← España

E-00233-2015

1/8 Expediente Nº: E/00233/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad NAROPA RESIDENCIAL S.L.U en virtud de denuncia presentada por Dª. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 23 de octubre de 2014 tiene entrada en esta Agencia un escrito de Dª. A.A.A. en el que declara: Tiene suscrito un contrato de arrendamiento de una vivienda con NAROPA RESIDENCIAL S.L.U en el domicilio de (C/..........1) de Madrid. Aporta copia del contrato de fecha 1 de junio de 2012. Desde esas fechas, la empresa propietaria ha cedido sus datos personales a las siguientes empresas y personas sin que se les haya solicitado autorización para ello. CBRE REAL STATE S.A. (Facturación y Gestión Administrativa) MADISON BUILDING CONSULTING: (Gestión Técnica, Reparaciones y Facility Manager) GISCO XXI: Servicio de Consejería. PREVISEGUR: Cámaras de Videovigilancia. Las imágenes captadas por dichas cámaras son visualizadas por los Conserjes que pertenecen a la empresa GISCO XXI, desde un ordenador situado en la garita. La denunciante manifiesta que no se ha inscrito el fichero de VIDEOVIGILANCIA en el Registro General de Protección de Datos y que no han sido informados de la existencia de distintos ficheros o tratamiento de datos ni de la finalidad de la recogida. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 13 de marzo de 2015, NAROPA RESIDENCIAL S.L.U. ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Por ser los únicos propietarios del edificio situado en (C/..........1) de Madrid , no existe Junta de Comunidad de Propietarios en la que se haya acordado la instalación del sistema de videovigilancia, sino que cuando se llevaron a cabo las obras de reestructuración integral de dicho edificio en el año 2006 (en resumen, y dada la magnitud de dichas obras, se trata de una nueva edificación), se incluyó esta instalación. Aportan copia del “Libro del Edificio” – Proyecto Construido donde consta la instalación de un sistema de CCTV con un puesto de control situado en la garita. 2. La empresa que realizó la instalación del sistema de videovigilancia, fue la promotora de dicho edificio, la mercantil REYAL URBIS, S.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 3. La causa que motivó la instalación de las cámaras fue la de dotar de mayor seguridad al edificio. 4. Existen carteles informativos donde se informa de la existencia de cámaras de videovigilancia y en los que se identifica al responsable, NAROPA RESIDENCIAL, S.L. UNIPERSONAL, ante quien pueden ejercitarse los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999. Aportan fotografías donde se puede comprobar la existencia de dichos carteles y la ubicación de los mismos: Puerta de acceso a la urbanización, Conserjería, En el acceso a los portales, pisos y locales y en los sótanos. 5. Así mismo, disponen de un documento informativo a disposición de quien lo solicite sobre el tratamiento de datos personales con fines de videovigilancia a través del sistema de cámaras, donde se identifica el responsable del fichero, tal y como se recoge en el artículo 3.b de la 1instrucción 1/2006. 6. Aportan un plano en el que se detallan el número de cámaras instaladas y su lugar de ubicación. Ninguna de las cámaras tiene zoom ni posibilidad de movimiento. 7. Para cada cámara instalada adjuntan: • Fotografía de cámara con indicación expresa del n° con que se identifica en el plano de situación. • Fotografía de la imagen captada tal y como se visualiza sobre el monitor de sistema de videovigilancia situado en la garita del conserje indicando el n° de la cámara que capta dicha imágen. 8. Las imágenes que se observan en los monitores corresponden a diferentes lugares del recinto de la urbanización, rampa de garaje, jardines, portales zonas comunes etc., no se observa ninguna cámara que enfoque la vía pública. 9. Respecto a las personas que acceden al sistema de videovigilancia instalado, solo tiene acceso la empresa de mantenimiento DALKIA ENERGIA Y SERVICIOS S.A., con quien tienen suscrito un contrato de prestación de servicios de fecha 1 de agosto de 2013, que incluye un apartado de “Cesión de Datos y derecho de información LOPD”. 10. Solo se accede a las imágenes grabadas previa denuncia que requiera de dichas imágenes y a petición de la Policía. En este caso se pondrá a disposición de dicha Policía una copia grabada por la empresa de mantenimiento en soporte informático del tipo de memoria usb o dvd. 11. Respecto al fichero de VIDEOVIGILANCIA, aportan copia de la solicitud de inscripción del fichero en el Registro General de Protección de Datos de fecha 2 de marzo de 2015 y copia del documento de seguridad del mismo. 12. Por otra parte, el sistema de videovigilancia no está conectado a central de alarmas. 13. Por último aportan copia de los siguientes contratos de prestación de servicios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 a. CBRE REAL ESTATE S.A.: de fecha 1 de agosto de 2013, tiene por objeto la gestión administrativa, que incluye clausulas relativas al tratamiento de los datos como encargado de tratamiento. b. MADISON BUILDING CONSULTING S.L., de fecha 3 de junio de 2013, tiene por objeto la gestión de las incidencias, la supervisión de los trabajos de los proveedores, gestión presupuestos para obras etc. Inlcuye cláusulas relativas al tratamiento de los datos como encargado de tratamiento. c. GISCO XXI S.L.: de fecha 18 de abril de 2013, con el objeto de Control de entradas, información, recepción y comprobación de visitantes, distribución del correo y atención al público en general (conserjería). FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

  1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente expediente Dª. A.A.A., arrendataria de una vivienda propiedad de NAROPA RESIDENCIAL S.L.U. denuncia que la citada entidad ha cedido sus datos personales a las siguientes empresas: CBRE REAL STATE S.A. (Facturación y Gestión Administrativa); MADISON BUILDING CONSULTING: (Gestión Técnica, Reparaciones y Facility Manager);GISCO XXI: Servicio de Consejería y PREVISEGUR: Cámaras de Videovigilancia, sin que se les haya solicitado autorización para ello. La denunciante manifiesta que no se ha inscrito el fichero de VIDEOVIGILANCIA en el Registro General de Protección de Datos y que no han sido informados de la existencia de distintos ficheros o tratamiento de datos ni de la finalidad de la recogida. Antes de entrar en el fondo de la denuncia planteada, se debe valorar si el sistema de videovigilancia denunciado cumple con los requisitos establecidos relativos al deber de información e inscripción de ficheros. En primer lugar debe decirse que la denunciante es arrendataria de una vivienda propiedad de NAROPA RESIDENCIAL S.L.U., existiendo contrato de arrendamiento al efecto de fecha 1 de junio de 2012. NAROPA RESIDENCIAL S.L.U., por ser los únicos propietarios del edificio situado en (C/..........1) de Madrid , no existe Junta de Comunidad de Propietarios en la que se haya acordado la instalación del sistema de videovigilancia, sino que cuando se llevaron a cabo las obras de reestructuración integral de dicho edificio en el año 2006 se incluyó esta instalación. Por lo tanto el sistema de videovigilancia existía con anterioridad al contrato de arrendamiento firmado por la denunciante sin que conste oposición alguna al mismo tiempo por otros arrendatarios. Así, el tratamiento de las imágenes por parte del responsable, obliga a que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 cumpla con el deber de informar a los afectados, en los términos establecidos en el artículo 5.1 de la LOPD el cual reza lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. En cuanto al modo en que hay de facilitarse la información recogida en el artículo 5 de la LOPD, debe tenerse en cuenta el artículo 3 de la Instrucción 1/2006, que establece lo siguiente: “Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre. A tal fin deberán:
  7. a)Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
  8. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción.” “ANEXO1. El distintivo informativo a que se refiere el artículo 3.
  9. a)de la presente Instrucción deberá de incluir una referencia a la «LEY ORGÁNICA 15/1999, DE PROTECCIÓN DE DATOS», incluirá una mención a la finalidad para la que se tratan los datos («ZONA VIDEOVIGILADA»), y una mención expresa a la identificación del responsable ante quien puedan ejercitarse los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” En el caso que nos ocupa, se aporta por la entidad NAROPA RESIDENCIAL, S.L.U. fotografías de la existencia de carteles informativos de zona videovigilada ubicados en distintos lugares del exterior e interior de las instalaciones. Dichos carteles son acordes al que hace referencia el citado artículo 3.
  10. a)de la Instrucción 1/2006, en relación al artículo 5 de la LOPD. Asimismo, se aporta modelo de cláusula informativa a disposición de los interesados, de conformidad con el artículo 3.
  11. b)de la citada Instrucción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Por lo tanto, el citado recinto sujeto a videovigilancia, cumple el deber de información, recogido en el artículo 5 de la LOPD, anteriormente trascrito. Por otro lado, respecto al cumplimiento de la inscripción de ficheros, el artículo 26.1 de la LOPD, recoge lo siguiente: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos” El responsable del fichero es el titular del fichero que contiene datos de carácter personal. Sobre él van a recaer las obligaciones que establece la LOPD. . El responsable del fichero, antes de disponerse a someter datos personales a tratamiento, deberá cumplir con los requisitos de la normativa de protección de datos, teniendo en cuenta su naturaleza y la naturaleza de los datos que va a someter a tratamiento. El apartado
  12. d)del artículo 3 de la LOPD define al responsable del fichero o tratamiento como aquella persona física o jurídica, de naturaleza pública o privada, u órgano administrativo que decida sobre la finalidad, contenido y uso del tratamiento. El artículo 43 de la LOPD sujeta a su régimen sancionador precisamente al responsable del fichero o tratamiento. El reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, complementa esta definición en el apartado
  13. q)del artículo 5, en el que señala lo siguiente: “
  14. q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. El responsable debe notificar su fichero a la Agencia Española de Protección de Datos, que dispondrá inscribirlo en el Registro General de Protección de Datos. La notificación de inscripción del fichero facilitará que terceros puedan conocer que se está produciendo un tratamiento con una finalidad determinada y los afectados tendrán la oportunidad de ejercitar sus derechos ante el responsable. Además este es el criterio que se hace constar en la Instrucción 1/2006 , al señalar en su artículo 7 que “1-La persona o entidad que prevea la creación de ficheros de videovigilancia deberá notificarlo previamente a la Agencia Española de Protección de Datos, para su inscripción en el Registro General de la misma. Tratándose de ficheros de titularidad pública deberá estarse a lo establecido en el artículo 20 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal. 2.-A estos efectos, no se considerará fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real.” En el caso que nos ocupa, consta la inscripción por parte de la entidad NAROPA RESIDENCIAL S.L., del fichero denominado “VIDEOVIGILANCIA EN EL EDIFICIO DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 AVENIDA DE SAN LUIS, Nº 27, DE MADRID”, en el Registro General de la Agencia Española de Protección de Datos. Respecto a las personas que acceden al sistema de videovigilancia instalado, solo tiene acceso la empresa de mantenimiento DALKIA ENERGIA Y SERVICIOS S.A., con quien tienen suscrito un contrato de prestación de servicios de fecha 1 de agosto de 2013, que incluye un apartado de “Cesión de Datos y derecho de información LOPD”. Asimismo, constan inscritos por la citada entidad otros ficheros, a parte del de videovigilancia: fichero denominado de “Correo Electrónico”, de “Clientes y/o proveedores”; de “Formulario de contacto”, de “Nóminas-Recursos” y de “Agenda de contactos”. III Por último y entrando en el objeto de la denuncia, se plantea por parte de la denunciante de la cesión de datos realizada por NAROPA a diversas entidades, sin el consentimiento de la denunciante. Para analizar la cuestión planteada, debe partirse de los conceptos de responsable y encargado del tratamiento contenidos en la Ley Orgánica 15/1999. Así, será responsable del fichero o del tratamiento, conforme al artículo 3
  15. d)de la Ley, “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Por su parte, es encargado del tratamiento, según el artículo 3 g), “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. A este respecto el artículo 11 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), establece como regla general el previo consentimiento del interesado para la comunicación de datos personales a un tercero. Así dispone en su apartado 1 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 3.
  16. i)de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. No obstante lo anterior, la propia LOPD habilita, en su artículo 12, el acceso de terceros a los datos personales cuando el acceso a los datos se realice para prestar un servicio al responsable del fichero o del tratamiento, al señalar en su apartado 1: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El citado artículo 12.1 de la LOPD permite, por tanto, el acceso a datos de carácter personal a la persona o entidad que presta un servicio al responsable del fichero, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 o comunicación de datos. Pues bien, en el caso que se plantea el responsable de las instalaciones y el sistema de videovigilancia es la mercantil NAROPA RESIDENCIAL, S.L.U. ésta tiene suscrito los siguientes contratos de prestación de servicios con los siguientes encargados del tratamiento: - DALKIA: contrato de prestación de servicios de fecha 1 de agosto de 2013, que incluye un apartado de “Cesión de Datos y derecho de información LOPD”. -CBRE REAL ESTATE S.A.: contrato de gestión administrativa de fecha 1 de agosto de 2013, tiene por objeto la gestión administrativa, que incluye clausulas relativas al tratamiento de los datos como encargado de tratamiento. -MADISON BUILDING CONSULTING S.L., de fecha 3 de junio de 2013, tiene por objeto la gestión de las incidencias, la supervisión de los trabajos de los proveedores, gestión presupuestos para obras etc. Incluye cláusulas relativas al tratamiento de los datos como encargado de tratamiento. -GISCO XXI S.L.: contrato de arrendamiento de servicios de fecha 18 de abril de 2013, con el objeto de Control de entradas, información, recepción y comprobación de visitantes, distribución del correo y atención al público en general (conserjería). Por lo tanto a través de los contratos suscritos entre el responsable NAROPA RESIDENCIAL, S.L. y los distintas entidades que actúan como encargados del tratamiento recogidos anteriormente, éstos tratarían los datos conforme a las instrucciones del responsable. Así la citadas entidades actuarían por cuenta del responsable del fichero, en este caso NAROPA RESIDENCIAL, S.L., no entendiéndose la existencia de una cesión de datos ilegítima, al haber actuado de conformidad con el artículo 12 de la LOPD, siendo el acceso a los datos por parte de las mismas necesarios para la prestación de un servicio al responsable del tratamiento. Por otro lado, no existe constancia que el acceso a los datos por los encargados del tratamiento incumpla lo establecido en el artículo 12.4 de la LOPD que establece: “En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. Por último señalar que el artículo 10 de la LOPD establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. A la vista de lo expuesto se procede al archivo del presente expediente, al no apreciarse vulneración a la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. C/ Jorge Juan, 6 28001 – Madrid PROCEDER AL ARCHIVO de las presentes actuaciones. www.agpd.es sedeagpd.gob.es 8/8 2. NOTIFICAR la presente Resolución a NAROPA RESIDENCIAL S.L.U. y a Dª. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.