AI-00400-2022

1/7  Expediente N.º: EXP202210123 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 11 de agosto de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra BEL AIR URBAN CLUB y ***EMPRESA.1, S.L. (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada cuenta en el acceso a sus instalaciones con dos cámaras de videovigilancia que se orientan a zonas de vía pública, sin contar con autorización administrativa previa, y sin que se encuentren señalizadas mediante los preceptivos carteles informativos de zona videovigilada. Aporta imágenes de la ubicación de las cámaras. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue devuelto por sobrante por el servicio de Correos en fecha 14 de octubre de 2022 al no haber sido retirado en Oficina después de dos intentos con resultado "ausente reparto" los días 5 y 6 de octubre de 2022. Se reitera el traslado en fecha 17 de octubre de 2022, siendo nuevamente devuelto el día 2 de noviembre de 2022 al resultar "ausente reparto" los días 24 y 25 de octubre de 2022, según acuse de recibo del servicio de Correos que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 11 de noviembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 17 de noviembre de 2022 se realizan búsquedas en Google y Google Maps con el nombre de la parte reclamada y se observa que existe una empresa situada en el entorno, en la calle posterior, con un nombre semejante (***EMPRESA.1). En esa fecha se solicita información de ambas empresas a la Agencia Estatal de la Administración Tributaria con el objeto de obtener la identificación del establecimiento reclamado, contestando de nuevo que no se han podido obtener los datos requeridos de la parte reclamada con la información facilitada y aportando la información necesaria sobre ***EMPRESA.1. Con el propósito de relacionar de alguna manera la empresa ***EMPRESA.1 con la parte reclamada, se realizan, entre otros medios, búsquedas de información en Instagram, observándose que existen dos cuentas de Instagram cuya actividad se ubica en la dirección reclamada, ambas con nombre comenzando por BELAIR (BELAIR URBAN CLUB y BELAIR HOOKAH) y con el mismo número de teléfono de contacto. Se consulta en la web de Registros de Numeración y Operadores de Telecomunicaciones de CNMC para recabar el operador al que pertenece dicho número de teléfono, VODAFONE, y se le requiere al operador los datos identificativos y de contacto del titular de la línea telefónica. VODAFONE contesta, con fecha 21 de noviembre de 2022, facilitando el nombre de una persona física. Se consulta el nombre de dicha persona en el buscador Google con el objetivo (infructuoso) de comprobar su posible relación con ***EMPRESA.1 y se observa que esta persona es administradora de dos empresas relacionadas con eventos, a los que se realiza sendos requerimientos de información para evidenciar la relación con ***EMPRESA.1. Estos requerimientos fueron puestos a disposición en el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada con fecha 13 de diciembre de 2022, constando fecha de rechazo automático de ambos el día 24 de diciembre de 2022. Con fecha 16 de enero de 2023 se remite un requerimiento de información al Área de Urbanismo del Ayuntamiento de ***LOCALIDAD.1 para recabar información sobre las empresas sitas en la dirección reclamada. El requerimiento es notificado con fecha 17 de enero de 2023 y no es contestado en el plazo establecido para ello. Con fecha 9 de febrero de 2023 se realiza una llamada a la centralita del Ayuntamiento de ***LOCALIDAD.1, que transfiere la llamada a la secretaria del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 concejal de Urbanismo del Ayuntamiento de ***LOCALIDAD.1, para informar de la ausencia de respuesta por parte de dicho Ayuntamiento al requerimiento de información notificado con fecha 17 de enero de 2023. Con fecha 16 de febrero de 2023, la Gerencia Municipal de Urbanismo del Ayuntamiento de ***LOCALIDAD.1 remite información sobre la titularidad de la actividad de la parte reclamada, manifestando: .- Que la actividad se desarrolla en la finca sita en la C/ ***DIRECCIÓN.1. .-Que desde el día 12 de abril de 2022 consta que la sociedad ***EMPRESA.1, S.L. con NIF B88499942, ha presentado una declaración responsable para Reforma de la actividad de Bar-Restaurante con Espectáculos en dicha dirección. Con fecha 16 de marzo de 2023, la parte reclamante remite un escrito en el que comunica que el local ha sido adquirido por un banco a comienzos de este año, el cual ha retirado las cámaras al iniciar las reformas. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7
3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
4. b)los datos de contacto del delegado de protección de datos, en su caso;
5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
12. d)el derecho a presentar una reclamación ante una autoridad de control;
13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
14. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." III La imagen es un dato personal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. El tratamiento de datos personales está sometido al resto de los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
15. c)del RGPD que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. La aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos, salvo que concurra autorización gubernativa, sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad. En algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y, en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos o afectar a su ámbito privado sin causa justificada. IV Aplicación del principio de presunción de inocencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. Aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo que, en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). En el presente caso, si bien de la reclamación presentada podía inferirse en un primer momento que la parte reclamada estuviera obteniendo imágenes de la vía pública, lo que implicaría una infracción del artículo 5.1.c del RGPD, en los términos ya descritos, de la documentación aportada al expediente no se pone de manifiesto que las cámaras objeto de reclamación estuviesen captando vía pública; ni siquiera que estuviesen en funcionamiento y que estuvieran conectadas a algún sistema de vigilancia. A ello hay que añadir, que dejaron de estar en la ubicación reclamada hace más de un año al haberse vendido el local a un banco. V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han obtenido evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamada y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
16. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es