AI-00375-2022

1/7  Expediente N.º: EXP202211140 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de la información de la AGRUPACION DE LOS CUERPOS DE LA ADMINISTRACION DE INSTITUCIONES PENITENCIARIAS (ACAIP) de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Con fecha 8 de agosto de 2022, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS con NIF S2813060G (en adelante, ALIAS) en relación con los siguientes hechos: La asociación denunciante solicita que la AEPD declare la nulidad de la Instrucción de videovigilancia ***INSTRUCCIÓN.1, de ***FECHA.1, de la Secretaría General de Instituciones Penitenciarias. La jurisdicción contencioso administrativa debe resolver aún si la instrucción es nula o no. No obstante, la asociación denunciante plantea cuestiones que deben ser analizadas por la AEPD en la medida en la que la instrucción se encuentra actualmente en vigor. La parte reclamante considera que la instrucción permite la ubicación de cámaras en lugares donde se vulnera el derecho a la intimidad de los internos o los principios de última ratio, idoneidad, necesidad y proporcionalidad, en concreto identifica los siguientes: lugares donde se encuentran depositados los medios coercitivos, las celdas destinadas a la aplicación del medio coercitivo de aislamiento provisional y las dependencias destinadas a la realización de cacheos con desnudo integral. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, Las actuaciones inspectoras tuvieron por objeto la comprobación de la adecuación de los tratamientos de datos de las personas privadas de libertad a la mencionada Instrucción ***INSTRUCCIÓN.1, de ***FECHA.1, de la Secretaría General de Instituciones Penitenciarias, teniendo conocimiento de los siguientes extremos: En fecha 14 de febrero de 2023 se envió a la Secretaría General de Instituciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Penitenciarias solicitud de información en los siguientes términos: 1.- Si los sistemas de control previstos en la Instrucción ***INSTRUCCIÓN.1 referenciada en el párrafo anterior están ya implementados en los centros. 2.- Si se han dado instrucciones a los Centros Penitenciarios sobre cómo se ha de planificar la aplicación efectiva de la misma o si se deja al responsable de cada Centro la decisión de cómo aplicarla. 3.- Si se ha hecho algún desarrollo de la Instrucción. 4.- En la Instrucción se determina que “No es objeto de la presente instrucción la regulación de los sistemas de videovigilancia que, sin contar con elementos de captación de sonido ni estar asociados a sistemas de grabación, puedan instalarse en determinadas dependencias para completar la labor de observación directa por parte del personal penitenciario sobre las personas que se encuentren recluidas. Finalidad a la que responden las cámaras que, respetando en todo caso el derecho a la intimidad, pueden instalarse en las denominadas celdas de observación, salas de comunicaciones familiares u otras para el control visual de sus ocupantes, informando debidamente de tal circunstancia a los usuarios a través de carteles informativos colocados en lugar visible a su entrada.” Con relación a estos sistemas, determine si se hace algún tipo de tratamiento de datos personales. 5.- En el punto 4.3 de la Instrucción (Ubicación de cámaras de videovigilancia) se dice que: Como criterio general, el sistema de videovigilancia de un centro deberá cubrir todas las zonas y dependencias comunes de uso general para posibilitar el tratamiento penitenciario y la consecución de los fines previstos en el artículo 1 de la Ley Orgánica 1/1979, de 26 de septiembre, General Penitenciaria (LOGP). Igualmente, se estima necesario disponer de videovigilancia en los siguientes lugares: • Donde se encuentren depositados los medios coercitivos. • Celdas destinadas a la aplicación del medio coercitivo de aislamiento provisional • Celdas destinadas a la sujeción mecánica de carácter prolongado, con captación de sonido. • Dependencias destinadas en concreto a la realización de cacheos con desnudo integral, que contarán con sistema independiente de grabación de sonido y elementos que preserven la intimidad de la persona afectada. Las imágenes y sonidos grabados durante la ejecución de esta medida tendrán carácter reservado, adoptándose las medidas necesarias para garantizar el acceso a las mismas únicamente para el ejercicio de las labores de supervisión por parte de la autoridad competente. En consecuencia, solo en el caso de constar queja o denuncia, las imágenes se extraerán y pondrán a disposición de la autoridad competente para conocer de ellas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Por el contrario, de no constar queja o denuncia al respecto, transcurridos tres meses desde su grabación las imágenes serán destruidas de oficio sin extraerse del sistema. Determine si, como consecuencia de esos tratamientos, se ha hecho una evaluación de impacto para valorar los riesgos y en su caso las medidas tendentes a mitigarlos. 5.- En el punto 4.4 de la Instrucción (Procedimiento de extracción de imágenes y sonidos) se expresa que deberán extraerse de oficio del circuito habitual de borrado de imágenes del sistema de videovigilancia, las imágenes grabadas relacionadas con ciertos hechos que se señalan en la misma. Respecto a este proceso, determine si se han descrito o fijado procesos que determinen que personal será el encargado de la extracción, si existe un sistema de trazabilidad de todo el proceso y se han fijado medidas mínimas de seguridad. 6.- Por otro lado, en la instrucción se establece que la persona que ostente la dirección del centro será responsable del tratamiento de las imágenes del sistema de videovigilancia del centro, debiendo adoptar al efecto cuantas medidas procedan para garantizar: a. Que el visionado y extracción de las imágenes solo se realiza por el personal expresamente designado por la persona responsable de la Dirección para tal función, prohibiéndose tales acciones a cualquier persona no autorizada. b. Que no existen fisuras o filtraciones en la cadena de custodia de las imágenes. Para lo que deberá establecer un procedimiento que posibilite, a través de la asignación de claves o códigos individualizados, la identificación fehaciente e indubitable de cada una de las personas designadas para el visionado y extracción de imágenes. Esto permitirá acreditar la trazabilidad y no alteración de las mismas, debiendo el personal que acceda a ellas guardar la debida confidencialidad a la que vienen obligados. Determine si se han dado criterios comunes a todos los Centros para garantizar que se cumplen los anteriores requisitos. Con fecha 1 de marzo de 2023, se recibe contestación de la Secretaría General de Instituciones Penitenciarias que precisaba ser completada, por lo que se remite una nueva solicitud de información: (…). (…). (…). (…). Con fecha 30 de marzo de 2023 se da respuesta, por la reclamada, al requerimiento de información, en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 (…). (…). (…). Más allá del análisis de la propia norma, se planteó la necesidad de constatar si la misma estaba siendo objeto de implantación efectiva en los centros penitenciarios no transferidos y, a tal efecto se determinó la necesidad de llevar a cabo una inspección presencial en un centro seleccionado de acuerdo con diferentes criterios de representatividad. El Centro seleccionado es el siguiente: Denominación: ***CENTRO.1 Domicilio: ***DIRECCIÓN.1 Municipio: ***MUNICIPIO.1 Provincia: ***PROVINCIA.1 Con fecha 19 de junio de 2023 se efectúa la citada inspección dando como resultado las siguientes actuaciones mediante la oportuna acta de inspección: (…)… … FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que previstas en los artículos 48.

1. a)y 50 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en adelante LO 7/2021), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. El artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Asimismo, la disposición adicional cuarta de la LOPDGDD (Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes.), establece que “Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 II Tratamientos con fines de videovigilancia El artículo 22.6 de la LOPDGDD dispone lo siguiente: “El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica.” III Licitud del tratamiento El artículo 11 de la Ley Orgánica 7/2021 establece lo siguiente: 1. El tratamiento sólo será lícito en la medida en que sea necesario para los fines señalados en el artículo 1 y se realice por una autoridad competente en ejercicio de sus funciones. 2. Cualquier ley que regule tratamientos de datos personales para los fines incluidos dentro del ámbito de aplicación de esta Ley Orgánica deberá indicar, al menos, los objetivos del tratamiento, los datos personales que vayan a ser objeto del mismo y las finalidades del tratamiento. IV Obligaciones del responsable del tratamiento El artículo 27 de la Ley Orgánica 7/2021 establece lo siguiente: 1. El responsable del tratamiento, tomando en consideración la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los niveles de riesgo para los derechos y libertades de las personas físicas, aplicará las medidas técnicas y organizativas apropiadas para garantizar que el tratamiento se lleve a cabo de acuerdo con esta Ley Orgánica y con lo previsto en la legislación sectorial y en sus normas de desarrollo. Tales medidas se revisarán y actualizarán cuando resulte necesario. 2. Entre las medidas mencionadas en el apartado anterior se incluirá la aplicación de las oportunas políticas de protección de datos, cuando sean proporcionadas en relación con las actividades de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 V Conclusión La asociación denunciante solicita que la AEPD declare la nulidad de la Instrucción de videovigilancia ***INSTRUCCIÓN.1, de ***FECHA.1, de la Secretaría General de Instituciones Penitenciarias. Esta Agencia no es competente para declarar la nulidad de disposiciones y actos administrativos como la Instrucción solicitada; será, en su caso, la jurisdicción contencioso-administrativa la que deba pronunciarse sobre la legalidad de la instrucción. No obstante, la asociación denunciante plantea cuestiones que deben ser analizadas por la AEPD en la medida en la que la instrucción se encuentra actualmente en vigor. Para ello se han realizado actuaciones previas de investigación tendentes a verificar si la Instrucción ***INSTRUCCIÓN.1 mencionada está siendo objeto de implantación efectiva en los centros penitenciarios no transferidos de la forma establecida en la misma, y, a tal efecto, llevar a cabo una inspección presencial en un centro penitenciario seleccionado de acuerdo con diferentes criterios de representatividad. El Centro inspeccionado está en fase de implantación de nuevos sistemas para cumplir con la Instrucción nº ***INSTRUCCIÓN.1, si bien la mayor parte de las medidas se encuentran ya implantadas. El objeto de esta instrucción es regular el tratamiento de datos de carácter personal obtenidos mediante la grabación de imágenes y sonidos de los sistemas de videovigilancia existentes en cualquier establecimiento penitenciario dependiente de la Secretaría General de Instituciones Penitenciarias, con la finalidad, entre otras de proteger, salvaguardar y facilitar el ejercicio de los derechos previstos normativamente que pueden verse afectados. Asimismo, la instalación de cámaras de videovigilancia requiere valoración previa de alternativas menos intrusivas en los derechos fundamentales y libertades públicas, debiendo comportar su instalación más ventajas que inconvenientes para los derechos fundamentales de las personas. Sólo se tratarán las imágenes captadas en los centros penitenciarios cuando tal acción sea adecuada, pertinente y no excesiva en relación a la necesidad de vigilancia penitenciaria En las zonas previstas con exclusión de cámaras se ha constatado que efectivamente no están instaladas. Los sistemas de videovigilancia en las dependencias especiales (lugares donde se encuentren depositados los medios coercitivos, celdas destinadas a la aplicación del medio coercitivo de aislamiento provisional y celdas destinadas a la sujeción mecánica de carácter prolongado, con captación de sonido) están instalados y disponen de grabación de imágenes, sin sonido, extrayéndose las grabaciones siempre que se utilizan estas celdas. Las grabaciones así extraídas guardan las medidas de seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 previstas en la Instrucción. En el caso de las dependencias destinadas en concreto a la realización de cacheos con desnudo integral, con sistema independiente de grabación de sonido y elementos que preserven la intimidad de la persona afectada, que también tiene carácter de dependencia especial de acuerdo con la Instrucción ***INSTRUCCIÓN.1, se ha solicitado la instalación de 15 cámaras con grabación y sistema independiente de sonido para estas dependencias, conforme a lo establecido en la norma, estando pendientes de instalación. En el resto de las zonas comunes (pasillos, patios...) existe videovigilancia, pero el personal que está visionando las imágenes no puede extraerlas. Está prohibido por normativa interna la entrada y uso de móviles en el interior del Centro, tanto para la población reclusa como para los empleados y visitantes. La sala de cacheo se encuentra cerrada 24 horas salvo su uso en casos concretos. Por lo tanto, en base a lo indicado en los párrafos anteriores, se ha verificado que no se ha constatado que los sistemas de videovigilancia no sean conforme a la Instrucción ***INSTRUCCIÓN.1, de ***FECHA.1, de la Secretaría General de Instituciones Penitenciarias. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
2. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es