1/8 Expediente N.º: EXP202313159 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25 de julio de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00050532074 ante la Agencia Española de Protección de Datos contra REGASIFICADORA DEL NOROESTE, S.A. con NIF A15685324 (en adelante, la parte reclamada o REGANOSA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que ha sido trabajador de la entidad ***EMPRESA.1 prestando sus servicios profesionales con dicha empresa en las instalaciones de REGASIFICADORA DEL NOROESTE. En su lugar de trabajo, se encontraba instalado un sistema de videovigilancia y se han utilizado imágenes de dicho sistema para interponer denuncia ante la GUARDIA CIVIL contra la parte reclamante, aportando imágenes del referido sistema que han sido conservadas por espacio superior del establecido por la normativa en materia de protección de datos, que establece un plazo de conservación de hasta un mes, pudiendo prorrogarse siempre y cuando se pusieran a disposición las imágenes conservadas, en un plazo de 72 horas ante las autoridades competentes. Si bien, en el presente caso, el reclamante manifiesta que se han conservado imágenes por un plazo superior al mes, sin haber sido puestas a disposición de las autoridades competentes en dicho plazo, sino en uno superior. Señala asimismo que solicitó a la entidad responsable del sistema acceso a imágenes del sistema de videovigilancia, siendo denegada al referirse a grabaciones supuestamente suprimidas al cabo de un mes, lo que entiende que es contradictorio con la práctica desarrollada para las imágenes procedentes de grabaciones comunicadas al empleador de la parte reclamante y aportadas a denuncias planteadas ante la GUARDIA CIVIL, en los que se conservaron imágenes por plazo superior a dicho mes. Junto a la reclamación se aporta contestación a su solicitud de acceso y documentación con imágenes del sistema de videovigilancia del centro donde prestaba sus servicios profesionales, conservadas por un plazo superior a un mes y comunicadas a autoridades competentes en un plazo superior a las 72 horas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a REGANOSA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 27 de septiembre 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 27 de octubre de ese mismo año se recibe en esta Agencia escrito de respuesta indicando que: “3. Plazo de conservación de las imágenes grabadas por el sistema de vigilancia Reganosa ha implementado un sistema de conservación de los datos y accesibilidad como medida de responsabilidad proactiva y para asegurar el cumplimiento de los principios de protección de datos. Siguiendo lo dispuesto en el artículo 6 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras y, con posterioridad en lo dispuesto en el artículo 22.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de datos personales y garantía de los derechos digitales (LOPDGDD), conserva las imágenes del sistema de videograbación por un periodo máximo de 30 días, salvo que como consecuencia de un incidente de seguridad que haya sido comunicado, en el plazo de 72 horas, a las autoridades competentes. Esta previsión se recoge documentalmente en el Registro de Actividades de Tratamiento (se compaña como Anexo IV ficha del RAT sobre la actividad de tratamiento), en el que expresamente se contempla el plazo de conservación y las medidas que se aplican (…) 4. Explicar las razones, por las que se facilitaron grabaciones del sistema de vídeo vigilancia objeto de esta reclamación a la intervención de armas y explosivos de la Guardia Civil de (…) que sobrepasaban por un lado, el plazo de conservación de un mes (plazo legal máximo de conservación) y por otro lado el plazo de 72 horas, de puesta a disposición de las autoridades competentes de esas grabaciones, tal y como establece el artículo 22.3 de la LOPDGDD. Reganosa, como responsable del tratamiento del sistema de videovigilancia, no ha facilitado en ningún momento a Intervención de Armas y Explosivos de la Guardia Civil (ni a ningún tercero) grabaciones relacionadas con el interesado afectado, ni ha llevado a cabo ninguna actuación relacionada con el citado interesado ante este organismo. En suma, Reganosa no ha trasladado ninguna grabación a Intervención de Armas y Explosivos porque, cuando se recibió este oficio, ya no se conservaban por haber finalizado el plazo preestablecido para su conservación. Asimismo, los informes de seguimiento del servicio de vigilancia, que en ocasiones incorporan como elemento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 probatorio y de evidencia imágenes podrían contener datos de imagen de las personas cuyo empleador es el propio tercero al que se destinan, sin que esa identificación constituya para Reganosa un criterio de conservación ni custodia, ni dé lugar a un tratamiento de datos personales de forma individual, al contrario, serían datos no clasificados y considerados accesorios, ya que el fin es supervisar el incumplimiento contractual o proponer mejoras en la prestación del servicio. El Encargado del tratamiento es quien, en su posición de responsable, debe cumplir con sus obligaciones de protección de datos frente a su personal. En todo caso, Reganosa, con independencia de las obligaciones que el prestador de servicios deba cumplir en relación con las personas empleadas por él, informa a las personas que pueden verse afectadas por este tratamiento de datos sobre estos fines de tratamiento mediante la exhibición pública de la información, a través de iconos informativos (1ª capa) y con la puesta a disposición de los interesados de un documento que contiene la información completa en la que se detalla el tratamiento de datos (2ª capa)(...). 5. Razones por las que se niega el acceso a las imágenes solicitadas por A.A.A. en base a la cancelación de las mismas, cuando algunas de esas imágenes fueron entregadas una vez superado el mes de su grabación a la Guardia Civil, entendiendo que no se habían cancelado, sino que las mismas se habían conservado. Tal y cómo se expone en el presente documento, Reganosa no conserva las grabaciones obtenidas a través por el sistema de videovigilancia por periodos superiores a 30 días. Por esta circunstancia se deniega el derecho de acceso al interesado D. A.A.A., que ejercita el derecho el 15 de enero de 2023 y solicita acceso a grabaciones de (…). Adicionalmente, se pone en conocimiento de la AEPD que esta información sobre el periodo de supresión de las imágenes grabadas por el sistema de videovigilancia ya había sido trasladada con anterioridad al interesado a través de las respuestas proporcionadas por Reganosa en la atención de los derechos de acceso, ejercitados por D. A.A.A., y según consta en el Registro interno de ejercicio de derechos “Registro de derechos RGPD” (...). En la respuesta al ejercicio del derecho se informa sobre datos tratados, incluyendo la información relativa a la gestión y tratamiento de los datos obtenidos por el sistema de videovigilancia y de forma expresa se le informa de que estos “datos serán cancelados en el plazo máximo de un mes desde su captación”. Además, se hace saber al interesado que el tratamiento de sus datos “se enmarca en la prestación de los servicios que su empleador presta a la citada, en el ámbito de la vigilancia y la seguridad. En base a esta consideración le informamos que Reganosa trata sus datos para gestionar su acceso a las instalaciones, a fin de garantizar la seguridad de personas, bienes, información y recursos responsabilidad de Reganosa. También trata sus datos para gestionar y verificar el adecuado cumplimiento de los servicios de seguridad y vigilancia, y cumplir con las obligaciones legales establecidas para las subcontrataciones de servicios a terceros, su empleador, y todas aquellas que le resultan exigibles a Reganosa como infraestructura crítica, para garantizar la seguridad integral (física y lógica) de sus infraestructuras y el cumplimiento de la normativa de protección de datos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Respecto al tratamiento de sus datos, incluyendo la imagen, se le informa que “…de forma accesoria y ocasional, sus datos personales, en su totalidad o en parte, pueden ser tratados para finalidades vinculadas al control contractual efectuado sobre las actividades que el encargado del tratamiento desarrolla en favor de Reganosa, entre ellas, efectuar las comunicaciones, notificaciones e informes de seguimiento y verificación de cumplimiento del servicio de vigilancia y seguridad. En todo caso, los datos de las personas vinculadas a estas actuaciones de seguimiento no son tratados individualmente en ficheros de datos, sino como referencia de las actuaciones informadas”. TERCERO: Con fecha 25 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Previas El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; En consecuencia, es evidente que la imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En este sentido, debe recordarse que la REGANOSA es responsable del tratamiento de los datos personales y; por tanto, determina los fines y medios del tratamiento de los datos personales. III Limitación del plazo de conservación La letra
- e)del artículo 5.1 del RGPD propugna que: "1. Los datos personales serán: (…)
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);" Según lo previsto en el artículo 22 de la LOPDGDD “Tratamientos con fines de videovigilancia. 1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica…”. En el presente caso, consta acreditado que REGANOSA tiene implementado un sistema automático de conservación de los datos y accesibilidad como medida de responsabilidad proactiva y para asegurar el cumplimiento de los principios de protección de datos, conservando las imágenes del sistema de videograbación por un periodo máximo de 30 días, salvo que como consecuencia de un incidente de seguridad haya sido comunicado, en el plazo de 72 horas, a las autoridades competentes. La configuración del software de gestión del sistema de video vigilancia, en el que se ha establecido automáticamente un tiempo de conservación de las grabaciones de 30 días, evidencia el cumplimiento de las previsiones normativas en materia de protección de datos por parte de REGANOSA. Tras ese plazo de 30 días, el software realiza de modo automático la sobreescritura de las grabaciones almacenadas en el sistema. REGANOSA ha manifestado que, en caso de que se detecte alguna incidencia o irregularidad, se recoge en los informes de seguimiento del servicio de vigilancia, junto con los fotogramas que expliquen las diferentes situaciones, con la finalidad de acreditar un posible incumplimiento contractual o de proponer mejoras en la prestación del servicio. A continuación, salvo que medie una petición de autoridad competente o una denuncia en el plazo establecido de 72 horas, las imágenes de las cámaras proceden a eliminarse en el plazo de 30 días, sin perjuicio de que se conserven los informes de seguimiento de incidencias al amparo de las finalidades descritas anteriormente. Por tanto, detectada una incidencia o una irregularidad, se recoge en los informes de seguimiento del servicio de vigilancia los fotogramas que explican las diferentes situaciones; sin que ello, implique la no supresión de las grabaciones de los sistemas de videovigilancia. En definitiva, la inclusión de fotogramas en los informes de seguimiento y verificación del cumplimiento del servicio de videovigilancia y seguridad, que persigue esclarecer e ilustrar las actuaciones descritas en estos, implicaría la realización de un nuevo tratamiento de datos personales (en caso de que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 mencionados fotogramas los contuvieran) por parte del responsable. Este nuevo tratamiento no impediría cumplir con los plazos máximos de conservación de las grabaciones establecidos por la normativa vigente. En consecuencia, no hay conservación de las imágenes del sistema de videograbación más allá del plazo legalmente establecido, tampoco se han puesto las imágenes a disposición de un tercero ni se han utilizado para interponer denuncia ante la GUARDIA CIVIL contra la parte reclamante, tal y como se manifiesta en la reclamación presentada, simplemente se tratan de capturas de imagen o fotogramas que se añaden a los informes de seguimiento del servicio de vigilancia que describen los hechos que estos se incluyen y con las que se ilustran los mismos. Dado lo expuesto, no se ha producido una vulneración de la normativa de protección de datos vigente, en relación a la conservación y custodia de las imágenes obtenidas por el sistema de videovigilancia de la reclamada. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir una infracción de la normativa de protección de datos por vulneración del plazo de conservación de las imágenes del sistema de videovigilancia de las instalaciones de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución NOROESTE, S.A. y a la parte reclamante. a REGASIFICADORA DEL De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es