AI-00412-2023

1/9  Expediente N.º: EXP202313163 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: En fecha 25 de agosto de 2023, A.A.A. presentó reclamación ante esta Agencia por una posible vulneración de la normativa de protección de datos de carácter personal por parte de la COMUNIDAD DE PROPIETARIOS B.B.B., con NIF ***NIF.1 (en adelante, COMUNIDAD DE PROPIETARIOS B.B.B.). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: A.A.A. manifiesta que el 21 de agosto de 2023 la presidenta de su bloque (C.C.C.), el número X, llamó a la puerta de su vivienda para recriminarle una serie de fechorías realizadas en los trasteros (…) de la urbanización por unos menores de edad de entre 14 y 16 años, y residentes en dicha urbanización. Dos de esos menores son sus hijos. Indica que la presidenta del bloque X le mostró una serie de videos que la presidenta del bloque X (D.D.D.) le había remitido a su teléfono móvil, tras haber grabado con su teléfono móvil el monitor de visión del sistema de videovigilancia, en concreto, las cámaras instaladas en la zona de los trasteros. Añade que la presidenta del bloque X le ha remitido dichos vídeos a través de WhatsApp y que en ellos solo se visualiza a los menores jugando al escondite y poniendo piedras en los cantos de una puerta para que no se cierre. Aportó, entre otras, la siguiente documentación: - Captura de pantalla de WhatsApp en la que se observa una conversación con el contacto “(…)” donde este contacto envía 7 vídeos en dos mensajes distintos. Según consta en esta captura, dichos vídeos se enviaron a las 13:04 horas de un domingo. - Copia de un vídeo de 17 segundos en el que aparecen 5 personas (4 varones y 1 mujer), aparentemente menores de edad, caminando por el pasillo de una zona de trasteros. - Copia de un vídeo de 23 segundos en el que aparecen 5 personas (4 varones y 1 una mujer), aparentemente menores de edad, caminando por el pasillo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 una zona de trasteros. Durante la grabación se escucha la voz de un hombre dando indicaciones de cómo realizar el vídeo. SEGUNDO: En fecha 25 de agosto de 2023, E.E.E. presentó reclamación ante esta Agencia por una posible vulneración de la normativa de protección de datos de carácter personal por parte de la COMUNIDAD DE PROPIETARIOS B.B.B., con NIF ***NIF.1 (en adelante, COMUNIDAD DE PROPIETARIOS). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: E.E.E. manifiesta que el 17 de agosto de 2023 recibió un correo electrónico de la presidenta del bloque X (D.D.D.) en el que acusaba a unos menores de edad residentes de la urbanización, y entre los que se encuentra su hija, de haber realizado una serie de fechorías en los trasteros (…). Indica que el 21 de agosto de 2023 recibió un nuevo correo electrónico de la presidenta del bloque X en el que adjuntaba una serie de vídeos. Explica que en dichos vídeos solo aparecen menores de edad de entre 14 y 15 años, entre los que se encuentra su hija, jugando y que se escucha hablar a la presidenta y a su marido mientras graban con su teléfono móvil el visionado de las cámaras de seguridad ubicadas en la zona de los trasteros. Señala que ese mismo día, su mujer recibió un audio a través de WhatsApp de la presidenta del bloque X (C.C.C.), acusando a su hija de haber realizado varias fechorías junto con otros menores en la zona de los trasteros del bloque X y que tiene unos vídeos que lo demostrarían. Aportó la siguiente documentación: - Copia de un correo electrónico con el asunto “Vandalismo bloque X” de 17 de agosto de 2023. Según consta en dicha copia, fue remitido por D.D.D. a F.F.F. y el contenido es el siguiente: “(…).” - Copia de un vídeo de 13 segundos en el que aparecen 5 personas (4 varones y 1 mujer), aparentemente menores de edad, caminando por la zona del garaje. Durante la grabación se escucha la voz de un hombre y de una mujer y, en las imágenes que se están grabando, figura la fecha 15 de agosto de 2023 a las 23:56 horas. - Copia de un vídeo de 23 segundos en el que aparecen 5 personas (4 varones y 1 mujer), aparentemente menores de edad, caminando por la zona de los trasteros. Durante la grabación se escucha la voz de un hombre dando indicaciones de cómo realizar el vídeo. - Copia de un audio de 1 minuto y 56 segundos en el que una mujer dice haber recibido unos vídeos que demuestran que la hija de la destinataria del audio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 (…) junto con otros menores han cometido una serie de actos vandálicos, como manipular trasteros o abrir puertas, y se ofrece a enviarle las imágenes. TERCERO: En fecha 1 de septiembre de 2023, A.A.A. presentó una nueva reclamación ante esta Agencia que se basaba en los mismos hechos y documentación que su primera reclamación. No obstante, incorporó la copia de un correo electrónico idéntico al aportado por E.E.E. en su reclamación. CUARTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 29 de septiembre de 2023 se dio traslado de las reclamaciones a la COMUNIDAD DE PROPIETARIOS B.B.B. y a la Administración de fincas ***ADMINISTRADOR.1 para que procediesen a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con respecto al traslado efectuado a la COMUNIDAD DE PROPIETARIOS B.B.B.., y tras practicarse conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, fue entregado el 6 de octubre de 2023, como consta en el acuse que obra en el expediente administrativo. Por último, el traslado realizado por esta Agencia a ***ADMINISTRADOR.1, y tras practicarse conforme a las normas establecidas en la LPACAP mediante medios electrónicos, fue entregado el 30 de septiembre de 2023, como consta en el acuse obrante en el expediente administrativo. QUINTO: En fecha 19 de octubre de 2023, A.A.A. presentó un nuevo escrito ante esta Agencia junto al que aportaba un documento, firmado y de fecha 11 de septiembre de 2023, de la empresa “***EMPRESA.1” responsable de las cámaras de videovigilancia. Dicha empresa de seguridad indicaba, en síntesis, lo siguiente: - El 1 de mayo de 2023 iniciaron la prestación del servicio de cámaras de seguridad en la urbanización B.B.B.. - En varias ocasiones, las presidentas de los bloques X y X se pusieron en contacto con la empresa de seguridad después de que se produjeran una serie de actos vandálicos en la urbanización. - En junio del 2023, tras el aviso recibido por la presidenta del bloque X de la urbanización en relación con los daños sufridos en un vehículo, acuden a revisar el equipo de grabación ubicado en una estancia de ese bloque. El visionado de las imágenes se realiza siempre en presencia de la presidenta, tal y como ella requiere, y se le advierte que está prohibido realizar fotografías o vídeos dentro de esa zona. - El 17 de agosto de 2023 acuden a revisar el equipo de grabación ubicado en el bloque X de la urbanización después de que el día anterior recibieran una llamada de su presidenta en relación con una serie de actos vandálicos sufridos en el bloque. La empresa de seguridad le entrega a la presidenta en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 un pen drive de su propiedad las imágenes extraídas del equipo, atendiendo a sus indicaciones, y se le hace firmar una orden de trabajo señalando que “desde ese momento los datos son responsabilidad suya también”. Con posterioridad, la presidente vuelve a requerir sus servicios para visionar más imágenes en relación con un golpe en un bolardo en uno de los aparcamientos de su bloque, y tras varios intentos de contactar con ella, en septiembre del 2023 les comunica que “ya no hace falta que pasemos porque ella ha sacado las grabaciones”. Asimismo, la empresa de seguridad se pone en contacto con la presidenta del bloque X de la urbanización para realizar una revisión de la zona, pero les comunica que han contratado los servicios de otra empresa, aun estando vigente el contrato suscrito con “***EMPRESA.1”. SEXTO: En fecha 23 de octubre de 2023, E.E.E. presentó un nuevo escrito ante esta Agencia junto al que aportaba un documento, firmado y de fecha 11 de septiembre de 2023, de la empresa “***EMPRESA.1” y cuyo contenido era idéntico al presentado con anterioridad por A.A.A. SÉPTIMO: Con fecha 26 de octubre de 2023 se recibió en esta Agencia escrito de respuesta de la COMUNIDAD DE PROPIETARIOS B.B.B. en el que manifestaba lo siguiente: - Existencia de cámaras de seguridad en distintos puntos del edificio, en concreto, garaje, portales, entrada de trasteros y pasillos; debidamente señalizadas con carteles de zona videovigilada y “Propiedad privada no acceder al edificio los no residentes”. - En agosto de 2023, los vecinos se quejaron de sufrir constantes desperfectos en sus viviendas y pertenencias (golpes en las puertas o arrojo de piedras y objetos a las terrazas, entre otros), y, en consecuencia, la empresa de seguridad “***EMPRESA.1” extrajo única y exclusivamente las imágenes de los días 15 y 16 de agosto a partir de las 23:20 horas, días en los que los menores fueron sorprendidos por los vecinos cometiendo tales actos. En las imágenes se observan a 5 jóvenes, cuatro chicos y una chica, entrando en el edificio a través del garaje después de esconderse en las inmediaciones y acceder tras los vehículos, cometiendo distintos actos vandálicos como, por ejemplo, atrancar puertas de acceso peatonal al garaje/portales/trasteros, acceder a trasteros o llamar al telefonillo a altas horas de la noche. Estos acontecimientos se pusieron en conocimiento de todos los vecinos con el fin de que evaluarán los posibles desperfectos que podrían haber sufrido. - Uno de los vecinos identificó a varios de los jóvenes, a la hija de 16 años de E.E.E. y a los dos hijos de 15 años de A.A.A., todos ellos residentes en dos edificios de la COMUNIDAD DE PROPIETARIOS, bloque X y bloque X, respectivamente. - Se le remitió un correo electrónico a E.E.E., presidente del bloque X y de la Mancomunidad (jardines y piscina común), padre de uno de los jóvenes, con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 fin de que reprendiera a su hija. Sin embargo, E.E.E. y A.A.A. negaron los hechos e intervención de sus hijos en los actos vandálicos descritos y, en consecuencia, se les remitió algunas de las imágenes donde se les identifica y se ven sus actuaciones. - Las imágenes se remitieron única y exclusivamente a los padres de los jóvenes con el objeto de que asumieran la responsabilidad sin tener que acudir a procedimientos judiciales. OCTAVO: En fecha 14 de noviembre de 2023, A.A.A. remitió un nuevo escrito a esta Agencia solicitando información en relación con su reclamación y escrito presentados con anterioridad. NOVENO: Con fecha 29 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite las reclamaciones presentadas por A.A.A. Y E.E.E. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y, por tanto, las imágenes captadas por un sistema de cámaras o videocámaras son datos de carácter personal. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la COMUNIDAD DE PROPIETARIOS B.B.B. realiza, entre otros tratamientos, la recogida y conservación de datos personales al contar con un sistema de videovigilancia que graba imágenes de personas físicas. El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.” COMUNIDAD DE PROPIETARIOS B.B.B. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios del tratamiento de datos personales, en virtud del artículo 4.7 del RGPD, obligación legal prevista en la Ley 49/1960, de 21 de julio, sobre Propiedad Horizontal. III Integridad y confidencialidad El artículo 5.1.
3. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 IV Seguridad del tratamiento El artículo 32 “Seguridad del tratamiento” del RGPD establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
5. a)la seudonimización y el cifrado de datos personales;
6. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
7. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
8. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” V Conclusión En el presente caso, A.A.A. y E.E.E. interpusieron dos reclamaciones ante esta Agencia en las que trasladaban dos cuestiones. La primera se refería a la difusión por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 la presidenta de la Comunidad de Propietarios B.B.B. entre los vecinos de unos vídeos relativos a las cámaras de seguridad y en los que aparecían sus hijos menores de edad, a quienes acusaba de cometer una serie de fechorías en la zona de los trasteros del bloque; y la segunda a la utilización por la presidenta de un dispositivo móvil para grabar los vídeos en cuestión en los que se podían escuchar las voces de la presidenta y de su marido. Respecto a la primera cuestión, la propia presidenta reconoció en su respuesta al traslado realizado por esta Agencia haber remitido unos vídeos a A.A.A. y E.E.E. ante la necesidad de poner en su conocimiento los actos vandálicos que estarían cometiendo sus hijos en las instalaciones del bloque, y cuyos vídeos probarían su culpabilidad. Remarca que únicamente se remitieron a los reclamantes como padres de tres de los cinco menores que aparecían en los vídeos con el objetivo de que fueran reprendidos. Con carácter general, el presidente y/o persona que se designe a tal efecto es quien debe acceder a la visualización de cámaras de seguridad, debiendo en caso de conductas delictivas dar traslado a las autoridades competentes o bien hacer un uso proporcional de las mismas en caso de advertencias a propietarios relacionadas con conductas incívicas o contrarias a las normas de convivencia. En este sentido, la documentación que obra en el expediente deja constancia de que A.A.A. y E.E.E. recibieron varios vídeos de sus hijos menores de edad, pero, en ningún caso, existen evidencias que respalden la difusión discrecional por parte de la presidenta de la Comunidad de Propietarios B.B.B. entre un número indeterminado de vecinos de dichos vídeos. Y todo ello por cuanto la documentación solo pone de relieve que A.A.A. recibió los vídeos por medio de una conversación privada de WhatsApp con otra persona y que, según indica, sería la presidenta del bloque X; y E.E.E. vía correo electrónico en el que la presidenta del bloque X se dirige directa y únicamente a él, informándole de los posibles actos vandálicos cometidos, entre otros, por su hija. En cuanto a la segunda cuestión, si bien es cierto que pareciera que los vídeos se realizaron utilizando un dispositivo móvil y que se escuchan voces, según los reclamantes de la presidenta y de su marido, no es menos cierto que la presidenta señaló que fue la empresa de seguridad “***EMPRESA.1”, responsable de la instalación, quien extrajo las imágenes de las cámaras de seguridad tras requerir sus servicios como consecuencia de la situación de vandalismo que se estaba viviendo en el bloque desde agosto de 2023; manifestación que fue confirmada por la empresa de seguridad en el escrito aportado por ambos reclamantes. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias suficientes que permitan imputar a la COMUNIDAD DE PROPIETARIOS B.B.B. la comisión de las infracciones de la normativa de protección de datos personales objeto de las reclamaciones. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a COMUNIDAD DE PROPIETARIOS B.B.B. y a A.A.A. y E.E.E. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es