← España

AI-00441-2022

1/16  Expediente N.º: EXP202209886 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 27 de agosto de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra INGKA CENTRES JEREZ, S.L.U., con NIF B84583939 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: En el CENTRO COMERCIAL LUZ SHOPPING propiedad de la parte reclamada se encuentran instaladas cámaras de videovigilancia. Las citadas cámaras realizan análisis de visitas y un reconocimiento de la ropa de los usuarios del centro comercial, sin que exista información adecuada, dado que no existe cartelería en los accesos que informe adecuadamente de dicha circunstancia, ni en todos los accesos, haciéndose referencia a la videovigilancia de forma general en la web del Centro Comercial. Existen cámaras que aparentemente graban la vía pública, mencionándose expresamente las cámaras numeradas C3A Y C3B. La parte reclamante manifiesta además que aparentemente se graban las matrículas de todos los vehículos para realizar análisis estadísticos y que se podrían realizar cruces de datos de matrículas con los datos de fidelización de IKEA (que tiene una tienda en el centro comercial), así como controlar con las matrículas a los trabajadores del centro. La herramienta de análisis de visitas con reconocimiento de ropa estuvo operativa hasta el 23 de diciembre de 2022. Documentación relevante aportada por la parte reclamante: Imágenes de las cámaras, plano de la ubicación de las mismas y de los carteles de zona videovigilada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 21 de septiembre de 2022 como consta en el certificado que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Con fecha 13 de octubre de 2022 se recibe en esta Agencia solicitud de ampliación de plazo. Con fecha 4 de noviembre de 2022, en contestación al traslado de la reclamación la parte reclamada ha aportado información y documentación con respecto a los tres sistemas de videovigilancia que tienen instalados. Informan de lo siguiente: SISTEMA I, SISTEMA DE VÍDEOVIGILANCIA GENERAL. Indican que la base legitimadora del tratamiento es el interés público. Este sistema tiene 98 cámaras, alguna de las cuales está inoperativa. Informan que las cámaras del sistema I no captan terreno colindante ajeno a la propiedad de la parte reclamada porque tienen máscaras de privacidad, sólo captan una porción de vía pública proporcional a su finalidad (en el Anexo 1, aportan información sobre el número y tipología de la cámara, identificación de su ubicación, plazo de conservación de las imágenes (30 días), si tiene o no máscara de privacidad e imágenes que muestran el campo de visión). Realizan una precisión en relación con la captación de imágenes en parte del parking público, debido a que en muchas ocasiones ocurren hechos de carácter delictivo en esa zona, las cámaras móviles se encuentran en una posición fija captando el entorno privado del centro. No obstante, en ocasiones, y previo conocimiento del área de seguridad del centro, algunas situaciones contrarias a la seguridad pueden captar accesoriamente esta parte de parking público sólo durante el tiempo mínimo imprescindible para dilucidar si se trata de un hecho delictivo. Esta visualización se realiza por el personal autorizado (aportan listado de este personal) mediante acceso restringido con usuario y contraseña. La extracción de las grabaciones que se ponen a disposición de las Fuerzas y Cuerpos de Seguridad se realiza por los jefes de equipo, autorizados por el responsable de seguridad del centro (aportan Anexo 4 con personal autorizado, perfil de jefes de equipo y niveles de acceso). Añaden además que, en relación con la captación de la parte privada del parking del centro comercial, estarían legitimados pues forman parte de la Entidad Urbanística de Conservación de la Modificación Puntual nº 31 del P.G.O.U. de Jerez de la Frontera- Zona 1 del Área 7- Carretera del Calvario-Hijuela de Rompecerones (EUC) (aportan Anexo 5 con nota legal elaborada por la asesoría jurídica de la EUC). Indican que entre las funciones de la EUC está la de velar por el uso adecuado de los elementos de la urbanización interior cuya conservación le compete, colaborando con el Ayuntamiento en estas cuestiones. Así se incluye en los Estatutos, entre otros, competencia de seguridad y vigilancia. Manifiestan que las cámaras no permiten el visionado ni la captación de terrenos colindantes que no son propiedad de la parte reclamada dado que cuentan con máscaras de privacidad que evitan ese visionado y captación, indicando que tal circunstancia se puede observar en el Anexo 1. Indican que en el Anexo 5 (en realidad es el Anexo 6), se muestra como han procedido a desinstalar las cámaras identificadas en la reclamación como C3A Y C3B, que en la reclamación se indicaba que apuntaban C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 a la vía pública. Se comprueba que en el anexo 6 aportan fotografías de los mástiles de las cámaras en los que se aprecia la no existencia de cámara, solo el mástil. Aportan como Anexo 7 la información referida a los monitores de visualización ubicados en el edificio 13 del plano del centro comercial, donde se ubica el centro de control de Luz Shopping, indicando que estos monitores son de acceso restringido al personal de seguridad autorizado para el visionado de los mismos. En el Anexo 14 recogen información sobre el contenido del cartel informativo y la ubicación de los distintos carteles. Aportan como Anexo 16, listado anonimizado de personal autorizado por el jefe de Seguridad para acceder al centro de control de seguridad del centro comercial. En este sistema I de videovigilancia tienen contratadas como empresas de seguridad, PROSEGUR CIA DE SEGURIDAD, S.A., hasta el 31 de marzo de 2022 y, desde entonces, CBRE CORPORATE OUTSOURCING, S.L., (adjuntan Anexo 17 y 18 copias contratos con ambas empresas). Para el servicio de vigilantes de seguridad tienen contratada a la empresa PROSEGUR SOLUCIONES INTEGRALES DE SEGURIDAD ESPAÑA, S.L., con la que tienen contrato de encargado de tratamiento (aportan copia como Anexo 19) indicando que tienen acceso a las imágenes del sistema. Como Anexo 20 y 21 adjuntan informes técnicos de funcionamiento y verificación del sistema de la empresa de seguridad contratada. Las imágenes se conservan por espacio de 30 días, como Anexo 22 aportan certificado emitido por la empresa de seguridad. SISTEMA II DE CONTROL DE AFLUENCIA Y ANÁLISIS DE VISITAS. El sistema II de control de afluencia de visitas a su vez se compone de dos subsistemas o soluciones: 1. Sobre la primera solución informan que tiene como finalidad el conteo de personas que acceden al centro de forma anonimizada, no permitiendo el tratamiento de datos personales, así como que cuenta con una máscara de privacidad denominada "filter blur" que impide la captación de imágenes de los clientes al distorsionar los rostros, no permitiendo identificar o hacer identificable a las personas. Es además un sistema con el que no se pueden visualizar las imágenes, y tampoco se graban. 2. Sobre la segunda solución manifiestan que consiste en una herramienta de análisis de visitas que permite elaborar estadísticas para conocer qué establecimientos del Centro Comercial son los más visitados. Indican que este sistema se compone de 25 cámaras interiores que sólo captan el área privada del Centro Comercial. Estas cámaras captan el color, forma y textura de la ropa de los clientes, por lo que la parte reclamada manifiesta que no capta datos personales. No obstante, indican que pueden captarse imágenes de forma accesoria, incluido algún rostro, pero que sólo se conservan por 24 horas. Manifiestan que el proveedor del servicio sólo accedería a estas imágenes si fuera necesario para el mantenimiento técnico del sistema, que las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 grabaciones se alojan localmente en el centro comercial. El personal de la parte reclamada no requiere tener acceso a estas imágenes, solo en caso de incidencia técnica y que no se dispone de acceso a las imágenes si no que únicamente se obtienen informes estadísticos anonimizados. Informan de la existencia de carteles informativos en relación con estas cámaras, así como de una cláusula informativa disponible a partir de un código QR incluido en los carteles. También se ofrece información al respecto en la política de privacidad de la página web del centro comercial: https://www.luzshopping.com/eses/privacy-policy. En el Anexo 15, aportan el contenido del cartel del sistema de control de visitas y sus ubicaciones. SISTEMA III, CONTROL DE MATRÍCULAS. En cuanto al Sistema III de control de matrículas, señalan que es un sistema que no ha sido instalado por propia iniciativa sino a petición de las Fuerzas y Cuerpos de Seguridad y que sólo captaba las matrículas de los coches. Es un sistema compuesto por cinco cámaras, y se desactivó de forma preventiva. El tratamiento se realizaba para colaborar con la policía. Manifiestan con respecto a este sistema que en los hechos relatados en la reclamación hay muchas afirmaciones que no son correctas, en concreto la que se hace relativa a la posibilidad de identificar los vehículos de los empleados del centro comercial, en un supuesto beneficio económico que le reportaría esta actividad y en una colaboración con IKEA cruzando datos de este sistema con los de la tarjeta de fidelización "IKEA Family". Estas afirmaciones son incorrectas, el sistema sólo recoge matrículas, no más datos adicionales (aportan Anexo 10 y 11 con extracto de imágenes de este sistema y correo de Prosegur en el que expresamente señala que el sistema sólo permite la captación de las matrículas de los coches que transitan por el espacio del centro comercial). Indican que la finalidad de este sistema es la investigación por parte de las Fuerzas y Cuerpos de Seguridad de acciones ilícitas cometidas en el entorno del centro comercial. La parte reclamada manifiesta además que no entrecruza datos con IKEA, y que la política de privacidad a la que se alude en la reclamación es de IKEA y, por tanto, no se aplica a la parte reclamada. Los datos del sistema de la parte reclamada y los de la tarjeta IKEA Family suponen dos tratamientos totalmente diferentes llevados a cabo por entidades distintas. Como el único interesado en este sistema son las Fuerzas y Cuerpos de Seguridad, la parte reclamada ha requerido a las mismas para que se pronuncien sobre la necesidad de mantener este sistema. De forma preventiva y hasta que se reciba respuesta, indican que ha sido desinstalado (aportan Anexo 12 y Anexo 13 para acreditarlo mediante fotos en las que se observa que las cámaras no están y una declaración responsable firmada por los apoderados del centro comercial atestiguando esta realidad). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 TERCERO: Con fecha 27 de noviembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Se ha requerido a la parte reclamada para que aportase información y documentación sobre la solución 2 del Sistema II (análisis de visitas), que realiza tratamientos de imágenes sobre el color, forma y textura de la ropa de los clientes. En concreto, se ha requerido documentación acreditativa de la Evaluación de Impacto de Protección de Datos realizada en su caso sobre los tratamientos que se efectúan, así como información sobre la finalidad del tratamiento y otros aspectos relacionados con el reconocimiento de ropa, como la posibilidad de seguimiento de personas y la realización de perfilados. De la respuesta recibida se desprende lo siguiente: 1. Sobre los usos y finalidades detalladas del reconocimiento de las ropas de los sujetos, y las finalidades para las que se utilizan los datos que arroja el sistema. Los representantes de la parte reclamada indican que la finalidad era identificar la afluencia de los visitantes al centro comercial y elaborar estadísticas anonimizadas para analizar la viabilidad y rentabilidad de las tiendas alojadas en el centro comercial y poder reorganizar el espacio en función de esta información. La información arrojada por la herramienta permitiría a la parte reclamada obtener información sobre, por ejemplo, qué tiendas del centro comercial son más visitadas o cuál es el tiempo medio de estancia de los visitantes en cada tienda. Indican que el funcionamiento se basa en analizar el tamaño, color y forma de la ropa de los visitantes que acuden al centro comercial lo que permite conocer: - Qué tiendas son más frecuentadas; - Cuánto tiempo promedio suelen estar los visitantes dentro de la tienda; - Qué porcentaje de visitantes son hombres y qué porcentaje son mujeres. No obstante, precisan que esta información no resulta determinante ni necesaria para las finalidades pretendidas dado que dicha información es meramente orientativa pues no podemos dejar de lado que identificar el tamaño, color y forma de la ropa de un visitante no resulta determinante en una sociedad como la actual en la que la corriente de moda no está vinculada a un género en concreto. Manifiestan que esta información permitiría adoptar decisiones cómo, por ejemplo, la ubicación de las tiendas del centro comercial o la rentabilidad y viabilidad de las mismas y que esta información resulta de importancia para determinar qué tiendas resulta económicamente rentable mantener en el centro comercial y cuales otras pueden ser reemplazadas por no alcanzar la rentabilidad esperada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 2. Sobre si el reconocimiento del color, forma y textura de las ropas se utiliza para el seguimiento de sujetos que pasan del campo de una cámara a otra (tracking). Declaran no realizar un seguimiento de los visitantes indicando que, ni la herramienta lo permite ni tampoco es el objeto ni el fin de la misma, ya que tiene como objeto exclusivamente contar la afluencia a las diferentes tiendas del centro. Añaden que el funcionamiento de la herramienta consta de dos fases: - Una primera fase destinada al conteo de personas a través del color, forma y textura de la ropa de los visitantes. Para esta fase, resulta necesaria la instalación de unas cámaras en la entrada de las tiendas del centro comercial que, de manera meramente accesoria debido a las características del sistema, pueden captar la imagen en tiempo real de una persona. Estas cámaras son de carácter fijo y captan, exclusivamente, el área interna de acceso a la tienda. Aportan un documento pdf en el que, a modo de ejemplo, se puede verificar el lugar de ubicación de la cámara instalada, así como el área de la tienda que capta la misma. - Una segunda fase en la que el algoritmo de la herramienta transforma la ropa de la imagen captada en un código alfanumérico denominado “object ID”, que permite identificar, por ejemplo, el número de camisetas rojas que han accedido a una tienda. Indica que se trata, por tanto, de un dato anonimizado. Manifiestan también que: - El tratamiento de la imagen del visitante se descarta una vez que ha sido creado el código alfanumérico identificativo de la ropa. - La única información relevante para el sistema es que número de personas entra en las tiendas y no quién lo hace. - No existe capacidad material ni operativa, directa o indirectamente, de asociar ese código anonimizado generado a una persona física, pues debe ponerse en contexto que el código alfanumérico generado por la herramienta (object ID) es sobre la ropa de los visitantes y no sobre los visitantes mismos. - El object ID generado solo sirve para realizar un conteo de los visitantes que acceden a una tienda y no permite hacer un seguimiento del mismo a lo largo de las diferentes tiendas del centro comercial. En otras palabras, no es posible conocer que un object ID ha entrado en dos tiendas diferentes sino únicamente que un número de object IDs han entrado en cierta tienda y han permanecido en ella un promedio de, por ejemplo, 30 minutos. Añaden que el seguimiento tampoco resultaría, en su caso, técnicamente posible dado que: - No existe conexión entre las cámaras pertenecientes a este sistema que permita realizar un seguimiento de los visitantes por las diferentes tiendas del centro comercial o su entorno. - No existe una instalación que grabe el área interna o externa del centro comercial más allá de la puerta de acceso a las tiendas por lo que ni siquiera, aunque esta fuera la pretensión, resultaría posible realizar un seguimiento de los visitantes con esta herramienta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 - Tampoco existe ninguna conexión o compartición de información entre el sistema de videovigilancia instalado con fines de seguridad del centro comercial y la herramienta de análisis de visitas en aras de realizar un seguimiento de los visitantes con fines de seguridad. Concluyen que la herramienta no realiza, ni permite realizar, un seguimiento de las personas que acuden al centro comercial. 3. Sobre los resultados que ofrece el sistema según está configurado en la actualidad. Para su verificación se ha requerido a la parte reclamada que aporte copia de los tres últimos informes generados, indicando sus representantes lo siguiente: la información que aporta el sistema es de carácter estadística y anonimizada no vinculada a las personas físicas visitantes del centro. El sistema aporta, en concreto, información estadística y anonimizada sobre: (

  1. i)el volumen de visitas por tienda; (
  2. ii)el porcentaje de ocupación de la tienda; (iii) el tiempo medio de estancia en la tienda; así como (
  3. iv)una aproximación del género de los visitantes determinado, por el tamaño y color de su ropa. Aportan, como Documento Anexo 2, copia del panel de control de la herramienta. Se comprueba que aportan cinco impresiones de pantalla en las que aparecen diversos datos tales como número de visitas totales y por tiendas, datos por fechas, porcentajes, datos por día de la semana, por horas, datos de máxima ocupación y de tiempos de permanencia, número de visitas de hombres y de mujeres, etc., siendo todos los datos observados datos de tipo numérico sobre las visitas al centro comercial. Aportan también copia de informes diario, semanal y mensual (Documentos Anexos 3, 4 y 5) en los que se comprueba que figuran el mismo tipo de datos agregados. 4. Sobre si se ha utilizado el sistema para seguimiento de alguna persona concreta, aunque no estuviera identificada (por ejemplo, alguien que supuestamente haya realizado algún acto delictivo en el centro comercial, o por otras causas). Los representantes de la parte reclamada han manifestado al respecto que el seguimiento de una persona concreta que hubiese cometido un acto delictivo en el centro o no, no resulta posible a través de este sistema por los siguientes motivos: - La información aportada por la herramienta de análisis de visitas no identifica, ni permite en modo alguno identificar, a las personas que acceden al centro comercial. - Las diferentes cámaras instaladas son de carácter independiente entre sí y no permiten enlazar las imágenes obtenidas a través de una y otra cámara. Es decir: (
  4. i)no existe comunicación entre el sistema de videovigilancia con fines de seguridad y la herramienta de análisis de visitas; ni (
  5. ii)tampoco existe comunicación entre las diferentes cámaras pertenecientes a la herramienta de análisis de visitas. - El Centro ya tiene instalado un sistema de videovigilancia en sus instalaciones con la finalidad de prevención de acciones ilícitas y protección de las instalaciones y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 bienes, así como de la seguridad e integridad de las personas que acuden al mismo; siendo, exclusivamente, este sistema el que permite detectar cualquier acto ilícito, o sospechoso de constituir un ilícito, que se produzca dentro del centro comercial. Adicionalmente las personas encargadas del sistema de videovigilancia con motivos de seguridad son externas puesto que la seguridad del centro se encuentra subcontratada con la entidad PROSEGUR SOLUCIONES INTEGRALES DE SEGURIDAD ESPAÑA, S.L., quien pone a disposición del centro comercial vigilantes de seguridad para el desempeño de esa tarea. 5. Sobre si se realiza algún tipo de perfilado de personas con los datos del sistema. Los representantes de la parte reclamada manifiestan que, en virtud de las características y finalidades de la herramienta de análisis de visitas, no se realizan perfiles de personas ni es posible realizarlos ya que la información arrojada por el sistema no permite conocer la identidad de las personas que acceden al Centro dado que esta información es meramente estadística y anónima. Indican que esta información estadística y anonimizada que se muestra en el panel de control tampoco puede conectarse en ningún caso con las imágenes que, accesoriamente, captan las cámaras instaladas en las entradas de las tiendas. Señalan que: (
  6. i)la captación de imágenes es meramente accesoria y derivada de las características técnicas del sistema; y (
  7. ii)las imágenes se captan, accesoriamente en tiempo real, lo que en ningún caso permitiría relacionar los datos anónimos ofrecidos por la herramienta con las personas concretas que accedían a las tiendas del centro comercial. Manifiestan que el Comité Europeo de Protección de Datos apunta que una simple clasificación de las personas basada en características conocidas como su edad, sexo y altura no da lugar necesariamente a una elaboración de perfil, si no que dependerá de la finalidad de la clasificación; especificando, en concreto que si la finalidad no es evaluar las características individuales no se trata de una elaboración de perfil. Añaden que, en la presente actividad, no se tiene por finalidad última evaluar las características individuales de una persona física dado que la información que se obtiene del visitante es el tamaño, color y forma de la ropa y por tanto no se produce su identificación ni tampoco esta resulta posible. Afirman que, por todo lo anteriormente expuesto, no se realiza ningún tipo de perfilado con la información que arroja el sistema. 6. Se ha requerido información sobre la aplicación utilizada y las posibilidades que permite. La parte reclamada indica que la herramienta de análisis de visitas utilizada se denomina Deep North siendo su fabricante Deep North, Inc. Indican que la relación contractual establecida entre la parte reclamada y Deep North se lleva a cabo a través de la entidad Deep North, AB, con domicilio fiscal en Estocolmo. La parte reclamada indica que solo tiene conocimiento sobre el servicio que contrató con Deep North referido a la instalación de una herramienta que permitiese contar el volumen de afluencia a las tiendas que conforman el centro comercial Luz Shopping. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 7. Información sobre si la aplicación utiliza Machine Learning o cualquier otro tipo de técnica de Inteligencia Artificial. Los representantes de la parte reclamada han manifestado que la aplicación Deep North utiliza la técnica Machine Learning que utiliza algoritmos basados en el cuerpo, en los que el tratamiento de la información se basa en caracterizar los objetos en función del color, la forma y la textura de la ropa, no en la imagen del visitante al centro. 8. Sobre la Evaluación de Impacto de Protección de Datos. Los representantes de la parte reclamada han manifestado que ante la instalación de una nueva herramienta realizan: - Una evaluación de la privacidad desde el diseño y por defecto que se monitoriza y actualiza durante todo el ciclo de vida de las herramientas instaladas. Indican que esta evaluación analiza, desde un punto de vista de privacidad, el funcionamiento de la herramienta, el objetivo de uso de la misma y el impacto que esta herramienta podría tener en caso de que el uso de la misma implique un tratamiento de datos de carácter personal. En el presente caso, se realizó una evaluación por diseño y por defecto tanto en el momento en el que la herramienta estaba siendo analizada para su puesta en marcha como, posteriormente el 14 de septiembre de 2022, cuando se monitorizan las medidas de seguridad implantadas. - Una evaluación de impacto relativa a la protección de datos siempre que, tras la realización de la evaluación de la privacidad desde el diseño y por defecto, se detectase como necesaria. Indican que esta evaluación tiene, como finalidad, identificar los posibles riesgos adheridos a la solución utilizada en aras de: (
  8. i)poder identificar y establecer cuantas medidas de seguridad resulten necesarias para mitigar los riesgos inherentes identificados; y (
  9. ii)determinar si, tras la aplicación de las medidas de seguridad, los riesgos residuales resultan lo suficientemente elevados como para realizar una consulta a la Autoridad de Control competente, en este caso, la Agencia Española de Protección de Datos. Manifiestan que una vez realizada la evaluación de la privacidad desde el diseño y por defecto adoptaron las siguientes medidas de seguridad tendentes a la minimización de los riesgos inherentes identificados: - Minimización de datos, en tanto los datos recabados son, con carácter principal, el color, la forma y la textura de la ropa de los clientes. No obstante, como ya se expuso, por las características técnicas del sistema, resulta inevitable la captación del rostro de los clientes de manera accesoria no siendo, en ningún caso, objeto de análisis por el sistema. - Información conforme a lo dispuesto en el artículo 13 del Reglamento General de Protección de Datos (en adelante, RGPD) puesta a disposición de los interesados a este respecto. - Almacenamiento de la información durante el plazo mínimo requerido por el sistema, 24 horas. - Limitación de los perfiles que acceden al sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 Manifiestan también que como parte de los procesos de gestión de riesgos, en concreto de la monitorización de los mismos, durante todo el ciclo de vida de las soluciones instaladas en el centro, el 14 de septiembre de 2022 se realizó una revisión de la evaluación inicialmente realizada con las siguientes finalidades: (
  10. i)verificar que las medidas de seguridad anteriormente descritas, y resultado de la privacidad desde el diseño, se habían implantado correctamente; (
  11. ii)verificar que se estaban ejecutando correctamente; y (iii) poder detectar, en su caso, fallos relacionados con esos controles. Como resultado de dicha evaluación, informan que identificaron riesgos adicionales respecto de la herramienta, cuya necesidad de subsanación se trasladó al proveedor de la misma, con quien se acuerda la implantación de una serie de medidas mitigadoras y que durante el tiempo que se desarrollaban y ponían dichas medidas, se adoptó la decisión de paralizar el uso de la herramienta y continuar haciendo uso, en exclusiva, de la herramienta de conteo de visitas cuya sustitución se estaba valorando y que, en última instancia, aportaba información sobre el volumen de personas que acudía al centro. Aportan evaluación de evaluación de impacto (Documento Anexo 7). Se verifica que se trata de un documento en inglés cuyo objetivo es evaluar una solución de Deep North, descrita como un sistema para realizar analíticas de clientes en tiendas utilizando cámaras para contar de forma anónima los visitantes de las tiendas y la comprensión profunda de los patrones de visita. Se indica que la plataforma Deep North AI utiliza algoritmos basados en la ropa, donde el procesamiento de datos se basa en el color, la forma y textura de la ropa, sin utilizar datos de categorías especiales en el análisis y que el propósito del sistema es recopilar datos para realizar estadísticas y análisis con métricas a un nivel agregado. Se identifican daños, potenciales fuentes de riesgos y daños, categorías de individuos y controles de mitigación para reducir o eliminar los riesgos. Aportan adicionalmente un documento de identificación los riesgos asociados a la herramienta (Documento Anexo 8). 9. Cartel informativo del sistema. En el Anexo 15 de la contestación al traslado de la reclamación, los representantes de la parte reclamada aportaron el contenido del cartel informativo del sistema de videovigilancia de control de visitas, donde se informaba como finalidad: “Usamos la videovigilancia con la finalidad de realizar análisis de visitas y afluencia. Esto nos ayuda a entender como nuestros visitantes usan nuestro lugar de encuentro o Meeting Place. Con esta finalidad, los escasos datos personales captados se conservarán de forma temporal durante un periodo de 24 horas, pasado el cual, serán eliminados. La base legitimadora para el tratamiento de los datos es nuestro interés legítimo en recopilar análisis sobre las visitas y la afluencia de público en el lugar de encuentro con el fin de mejorar la experiencia de nuestros visitantes.” En https://www.luzshopping.com/es-es/privacy-policy, URL mencionada más arriba se verifica que consta: “Cámaras de Seguridad (CCTV), por seguridad de nuestros visitantes y de los trabajadores del centro, se graban imágenes en el centro comercial. Las imágenes se guardan de acuerdo a la legalidad vigente. Igualmente, en nuestro lugar de encuentro, utilizamos tecnología de videovigilancia para realizar análisis de visitas y de afluencia. Esto nos ayuda a entender cómo los usuarios utilizan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 nuestro Lugar de encuentro. Esta tecnología utiliza algoritmos basados en el reconocimiento de la ropa para crear estos análisis. No implica el tratamiento de ningún dato biométrico o de "categoría especial de datos". Su ropa es el único dato que tratamos, y sólo como parte del patrón general de movimiento en el Lugar de encuentro – en ningún caso para ver cómo el usuario, como individuo, utiliza nuestro Lugar de encuentro. Los datos sólo se conservan durante 24 horas, tras las cuales se eliminan. La base legal para el tratamiento de estos datos personales es nuestro interés legítimo en recopilar análisis sobre las visitas y la afluencia en el Lugar de encuentro con el fin de mejorar la experiencia de los visitantes" 10. Periodo de funcionamiento del sistema. Los representantes de la parte reclamada han manifestado que la herramienta de análisis de visitas solo estuvo operativa en el centro comercial desde julio de 2022 hasta el 23 de diciembre del mismo año. Han indicado que la instalación de esta herramienta responde a un proyecto llevado a cabo en el centro comercial con la finalidad de dilucidar si ésta nueva herramienta resultaba lo suficientemente operativa como para sustituir a la otra solución actualmente instalada para el conteo anonimizado de visitantes al centro; toda vez que la nueva herramienta aportaría mayor información anónima útil para el análisis de la rentabilidad de las tiendas del centro, entre otras cuestiones. 11. Información sobre la existencia de Monitores con visualizado de imágenes e Información sobre el perfil del personal que tiene acceso al sistema. Indican que no existen monitores para la herramienta de análisis de visitas que permitan visualizar imágenes de los clientes que asisten al centro comercial. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
  12. f)y
  13. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 II Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  14. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  15. b)los datos de contacto del delegado de protección de datos, en su caso;
  16. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  17. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  18. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  19. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  20. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  21. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  22. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  23. d)el derecho a presentar una reclamación ante una autoridad de control;
  24. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  25. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." III La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Asimismo, podrán informar de que hay una zona videovigilada, como establece el artículo 22.4 de la LOPDGDD, que indica: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento.” El tratamiento de datos personales está sometido al resto de los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
  26. c)del RGPD que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 La aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos, salvo que concurra autorización gubernativa, sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad. En algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y, en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. IV Principios relativos al tratamiento La letra
  27. b)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  28. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);" V Conclusión Los hechos objeto de reclamación se concretan en que, en primer lugar, en el Centro Comercial reclamado hay cámaras que realizan análisis de visitas y un reconocimiento de la ropa de los usuarios del centro comercial, sin que exista información adecuada, dado que no existe cartelería en los accesos que informe adecuadamente de dicha circunstancia, ni en todos los accesos, haciéndose referencia a la videovigilancia de forma general en la web del Centro Comercial. En segundo lugar, indica que existen cámaras que aparentemente graban la vía pública. Por último, añade que, aparentemente, se graban las matrículas de todos los vehículos para realizar análisis estadísticos y que se podrían realizar cruces de datos de matrículas con los datos de fidelización de IKEA (que tiene una tienda en el centro comercial), así como controlar con las matrículas a los trabajadores del centro. De las actuaciones de investigación efectuadas se desprende lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 La parte reclamada tenía, en el momento de la reclamación, tres sistemas de videovigilancia, el sistema I de videovigilancia general, el sistema II para control de afluencia y análisis de visitas al Centro, y el sistema III de control de matrículas. Sobre el sistema I han aportado listado de cámaras con el campo de visión y las máscaras de privacidad, manifestado que han procedido a desinstalar cámaras que podrían invadir la vía pública, aportando documentación acreditativa al respecto. De las imágenes facilitadas, no se acredita que hayan grabado vía pública de forma excesiva, a pesar de lo cual han desinstalado las cámaras que pudieran grabar algo más de lo imprescindible para la finalidad legalmente establecida. Sobre el sistema III han manifestado que fue instalado a petición de las FFCC de Seguridad y que no cruza datos con clientes de IKEA ni identifica trabajadores del centro; únicamente lee matrículas de forma independiente. Ha sido desconectado de forma preventiva. Por tanto, no se acredita que se hayan cruzado datos con clientes de IKEA o que se haya identificado a trabajadores. El sistema II, de control de afluencia, está compuesto a su vez de dos sistemas o soluciones: - El primero únicamente cuenta personas, distorsionando los rostros mediante una máscara de privacidad, no grabando ni permitiendo visualizar las imágenes. A este sistema no sería aplicable la normativa de protección de datos al no identificar ni hacer identificable a lo grabado. - El segundo realiza cómputos y estadísticas de visitas al centro comercial en base a un reconocimiento de la imagen de la ropa de las personas. Sobre este sistema, con tecnología de reconocimiento de la ropa, se concluye resumidamente lo siguiente: - Puede captar, de forma accesoria, rostros de los clientes. Analizando tanto el panel de control de la herramienta como los informes que arroja no se han encontrado datos de personas individuales, sino datos tales como cómputo de visitas (datos agregados) y estadísticas. - Han aportado copia de los carteles informativos y sus ubicaciones. - Han aportado copia de una Evaluación de Impacto de Protección de Datos. - Como medidas principales para limitar los riesgos la parte reclamada declara conservar las imágenes solo por 24 horas, alojar las grabaciones localmente en el centro comercial y limitar los accesos al sistema. - No se han encontrado evidencias de que realicen tracking (seguimiento de sujetos que pasan del campo de una cámara a otra), ni perfilados. Han manifestado que no son la finalidad perseguida, que no los realizan, y que no sería posible con esta herramienta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 - Informan que lo han desconectado preventivamente con fecha 23 de diciembre de 2022. En cuanto a este sistema segundo, su finalidad es contabilizar las personas que entran en el Centro Comercial, saber el número de personas que acuden a cada concreto establecimiento y el tiempo que allí permanecen. La finalidad es rentabilizar el establecimiento. Si bien, de forma excepcional, captar el rostro de algún cliente, este era borrado en el plazo de 24 horas. El sistema segundo estuvo pocos meses en funcionamiento y existía información de su instalación tal y como se recoge en el apartado 9 de la respuesta de la entidad reclamada. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a INGKA CENTRES JEREZ, S.L.U., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  29. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.