1/10 Procedimiento Nº: E/01179/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Dª A.A.A. (en adelante, la reclamante), representada por la Letrada D.ª B.B.B., formula reclamación frente a D. C.C.C., con NIF ***NIF.1 (en adelante, el reclamado) que tiene entrada en la Agencia Española de Protección de Datos (AEPD) el 07/11/2018. La reclamación versa sobre la instalación en el edificio en el que reside la reclamante con sus hijos menores de edad de una “cámara casera de videovigilancia” “enfocando hacia la puerta de entrada y salida de la vivienda”, “sin ningún tipo de cartel que anuncie la vigilancia”, “sin ningún tipo de comunicación a la denunciante de la instalación de la misma y del objetivo de ella” ni de la utilización de lo grabado. La reclamante explica que el edificio es propiedad del reclamado, que es además el padre de su expareja de quien se encuentra inmersa en un procedimiento judicial de separación, y que en el inmueble residen únicamente dos familias: su excuñado y ella con sus hijos menores de edad. Indica además que el uso de la vivienda le fue conferido a ella y a sus hijos menores en virtud de resolución judicial. Adjunta al escrito de reclamación una fotografía con la imagen de una puerta sobre la cual, instalada en la pared, hay una videocámara. En la fotografía no se aprecia ninguna referencia que identifique el piso, la letra o número de puerta. Sobre el marco de la puerta, debajo de la cámara, aparece un cartel que tiene en la parte superior el anagrama de Securitas Direct. En la imagen, a la izquierda de la puerta, se ven dos puertas más pequeñas, de apariencia metálica, con aperturas de ventilación en su parte superior, del tipo que habitualmente se utilizan para proteger elementos comunes de los edificios como las instalaciones de energía eléctrica, de agua o de telecomunicaciones. Este elemento y la lámpara situada sobre la pared, a la derecha de la puerta, hacen presumir que la imagen corresponde a zonas comunes del edificio. En fecha 31/12/2018 tiene entrada en la AEPD un nuevo escrito remitido por la Letrada de la reclamante en el que manifiesta que se ha puesto en contacto con la empresa de alarmas Securitas Direct por cuanto la puerta de la vivienda de la reclamante tiene en la parte superior una pegatina de esa empresa y le “han confirmado que están haciendo un uso indebido de su logotipo porque en dicho domicilio no existe ninguna alarma contratada” (el subrayado es de la AEPD). No C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 aporta ningún documento que acredite la declaración que atribuye a la empresa. La Letrada de la reclamante solo acompaña una copia del correo electrónico que envió en fecha 14/12/2018 a la dirección www.securitasdirect@securitasdirect.com. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los derechos Digitales (en adelante LOPDGDD), en el marco del expediente E/10102/2018, se dio traslado de la reclamación al reclamado para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El envío al reclamado a través de correo postal y la recepción de la notificación en fecha 21/12/2018 está acreditado en el expediente. Asimismo, en escrito firmado el 14/12/2018, que consta notificado electrónicamente y recibido en esa misma fecha por la reclamante, la AEPD acusó recibo de la reclamación y le comunicó su traslado a la persona reclamada. Con fecha 30/01/2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) y de conformidad con lo establecido en el artículo 67.1 de la LOPDGDD. El resultado de las actuaciones de investigación efectuadas consta en el Informe emitido por el inspector actuante que se reproduce a continuación: <<Resultado de las Actuaciones de Investigación. Con fecha 14 de diciembre de 2018, se da traslado de la denuncia al denunciado en las actuaciones con referencia E/10102/2018. Con fecha 18 de enero de 2019, el denunciado remite la siguiente información en contestación a la denuncia: 1. La cámara está instalada en el vestíbulo de un edificio de su propiedad, en el que hay dos viviendas y un garaje 2. Aporta nota simple informativa en la que se acredita que es el propietario de todo el edificio en el que reside el denunciante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 3. Según manifiesta, no es necesario, en su caso, el permiso de la comunidad de propietarios ya que en la finca no hay división horizontal y él, como único propietario es el que ha instalado la cámara. 4. Aporta fotografías de la cámara y del cartel informativo de la empresa instaladora donde se advierte de la existencia de la cámara (aunque no se informa sobre todos los aspectos indicados en la normativa al respecto) situado junto a la puerta de entrada y en otros lugares del interior del inmueble. 5. Asimismo, aporta contrato suscrito con la empresa SECURITAS DIRECT ESPAÑA, S.A., de fecha 1 de noviembre de 2018, para la instalación del sistema de seguridad que incluye la cámara. 6. Las imágenes que se captan por la cámara corresponden al vestíbulo y al primer tramo de las escaleras. No se captan imágenes de la vía pública. Con fecha 13 de febrero de 2019, se solicita a la denunciante, en las presentes actuaciones, copia de la sentencia judicial de adjudicación de la vivienda, con objeto de determinar el alcance del derecho de uso de la misma. Con fecha 14 de marzo de 2019, la denunciante ha aportado copia de la sentencia del ***JUZGADO.1 de ***LOCALIDAD.1, de fecha 22 de junio de 2018, en la que se le atribuye la guarda y custodia de los hijos menores a la madre (la denunciante) y se atribuye el domicilio familiar a los menores en compañía de la madre. Así mismo, la denunciante ha aportado copia de la sentencia del mismo juzgado, de fecha 11 de marzo de 2019, en la que desestima el recurso de reposición interpuesto por la expareja contra la sentencia anterior y RATIFICA las medidas civiles acordadas (guarda y custodia de los hijos menores a la madre y atribución del domicilio a los menores en compañía de la madre)>> FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 5 del RGPD, “Principios relativos al tratamiento”, dispone en el apartaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 do 1: “Los datos personales serán:
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)” El RGPD regula la licitud del tratamiento en su artículo 6 que determina en el apartado 1 en qué supuestos resulta lícito el tratamiento de datos de terceros: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Entre los principios que presiden el tratamiento de los datos personales el artículo 5.1.
- a)del RGPD se refiere al de transparencia. Una manifestación de este principio es la obligación que incumbe al responsable del tratamiento de informar al titular de los datos en los términos del artículo 13 del RGPD cuando los datos se obtengan directamente del interesado. El precepto dispone: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la meC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 dida en que el interesado ya disponga de la información.” (El subrayado es de la AEPD) IV La reclamación versa sobre la instalación de una cámara de videovigilancia en el inmueble en el que vive la reclamante que, a su juicio, vulnera la normativa protección de datos. Un análisis de los documentos que integran el expediente administrativo pone de manifiesto los siguientes extremos con relevancia a los fines que nos ocupan: a. Las fotografías remitidas por ambas partes demuestran que -en contra de lo que sostiene la reclamante en su denuncia- la videocámara no está orientada hacia la puerta de entrada a su vivienda. La videocámara está situada “encima” de la puerta de la vivienda de la reclamante, pero no está enfocando a ella, esto es, no está dirigida a su puerta. La orientación que tiene la cámara -con una trayectoria paralela al suelo- evidencia que su finalidad es captar las imágenes del descansillo o zona común del inmueble que comunica directamente con el portal de acceso al edificio. Son dignos de mención, por cuanto nos informan sobre dónde está ubicada la puerta de la vivienda de la reclamante en relación con el portal del edificio, tanto la fotografía remitida por la reclamante como la Nota Simple del Registro de la Propiedad referente a la finca registral número 3339 -que es el edificio en el que está ubicada la vivienda de la reclamante-. En la fotografía aludida se puede ver cómo en el lateral izquierdo de la puerta de acceso a la vivienda de la reclamante existen dos puertas más pequeñas, de apariencia metálica, con aperturas de ventilación en su parte superior, del tipo que habitualmente se utilizan para proteger elementos comunes de los edificios -como las instalaciones de energía eléctrica, de agua o de telecomunicaciones- y cuya ubicación se suele situar próxima al portal de acceso al inmueble. Paralelamente, la Nota Simple del Registro de la Propiedad informa de que la finca registral tiene una planta baja y una única planta en alto a lo que se añade que el hermano de su expareja vive en la planta superior a la suya. En tal sentido, en el Fundamento Jurídico Tercero del Auto de 22/06/2018 del Juzgado de 1ª Instancia e Instrucción recaído en el procedimiento de Diligencias Urgentes, Juicio rápido 253/2018, se alude al testimonio del hermando de la expareja de la reclamante, que manifiesta que escuchó golpes, voces e insultos y “que cuando bajó vio...”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 En resumen, la videocámara instalada encima la puerta de la vivienda de la reclamante no enfoca hacia la entrada de ésta sino hacia lo que son zonas comunes del inmueble y que, según todos los indicios, dado que la vivienda de la reclamante está ubicada en la planta baja, coincide con el acceso al portal de la finca. Por ese lugar han de transitar, necesariamente, todas las personas que entren y salgan del inmueble. b. El reclamado –a la luz de la información que nos facilita el Registro de la Propiedades titular en pleno dominio del 100% del inmueble. Consta de una planta baja y una planta alta. No hay división horizontal de la finca, sino que toda ella es una única finca registral. En la planta baja está ubicada la vivienda que ocupa la reclamante y en la planta alta la de uno de los hijos del propietario. La reclamante identifica la planta en la que reside como planta “primera” si bien para el Registro de la Propiedad es la planta baja. La expareja de la reclamante es a su vez hijo del propietario del inmueble en el que se ubica la vivienda. c. La vivienda que la reclamante ocupa con sus hijos menores era el domicilio familiar. El Auto del ***JUZGADO.1 de ***LOCALIDAD.1, dictado el 22/06/2018 en el procedimiento de Diligencias Urgentes, Juicio rápido 253/2018, acordó atribuir el domicilio familiar a los menores en compañía de la madre, así como atribuir la guarda y custodia de los menores de edad a la madre, siendo la patria potestad compartida. d. El título jurídico que amparaba el uso de la vivienda mientras la reclamante y su expareja vivían en ella era el “precario”. Así se infiere de los términos del auto dictado el 11/03/2019 en el procedimiento de familia 253/2018, por el ***JUZGADO.1 de ***LOCALIDAD.1 que resuelve, desestimándolo, el recurso de reposición interpuesto por la expareja de la reclamante contra el auto dictado el 17/09/2018 que acordó ratificar las medidas civiles acordadas por auto de fecha 22/06/2018 en el procedimiento penal Diligencias Urgentes de Juicio rápido 253/2018. Uno de los motivos de impugnación invocados por el recurrente era que las medidas civiles acordadas “afectan a terceras personas que no tienen legitimación para intervenir en el procedimiento. En concreto, la orden de protección atribuye el uso y disfrute de la vivienda en la que residía la familia a [la reclamante] sin haber oído al propietario, que es el padre de ... y sin que aquella ostente título legítimo de ocupación”. En respuesta a ese motivo de impugnación, el auto, afirma que no ha lugar a modificar la medida civil relativa al uso y disfrute de la vivienda familiar que “la orden de protección atribuyó a los hijos menores (y a la madre porque se le otorga a ésta la custodia)” “y ello sin perjuicio de que el propietario de la misma pueda ejercer, en su caso, y en un procedimiento distinto del de familia, acción civil de desahucio por precario”. (El subrayado es de la AEPD) A tenor de los hechos expuestos, cuya realidad está acreditada en la documentación que obra en el expediente, se concluye lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 i. En el presente caso, vistas las circunstancias que concurren, cabe afirmar que el tratamiento de datos ha sido adecuado y pertinente respecto a la finalidad perseguida (principio de minimización de datos). Se toma en consideración para ello la orientación de la cámara -que no está orientada hacia la vivienda de la reclamante sino hacia zonas comunes que conectan directamente por el portal del inmueble-; la existencia de carteles informativos y los términos del contrato suscrito entre el reclamado y la empresa instaladora de la video cámara, que permite comprobar que sigue los parámetros habituales en contratos de videovigilancia cuya finalidad es garantizar la seguridad de personas, bienes o instalaciones. La Ley 5/2014 de Seguridad Privada, considera actividades de seguridad privada, entre otras, los servicios prestados por empresas de seguridad para proteger el patrimonio (artículo 2.1.) Y contempla como fines de la seguridad privada, entre otros, (artículo 4, a, de la Ley 5/2014) “Satisfacer las necesidades legítimas de seguridad o de información de los usuarios de seguridad privada, velando por la indemnidad o privacidad de las personas o bienes cuya seguridad o investigación se les encomiende frente a posibles vulneraciones de derechos, amenazas deliberadas y riesgos accidentales o derivados de la naturaleza”. El reclamado tenía una necesidad legítima de garantizar la seguridad del inmueble de su propiedad, lo que le llevó a celebrar un contrato de servicios de seguridad con la empresa Securitas Direct. El propietario del inmueble y reclamado no necesitaba contar con el consentimiento de la reclamante para instalar un sistema de videovigilancia en el edificio. Y esto, pese a que la reclamante ocupara una vivienda en dicho inmueble, pues el fundamento jurídico del tratamiento de datos que se efectúa a través de la video vigilancia no radica en el consentimiento de los afectados. Habida cuenta de que la finalidad de la actividad de video vigilancia es garantizar la seguridad de las personas, bienes e instalaciones, a través de ella se cumple una misión de interés público. Por tanto, la base jurídica del tratamiento de datos que se realiza a través de la cámara de video vigilancia instalada en el inmueble en el que reside la reclamante está expresamente contemplada en el aparatado
- e)del artículo 6.1. del RGPD: “el tratamiento es necesario para el cumplimiento de una misión realizada en interés público,..”. ii. La reclamación versa también sobre la presunta vulneración por el reclamado del deber de información en los términos del artículo 13 del RGPD. En el escrito de denuncia se afirma que la cámara se instaló “sin ningún tipo de cartel que anuncie la vigilancia”, “sin ningún tipo de comunicación a la denunciante de la instalación de la misma y del objetivo de ella” ni de la utilización de lo grabado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 Es necesario recordar que sobre la puerta de la vivienda de la reclamante se instaló un cartel de la empresa Securitas Direct que informaba de la grabación de imágenes por videocámara. No cabe ninguna duda de que la reclamante se percató de la existencia de dicho cartel pues antes de que la AEPD hubiera admitido a trámite esta reclamación la Letrada de la reclamante, en escrito de fecha 31/12/2018, denunciaba en esta Agencia su existencia refiriéndose a él como un uso indebido de un cartel de Securitas Direct, hasta el punto de manifestar que así se lo había confirmado la empresa de seguridad. También anunciaban la videovigilancia otros carteles cuya existencia se acredita por una de las fotografías aportadas por el reclamado en la que se aprecia a la derecha de la puerta exterior de acceso al inmueble. Y entre los documentos que acompañan al contrato que el reclamado suscribió con Securitas Direct el 1/11/2018 hay un parte del instalador que deja constancia de la instalación de carteles disuasorios en los muros del edificio. Respecto a la información relativa a la identidad del responsable y a sus datos de contacto (exigida por el artículo 13 RGPD) en este caso, en aplicación del apartado 4 del precepto, no era necesario que se facilitara a la reclamante puesto que ya la conocía. Conocía que el responsable del tratamiento era el propietario del inmueble cuya identidad y datos de contacto no ignoraba. Sobre la información relativa a la finalidad del tratamiento a la que se destinarán los datos, a la base jurídica del tratamiento o al plazo de conservación, en tanto que difícilmente puede incorporarse a un cartel informativo, se admite en materia de videovigilancia la denominada información por capas. Bastará para entender cumplidas las exigencias del artículo 13 RGPD que el cartel informativo facilite una dirección electrónica u otra vía de contacto a la que pueda dirigirse el afectado y obtener allí la información. Dadas las características del caso examinado, en el que el responsable del tratamiento es el propietario de un inmueble de dos viviendas ocupadas, respectivamente, por uno de sus hijos y por sus nietos y la madre de ellos, no parece lógico exigirle que disponga de idénticos medios de información que en otros supuestos en los que el responsable es desconocido para el titular de los datos o se ignora cómo contactar con él. La reclamante tenía la posibilidad de haber obtenido la información a la que alude el artículo 13 solicitándola al responsable del tratamiento y propietario del inmueble. A la luz de la exposición precedente, en la actuación del reclamado - propietario del inmueble en el que vive la reclamante y en el que se instaló un sistema de video vigilancia- no se aprecian indicios de vulneración de la normativa reguladora del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 derecho a la protección de datos de carácter personal, debiendo por ello acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es