte de un tercero. Por ello, es preciso que conste quién es el responsable de dicho tratamiento y que éste se encuentre vinculado jurídicamente con el tercero para poder exigirle, en virtud de dicha relación jurídica, el cumplimiento de las garantías previstas en la citada ley. En segundo lugar, el art. 12 de la LOPD garantiza un correcto tratamiento de los datos personales respecto del contenido de ese contrato exigiendo que figuren explícitamente las instrucciones del responsable del fichero al tercero, de forma que este último sólo estará habilitado para tratar los datos conforme a aquéllas, no pudiendo aplicarlos ni utilizarlos para fines distintos de los que expresamente han de figurar en el contrato. En tercer lugar se impone como garantía para los afectados que no puedan producirse tratamientos ulteriores de dichos datos al establecer rotundamente el mismo artículo que el encargado del tratamiento no podrá comunicarlos ni siquiera para su conservación a otras personas. Por otra parte, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su Título VIII regula las medidas de seguridad en el tratamiento de datos de carácter personal. Para analizar esta cuestión, debe partirse de los conceptos de responsable del tratamiento y encargado del tratamiento, que se definen en el artículo 3 de la LOPD: “
8. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 “
9. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el mismo sentido, el artículo 5.1.
10. i)del Reglamento de desarrollo de la LOPD define al encargado del tratamiento como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. Igualmente, el artículo 5.1.
11. q)del Reglamento de desarrollo de la LOPD define al responsable del fichero o del tratamiento como “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Para que la relación entre el responsable y el encargado del tratamiento pueda darse y se ajuste a la Ley, es preciso que se cumplan los requisitos expresados en el artículo 12 de la LOPD. En el presente caso, la DIPUTACION PROVINCIAL DE A CORUÑA, como responsable del sistema de videovigilancia instalado en el Albergue Centro Etnográfico de Curtis, en las actuaciones de investigación, previas al presente procedimiento, aportó un contrato suscrito en julio de 2013 con la empresa Tecnologías Plexus SL cuyo objeto era el “suministro e instalación de sistemas de detección e intrusión y CCTV en el Centro Etnográfico de Curtis”. En las alegaciones al acuerdo de inicio del presente procedimiento de Declaración de Infracción, la entidad responsable ha aportado el pliego de cláusulas administrativas particulares que rigen el anterior contrato. La cláusula número 27 de este pliego, bajo el título de: “Condiciones específicas de las prestaciones”, establece lo relativo a la confidencialidad y al secreto profesional de la información a la que se tenga acceso por el contrato y por otra parte, sobre “protección de datos”, se expone que el adjudicatario cumplirá dicha normativa y que se compromete a no conservar copia de documentos ni hacer uso de los datos contenidos para otros fines, salvo autorización expresa. Se aportan también, con las alegaciones al acuerdo de inicio, otros dos contratos con sus pliegos de cláusulas administrativas y técnicas particulares. Uno de ellos formalizado en junio de 2012 para los servicios de Seguridad y Vigilancia en diversos edificios provinciales, suscrito con la empresa Eulen Seguridad SA. La cláusula 28 del pliego, se expresa en términos parecidos a la anterior. El otro contrato suscrito en junio de 2015 con la empresa Elecnor SA para los servicios de mantenimiento de las instalaciones de detección y extinción de incendios, seguridad y control de presencia, su pliego contiene una cláusula nº 36 en términos parecidos a las anteriores. En el primero de estos dos contratos, de junio de 2013, entre los edificios provinciales comprendidos en el contrato, se observa que no aparece mención específica al edificio objeto del presente procedimiento: el Albergue Centro Etnográfico de Curtis. El contrato de junio de 2015 tiene por objeto el mantenimiento de las instalaciones de detección y extinción de incendios, seguridad y control de presencia de distintas dependencias de la Diputación de A Coruña que se relacionan en su anexo I y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 entre las que no figura el edificio del Albergue Centro Etnográfico de Curtis. La conclusión sobre la documentación aportada como justificación del acceso de las empresas Eulen Seguridad SA y Elecnor SA, a las imágenes del sistema denunciado es que en los contratos no aparece mención específica al sistema de videovigilancia del edificio objeto del presente procedimiento. No obstante, vistas las cláusulas que sobre la protección de los datos de carácter personal aparecen en los contratos aportados puede observarse que no contienen todas las características previstas por el artículo 12 de la LOPD y en particular lo relativo a las medidas de seguridad a que se refiere el artículo 9 de esa Ley y que el encargado del tratamiento está obligado a implementar. Por otra parte, con relación al acceso a las imágenes del sistema de videovigilancia por parte del Ayuntamiento de Curtis, la Diputación Provincial de A Coruña ha aportado el Convenio de Colaboración suscrito con el Concello de Curtis para instrumentalizar la gestión del Centro Etnográfico de Curtis, ubicado en Teixeiro , Curtis, cuyo objeto es establecer las bases de colaboración entre ambos para garantizar la apertura del Centro Etnográfico de Curtis. Con este Convenio quedaría acreditada la autorización al Concello de Curtis para el acceso a las imágenes del sistema de videovigilancia del edificio del Albergue Centro Etnográfico de Curtis. IV El artículo 44.2.
12. d)de la LOPD tipifica como infracción leve: “La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley”. En el presente caso, la descripción de conductas que establece el artículo 44.2.
13. d)de la LOPD cumple las exigencias derivadas del principio de tipicidad, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. El tipo aplicable considera infracción leve “La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley”, por tanto, se está describiendo una conducta que precisa, para configurar el tipo, que suponga una vulneración de los principios y garantías establecidos por la LOPD, entre los que se encuentra el principio de “Acceso a los datos por cuenta de terceros” en la forma establecida en el artículo 12 de la LOPD. La DIPUTACION PROVINCIAL DE A CORUÑA, como responsable del tratamiento de las imágenes que contienen datos de carácter personal, captadas por las cámaras de videovigilancia instaladas en el Albergue Centro Etnográfico de Curtis, debía haber habilitado el acceso de las empresas Eulen Seguridad SA y Elecnor SA, al objeto del cumplimiento del contrato de prestación de servicio de seguridad firmado entre ambas partes, mediando contrato escrito que contuviera las estipulaciones del artículo 12.2 de la LOPD, o de alguna otra forma que permitiera acreditar su celebración y contenido. Es por ello que, de conformidad con su condición de responsable del tratamiento está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD al tratarse de una conducta que encuentra su tipificación en el artículo 44.2.
14. d)de la Ley Orgánica 15/1999, de 13 de diciembre. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIPUTACION PROVINCIAL DE A CORUÑA ha infringido lo dispuesto en el artículo 12.2 de la LOPD, tipificada como leve en el artículo 44.2.
15. d)de dicha norma. SEGUNDO: REQUERIR a la DIPUTACION PROVINCIAL DE A CORUÑA, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 12.2 de la Ley Orgánica 15/1999, para lo que se abre expediente de actuaciones previas E/06813/2016. En concreto se requiere a la Diputación Provincial de A Coruña que aporte constancia de los contratos celebrados con las entidades que tienen acceso a las imágenes y están encargadas del mantenimiento y visionado de las imágenes del centro denunciado, el Albergue Centro Etnográfico de Curtis, en los que se establezcan expresamente todos los deberes formales recogidos en el artículo 12.2 de la LOPD y, en particular, que aporte constancia de que en dichos contratos se estipulan cuáles son las medidas de seguridad a que se refiere el artículo 9 de dicha Ley que el encargado del tratamiento está obligado a implementar, según lo previsto en el párrafo segundo del citado artículo 12.2 de la LOPD. TERCERO: NOTIFICAR la presente resolución a la DIPUTACION PROVINCIAL DE A CORUÑA y a Dª. A.A.A., Dª. C.C.C., Dª. B.B.B. Dª. D.D.D.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es