AI-00320-2024

1/11  Expediente N.º: EXP202404179 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de febrero de 2024, se presentó reclamación con número de registro de entrada REGAGE24e00012429278 ante la Agencia Española de Protección de Datos contra EASYREPOST, S.L. y ONTIME TRANSPORTE Y LOGÍSTICA, S.L. con NIF B87280814 y B85720290, respectivamente (en adelante EASYREPOST y ONTIME TRANS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que era trabajador de la empresa ONTIME TRANS hasta el día ***FECHA.1, fecha en la que concluyó su despido disciplinario. La empresa le comunicó el inicio de un expediente sancionador iniciado mediante burofax el día ***FECHA.2, porque el día ***FECHA.3 supuestamente repostó combustible en un vehículo ajeno a la empresa, mientras que el vehículo habilitado para la parte reclamante se encontraba ese día en el taller y la reposición se llevó a cabo en la gasolinera de bajo coste EASYREPOST, que no es un proveedor autorizado por la empresa para repostar sus vehículos. En el burofax, se adjuntaron fotos de una tercera persona próxima a uno de los surtidores y otra, dentro del local una fotografía de su persona, lo que ha hecho presumir erróneamente a ONTIME TRANS que la persona del surtidor también es la parte reclamante. La parte reclamante denuncia que las fotografías las envió la empresa EASYREPOST a ONTIME TRANS, violando la normativa de protección de datos, puesto que la parte reclamante no dio autorización para hacer uso y cesión de su imagen, tratando con ello de imputarle una conducta no realizada por él y justificar así el despido disciplinario del que fue objeto el ***FECHA.1. La parte reclamante denuncia también que la gasolinera de la empresa EASYREPOST tiene cartel obligatorio de protección de datos, pero no contiene ninguna información sobre dónde ejercer los derechos previstos en el RGPD. Aporta junto al escrito de reclamación ante la AEPD: 1) Una reclamación previa presentada el 10/05/2023 por el reclamante ante la AEPD, sin certificado digital. 2) El burofax de ONTIME TRANSPORTE Y LOGÍSTICA al reclamante de fecha ***FECHA.2, firmado por la empresa y la representación legal de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/11 trabajadores en esta, comunicando el inicio del expediente sancionador, por repostar un vehículo ajeno a la empresa con cargo de la tarjeta de la empresa, estando además el vehículo de empresa adjudicado al trabajador en el taller en día del repostaje; adicionalmente el repostaje se habría llevado a cabo además en una gasolinera no autorizada por la empresa; por último, ONTIME TRANS fue alertada también por el personal de la gasolinera de EASYREPORT de que la matrícula del vehículo repostado no era la asignada para la tarjeta utilizada para el pago el día ***FECHA.3. 3) La carta de despido del reclamante, firmada por la empresa reclamada y la representación legal de los trabajadores, en el que además de varias imágenes del vehículo en la gasolinera. 4) Junto a la notificación del expediente aporta ONTIME TRANS el extracto bancario en la que se cargó el repostaje de ***FECHA.3. 5) Tres imágenes en la gasolinera EASYREPOST, en una de las cuales las que se ve presuntamente a la parte reclamante entre el vehículo y el surtidor; la reclamante niega ser la persona que aparece en esa imagen 6) Una imagen de la parte reclamante dentro de la gasolinera con una empleada, que la parte reclamante sí reconoce como propia. 7) Una imagen de la tienda de 24 de la gasolinera EASYREPOST y otra imagen del cartel de zona videovigilada, en la que aparecen el nombre y dirección del responsable, pero no se informa de la posibilidad de ejercer los derechos de protección de datos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15/03/2024 por EASYREPOST y el 18/03/2024 por ONTIME TRANS como consta en el acuse de recibo que obra en el expediente. Con fecha 15/04/2024 se recibe en esta Agencia escrito de respuesta de EASYREPOST, indicando que el responsable del tratamiento de las cámaras de video vigilancia es Jesmon Seguridad S.L. con NIF B85260339. EASYREPOST informa de que existen 36 cámaras de seguridad, cuyas fotografías aparecen en el documento n.º 1, que se pueden ser visualizar desde el dispositivo electrónico portátil en la oficina del administrador. En las imágenes del documento 1, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11 se muestra también el campo de visión de las cámaras, que sólo que no capta imágenes de terrenos colindantes, ni del interior de viviendas o espacios privados o reservados, y tampoco la vía pública más allá de lo mínimo imprescindible. En cuanto a las medidas de seguridad adoptadas, EASYPOST informa de que las copias de las grabaciones se guardan por un máximo de 30 días, siendo solo accesibles por el administrador de EASYREPOST y la empresa de seguridad. Sobre el fundamento legal para la entrega a ONTIME TRANS de las imágenes concretas del sistema de videovigilancia ONTIME TRANS, explica EASYREPOST que ha valorado y ponderado el argumento aportado por ONTIME TRANS de que la persona que aparecía en las imágenes era posiblemente un trabajador cometiendo una infracción laboral. Asimismo, argumenta EASYREPOST que tuvo en cuenta también lo dispuesto en la normativa de Protección de Datos tal y como se detalla a continuación: 1. Base legal: la base legal para el tratamiento de datos personales para ONTIME TRANS es el interés legítimo en investigar posibles infracciones laborales y proteger sus intereses. 2.Finalidad: la solicitud tenía una finalidad específica y legítima, la investigación de una posible infracción laboral. 3. Proporcionalidad y minimización de datos: se solicitaba únicamente la visualización, y, en el caso de ser necesario, una copia de las imágenes necesarias para de investigación, asegurándose así EASYREPOST de que no se trataban otros datos más allá de los necesarios. La petición de ONTIME TRANS quedaba acotada un espacio temporal concreto, las imágenes de las videocámaras del ***FECHA.3, entre las 12:00 y las 13:00 h, y sólo referidas al repostaje concreto sobre el que habría realizado y pagado la parte reclamante. 4. Medidas de seguridad: reitera aquí EASYREPOST lo ya descrito con carácter general al inicio de su contestación, en lo relativo a las personas autorizadas para acceder a la información y medios técnicos empleados al efecto. 5.Información a los afectados: EASYREPOST reitera que cuenta con carteles informativos de videovigilancia puestos adecuadamente en la estación de servicios. 6. Documentación y cumplimiento: EASYREPOST documenta su decisión junto con la petición por escrito de ONTIME TRANS, que ha llevado a cabo, a su entender, respetando los derechos de los trabajadores, tras evaluar cuidadosamente los requisitos legales y éticos antes de proceder a la transmisión de los datos personales y asegurarse de que el tratamiento de datos se realiza de manera legal, justa y transparente respetando también los derechos del individuo implicado. Con fecha 17/04/2024, se recibe en esta Agencia escrito de respuesta de ONTIME TRANS indicando que EASYREPOST es una empresa proveedora de ONTIME TRANS con la que mantiene un acuerdo de colaboración, y con base a dicha relación mercantil tuvo conocimiento de que se había utilizado su tarjeta de empresa para el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11 pago de un repostaje para vehículo distinto al asociado, por lo que podría ser un hecho fraudulento. El ahora el extrabajador era conocedor de que no estaba autorizado a utilizar la tarjeta de esa manera y de que este comportamiento es podría implicar una infracción laboral, e incluso un delito penal. Es por ello, que ONTIME TRANS solicitó a EASYREPOST la visualización previa de las imágenes de sus cámaras, para identificación del trabajador y los hechos ocurridos basándose en su interés legítimo de verificar el posible repostaje fraudulento llevado a cabo por su empleado, y, una vez constado este hecho, obtener copia de imágenes concretas de la videovigilancia de EASYREPOST que corroborasen lo sucedido. Rebate además ONTIME TRANS la afirmación de la parte reclamante de que la base de legitimación adecuada para el tratamiento de estas imágenes sea el consentimiento del interesado para este caso. Considera ONTIME TRANS que su solicitud respeta la normativa de Protección de Datos, habiéndose ponderado previamente el interés legítimo bajo el análisis de idoneidad, la necesidad y la proporcionalidad en sentido estricto del tratamiento. En cuanto a la idoneidad y necesidad alega ONTIME TRANS, que se basa en el valor probatorio de las imágenes, indispensables para poder acreditar con objetividad y de forma indubitada lo acaecido en el establecimiento, identificando a la persona infractora en el momento de realizar el repostaje indebido y proceder al pago con la tarjeta de la empresa y que no existen otros medios para obtener la prueba o evidencia directa de la infracción con igual eficacia probatoria. Enfatiza ONTIME TRANS que la necesidad del tratamiento de las imágenes como prueba se reforzó más aún tras la negativa del trabajador a reconocer los hechos, dado que fue cambiando su versión de los hechos, llegando a aceptar finalmente que estaba a la hora y lugar indicados, pero únicamente para “saludar a unas amigas”. En cuanto a la proporcionalidad del tratamiento realizado, considera ONTIME TRANS que ha respetado los principios del artículo 5 del RGPD, ya que la solicitud de los datos tiene una finalidad determinada, explícita y legítima, limitada a un período temporal específico y se restringe únicamente a las imágenes de las cámaras que captura el repostaje y su ubicación en la estación de servicio, no se puede identificar a otros terceros y no se incluyen otras imágenes y/o áreas de grabación donde la expectativa de privacidad sería mayor. ONTIME TRANS declara que ha tratado las imágenes con la máxima confidencialidad, limitando el acceso a personal autorizado a la persona de Recursos Humanos implicada directamente en la investigación y asegurando su destrucción, una vez concluidas las actuaciones que dieron lugar a la apertura del expediente sancionador, así como el plazo legal para su recurso. ONTIME TRANS declara que, una vez comprobados los hechos, comunicó mediante burofax a la parte reclamante el inicio del expediente sancionador, dándole además traslado de las imágenes, incluyendo información sobre el origen y uso de las mismas, para que pudiera realizar las alegaciones oportunas. Considera ONTIME TRANS que los hechos suponen una clara transgresión de la buena fe contractual y abuso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 confianza en el desempeño del trabajo, la empresa tomó la decisión de sancionar al trabajo al trabajador con despido disciplinario. Por último, ONTIME TRANS desea poner en conocimiento de la AEPD que el denunciante desde el momento de su despido no ha cesado en su empeño de denunciar a ONTIME TRANS utilizando todos los cauces conocidos posibles, intentando desvirtuar que el hecho que motiva el despido es además un ilícito penal. Por lo anteriormente expuesto, solicita ONTIME TRANS que se inadmita la reclamación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." III La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. IV Licitud de tratamiento El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales (se subraya lo relevante al caso): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11 "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " El artículo 22 de la LOPDGDD regula la videovigilancia del siguiente modo (se subraya la parte relevante al caso): “Artículo 22. Tratamientos con fines de videovigilancia. 1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/11 máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. (…) 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo.” (…) En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD concreta que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. En este sentido, EASYREPOST está legitimado para realizar un tratamiento de vigilancia para la proteger sus instalaciones, siempre que cumpla con las garantías exigidas por ambos preceptos. El tratamiento sería lícito siempre que se limite a grabar mayormente sus instalaciones y la parte mínima imprescindible de la vía pública para conseguir este fin y que las imágenes se conserven durante el período máximo de un mes salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. De conformidad con la contestación al traslado y las pruebas fotográficas aportadas por EASYREPOST, las cámaras parecen grabar mayormente sus instalaciones y se conservarían también durante el plazo previsto por la normativa vigente. El artículo 12.1 del RGPD indica que quien lleve a cualquier tratamiento de datos personales, (como el de un sistema de videovigilancia), deberá suministrar a los interesados la información indicada en los artículos 13 y 14 del RGPD. Con la finalidad de que el deber de información previsto en el artículo 12 del RGPD se cumpla de manera concisa y comprensible para el afectado, el citado artículo 22 de la LOPDGDD prevé en relación con la videovigilancia un sistema de "información por capas". En este sentido, la primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc…, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/11 colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. No es necesario especificar la ubicación precisa del equipo de videovigilancia. Este deber de información se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso de que el espacio videovigilado disponga de varios accesos, deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos. Esta información debe suministrarse por adelantado -considerando 39 del RGPD-. El objetivo es que quede claro el contexto de la vigilancia. El tratamiento de datos personales está sometido al resto de los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
10. c)del RGPD que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. En la contestación al traslado de la reclamación, EASYREPOST afirma disponer de 36 cámaras de seguridad, de las que aporta fotografías en el documento n.º 1, así como del campo de visión de las cámaras, que captarían mayormente imágenes de su recinto, pero no los de terrenos colindantes, ni del interior de viviendas o espacios privados o reservados y tampoco imágenes la vía pública más allá de lo mínimo imprescindible. En el mismo documento se aportan fotografías también cárteles que informan del uso de la videovigilancia en el recinto, con información sobre cómo acceder a la 2ª capa información, a saber, la dirección para la obtención del ejercicio de los derechos y ulterior información sobre el tratamiento de datos. Por su lado, la parte reclamante aporta fotografía de un