AAPP-00055-2014

1/12 Procedimiento Nº AP/00055/2014 RESOLUCIÓN: R/00865/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00055/2014, instruido por la Agencia Española de Protección de Datos a la entidad INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA, vista la denuncia presentada por la DELEGACION DEL GOBIERNO EN ANDALUCIA, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 19 de noviembre de 2013 el Director de la Agencia Española de Protección de Datos resolvió, en el procedimiento AP/00028/2013, DECLARAR que el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA, había infringido lo dispuesto en los artículos 5.1 y 20.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia del sistema de videovigilancia instalado en el MUSEO ANTIQUARIUM (edificio Metrosol-Parasol) localizado en la plaza de la Encarnación 18, sótano de Sevilla. En el mismo acuerdo el Director de la Agencia Española de Protección de Datos resolvió REQUERIR al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999 para que acredite en el plazo de un mes desde la notificación de ese acto las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 5.1 y 20.1 de la LOPD. En concreto, deberá acreditar el cumplimiento de la inscripción y notificación del fichero de videovigilancia del Museo Antiquarium, así como acreditar por ejemplo mediante fotografías, que se han colocado los carteles de zona videovigilada en la entrada e interior del citado establecimiento, así como en su caso las zonas aledañas en que se recojan imágenes, adjuntando un plano o croquis del lugar en que se ubican los carteles y las cámaras. Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD SEGUNDO: Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación. Con fecha 18 de diciembre de 2013 el Defensor del Pueblo acusó recibo de la Resolución dictada al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA en el procedimiento AP/00028/2013 y solicita que se le informe de las actuaciones que lleve a cabo esa entidad y que esta Agencia exprese su parecer al respecto, y ello con objeto de tener un conocimiento de la adecuada resolución del problema planteado. Con fecha 26 de marzo de 2014 el Director de esta Agencia de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Datos reiteró lo requerido en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00028/2013, exponiendo: “Con fecha 19/11/2013, fue dictada Resolución, R/02682/2013, en el Procedimiento de Declaración de Infracción de las Administraciones Públicas, AP/00028/2013, en la que se resuelve: “PRIMERO: DECLARAR que el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA ha infringido lo dispuesto en el artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2

1. c)de de la citada Ley Orgánica. SEGUNDO: DECLARAR que el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA ha infringido lo dispuesto en el artículo 20.1 de la LOPD, tipificada como grave en el artículo 44.3
2. a)de de la citada Ley Orgánica. TERCERO: De acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 5.1 y 20.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/07013/2013. En concreto, deberá acreditar el cumplimiento de la inscripción y notificación del fichero de videovigilancia del Museo Antiquarium, así como acreditar por ejemplo mediante fotografías, que se han colocado los carteles de zona videovigilada en la entrada e interior del citado establecimiento, así como en su caso las zonas aledañas en que se recojan imágenes, adjuntando un plano o croquis del lugar en que se ubican los carteles y las cámaras.” Asimismo, se acuerda en su punto cuarto: “COMUNICAR la presente Resolución al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999.” Habiéndose solicitado por dicha Institución, que se informase sobre las actuaciones que ha llevado a cabo el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA, y como quiera que, hasta el día de la fecha, no se han comunicado el cumplimiento del requerimiento, a pesar de haberse cumplido el plazo, se le requiere para que en el plazo de diez días comuniquen y acrediten el cumplimiento de los requerimientos para la adopción de medidas, con el fin de que sean trasladadas al Defensor del Pueblo. El no cumplimiento del requerimiento puede provocar la apertura de un nuevo procedimiento de infracción de las Administraciones Públicas, tipificada en el artículo 44.3.
3. i)de la LOPD como “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” Dicho escrito fue notificado a la entidad imputada por el Servicio de Correos con acuse de recibo. Con fecha 16 de mayo de 2014 se reiteró de nuevo lo requerido en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00028/2013, solicitando nuevamente la aportación de lo requerido en el mismo y con indicación de que, de no atender el requerimiento, sería aplicable el régimen sancionador previsto en el artículo 46 de la LOPD De la información contenida en las actuaciones de investigación de referencia E/07013/2013, se desprende que no consta que se hayan adoptado las medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado en la resolución de 19 de noviembre de 2013, por el Director de la Agencia Española de Protección de Datos. TERCERO: Con fecha 3 de noviembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA por la presunta infracción del artículo 37.1.
4. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
5. i)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA presentó escrito de alegaciones en el que, manifestaba que: “A la vista de las actuaciones iniciadas por la Agencia de Protección de datos, desde el ICAS se iniciaron los trámites oportunos al objeto de inscribir en el Registro General de Protección de Datos. A tal efecto, el Ayuntamiento Pleno, en sesión celebrada el pasado mes de junio aprobó la creación del fichero “Sistema de Videovigilancia espacios Sta. Clara y Antiquarium”, inscritas en el Registro referido como se acredita en el documento adjunto (Doc. 1). Desde mayo de este año, la vigilancia del Antiquarium se ha adjudicado a la empresa SELECO, correspondiendo a SEGURISUR el control del sistema de videovigilancia y colocación de los carteles legalmente exigidos. En este sentido, se acompañan planos de los espacios con indicación del emplazamiento de las cámaras de videovigilancia.” Concluye su escrito solicitando que se archive el procedimiento de declaración de infracción de administración pública. QUINTO: Con fecha 12 de diciembre de 2014, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por la DELEGACION DEL GOBIERNO EN ANDALUCIA y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07013/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00055/2014 presentadas por el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA, y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 SEXTO: Con fecha 20 de marzo de 2015, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA ha infringido lo dispuesto en el artículo 37.1.
6. f)de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
7. i)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 37.1.
8. f)de la mencionada Ley. SÉPTIMO: Notificada la propuesta de resolución, el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA realizó alegaciones frente a la citada propuesta de resolución en las que comunica: “Notificada el pasado 27 de marzo de 2015, propuesta de Resolución por la que se declara que el Instituto de la Cultura y las Artes de Sevilla ha infringido lo dispuesto en el artículo 37.1.
9. f)de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal, y en el plazo de quince días hábiles de alegaciones, pongo en su conocimiento que se han adoptado las medidas oportunas al objeto de que no se produzca retraso en proporcionar los documentos e informes solicitados por la Agencia Española de Protección de Datos. Igualmente se acompañan los planos de instalación de los sistemas de CCTV y Antiintrusión, omitida por error en la última comunicación de 28 de noviembre de 2014”. HECHOS PROBADOS PRIMERO: Con fecha 19 de noviembre de 2013 el Director de la Agencia Española de Protección de Datos resolvió, en el procedimiento de referencia AP/00028/2013, DECLARAR que el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA, había infringido lo dispuesto en los artículos 5.1 y 20.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia del sistema de videovigilancia instalado en el MUSEO ANTIQUARIUM (edificio Metrosol-Parasol) localizado en la plaza de la Encarnación 18, sótano de Sevilla. SEGUNDO: En el mismo acuerdo el Director de la Agencia Española de Protección de Datos resolvió REQUERIR al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999 para que acredite en el plazo de un mes desde la notificación de ese acto las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 5.1 y 20.1 de la LOPD. Para constatar lo requerido se inició un expediente de actuaciones previas de investigación Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 establecido en el artículo 46.4 de la LOPD TERCERO: Con fecha 18 de diciembre de 2013 el Defensor del Pueblo acusó recibo de la Resolución dictada al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA en el procedimiento AP/00028/2013 y solicita que se le informe de las actuaciones que lleve a cabo esa entidad y que esta Agencia exprese su parecer al respecto, y ello con objeto de tener un conocimiento de la adecuada resolución del problema planteado. CUARTO: Con fecha 26 de marzo de 2014 el Director de esta Agencia de Protección de Datos reiteró lo requerido en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00028/2013, al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA. Dicho escrito fue notificado a la entidad imputada por el Servicio de Correos con acuse de recibo. Con fecha 16 de mayo de 2014 se reiteró de nuevo lo requerido en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00028/2013, solicitando nuevamente la aportación de lo requerido en el mismo y con indicación de que, de no atender el requerimiento, sería aplicable el régimen sancionador previsto en el artículo 46 de la LOPD De la información contenida en las actuaciones de investigación de referencia E/07013/2013, se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado en la resolución de 19 de noviembre de 2013, por el Director de la Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
10. g)en relación con el artículo 36 de la LOPD. II El artículo 37.1.
11. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal señala que “son funciones de la Agencia de Protección de Datos:
12. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. En el presente procedimiento de declaración de infracción ha quedado acreditado que con fecha 19 de noviembre de 2013 el Director de la Agencia Española de Protección de Datos resolvió DECLARAR que el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA, había infringido lo dispuesto en los artículos 5.1 y 20.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia del sistema de videovigilancia instalado en el MUSEO ANTIQUARIUM (edificio Metrosol-Parasol) localizado en la plaza de la Encarnación 18, sótano, de Sevilla. En el mismo acuerdo el Director de la Agencia Española de Protección de Datos resolvió REQUERIR al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999 para que acredite en el plazo de un mes desde la notificación de ese acto las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 5.1 y 20.1 de la LOPD. Para constatar lo requerido se inició un expediente de actuaciones previas de investigación Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD Con fecha 18 de diciembre de 2013 el Defensor del Pueblo acusó recibo de la Resolución dictada al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA en el procedimiento AP/00028/2013 y solicita que se le informe de las actuaciones que lleve a cabo esa entidad y que esta Agencia exprese su parecer al respecto, y ello con objeto de tener un conocimiento de la adecuada resolución del problema planteado. Constatada la falta de atención en plazo del requerimiento, con fecha 26 de marzo de 2014 el Director de esta Agencia de Protección de Datos reiteró lo requerido en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00028/2013, al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA. Dicho escrito fue notificado a la entidad imputada por el Servicio de Correos con acuse de recibo. Con fecha 16 de mayo de 2014 se reiteró de nuevo lo requerido en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00028/2013, solicitando nuevamente la aportación de lo requerido en el mismo y con indicación de que, de no atender el requerimiento, sería aplicable el régimen sancionador previsto en el artículo 46 de la LOPD De la información contenida en las actuaciones de investigación de referencia E/07013/2013, se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado en la resolución de 19 de noviembre de 2013, por el Director de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Una vez iniciado el presente procedimiento de declaración de infracción con fecha 3 de noviembre de 2014, en respuesta al mismo se presentan alegaciones en las que se manifiesta que “A la vista de las actuaciones iniciadas por la Agencia de Protección de datos, desde el ICAS se iniciaron los trámites oportunos al objeto de inscribir en el Registro General de Protección de Datos. A tal efecto, el Ayuntamiento Pleno, en sesión celebrada el pasado mes de junio aprobó la creación del fichero “Sistema de Videovigilancia espacios Sta. Clara y Antiquarium”, inscritas en el Registro referido como se acredita en el documento adjunto (Doc. 1). Desde mayo de este año, la vigilancia del Antiquarium se ha adjudicado a la empresa SELECO, correspondiendo a SEGURISUR el control del sistema de videovigilancia y colocación de los carteles legalmente exigidos. En este sentido, se acompañan planos de los espacios con indicación del emplazamiento de las cámaras de videovigilancia.” Concluye su escrito solicitando que se archive el procedimiento de declaración de infracción de administración pública. En el presente procedimiento se imputa la falta de atención a un requerimiento del Director de esta Agencia Española de Protección de Datos efectuado al responsable del fichero y del tratamiento, al que se declaró una infracción y se requirió la adopción de medidas correctoras que impidieran que la infracción declarada siguiera cometiéndose. Una vez transcurrido ampliamente el plazo concedido para la adopción de medidas y para su comunicación a esta Agencia, se enviaron escritos reiterando el requerimiento realizado sin que por parte de la entidad imputada se recibiera respuesta alguna. Constatada la falta de atención al requerimiento se ha iniciado un nuevo procedimiento de declaración de infracción de administraciones públicas por no proporcionar la información solicitada por la Agencia Española de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas. En respuesta al acuerdo de inicio de este nuevo procedimiento, la entidad imputada solicita que se archive el procedimiento de declaración de infracción de administración pública, a lo que cabe oponer que, como ya se ha expuesto, ha quedado constatada la falta de atención al requerimiento realizado por esta Agencia que constituye el motivo de inicio del presente procedimiento. Se manifiesta en el escrito de alegaciones que se ha inscrito el fichero de videovigilancia requerido y que se acredita mediante un documento adjunto. Este documento que se menciona no figura aportado en su escrito, sin embargo se ha constatado, por consulta al RGPD, que con fecha 6 de agosto de 2014 figura inscrito un fichero denominado “SISTEMA DE VIDEOVIGILANCIA ESPACIOS SANTA CLARA Y ANTIQUARIUM”, cuyo responsable es el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA. Por otra parte, respecto de la infracción del artículo 5 de la LOPD, se manifiesta que desde mayo se ha adjudicado la vigilancia del Antiquarium a una empresa a quien, según manifiestan, corresponde el control del sistema de la videovigilancia y colocación de los carteles legalmente exigidos, y se expone que se acompañan al escrito planos con indicación del emplazamiento de las cámaras. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 En su escrito no figura el plano que se menciona, ni tampoco la acreditación que se solicitó de que se han colocado los carteles informativos de la zona videovigilada en la entrada e interior del establecimiento, así como en su caso en las zonas aledañas en que se recojan imágenes, adjuntando un plano o croquis del lugar en que se ubican los carteles y las cámaras. Manifiesta el Instituto imputado que es a la empresa adjudicataria a quien corresponde la colocación de los carteles legalmente exigidos A esta manifestación cabe responder que el responsable del fichero de videovigilancia es la entidad imputada en este procedimiento y a quien corresponde acreditar la colocación de los carteles requeridos. Se plantea en este caso el tema de la responsabilidad en el que procede resaltar que de acuerdo con lo dispuesto en el 43.1 de la LOPD “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El concepto de “responsables de los ficheros” debe integrarse con la definición que de los mismos recoge el artículo 3.
13. d)de la LOPD. Este último precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Así conforme al citado artículo 3.
14. d)el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En la misma línea el artículo 5.1
15. q)del RDLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Por lo que debe entenderse que la expresión “responsables de los ficheros”, contenida en el precitado artículo 43.1 de la LOPD, se refiere tanto a los responsables del fichero como a los responsables de los tratamientos. Dentro de la doctrina expuesta y de conformidad con las definiciones citadas el Instituto imputado en el presente procedimiento es responsable del tratamiento de las imágenes que incluyen datos de carácter personal que se captan por las cámaras que fueron objeto de denuncia en el procedimiento origen del actual, toda vez que es quien decide sobre la finalidad, contenido y uso del citado tratamiento de imágenes, resulta claro que es el responsable del tratamiento de imágenes realizado en esta ocasión y en consecuencia, el Instituto imputado está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD y es a quien corresponde acreditar que se cumple con el deber de informar previsto en el artículo 5 de la LOPD en los términos previstos en el mismo y con los pormenores expuestos en la resolución del procedimiento de referencia AP/00028/2013 notificado fehacientemente a la entidad imputada en fecha 25 de noviembre de 2013. En la resolución del procedimiento de referencia AP/00028/2013 se concedió un plazo de un mes para el cumplimiento de las medidas que impidieran que se produjeran nuevas infracciones como las declaradas. En dicho plazo no se atendió el requerimiento ni se solicitó prórroga alguna del plazo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Una vez iniciado el presente procedimiento se ha constatado que se ha inscrito el fichero solicitado en el RGPD con fecha 6 de agosto de 2014, y que no se ha aportado constancia del cumplimiento de lo requerido en relación con el artículo 5 de la LOPD según lo ya expuesto. Notificada la propuesta de resolución, la entidad imputada ha presentado un escrito en el que expresa lo siguiente: “pongo en su conocimiento que se han adoptado las medidas oportunas al objeto de que no se produzca retraso en proporcionar los documentos e informes solicitados por la Agencia Española de Protección de Datos. Igualmente se acompañan los planos de instalación de los sistemas de CCTV y Antiintrusión, omitida por error en la última comunicación de 28 de noviembre de 2014”. Se acompaña el escrito con los dos planos que se mencionan sin que se aporte acreditación de que se informa a los interesados de que es una zona videovigilada, según lo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre de la Agencia española de protección de datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras. La Audiencia Nacional respecto de la culpabilidad en una conducta muy parecida a la aquí planteada expone en su sentencia de 12 de junio de 2013, recurso nº 330/2012: “Sentado lo anterior y analizados los hechos objeto del expediente sancionador que nos ocupa concluye esta sala que resulta acreditada la concurrencia de culpabilidad respecto de la comisión por el demandante de la infracción administrativa por cuya autoría ha sido sancionado. Debe concluirse que no obró con la diligencia que le resultaba exigible en el cumplimiento del requerimiento de que fue objeto, cuyos términos no dejaban lugar a dudas acerca de su objeto y el plazo concedido para su cumplimiento. La atribución por el demandante a la empresa encargada del mantenimiento del sistema de video vigilancia de la responsabilidad, ante la ausencia de comunicación a la AEPD de la actividad desarrollada por esta para dar cumplimiento a tal requerimiento, no exime a aquel de la suya, como destinatario del citado requerimiento y obligado a su cumplimiento. Lo cierto es que, al margen de que, tal y como se indica en el certificado de 16 de junio de 2006, aportado por el demandante, la empresa referida procediera a reorientar la posición de las cámaras instaladas en el inmueble, de forma que no captaran imágenes fuera de la vivienda, y lo hiciera a instancias del sancionado, la realización de tales trabajos no fue comunicada a la AEPD en el plazo establecido para dar cumplimiento al requerimiento realizado.” En esta ocasión es evidente la existencia de, al menos, una falta de diligencia plenamente atribuible a la entidad imputada por la falta de atención al requerimiento del Director de esta Agencia Española de Protección de Datos. Del contenido de estas actuaciones previas de investigación se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado, en la resolución de 19 de noviembre de 2013, del Director de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 III El artículo 44.3.
16. i)de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que no se atendió el requerimiento efectuado en la resolución de declaración de infracción notificada a la entidad imputada. IV Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA ha infringido lo dispuesto en el artículo 37.1.
17. f)de la LOPD, tipificada como grave en el artículo 44.3.
18. i)de la citada Ley Orgánica. SEGUNDO: REQUERIR al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 37.1.f de la LOPD, para lo que se abre expediente de actuaciones previas E/02256/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 En concreto se solicita que envíe a esta Agencia 1- Constancia de que se han colocado los carteles de zona videovigilada en la entrada e interior del citado establecimiento así como, en su caso, en las zonas aledañas en que se recojan imágenes, por medio, por ejemplo, de fotografías en las que se aprecie la mención del responsable del fichero ante quien los interesados puedan ejercer los derechos de protección de datos. 2- constancia del procedimiento normalizado que se establezca en esa institución para la atención de los requerimientos que se realicen desde la Agencia Española de Protección de Datos. TERCERO: NOTIFICAR la presente resolución al INSTITUTO DE LA CULTURA Y DE LAS ARTES DE SEVILLA y a la DELEGACION DEL GOBIERNO EN ANDALUCIA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es