← España

AI-00357-2022

1/7  Expediente N.º: EXP202210496 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 20 de abril de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FUNDACIÓN SAN MARCIANO JOSÉ con NIF G19264308 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “(…) que trabaja en un Centro Educativo del que es responsable la parte reclamada y que se ha instalado un sistema de videovigilancia del que no se ha informado a los trabajadores, habiendo sido sancionado por imágenes tomadas de dicho sistema” Aporta copia del escrito remitido por la parte reclamada a la parte reclamante comunicándole la apertura de un procedimiento disciplinario. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue notificado en tiempo y forma según consta en el expediente. TERCERO: En fecha 27/06/22 se recibe escrito de contestación de la reclamada en relación a los hechos descritos, argumentando ampliamente los hechos, de la siguiente manera: “La Fundación San Marciano José, valoró en primer lugar la legitimación para utilizar un sistema de captación y dado que la finalidad de la videovigilancia consiste en garantizar la seguridad de personas, bienes e instalaciones, el interés público legitimaría dicho tratamiento, teniéndose en cuenta los principios de limitación de la finalidad y minimización de datos que recoge la norma en su artículo 5. En la actualidad las instalaciones del Colegio (...), cuenta con (…) cámaras, repartidas según se indica (detalle del visionado de la cámara, ubicación y señalética) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 (…) se decidió instalar una cámara para garantizar la seguridad de los bienes particulares de las personas y propios del colegio que estaban siendo sustraídos, obteniéndose una serie de grabaciones que quedaron a disposición policial y tras las que se adoptaron las oportunas medidas sobre la persona que estaba cometiendo los hurtos tal y como reflejaban las imágenes. Dada la situación personal de la persona que se observa en las imágenes apropiándose de efectos personales de terceros, las personas afectadas no quisieron interponer denuncia sobre ello. Tras el esclarecimiento de los hechos se procedió el 28 de marzo a retirar la cámara, al considerarse que habían cesado las conductas que afectaban a la seguridad de la comunidad escolar. De conformidad con el artículo 22.4 de la LOPDGDD 3/2018, se ubican carteles suficientemente visibles (se van reponiendo conforme sufren deterioro), contando con 12 en la actualidad, que advierten de la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Existen tres modelos diferentes de carteles, que se adjuntan, así como el modelo de información complementaria a disposición de cualquier interesado en la secretaria de cada centro (…)”. FUNDAMENTOS DE DERECHO I De acuerdo con las funciones que el artículo 57.1 a),

  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En el presente caso, se procede a analizar la reclamación de fecha 20/04/22 por medio de la cual se traslada como hecho principal: “he sido grabado por medio de cámaras que anteriormente no existían, no se ha informado a los trabajadores del Centro, ni he firmado documento alguno dónde se me informara que se me está grabando” (folio nº 1). Antes de entrar en el fondo del asunto, puntualizar que este organismo solo analizara los hechos relacionados con la protección de datos, no siendo competente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 para valorar la licitud/ilicitud de pruebas aportadas en el marco de cualquier expediente disciplinario, el cual está sujeto a sus propias reglas procedimentales. Los “hechos” por tanto se centran en la presunta ausencia de información al reclamante y demás personal del Centro sobre la presencia de cámaras de video-vigilancia presentes en la entidad reclamada. El artículo 18.4 CE dispone: “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”. El artículo 22 apartado 4º de la LOPDGDD (LO 3/2018) dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. Trasladados los hechos a la parte reclamada, la misma no niega ser la responsable de la instalación de un sistema de video-vigilancia, el cual está debidamente informado mediante carteles informativos en todo el centro, aportando prueba documental de tal extremo, estando las mismas incorporadas al presente procedimiento. Item, se realiza una exposición detallada de los motivos de la instalación que obedece a la seguridad del mismo y de sus instalaciones, puntualizando que en unos meses concretos se empezaron a producir pequeños hurtos sospechando de alguien del propio Centro. Por tal motivo se comunicaron los mismos a las Fuerzas y Cuerpos de Seguridad (Unidad Territorial Seguridad Privada) quien recomendó instalar una cámara visible próxima a la zona dónde se estaban produciendo prioritariamente los hechos descritos, obtenido a través de la misma imagen nítida del autor de los hechos que venían aconteciendo en el centro, grabaciones que según manifiesta “quedaron a disposición policial” (folio nº 24 Anexo II). Lo anterior es coincidente con el relato fáctico del Expediente disciplinario abierto contra la parte reclamante por el propio Centro debido “a la falta de dinero de sus enseres personales que otros compañeros (
  3. as)han echado a faltar de sus bolsos”. III El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7
  4. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  5. b)los datos de contacto del delegado de protección de datos, en su caso;
  6. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  7. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  8. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  9. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  10. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  11. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  12. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  13. d)el derecho a presentar una reclamación ante una autoridad de control;
  14. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  15. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." El contenido del derecho de protección de datos es ampliamente analizado entre otras en la STC 39/2016, 3 de marzo (BOE nº 85, 8 de abril 2016). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Las definiciones contenidas en el RGPD acerca de qué es lo que hay que entender por “dato personal” y “tratamiento” permiten fácilmente incluir en su ámbito de aplicación la imagen de los trabajadores (
  16. as)captada a través de sistemas de videovigilancia dado que posibilita la identificación de estos. El deber de transparencia y el deber informativo regulados en el RGPD imponen una obligación de informar al interesado de la finalidad de la obtención de los datos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos (…), aspectos estos que quedan respaldados con la presencia de los carteles informativos, sin que hasta el momento puntual de producirse los hechos originasen rechazo o fueran objeto de reclamación ante los responsables del Centro o autoridad competente de control. IV El artículo 89 de la LOPDGDD regula el derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo, disponiendo en su primer apartado lo siguiente: "1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica." Las conductas analizadas, que fueron respaldadas por la labor de las Fuerzas y Cuerpos de seguridad del Estado, permiten inducir sin ambages que en el Centro se estaban produciendo presuntos delitos de hurtos tipificados en el artículo 234 CP, mediante la sustracción subrepticia de pequeñas cantidades de dinero de otros empleados (
  17. as)del Centro, aspecto este coincidente con el último párrafo del artículo 89 citado previamente. V Analizados los hechos y argumentaciones expuestas, cabe concluir que el sistema de video-vigilancia estaba debidamente informado con la amplia presencia de carteles informativos, incluso en la puerta de acceso a las instalaciones del Centro, constando el responsable y la finalidad del tratamiento de los datos obtenidos con el mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Por tanto, el deber de información se entiende cumplido con la presencia de estos, quedando a la libre libertad del empleador o dirección del Centro determinar el número máximo o mínimo de cámaras a instalar, la ubicación de estas o la sustitución de las mismas en caso de estimarlo necesario acorde a las necesidades específicas que surgieran o surjan en cada momento. Como señala la STC 292/2000, FJ 11, “el derecho a la protección de datos no es ilimitado, y aunque la Constitución no le imponga expresamente límites específicos, ni remita a los poderes públicos para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos constitucionalmente protegidos, pues así lo exige el principio de unidad de la Constitución”. A mayor abundamiento, entendemos que la cámara adicionada al sistema informado, con la que se obtuvieron las imágenes del autor de los hechos descritos, no se trataba de una cámara oculta, sino visible prima facie situada en una zona estratégica para la visión del habitáculo dónde principalmente se estaban produciendo ciertas sustracciones de objetos personales, instalada además con el conocimiento de las Fuerzas y Cuerpos de Seguridad, que intervinieron orientado sobre el modo de proceder en estos casos. Recientemente el Tribunal Supremo (STS 22 julio 2022) unifica el criterio para la instalación de cámaras “ocultas” considerando las mismas como una medida proporcionada en ciertos supuestos al ser acorde al fin perseguido, que no es otro que el descubrimiento de actos delictivos realizados de manera furtiva evitando como es lógico ser “sorprendidos” en la realización material de estos. Por tanto, aun no tratándose de una cámara oculta, sino adicionada al sistema de video-vigilancia, la misma se considera una medida proporcionada a la finalidad pretendida, que no era otra que descubrir al presunto autor de hurtos de escasa cuantía que se venían produciendo de manera sistemática; procediendo inclusive a la retirada de la misma una vez que esta cumplió su finalidad (vgr. Sentencia TEDH Estrasburgo 9 de enero 2018 sobre temporalidad de la medida), ciñéndose la misma a un espacio limitado en dónde se habían producido anteriormente sustracciones como las descritas. En consecuencia, teniendo el afectado (
  18. a)información previa de la instalación de las cámaras de videovigilancia a través del correspondiente distintivo (
  19. s)informativo visibles en todo el Centro, y habiendo sido tratadas las imágenes captadas de manera acorde a una finalidad legítima específica y concreta, no puede entenderse vulnerado el art. 18.4 CE. De manera que, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y FUNDACIÓN SAN MARCIANO JOSÉ. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  20. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.