E-01514-2019

1/8 Procedimiento Nº: E/01514/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A.-COMITÉ EMPRESA AGASFRA (*en adelante, el reclamante) tiene entrada con fecha 24 de septiembre de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra ASOCIACION GALEGA SAN FRANCISCO (AGASFRA), con NIF G36613891 (en adelante, el reclamado). Los motivos en que basa la reclamación son “instalación de una serie de cámaras de video-vigilancia en lugares como aulas, y otras mirando hacia la puerta de los vestuarios y cafetería del personal, habitaciones y clases dónde se les hace el cambio higiénico de pañales a los usuarios (…)”—folio nº 1--. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: -La entidad denunciada se trata de la Asociación galega San Francisco, la cual es la encargada de la gestión de dos centros en dónde se han instalado cámaras de video-vigilancia por motivos de seguridad del personal y pacientes del mismo. -Los usuarios de las instalaciones son principalmente personas de edad avanzada, en ocasiones con trastornos psíquicos, fisiológicos y mentales, argumentando que el uso de los dispositivos encuentra su legitimación en la tutela de los mismos. -El acceso a las imágenes y grabaciones obtenidas se realiza a través de un software específico, el cual requiere de identificación y autenticación de los usuarios mediante nombre de usuario y contraseña individual. -Los dispositivos se encuentran configurados para que no registren audio. -La Presidencia y la Dirección del Centro disponen de acceso a las grabaciones obtenidas. Aporta como prueba documental (Doc. nº 1) partes de las incidencias relacionados en la que se han visto involucrados usuarios y trabajadores de los Centros de la Asociación. Aporta como Documento probatorio (Doc. nº 2) información facilitada a los familiares y/o tutores legales sobre la instalación del sistema de video-vigilancia y el tratamiento de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Aporta como Documento probatorio (Doc. nº 3) localización de los sistemas de visualización y grabación con justificación de la legitimación y proporcionalidad de los sistemas de grabación. -Documento nº 4: Registro de Actividades de Tratamiento. -Documento nº 5: Análisis de legitimidad y proporcionalidad. -Documento nº 6: Informe Técnico del análisis de riesgos de AGASFRA que incluye las medidas de seguridad. Se aporta prueba documental (Anexo I) con indicación de las cámaras instaladas y los que en su caso se visualiza con el mismo. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, se procede a examinar la reclamación de fecha 24/09/2019 por medio de la cual en esencia se traslada lo siguiente: “instalación de una serie de cámaras de video-vigilancia en lugares como aulas, y otras mirando hacia la puerta de los vestuarios y cafetería del personal, habitaciones y clases dónde se les hace el cambio higiénico de pañales a los usuarios (…)”—folio nº 1--. Los hechos anteriormente descritos pueden suponer una afectación al contenido del art.5.1

1. c)RGPD. “Los datos personales serán: c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). La parte denunciada realiza alegaciones ante este organismo en fecha 16/07/2019 presentando un amplio Informe explicativo de la situación del sistema, cuya presencia no niega. “la instalación de las cámaras de seguridad o sistema de video-vigilancia en las instalaciones responde a la finalidad legítima, a criterio de la Asociación, en el interés legítimo de la Asociación de proteger la seguridad de sus instalaciones, bienes y personas, considerando tanto las personas usuarias de la Asociación, como a las personas que desarrollan sus servicios en la misma” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 “…los usuarios de la Asociación Gallega son en su mayoría personas con trastornos mentales y psiquiátricos que representan importantes alteraciones de conducta, mostrando episodios agresivos contra los trabajadores o incluso contra ellos mismos (…)”. “Se considera adecuado manifestar, en este sentido, la imposibilidad de disponer de mecanismos alternativos que permitan una supervisión eficaz y con la continuidad necesaria para cumplir los fines indicados (como puede ser la supervisión permanente por parte de los monitores o profesionales de la Asociación)”. “Debe considerarse, igualmente, que se ha producido en la Asociación determinadas situaciones que han derivado en acusaciones al personal o en reclamaciones a la propia Asociación, por hechos cuya resolución o aclaración el uso de sistemas de video-vigilancia pudiera ser de utilidad”. Una vez concretados los “hechos”, nos encontramos con la postura enfrentada de las partes, debiendo proceder a examinar si el sistema se ajusta a la legalidad vigente y el conjunto de medidas adoptadas para que así sea. El sistema consta con un total de 256 dispositivos de video-vigilancia entre las dos instalaciones de las que dispone la Asociación. En el Informe aportado se describe el lugar de ubicación de cada cámara, así como una explicación que justifique la presencia de las mismas. En primer lugar, no consta que las instalaciones estén dotadas de los correspondientes cartel (
2. es)informativos indicado que se trata de una zona videovigilada, adaptado a la normativa en vigor, de tal manera que terceros ajenos que vayan de visita estén informados que se está grabando su imagen. Si bien es cierto que no se solicitó por esta Agencia en la fase previa, que aportara tal documentación, constatando tal extremo. No obstante, se aporta prueba documental que acredita que se ha informado a los familiares (tutores legales) sobre la instalación del sistema de video-vigilancia. También aporta formulario (Doc. probatorio nº 2) que acredita que se ha informado al personal de ambos Centros sobre la presencia de las cámaras de videovigilancia, señalando que las imágenes obtenidas con las mismas solo se utilizarán “al mantenimiento y control de la seguridad tanto de las propias instalaciones como de los usuarios y trabajadores (…)”. Respecto a la instalación de cámaras de seguridad en empresas para el control del trabajo, la normativa laboral establece, en el artículo 20 del Estatuto de los Trabajadores, que “el empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Para los expertos, la única forma de videovigilancia justificada en el trabajo es aquella necesaria "para cumplir requisitos de producción y seguridad laboral", eso sí, siempre que se lleve a cabo con las garantías necesarias. Entre esas garantías figura obligatoriamente el deber de advertir a la plantilla de la presencia de cámaras de seguridad y de explicar en qué casos las grabaciones de las cámaras de vigilancia serán examinadas por la dirección de la empresa y en qué circunstancias las imágenes de las cámaras de seguridad podrán ser entregadas a las autoridades judiciales para ser aportadas como prueba incriminatoria. En ningún caso se recuerda se pueden instalar cámaras de seguridad en servicios, duchas, vestuarios o zonas de descanso para garantizar la intimidad (art. 18 CE) de todos los empleados. Por parte de la entidad denunciada se acredita haber enviado la respectiva carta informativa al Comité de Empresa, informándoles de la instalación de las cámaras y el posicionamiento de cada una de ellas. Se procede al análisis de los distintos fotogramas enviados en relación al sistema de cámaras instalados, en relación a las cámaras exteriores las mismas permiten visualizar la zona de aparcamiento privado en el interior del complejo (s), la zona de rampa y el patio exterior dónde desarrollan diversas actividades. En relación con las mismas, tras el análisis de las impresiones de pantalla aportados no se observa “irregularidad” alguna, siendo acordes a la finalidad pretendida: seguridad del complejo. En relación a las cámaras interiores, cabe indicar que dado el elevado número de cámaras instaladas, y la poca explicación sobre algunas, no permite a este organismo tener un conocimiento claro de la idoneidad de algunas de las mismas. De manera que se van a realizar una serie de recomendaciones, con vistas a ajustar a la legalidad aquellas que no se ajusten a los parámetros mínimos requeridos por este organismo. Los trabajadores deberían disponer de un lugar de esparcimiento, en caso de ser necesario, libre de cámaras de video-vigilancia, para los momentos de descansos y en caso de estar habilitado en el Centro en cuestión (vgr. comedor o zona excluida de la entrada de los pacientes del Centro). Con relación a la cámara situada en el torreón del Centro a modo de sala de control, la cámara instalada no está dirigida a los monitores de control, visionando en exclusiva el habitáculo dónde se desarrollan las funciones. Con relación a las cámaras instaladas en la zona de piscina y zona de gimnasio, se tiene en cuenta las características de las personas usarías del Centro, al ser personas de edad avanzada o afectadas por procesos patológicos que pueden afectar a sus capacidades psicomotrices o cognitivas, de tal forma que se permite la visualización de la zona a efectos de seguridad de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 El anterior criterio es extensible a la zona de comedor, se pueden producir circunstancias “excepcionales” (vgr. atragantamiento de una persona, peleas, etc) que justifica la presencia de la cámara en dicho espacio. Lo mismo ocurre con las cámaras instaladas en las zonas denominadas “Sala de Curas” (fotograma nº 10), “Sala de Fisioterapia” (fotograma 12), “Sala de Psicomotricidad” (fotograma nº 13), “Sala de Relajación” (fotograma nº 16) dada las características de los pacientes se permite la visualización de las zonas en cuestión. Con relación a las cámaras instaladas en los despachos del personal administrativo y de dirección (vgr. Fotogramas 11-12-13 y 14), las mismas se pueden mantener siempre y cuando se informe al personal, si bien no se justifica por motivos de seguridad, al realizar labores administrativas entendemos sin contacto con los pacientes del Centro. También se ajustan a la legalidad vigente, las cámaras instaladas en la “Sala de Ocio” (fotograma nº 20), “Sala de televisión” (fotograma nº 21) dónde se pueden producir circunstancias excepcionales que justifiquen la presencia de las cámaras. El art. 6.1
3. d)RGPD “Licitud del tratamiento” “El tratamiento solo será lícito si se cumple alguna de las siguientes condiciones:
4. d)El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física “ Existen otras cámaras que requieren de mayor explicación, como las instaladas en zonas de cocina, entendemos que existe alguna autonomía en algunos usuarios, que disponen de pequeños apartamentos con cocina tipo americana incorporados, pudiendo las cámaras controlar una situación accidental o de mal uso de las instalaciones, pudiendo cumplir una función preventiva frente a males mayores, de ser este el caso descrito. Asimismo, se recomienda que los textos legales informativos estén a disposición de los usuarios en la página web. En relación a la colocación de imágenes de pacientes en redes sociales (vgr. Facebook, etc), a pesar de contar con el consentimiento de los familiares, se deberán evitar imágenes que puedan afectar a la intimidad y/o imagen de terceros (incluidos los cuidadores que no hayan otorgado su consentimiento) y evitar situaciones que pudieran afectar a la dignidad del paciente. En el caso de que se dé una situación de ciberataque o infracción en la residencia de ancianos, lo ideal es que estén prevenido con un plan de respuesta ante incidentes. Existe un límite de 72 horas para notificar a las autoridades y dotar a estas de información, por lo que el plan debe someterse a prueba para garantizar que cumpla con el plazo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 III De acuerdo con lo expuesto, cabe concluir que en su conjunto el sistema de cámaras instalados, se ajuste a la legalidad vigente, dada las características especiales de las personas usuarias de los mismos, que requieren de una visualización mayor que en otros casos analizados por este organismo. Con este amplio dispositivo de cámaras instaladas, se controla en todo momento las incidencias que puedan ocurrir en los Centros examinados, ejerciendo una labor de vigilancia asistida, que no excluye la adopción de otra serie de medidas de las que en su caso debe disponer el centro (
5. s)sistema luminoso de evacuación o medidas en materia de prevención de riesgos laborales, así como contar con personal cualificado para el desarrollo de los cometidos. En el artículo 89 de la vigente LOPDGDD, refrenda el tratamiento de la videovigilancia con la finalidad de control laboral, pero “siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo”. Al margen de controlar a través del “tratamiento de datos” a los pacientes del mismo, se monotoriza la labor ejercida por los cuidadores, en el ejercicio de sus tareas cotidianas, que deben ser informados de manera clara, concisa y precisa, de la presencia de las cámaras y la finalidad que en su caso se de a las imágenes obtenidas, sin que quepa “ambigüedad” en la redacción de los fines. Los empleados tienen acceso a toda la información que maneja la residencia y, por tanto, deben firmar un acuerdo de confidencialidad para evitar que esa información sea revelada a personas no autorizadas. También deben cumplir las medidas de seguridad establecidas por la empresa para garantizar la protección de los datos personales. No obstante lo anterior, se deberá proceder a colocar cartel (
6. es)informativos en los principales accesos de entrada a los centros, así como disponer de formulario informativo a disposición de cualquier afectado que pudiera requerirlo, debiendo aportar fotografía (fecha y hora) que acredite la colocación del mismo, en caso de no tenerlo aún. Se deberá informar, igualmente, de manera inmediata al representante de los trabajadores (
7. as)del Centro, de la colocación de los carteles informativos. Se deberá enviar prueba documental (fotografía fecha y hora) que acredite al extremo, a efectos de su incorporación al presente expediente, así como disponer de formulario (
8. s)informativo para terceros ajenos al centro (
9. s)que en su caso pudieran requerirlo. Es recomendable que los trabajadores (
10. as)dispongan de un espacio libre de cámaras para su libre esparcimiento, en los horarios de descanso permitidos (vgr. zona de vending, comedor personal, etc), permitiéndose la grabación de todas aquellas zonas que requieran de un contacto directo entre cuidadores y usuarios del Centro (s). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Se debe evitar cámaras en la zona de comedor exclusivo de los cuidadores o lugares destinados al ocio temporal de los mismos, adoptando medidas que impidan el acceso de los pacientes a la zona en cuestión. La zona de lavabos (común) deberá estar libre de cualquier tipo de dispositivo de grabación, reservando esta zona a la intimidad de los usuarios y en su caso de los cuidadores que puedan acompañarlos en caso de auxilio complementario. Existen otros dispositivos como las instaladas en el Invernadero (Sala de Herramientas), que se justifican por motivos de seguridad de terceros, si bien existen medios menos lesivos, como el acceso limitado al personal autorizado, con la correspondiente llave, quedando excluido su uso a los “usuarios” del mismo. Igualmente, se deberá concretar en la información aportada a los trabajadores “los fines de la instalación”, concretando si las mismas pueden ser utilizadas en su caso para exigir responsabilidad laboral. Se recomienda revisar los documentos redactados de carácter informativo, en especial los entregados a los familiares (tutores) de los usuarios, de manera que tengan un conocimiento preciso del “tratamiento de los datos” y finalidades en caso de exposición pública. La publicación en una página web de las fotos constituye una cesión o comunicación de datos de carácter personal. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante A.A.A.-COMITÉ EMPRESA AGASFRA y reclamado-- ASOCIACION GALEGA SAN FRANCISCO (AGASFRA). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
11. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es