1/8 Expediente N.º: EXP202400728 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Don A.A.A. (en adelante, la parte reclamante) con fecha 4 de octubre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DIRECCIÓN GENERAL DE LA POLICÍA con NIF S2816015H (en adelante, la POLICÍA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que es funcionario, ejerciendo sus funciones como ***PUESTO.1 del Complejo Policial de B.B.B., en ***LOCALIDAD.1, y que, en fecha 28 de febrero de 2022, el Secretario General de la Jefatura Superior de Policía de (...) manifestó haber tenido conocimiento de que la parte reclamante no se había personado en su puesto de trabajo en esa fecha. Señala que dicho Secretario realizó una visualización de imágenes del sistema de videovigilancia de las instalaciones y afirma que dicho sistema no se encuentra señalizado mediante los preceptivos carteles de zona videovigilada, ni han sido objeto de información previa al personal que desarrolla su actividad laboral en las instalaciones. Tras lo ocurrido se inició expediente disciplinario contra la parte reclamante, que devino en sanción a la parte reclamante. La parte reclamante manifiesta que, junto al hecho de la falta de información a los trabajadores, no se han seguido los protocolos establecidos en cuanto al acceso al contenido de las grabaciones, al haber sido accedidas por el Secretario General de la Jefatura Superior de (...) sin resolución motivada, señalando que se cercenó el derecho de acceso a las referidas imágenes a la parte reclamante en el seno del procedimiento disciplinario; puesto que, tras solicitarlas, únicamente se entregó copia del expediente, a excepción de las imágenes correspondientes. Manifiesta, de igual forma, que se han conservado las imágenes procedentes del sistema por un plazo superior al mes establecido legalmente. Junto a la reclamación aporta copia del contenido del expediente disciplinario y escritos remitidos por la parte reclamante en el seno del mismo SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la POLICÍA, para que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14 de noviembre de 2022 como consta en el certificado que obra en el expediente. Con fecha 13 de diciembre de 2022 se recibe en esta Agencia informe con fotografías de la ubicación y ángulo de visión de las cámaras, así como de la ubicación de los carteles informativos. TERCERO: Con fecha 4 de enero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Previas El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; En consecuencia, es evidente que la imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En este sentido, debe recordarse que la POLICÍA, es responsable del tratamiento de los datos personales y; por tanto, determina los fines y medios del tratamiento de los datos personales. III Artículo 6. 1 del RGPD El artículo 6 del RGPD, establece, sobre la licitud del tratamiento de datos personales obtenidos de los usuarios que, el tratamiento de éstos solo será lícito si se cumple al menos una de las condiciones indicadas en su apartado primero, entre las que se encuentra, en su apartado a): “que el interesado haya dado su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos (…)”. En cuanto al tratamiento de datos basado en el consentimiento del interesado, el artículo 7 del RGPD indica que, el responsable del tratamiento deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos personales. Si el consentimiento se otorgara en el contexto de una declaración escrita que refiera también a otros temas, se obliga a que la solicitud de consentimiento se distinga claramente de los demás asuntos y se presente de forma inteligible, de fácil acceso y utilizando un lenguaje claro y sencillo. Se exige, además, que se le proporcione información adicional al interesado, entre otros, cuáles serán las categorías de datos a tratar, las finalidades para las que se solicita el consentimiento y el derecho a retirar el consentimiento en cualquier momento. En cuanto al modo de obtener el consentimiento del interesado para el tratamiento en cuestión, el considerando 32 del RGPD dispone que éste, “debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen” y que “el silencio, las casillas ya marcadas o la inacción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 no deben constituir consentimiento”. Asimismo, se exige que el consentimiento se otorgue “para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos”. Por último, establece que, “si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta”. Por su parte, el artículo 12.1 del citado RGPD establece, sobre los requisitos que debe cumplir la información que el responsable del tratamiento debe poner a disposición de los interesados al solicitarles el consentimiento, lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios (…)”. Los artículos 13 y 14 del RGPD detallan por su parte, la información que debe facilitarse al interesado cuando los datos son recogidos directamente de éste (art. 13), o a través de otros medios, (art. 14). En cualquier caso, la obligación de informar a las personas interesadas sobre las circunstancias relativas al tratamiento de sus datos recae sobre el responsable del tratamiento:
- a)Si los datos se obtienen directamente del interesado, debe ponerse a su disposición la información en el momento en que se soliciten los datos, previamente a la recogida o registro y
- b)si no se obtienen del propio interesado, se le debe informar antes de un mes desde que se obtuvieron los datos personales, o antes o en la primera comunicación con el interesado, o antes de que los datos (en su caso) se hayan comunicado a otros destinatarios. Por último, mencionar que el artículo 89 de la LOPDGDD hace referencia al “Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo” y establece que “1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica”. 2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley.” El artículo 22.4 de la LOPDGDD dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información” (la negrita pertenece a este organismo). En el presente caso, consta que, el Secretario General de la Jefatura Superior de Policía de (…), mediante la visualización de imágenes del sistema de videovigilancia de las instalaciones, manifestó haber tenido conocimiento de que la parte reclamante no se había personado en su puesto de trabajo en esa fecha. Tras lo ocurrido se inició expediente disciplinario contra la parte reclamante, que devino en sanción a la parte reclamante. A este respecto, cabe citar la Sentencia TS (Sala de lo Contencioso-Administrativo) de 26/04/21 Rec. 4645/2019. “Ahora bien, la regla general del consentimiento encuentra como excepción la necesidad del mantenimiento y cumplimiento de la relación de servicio que se despliega sobre las obligaciones que se derivan del régimen propio de los funcionarios públicos, es decir, de una relación administrativa que exige velar por el cumplimiento de sus obligaciones. Siempre teniendo en cuenta la proporcionalidad, esencial en esta materia, en conexión con el principio de que los datos solo pueden ser recogidos para su tratamiento cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. “Y en este caso, efectivamente el juicio de proporcionalidad se supera porque concurre un objetivo legítimo en el uso de los datos, pues se acredita un incumplimiento reiterado de los deberes propios de un funcionario público con el consiguiente descrédito que se ocasiona a la imagen de la Administración Pública” Así, en la STS 1564/2021 se declara que “No resultaba preciso, por tanto, el consentimiento inequívoco de la funcionaria recurrente, ni de todos y cada uno de los funcionarios que prestan sus servicios en dicho edificio, para realizar la grabación y tratamiento de las imágenes en la entrada y salida de un edificio con gran número de funcionarios, e instaladas precisamente para salvaguardar la seguridad y vigilancia del inmueble en el que se ubica la Delegación Especial de la Agencia Tributaria en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Madrid. La Administración, en el caso examinado, no ha procedido a instalar nuevas y específicas cámaras de videovigilancia para realizar grabaciones concretas de la funcionaria recurrente, sino que se ha servicio de las cámaras que ya tenía instaladas para realizar esas tareas de seguridad y de vigilancia en el control general del cumplimiento de las condiciones de trabajo. Y mediante las citadas cámaras se observa la actividad desplegada por la ahora recurrente para eludir los controles sobre el cumplimiento horario a los funcionarios, intentando sortear dicho control en lo relativo al fichaje a la entrada o salida, y también sustituyendo en esa función a otro funcionario”. Por otro lado, en la STC 39/2016 el Alto Tribunal ha declarado que resulta suficiente la colocación del "distintivo informativo exigido por la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras…La trabajadora recurrente en amparo considera vulnerado el artículo 18.4 ce porque, si bien tenía conocimiento de la existencia de las cámaras de videovigilancia, no había sido informada previamente de la misma en los términos de la doctrina contenida en la stc 29/2013, esto es, de una manera expresa, precisa, clara e inequívoca a los trabajadores sobre la captación de imágenes, su finalidad de control de la actividad laboral y su posible utilización para la imposición de sanciones disciplinarias por incumplimientos del contrato de trabajo. El núcleo del problema se contrae, así, a determinar si es suficiente la información general o, por el contrario, debe existir una información específica. Frente a la tesis sentada en la stc 29/2013 de la exigibilidad de una información específica sobre la finalidad de control de la actividad laboral y posible uso para la imposición de sanciones, el tc declara que basta con que los trabajadores tengan conocimiento genérico de la existencia de las cámaras de vídeo a través del distintivo informativo, que, conforme a lo dispuesto en la Instrucción 1/2006 de la Agencia Española de Protección de Datos (aepd), debe contener una referencia a la lopd, a la finalidad para la que se tratan los datos («Zona videovigilada») y a la identificación del responsable ante quien puedan ejercitarse los derechos del artículo 15 y siguientes de la lopd. Y sentado lo anterior resuelve que en el caso enjuiciado no hubo vulneración del artículo 18.4 ce, porque la trabajadora podía conocer, mediante el correspondiente distintivo colocado en el escaparate de la tienda donde trabajaba, la existencia de las cámaras y la finalidad para la que habían sido instaladas”. En cumplimiento de esta obligación, la parte reclamada ha acreditado disponer de los correspondientes distintivos en zona visible, los cuales eran visibles al reclamante, estando informado de la presencia de las cámaras y asumiendo en su caso poder ser grabado por las mismas. De acuerdo con lo expresado en la Sentencia antes citada, se ha cumplido en este caso con la obligación de información previa, pues basta a estos efectos con el cumplimiento de los requisitos específicos de información a través del distintivo, que permite al trabajador (empleado público) conocer que en la empresa había instalado un sistema de control por videovigilancia y la finalidad para la que instalaron las cámaras (“zona videovigilada”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 A lo anterior añadir, que a los servidores públicos se les debe exigir una ejemplaridad, lo cual pasa por el cumplimiento estricto de las instrucciones de carácter interno que puedan haber recibido en el desarrollo de sus tareas. Por consiguiente, la utilización de las imágenes del sistema de videovigilancia no se consideran excesivas en cuanto a la finalidad pretendida, que se enmarca en la labor de control del cumplimiento de las obligaciones de los empleados públicos del Complejo Policial en las instalaciones, los cuales deben en el ejercicio de las mismas “ajustar su actuación a los principios de lealtad y buena fe“ que le son exigibles a todo empleado público (artículo 53.3 del Estatuto Básico del Empleado Público). Por otro lado, la parte reclamante manifiesta en su escrito de reclamación que “…la instrucción acordó acceder a hacerle entrega de copia del expediente, con excepción de copia de las grabaciones registradas, so pena de incumplir la normativa específica recogida en la L.O. 3/2018 de Protección de Datos Personales y garantía de los derechos dígitales, (cercenando el derecho de acceso y cancelación del interesado) y denegando la prueba testifical instada por innecesaria…”; si bien, es evidente que la no aportación de la copia de las grabaciones registradas junto con la entrega de la copia del expediente, así como la inadmisión de la prueba propuesta únicamente pueden ser objeto de impugnación en el seno del procedimiento disciplinario instruido. También se afirma por la parte reclamante que la extracción de las imágenes de los sistemas de videograbación instalados en las dependencias policiales no se ha hecho conforme a los protocolos establecidos, en este sentido, debe significarse que el Secretario General es el responsable y competente para ordenar la extracción de dichas imágenes, a través del departamento de telecomunicaciones, siendo los funcionarios técnicos de dicho departamento los que procedieron al acceso y extracción de los archivos del sistema, quedando dichas operaciones auditadas, tal y como consta acreditado en el expediente. Por último y en relación con el plazo de conservación de las imágenes, señalar que la conservación de las mismas está justificada cuando son necesarias para la defensa de los intereses del responsable del tratamiento, así como para garantizar el derecho fundamental a la tutela judicial efectiva. IV Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir una infracción de la normativa de protección de datos por la visualización de las imágenes del sistema de videovigilancia de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 instalaciones de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a DIRECCIÓN GENERAL DE LA POLICÍA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es