← España

E-02296-2014

1/19 Expediente Nº: E/02296/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ABASIC S.L. en virtud de denuncia presentada por COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 20 de febrero de 2014 tiene entrada en esta Agencia un escrito de COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS (en adelante CNIL) en el que cual, en el marco de la cooperación internacional entre las autoridades de protección de datos, traslada un expediente tramitado por los servicios de dicha autoridad en 2013 en el que está implicado un organismo cuya empresa matriz se sitúa en España. El prefecto del departamento francés del Ródano informó a la CNIL mediante un correo del 22/7/2013 sobre la situación de tres establecimientos, situados en Lyon, de la sociedad INTS FRANCE que explota, en Francia, la marca DESIGUAL. De conformidad con la legislación francesa, una delegación se encargó de proceder a las comprobaciones in situ en los tres establecimientos en septiembre de 2013. Asimismo, según se informa, se han llevado a cabo otras dos visitas de inspección, principalmente en la oficina central situada en París. La autoridad francesa de protección de datos informa que se ha observado que en las tres tiendas supervisadas se utilizaban dispositivos de vídeo. Las cámaras instaladas permitían grabar lugares abiertos al público, así como otros no abiertos al público por los que circulaban, principalmente, empleados de la compañía. Sin embargo, a la delegación le resultó imposible acceder al sistema central de supervisión de las cámaras. Según informa la CNIL, se desprende que el tratamiento de las imágenes no se realiza en Francia, sino en Barcelona. Asimismo, según afirma la encargada del establecimiento, la sede de la sociedad INTS France, situada en la calle (C/.........1), es en realidad una dirección de mera domiciliación, por lo que el correo que en ella se recibe se reenvía a la empresa matriz establecida en Barcelona. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, remitiendo diversos requerimientos a la entidad ABASIC S.L., en Barcelona, y girando dos inspecciones presenciales a la sede de dicha entidad, de acuerdo con el relato de hechos que, a continuación, se refieren. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 Con fecha 24 de abril de 2014, y reiteración de 2 de junio de 2014, desde la Subdirección General de Inspección de Datos, se solicita de la entidad inspeccionada, diversa información y documentación, requiriéndola para que –entre otras cuestionesseñale la naturaleza, características y finalidad del sistema de videovigilancia instalado, remita a la Agencia un croquis especificativo de la ubicación de las cámaras y de las imágenes captadas por el monitor al que las mismas reportan, con indicación del tipo de información dispensada en relación con el aviso de “zona videovigilada”, identifique al responsable del sistema, así como a la persona o empresa que realizó la instalación del sistema de videovigilancia . Asimismo, entre otras cuestiones, se requiere a la entidad investigada para que indique si el sistema de videovigilancia utiliza monitores donde se visualizan las imágenes captadas por las cámaras, y aporte fotografías que permitan acreditar la ubicación de los mismos, para que detalle las personas que pueden acceder al sistema de videovigilancia instalado, así como si el acceso está permitido a terceros. Muy especialmente, se instaba a la inspeccionada para que detallara el procedimiento empleado para informar a los trabajadores de la finalidad por la cual se han instalado las cámaras de videovigilancia y adjuntar la documentación acreditativa del cumplimiento del citado procedimiento, y describa los detalles técnicos del sistema central de grabación y supervisión de las cámaras instaladas que permiten captar y grabar imágenes de lugares abiertos al público, así como de lugares no abiertos al público, por los que circula el personal de esa Sociedad en sus sedes de LYON y PARÍS. Los referidos requerimientos de información no fueron atendidos por la entidad investigada, lo que provocó un nuevo requerimiento de información, de fecha 28 de julio de 2014, al que –finalmente- sucedieron varios correos electrónicos de respuesta, remitidos por la asesoría jurídica de ABASIC, con fecha 19 de agosto, y 1, 22 y 26 de septiembre, en los que dicha entidad manifestó, en esencia, lo siguiente: • En correo de 19 de agosto de 2014: “(…) Nos ha llamado la atención que se trate de una información sobre instalaciones de CCTV sitas en Lyon y Paris, ciudades de Francia. Entendemos que Agencia desconoce la existencia de la sociedad francesa INTS FRANCE (SIRET ********) que es la mercantil que explota la marca DESIGUAL en el Estado francés. Dicha compañía es la responsable de las instalaciones de CCTV en Francia, y entendemos que la autoridad de control en esta materia es el CNIL. En todo caso, ABASIC quiere colaborar en todo lo que requiera la AEPD, y con el fin de poder contestar el requerimiento de la forma y el modo más adecuado, esta parte solícita instrucciones o guía de cómo contestar al requerimiento supra indicado, ya que entendemos que el formato del mismo está diseñado para responsables de fichero de CCTV en España, y la mayoría de cuestiones planteadas no son de aplicación a ABASIC sino a la mercantil francesa INTS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 FRANCE.” • En correo de 22 de septiembre de 2014: “(…) El recurso lo ha presentado vía correo administrativo directamente el Departamento Jurídico de ABASIC. En principio ya tenían todo coordinado con la CNIL francesa. Les he pedido copia del recurso presentado, estoy a la espera que me lo hagan llegar con el sello de presentación. En todo caso, mañana me pondré en contacto con el departamento para que me lo hagan llegar de forma urgente. En cuanto lo tenga, le hago llegar una copia digital del mismo (…)”. • En esencia, en correo de 26 de septiembre de 2014: “(…) Que la empresa ABASIC no tiene ningún fichero de CCTV en Francia, ni almacena imágenes de las tiendas y almacenes sitos en Francia. Que la empresa INTS FRANCE, es la que explota la marca DESIGUAL en Francia, siendo la responsable del fichero, según las declaraciones realizadas ante la autoridad competente (CNIL, Art. 23 de la loi 78-17 du 6 de janvier). No aporta documentación acreditativa. Que las bases de datos con las imágenes de los diferentes sistemas de CCT\/ obrantes en Francia, se encuentran en las mismas tiendas y locales ubicados en Francia, y bajo la responsabilidad de INTS FRANCE, no existiendo en España, ningún fichero ni soporte de información titularidad de INTS FRANCE. Que en virtud del contrato suscrito al amparo del artículo 12.2 de la LOPD, ABASIC da soporte puntual a INTS France, para la gestión de incidencias de seguridad. Aporta la entidad copia de un convenio de confidencialidad suscrito por ABASIC con INST FRANCE en el que se especifica que: <<3- Se establecen, entre otros, los siguientes trabajos que ha de realizar el (CESIONARIO) en calidad de encargado de tratamiento del (CEDENTE):

  1. a)Auxilio en la gestión de incidencias en materia de CCTV según Ia normativa aplicable.
  2. b)Otras gestiones vinculadas a Ia seguridad.>> Que de todo ello se ha informado al CNIL puntualmente, existiendo una comunicación directa y fluida con dicho órgano de control. El responsable de los locales ubicados en Lyon y Paris (Francia), es la empresa INST FRANCE, Nº SIRET ********, con dirección postal en (C/.........2), Francia. Informa la entidad que la empresa STANLEY SECURITY FRANCE, fue la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 instaladora del sistema de videovigilancia. Respecto a las causas que han motivado la instalación de las cámaras y la finalidad de su instalación, la entidad informa que, según declaraciones ante la CNIL, ha sido la seguridad contra los robos y las intrusiones y para casos de urgencia (fuego, vandalismo, inundación, etc). Respecto del resto de cuestiones planteadas, la entidad la entidad remite a INST FRANCE para su contestación (…)” TERCERO: Ante la tardanza en la respuesta a las cuestiones planteadas, y la desatención de algunos de los puntos contenidos en los requerimientos de información remitidos desde la Subdirección General de Inspección de Datos, por parte de la Inspección de Datos de la Agencia se programó visita de inspección presencial a la sede de ABASIC S.L. en Barcelona, fijándose dicha visita para el 29 de enero de 2015. A consecuencia de dicha inspección presencial, los inspectores de la Agencia levantaron la correspondiente acta, hicieron constar lo siguiente: “Solicitada información a ABASIC, la entidad manifiesta en respuesta a las cuestiones planteadas por los inspectores:
  3. a)ABASIC opera en varios países en los que comercializa bajo la marca DESIGUAL. Para la gestión de los medios de que dispone en ellos, suele crear una empresa filial al efecto, que es la encargada de realizar todas las contrataciones de personas, bienes y servicios de los que requiera la entidad. En el caso concreto de Francia, la filial de la entidad se denomina INTS FRANCE.
  4. b)ABASIC no tiene estructura administrativa en todos los países. En el caso concreto de Francia, la entidad ha considerado conveniente realizar la gestión efectiva de su filial INTS FRANCE desde su sede central en Barcelona, y es por ello que la sede social en Francia, sita en la calle (C/.........1) opera como receptora de correos, en ella se recoge toda la correspondencia dirigida a la entidad, que es remitida a la sede central de Barcelona una vez por semana.
  5. c)Para la gestión legal de los asuntos de la entidad en Francia tiene contratado a un abogado francés.
  6. d)Respecto de las cámaras situadas en las tiendas DESIGUAL en Lyon, la entidad procedió a la normalización legal de las mismas con la autoridad francesa de protección de datos (CNIL), y dicha documentación obra en poder de un miembro del Dto. de Seguridad que, en el momento de la inspección, no se encuentra en las instalaciones de la entidad, pues dado el proceso de internacionalización que está llevando a cabo la entidad, supone el continuo desplazamiento de personal desde la sede central a los distintos países en los que tiene actividad.
  7. e)Consideran los representantes de la entidad que el motivo de que se hayan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 legalizado las instalaciones de videovigilancia en unas tiendas en Francia, mientras que en otras no, es debido al rápido despliegue de tiendas que se hizo en Francia, habiendo sido las de Lyon de las primeras, y que el aprendizaje posterior hiciese que las tiendas abiertas posteriormente fuesen legalizadas, quedando las de Lyon pendientes de respuesta por parte de la administración francesa.
  8. f)En la actualidad la situación ya ha sido normalizada, habiendo sido legalizada la situación de las cámaras ante las autoridades francesas.
  9. g)Solicitada documentación acreditativa de dicho hecho, los representantes de la entidad aportan copia de un documento expedido por las autoridades francesas. Examinado dicho documento, se encuentra que se trata de la legalización de un sistema biométrico de seguridad por huella dactilar. Señalado dicho hecho a los representantes de la entidad, tras realizar distintas gestiones con personal de la entidad, informan que no está disponible, debe estar en manos del abogado francés o del miembro de seguridad que ha llevado el tema y que está ausente. Hechas gestiones telefónicas con los mismos, informan los representantes de la entidad que no han podido acceder a dicha documentación, ofreciéndose a remitirla a la Agencia en el plazo más breve posible.
  10. h)Respecto del sistema de videovigilancia instalado, informan los representantes de la entidad que, en el momento en que los miembros de la CNIL realizaron las inspecciones presenciales, dicho sistema estaba cerrado, formado por una serie de videograbadores a los que no se tenía acceso desde las tiendas, es por ello que los miembros de la CNIL no pudieron tener acceso a los mismos. El acceso se realizaría, en caso de que un incidente de seguridad lo requiera, a través de la empresa de seguridad contratada por INST FRANCE, que accedería a los sistemas y obtendría copias de las imágenes que sean necesarias.
  11. i)La entidad dispone de una red privada virtual (VPN) a través de la cual conecta toda su red de tiendas. La red se encuentra separada en dos VLAN, que separan el tráfico de datos de las tiendas del de los sistemas de videograbación.
  12. j)Solicitado el acceso al sistema de video para poder visualizar las imágenes de las tiendas de Lyon, los representantes de la entidad manifiestan que ello no es posible. Señalado por los inspectores que existiendo la red, debe existir acceso a dichas cámaras, señalan los representantes de la entidad que no existe posibilidad de acceso a las mismas. Solicitado a los representantes de la entidad el acceso a las grabaciones, informan que tampoco es posible, sin especificar el motivo. A la vista de los problemas presentados para la realización de la inspección, se suspendió la misma, solicitando a los representantes de la entidad que aportaran determinada documentación en el plazo más breve posible, una vez examinada la cual C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 se reconsideraría la situación por parte de la Inspección de Datos, previéndose la posibilidad de girar una nueva visita de inspección a la sede de ABASIC S.L. CUARTO: El 5 de febrero de 2015 se personan nuevamente los inspectores de la Agencia en la sede de ABASIC a fin de continuar la inspección. Los representantes de ABASIC realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: “(…) a. La gestión de la empresa está muy centralizada. En los distintos países se contrata con proveedores locales los servicios jurídicos, de consultoría y de seguridad. b. Cuando los miembros de la CNIL se personaron en las instalaciones de ABASIC en Lyon no pudieron obtener la respuesta que deseaban por no disponer de personal técnico en las tiendas, que tuviese conocimiento de los sistemas. Igualmente, el cambio de la sede social del INTS FRANCE de París, en dos ocasiones en dos años, ha podido ocasionar problemas de comunicación con las autoridades francesas. c. Los sistemas de videovigilancia instalados en cada tienda consisten en: - Una serie de cámaras, en torno a 5-7 cámaras por tienda. El número de éstas se ha ido reduciendo con el paso del tiempo, centrándose en los accesos, las cajas y la caja fuerte de cada tienda. - En cada tienda existe un grabador en el que se recogen las imágenes de las cámaras. El sistema retiene las imágenes durante el tiempo que prescriban las autoridades de cada país, pasado el cual se borran automáticamente. Solamente existen monitores de visualización en las tiendas grandes (más de una planta). En el caso de las tiendas de Lyon no existen dichos monitores. C/ Jorge Juan, 6 28001 – Madrid - En las tiendas se pueden visualizar imágenes, pero no extraerlas, ya que no se ha dotado de medios para ello a los sistemas. El acceso se realiza tras la detección de una incidencia. - Existe un servidor intermediario (proxy) que acepta órdenes de extracción de imágenes de los grabadores de las tiendas. Solamente se da acceso a dicho servidor a la empresa de seguridad contratada al efecto, que tiene acceso al mismo para la resolución de incidentes de seguridad, para mantenimiento, o www.agpd.es sedeagpd.gob.es 7/19 para aportarlas a las autoridades nacionales competentes. El acceso se realiza mediante la contraseña proporcionada por ABASIC. - Existe la posibilidad de acceder desde la sede central en Barcelona, si bien existen muchos problemas por la calidad de las líneas y las perturbaciones que provocan micro-cortes en las comunicaciones. No existe personal en ABASIC dedicado a la visualización permanente de las imágenes, a las que se accede únicamente en casos puntuales de existencia de una incidencia o a requerimiento de la autoridad competente. Existe un protocolo de trabajo con los sistemas CCTV en las tiendas DESIGUAL, del que aporta copia la entidad, del que se recaba copia. En un anexo de dicho documento consta la relación de las cuatro personas del departamento de Seguridad de ABASIC autorizados a extraer imágenes de los videograbadores. d. En cada país hay una oficina comercial central, en la que se ubica el servidor intermedio. En el caso de Francia, dicha oficina está ubicada en (C/.........3), de París. Dicha oficina es meramente comercial, no dispone de personal técnico. Cuando se requiere personal técnico, se desplaza desde la sede de DESIGUAL en Barcelona o se solicita a servicios técnicos locales. e. La finalidad de las cámaras es la seguridad física así como la prevención y detección de fraudes y robos. f. Las empresas de seguridad contratadas en cada país disponen de la homologación legal que cada país requiera para ello. Igualmente se exige la homologación nacional a las empresas instaladoras. Se recaba copia del contrato con la empresa de seguridad que presta actualmente el servicio a la entidad. Dicho documento dispone de un anexo en el que se recogen las tiendas de Francia a las que presta servicios de instalación, mantenimiento y visualización. El contrato aparece titulado como MASTER SERVICES AGREEMENT, fechado el 24/7/2012 y por el mismo BVBA Nyscayah SPRL proporcionará servicios de seguridad, entre los que aparece la instalación de sistemas de videovigilancia a ABASIC. Entre los servicios concretos que se proporcionarán en Francia constan la instalación de sistemas de intrusión, control de acceso y videovigilancia, así como su mantenimiento y monitorización. En la relación de locales a los que prestará servicio en Francia aparecen las tres tiendas DESIGUAL de Lyon. g. Respecto de la legalización de los sistemas en Francia: - C/ Jorge Juan, 6 28001 – Madrid Aporta la entidad copia de documentación acreditativa de haber www.agpd.es sedeagpd.gob.es 8/19 registrado ante la CNIL los ficheros de videovigilancia de las tiendas DESIGUAL en Lyon. Se recaba copia de dichos documentos, en los que se aprecia que se trata de tres documentos fechados el 5/5/2014, 6/5/2014 y 12/6/2014 por los que la CNIL da autorización para la realización del tratamiento de los sistemas de videovigilancia en los tres locales de INST FRANCE en Lyon. - Aporta igualmente copia de las solicitudes de legalización de los sistemas de videovigilancia de las tiendas de DESIGUAL en Lyon ante las autoridades francesas. Dichos documentos aparecen fechados en 16/2/2012, 18/4/2013 y 4/11/2014. Informan los representantes de la entidad que no han recibido contestación a dichas solicitudes. - Aportan fotografías de los carteles de información de zona videovigilada que, según los representantes de la entidad, han sido dotadas las tiendas DESIGUAL en Lyon. h. Desean los representantes de la entidad hacer constar su compromiso con el cumplimiento normativo, en general, y con la preservación de la privacidad tanto de clientes como de empleados, garantizando que las imágenes recabadas son utilizadas única y exclusivamente para la seguridad y la persecución del fraude, y habiendo reducido al mínimo el número de personas autorizadas del departamento de Seguridad que tienen acceso a ellas. Los inspectores de la Agencia solicitan al representante de ABASIC que les permita el acceso a las imágenes de las tiendas DESIGUAL en Lyon. Informan los representantes de la entidad que ello no es posible, dado que dichos sistemas han sido desconectados y no se pondrán en marcha hasta que cuenten con la autorización de las autoridades francesas competentes, dado que han sido notificados de la posibilidad de sanción. Aporta la entidad copia de la decisión de la CNIL número 2014-009 de 24/1/2014 por el que se notifica a INTS FRANCE una serie de defectos detectados en los sistemas videovigilancia de las tiendas DESIGUAL en Lyon, emplazando a su subsanación en término de dos meses y advirtiendo de la posibilidad de sanción en caso de no ser subsanados. Por los representantes de la entidad se ofrece a los inspectores el acceso a imágenes de las restantes tiendas que ya están legalizadas. Tienen descargadas las imágenes de la tienda de MARSELLA y de ODYSSEUM. Se comprueba que en la primera de ellas se visualiza la línea de cajas, y en la segunda la entrada de la tienda.” FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
  13. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En cuanto a la cuestión relacionada con la aplicación territorial de la Ley española, el artículo 2.1 de la Ley Orgánica 15/1999, de 13 de diciembre, dispone que: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
  14. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
  15. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
  16. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” La Agencia Española de Protección de Datos ha considerado reiteradamente que este precepto debe, a su vez, ponerse en conexión con lo dispuesto en el artículo 4 de la Directiva 95/46/CE, según el cual: “1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
  17. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
  18. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
  19. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
  20. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” De este modo, la Ley española sería aplicable siempre que el tratamiento se realizase en el marco de actuación de un establecimiento del responsable del fichero ubicado en España. Ello implicaría que en caso de realización material del tratamiento en dicho establecimiento la Ley española sería aplicable. Del mismo modo, si el tratamiento es llevado a cabo por un encargado del tratamiento situado fuera de España pero para un responsable cuyo establecimiento se encuentra en nuestro país, sería también aplicable la Ley Española y, en particular, sería necesario que la relación entre el responsable del tratamiento español y el encargado del tratamiento ubicado fuera de España cumpliese los requisitos exigidos por el artículo 12 de la Ley Orgánica 15/1999, cuyos apartados 2 y 3 disponen lo siguiente: “2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.” Sin embargo, en el supuesto objeto del presente expediente, según se pone de manifiesto a través de las actuaciones realizadas por la Inspección de Datos de la Agencia, la empresa INTS FRANCE, es la que explota la marca DESIGUAL en Francia, siendo la responsable del fichero y del tratamiento de los datos, según las declaraciones realizadas ante la CNIL, autoridad competente. Asimismo, las bases de datos con las imágenes de los diferentes sistemas de CCT\/ obrantes en Francia, se encuentran en las mismas tiendas y locales ubicados en Francia, y bajo la responsabilidad de INTS FRANCE, no existiendo en España, ningún fichero ni soporte de información titularidad de INTS FRANCE. De este modo, si bien ABASIC realiza la gestión efectiva de su filial INTS FRANCE desde su sede central en Barcelona (y es por ello que la sede social en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 Francia, sita en la calle (C/.........1) opera como receptora de correos), no es menos cierto que, en lo relativo a la gestión del sistema de cámaras situadas en las tiendas DESIGUAL en LYON, de la documentación aportada al expediente se extrae que la filial francesa INTS FRANCE ha procedido a la regularización legal de las mismas con la autoridad francesa de protección de datos (CNIL), En su caso, según se expone por los representantes de la matriz española, ABASIC, el acceso a las imágenes grabadas se realizaría, en el supuesto de que un incidente de seguridad lo requiriese, a través de la empresa de seguridad contratada por INST FRANCE, que accedería a los sistemas y obtendría copias de las imágenes que fueran necesarias. De este modo, dicha forma de acceso por parte del propio Responsable del tratamiento, la entidad francesa, supone la forma ordinaria de subvenir a las necesidades propias derivadas de la finalidad de seguridad a la que responde la instalación del sistema de cámaras y/o videocámaras en las tiendas ubicadas en Francia. En este sentido, de las actuaciones de inspección realizadas por la Agencia, en lo que respecta al Responsable del tratamiento con sede en Francia, se extraen, entre otras, las siguientes comprobaciones: • En cada tienda (con sede en Francia) existe un grabador en el que se recogen las imágenes de las cámaras. El sistema retiene las imágenes durante el tiempo que prescriban las autoridades de cada país, pasado el cual se borran automáticamente. • En el caso de las tiendas de Lyon no existen monitores. • En las tiendas (francesas) se pueden visualizar imágenes, pero no extraerlas, ya que no se ha dotado de medios para ello a los sistemas. El acceso se realiza tras la detección de una incidencia. • Existe un servidor intermediario (proxy) que acepta órdenes de extracción de imágenes de los grabadores de las tiendas. Solamente se da acceso a dicho servidor a la empresa de seguridad contratada al efecto, que tiene acceso al mismo para la resolución de incidentes de seguridad, para mantenimiento, o para aportarlas a las autoridades nacionales competentes. • En cada país hay una oficina comercial central, en la que se ubica el servidor intermedio. En el caso de Francia, dicha oficina está ubicada en (C/.........3), de París. Dicha oficina es meramente comercial, no dispone de personal técnico. • Las empresas de seguridad contratadas en cada país disponen de la homologación legal que cada país requiera para ello. Igualmente se exige la homologación nacional a las empresas instaladoras. Por parte de los inspectores actuantes, se ha recabado copia del contrato con la empresa de seguridad que presta actualmente el servicio a la entidad. Dicho documento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 dispone de un anexo en el que se recogen las tiendas de Francia a las que dicha empresa de seguridad presta servicios de instalación, mantenimiento y visualización. III En caso de que un fichero conteniendo datos de carácter personal fuese transmitido y puesto a disposición de otra entidad o persona pública o privada nos encontraríamos ante una pura y simple cesión de datos, definida por el artículo 3
  21. i)de la Ley Orgánica 15/1999, de 13 de diciembre, como “toda revelación de datos realizada a una persona distinta del interesado”. Respecto de dicha cesión, el artículo 11.1 establece taxativamente que “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”, sin que pueda entenderse que el supuesto al que se refiere la consulta pudiera entenderse comprendido entre los exceptuados del consentimiento, enumerados por el artículo 11.2 de la propia Ley. Ello no obstante, no concurre dicha cesión o comunicación de datos personales en el supuesto de que el tratamiento de datos se realice por parte de un “encargado del tratamiento” que deberá cumplir, para gozar de tal consideración, con lo previsto en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de acuerdo con el cual: “Artículo 12. Acceso a los datos por cuenta de terceros. 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 infracciones en que hubiera incurrido personalmente.” En este sentido, según se constata ABASIC S.L. (DESIGUAL en España), dispone de una red privada virtual (VPN) a través de la cual conecta toda su red de tiendas. La red se encuentra separada en dos VLAN, que separan el tráfico de datos de las tiendas del de los sistemas de videograbación. En la primera visita de inspección girada a su sede en Barcelona, los inspectores de la Agencia solicitaron el acceso al sistema de video para poder visualizar las imágenes de las tiendas de Lyon, manifestando los representantes de la entidad que ello no era posible. Los inspectores informaron a la entidad inspeccionada que -existiendo la red, debería existir acceso a dichas cámaras-, señalando los representantes de la entidad que no existía posibilidad de acceso a las mismas. A su vez, solicitado a los representantes de la entidad el acceso a las grabaciones, los representantes de la investigada informaron que tampoco era posible, sin especificar el motivo. En la segunda visita de inspección realizada, la entidad española investigada, manifestó que sí que existía la posibilidad de acceder a las imágenes desde la sede central en Barcelona, si bien existían muchos problemas por la calidad de las líneas y las perturbaciones que provocan micro-cortes en las comunicaciones. Asimismo, los representantes de dicha entidad señalaron que no existía personal en ABASIC dedicado a la visualización permanente de las imágenes, accediéndose a ellas únicamente en casos puntuales ante la existencia de una incidencia o a requerimiento de la autoridad competente. Por los inspectores de la Agencia se procedió a recabar un protocolo de trabajo relativo a los sistemas CCTV en las tiendas DESIGUAL, del que se aportó copia por la entidad. En un anexo de dicho documento se constató la relación de las cuatro personas del departamento de Seguridad de ABASIC autorizados a extraer imágenes de los videograbadores. La posibilidad de acceso a la información de los sistemas de grabación ubicados en Francia se materializa en función de lo previsto en un contrato, que aparece titulado como MASTER SERVICES AGREEMENT, fechado el 24/7/2012. En virtud del mismo la entidad BVBA Nyscayah SPRL proporcionará servicios de seguridad, entre los que aparece la instalación de sistemas de videovigilancia a ABASIC. Entre los servicios concretos que se proporcionarán en Francia constan la instalación de sistemas de intrusión, control de acceso y videovigilancia, así como su mantenimiento y monitorización. En la relación de locales a los que prestará servicio en Francia aparecen las tres tiendas DESIGUAL de LYON. Finalmente, los inspectores de la Agencia solicitaron a los representantes de ABASIC que les permitiese el acceso a las imágenes de las tiendas DESIGUAL en LYON. Dichos representantes informaron que ello no era posible, dado que dichos sistemas habían sido desconectados y no se pondrían en marcha hasta que contaran con la autorización de las autoridades francesas competentes, dado que les había sido notificada la posibilidad de sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 La entidad investigada aportó copia de la decisión de la CNIL número 2014-009 de 24/1/2014 por el que se notifica a INTS FRANCE una serie de defectos detectados en los sistemas videovigilancia de las tiendas DESIGUAL en LYON, emplazando a su subsanación en término de dos meses y advirtiendo de la posibilidad de sanción en caso de no ser subsanados. No obstante lo anterior, por los representantes de la entidad se ofreció a los inspectores el acceso a imágenes de las restantes tiendas cuyos sistemas de videovigilancia ya se encuentran legalizados, accediendo a las imágenes descargadas de la tienda de MARSELLA y de ODYSSEUM. Se comprobó por los inspectores que en la primera de ellas se visualizaba la línea de cajas, y en la segunda la entrada de la tienda. Según se ha señalado ABASIC S.L. mantiene suscrito un contrato denominado MASTER SERVICES AGREEMENT, suscrito en lengua inglesa y con sometimiento de a los Juzgados y Tribunales españoles, fechado el 24 de julio de 2012, en virtud del cual la entidad BVBA Nyscayah SPRL proporciona servicios de seguridad. De las previsiones legales contenidas en dicho contrato se extrae que, en virtud del mismo, ABASIC ofrecía soporte puntual a establecimientos en Francia -a través de la entidad BVBA Nyscayah SPRL- para la gestión de las incidencias de seguridad. Entre los servicios concretos que se proporcionaban en Francia constaban la instalación de sistemas de intrusión, control de acceso y videovigilancia, así como su mantenimiento y monitorización. En la relación de locales a los que prestaba servicio en Francia aparecen las tres tiendas DESIGUAL de LYON. Dicho contrato, se ve completado por el CONVENIO DE CONFIDENCIALIDAD (art. 12.2 LOPD), suscrito el 1 de septiembre de 2014. Conforme se ha expuesto, y ahora se reitera, en el artículo 4 de la Directiva 95/46/CE, del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se establece lo siguiente: “1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
  22. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
  23. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
  24. c)el responsable del tratamiento no esté establecido en el territorio de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
  25. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” En consecuencia, tras el contrato suscrito el 1 de septiembre de 2014, la legislación española no resulta aplicable a los tratamientos de datos llevados a cabo en el marco de las actividades de un responsable del tratamiento situado fuera del territorio español, habiendo quedado probado que, en el supuesto objeto de las presentes actuaciones, la responsabilidad del tratamiento de datos relativos a los sistemas de videovigilancia instalados en las tiendas de LYON, corresponde a la entidad francesa, INTS France, y no se encontraría sometido a la ley española. No obstante, la actividad desplegada por ABASIC S.L. en relación con la asistencia técnica, que –al menos de manera puntual- posibilita el tratamiento de las imágenes captadas y grabadas por las tiendas ubicadas en Francia, encaja plenamente en la figura de “encargado del tratamiento”, definida por el artículo 3, apartado
  26. g)de la Ley Orgánica 15/1999, de 13 de diciembre, y desarrollada en los artículos 20 y siguientes del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de dicha Ley Orgánica, quedando documentada la correspondiente relación jurídica en el contrato denominado CONVENIO DE CONFIDENCIALIDAD (art. 12.2 LOPD), suscrito el 1 de septiembre de 2014. En este caso, al encontrarnos ante un encargado del tratamiento ubicado en España que trata datos para un responsable del tratamiento situado fuera del territorio español, resulta aplicable la ley del responsable del tratamiento, con la única excepción de lo referido a las medidas de seguridad a imponer en el tratamiento, toda vez que la Directiva 95/46/CE dispone en su artículo 17.3 que “La realización de tratamientos por encargo deberá estar regulada por un contrato u otro acto jurídico que vincule al encargado del tratamiento con el responsable del tratamiento, y que disponga, en particular (...) que las obligaciones del apartado 1 (referido al deber de seguridad), tal como las define la legislación del Estado miembro en el que esté establecido el encargado, incumben también a éste”. IV Al existir un “encargado del tratamiento” ubicado en España, ABASIC S.L., el mismo sí se encuentra sometido a la legislación española en cuanto a la implantación de las medidas de seguridad previstas en el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, y en el Título VIII del Real Decreto por el que se aprueba su reglamento de desarrollo (RD 1720/2007, de 21 de diciembre). En virtud del contrato titulado MASTER SERVICES AGREEMENT, que se encuentra fechado el 24 de julio de 2012, BVBA Nyscayah SPRL proporcionaba servicios de seguridad, entre los que aparece la instalación de sistemas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 videovigilancia a ABASIC. Entre los servicios concretos que se proporcionaban en Francia constan la instalación de sistemas de intrusión, control de acceso y videovigilancia, así como su mantenimiento y monitorización. En la relación de locales a los que prestaba servicio en Francia aparecen las tres tiendas DESIGUAL de LYON. Como complemento del anterior, y a los efectos de su correcto encaje legal en lo dispuesto en el artículo 12 de la LOPD, dicho contrato se ve completado por el CONVENIO DE CONFIDENCIALIDAD (art. 12.2 LOPD), suscrito el 1 de septiembre de 2014. Según la información aportada, la empresa ABASIC (DESIGUAL en España) no tiene ningún fichero de CCTV en Francia, ni almacena imágenes de las tiendas y almacenes sitos en Francia. La empresa INTS FRANCE es la que explota la marca DESIGUAL en Francia, siendo la responsable del fichero, según las declaraciones realizadas ante la autoridad competente (CNIL, Art. 23 de la loi 78-17 du 6 de janvier). Las bases de datos con las imágenes de los diferentes sistemas de CCT\/ obrantes en Francia, se encuentran en las mismas tiendas y locales ubicados en Francia, y bajo la responsabilidad de INTS FRANCE, no existiendo en España, ningún fichero ni soporte de información titularidad de INTS FRANCE. En resumen, y a los efectos que aquí interesan, dado que desde la entidad ABASIC en Barcelona se puede acceder a la visualización de las imágenes obtenidas por los sistemas de videovigilancia de las tiendas de Desigual en Francia, tienen contrato suscrito al amparo del artículo 12.2 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de datos de Carácter Personal, que recoge: “La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con un fin distinto al que figure en dicho contrato, ni los comunicará, si siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar”. En virtud del contrato suscrito entre ambas entidades el 1 de septiembre de 2014, denominado CONVENIO DE CONFIDENCIALIDAD (art. 12.2 LOPD), ABASIC es encargada del tratamiento y da soporte puntual a INTS France, como responsable del fichero, para la gestión de incidencias de seguridad. Así la cláusula 3 del citado contrato recoge: <<3- Se establecen, entre otros, los siguientes trabajos que ha de realizar el CESIONARIO en calidad de encargado de tratamiento del CEDENTE:
  27. a)Auxilio en la gestión de incidencias en materia de CCTV según Ia normativa aplicable.
  28. b)Otras gestiones vinculadas a la seguridad.>> Con independencia del error en la denominación de los intervinientes en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 operación (cedente-cesionario), del contenido del contrato se desprende que “el encargado del tratamiento”, en este caso ABASIC, cuenta con medios técnicos y organizativos para garantizar la seguridad y confidencialidad de cuanta información de carácter personal le sea entregada por el responsable, en este caso INTS FRANCE SAS, derivada de la prestación del servicio contractualmente establecida y que la puesta a disposición de los datos de carácter personal por parte del responsable del fichero, al encargado del tratamiento, no constituye un supuesto de comunicación o cesión de datos sino un acceso auxiliar y limitado en los términos que describe el artículo 12 de la LOPD. Las previsiones relativas al ámbito territorial de aplicación de la legislación española, a las que se ha hecho cumplida mención, se han de vincular el artículo 3
  29. a)del Real Decreto 1720/2007, de 21 de diciembre por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, cuando recoge que: 1.- Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:
  30. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el Título VIII del presente reglamento” (el subrayado es de la Agencia). El Título VIII del citado Reglamento hace referencia a las medidas de seguridad en el tratamiento de datos personales. El artículo 17 apartados 1 y 3 de la Directiva 95/46 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de datos señala, en el mismo sentido: “Seguridad del tratamiento. 1.- Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento lícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse. (…) 3.- La realización de tratamientos por encargo deberá estar regulada por un contrato u otro acto jurídico que vincule al encargado del tratamiento con el responsable del tratamiento, y que disponga, en particular: - que el encargado del tratamiento sólo actúa siguiendo instrucciones del responsable del tratamiento;- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 que las obligaciones del apartado 1, tal como las define la legislación del Estado miembro en el que esté establecido el encargado, incumben también a éste.” (el subrayado es de la Agencia). A la vista de lo expuesto, dado que existe un responsable del fichero, INTS FRANCE SAS, ubicado en Francia, y un encargado del tratamiento en España, ABASIC S.L., cumpliendo las condiciones del artículo 12 de la LOPD; de acuerdo al artículo 3
  31. a)del Reglamento citado solo le sería aplicable la normativa contenida en el mismo en cuestiones de medidas de seguridad en el tratamiento de datos, no apreciándose a este respecto la existencia de vulneración a la normativa española por lo que se procede al archivo del presente expediente de actuaciones previas. Asimismo, de acuerdo con lo expuesto y con lo recogido en el contrato de 1 de septiembre de 2014, y dado que el responsable del tratamiento se encuentra en Francia, el acceso al sistema central de supervisión de cámaras tendría que resultar viable a través de los medios desplegados por el propio responsable en dicho en dicho país. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 NOTIFICAR la presente Resolución a ABASIC S.L. NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS. y a COMMISSION De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.