1/6 Procedimiento Nº: E/02310/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por la Comunidad de Propietarios R.R.R. (en adelante, el reclamante) tiene entrada con fecha 28 de abril de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra GH ERCLASA, S.L., con NIF B42543215 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: El propietario del local nº 2 de la Comunidad de Propietarios R.R.R. ha instalado y renovado su sistema de vídeo vigilancia, colocando en la fachada exterior del edificio numerosas cámaras que cubren todo el perímetro del edificio y enfocan a todos los accesos de la finca, tanto rodados como peatonales, zona de aparcamiento, zona de piscina y demás zonas comunes. Se les ha remitido mail, pero hasta la fecha no se tiene contestación alguna al respecto. Así mismo nos dirigimos a la empresa instaladora para solicitar explicaciones a la instalación que se realizó sin autorización de la comunidad y manifestaron que se trata solo de cámaras de visualización y que no graban el contenido. Se ha solicitado que se retiren y que solo enfoquen zonas privadas de acceso al local y el interior del local. Se ha hecho caso omiso. Fecha en la que tuvieron lugar los hechos reclamados: en el momento de la denuncia Documentación relevante aportada por el reclamante: - Fotografías de los lugares donde están instaladas las cámaras. - Copia del mail al propietario. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/03841/2020, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En el trámite de traslado, se averiguó que el local referido en la reclamación pertenece a IFACH INVEST, S.L., quien a su vez lo tiene arrendado a la entidad GH ERCLASA, S.L. TERCERO: Con fecha 25 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: - Solicitada información a la comunidad de propietarios sobre la entidad arrendataria del local señalado en la reclamación y si continúa instalado el sistema de videovigilancia; con fecha de 2 de marzo de 2021 se recibe en esta Agencia escrito de contestación indicando que las cámaras de videovigilancia continúan instaladas y que la entidad que responsable de su instalación y que ocupa el local es la entidad reclamada. - Solicitada información a la reclamada sobre el sistema de videovigilancia instalado, con fecha de 12 de marzo de 2021 se recibe en esta Agencia escrito de contestación al requerimiento manifestando que el sistema instalado no corresponde a un sistema de videovigilancia sino como video portero en el que solo se visualizan imágenes sin que sean grabadas en ningún momento por lo que señalan que no existe tratamiento. Esto es necesario para permitir el acceso a clientes a la zona de aparcamiento del local dado que las puertas de acceso están siempre cerradas. El alcance de estas cámaras se ciñe a lo estrictamente privativo del local comercial: zaguán de entrada y zona de aparcamiento (privativo), y puerta de acceso al aparcamiento. La visualización de las imágenes captadas por estas cámaras, están a cargo de la empleada que desarrolla funciones administrativas sin que se haya encargado su visualización a ningún tercero. Añaden que no aportan acta de reunión de propietarios donde se autorice su instalación ya que las cámaras aparte de no ejercer funciones de videovigilancia, solo captan espacios privativos del local comercial. Y adjuntan los siguientes documentos: - Fotografía de un cartel instalado en la fachada de una empresa de seguridad, que no coincide con la instaladora de las cámaras, que solo indica el nombre de esta empresa de seguridad y su teléfono (documento cámaras.pdf). - Fragmento de Acta Notarial de división de propiedad horizontal donde se refleja el carácter privativo de la zona de aparcamientos del local comercial número 2 (Division_Hor__Escrito_AGEPD__Nota_Simple_Trastero.pdf). - Certificado de la empresa instaladora de las cámaras ABYMATIC SISTEMAS S.L., indicando que la instalación de las cámaras reclamadas tienen como función el de video portero, por lo que únicamente captan imágenes/voces en tiempo real sin que exista conservación o comunicación de datos personales (documento Certificado_GHErclase__Const__CV_Plazas_Parking.pdf). - Fotografías de las imágenes captadas por las cámaras en las que no se observa que capten zonas comunes como piscina o pasos peatonales tal y como expone el reclamante, existiendo en dos de ellas máscaras de privacidad (documento cámaras.pdf). FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 5 del RGPD, “Principios relativos al tratamiento”, dispone en el apartado 1: “Los datos personales serán: tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)” El RGPD regula la licitud del tratamiento en su artículo 6 que determina en el apartado 1 en qué supuestos resulta lícito el tratamiento de datos de terceros: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Entre los principios que presiden el tratamiento de los datos personales el artículo 5.1.
- a)del RGPD se refiere al de transparencia. Una manifestación de este principio es la obligación que incumbe al responsable del tratamiento de informar al titular de los datos en los términos del artículo 13 del RGPD cuando los datos se obtengan directamente del interesado. El precepto dispone: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” III La reclamación versa sobre la instalación de un sistema de videovigilancia en zonas comunes de la comunidad de propietarios donde se ubica la empresa, colocado en la fachada exterior del edificio, con numerosas cámaras que cubren todo el perímetro del edificio y enfocan a todos los accesos de la finca, tanto rodados como peatonales, zona de aparcamiento, zona de piscina y demás zonas comunes, en el inmueble en el que vive la reclamante que, a su juicio, vulnera la normativa protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Un análisis de los documentos que integran el expediente administrativo pone de manifiesto los siguientes extremos con relevancia a los fines que nos ocupan: Las fotografías remitidas por ambas partes demuestran que existe un sistema de videocámaras. Como había explicado el reclamado a la Comunidad, en el exterior de la entrada al local de la entidad reclamada, existe un videoportero que facilita el reconocimiento de los vehículos y personas que acuden a la entidad. Se visiona solo cuando se utiliza el videoportero sin grabación alguna. Las fotografías enviadas por el reclamado verifican que las únicas zonas objeto de grabación son las privativas del local del reclamado, según escritura notarial; además, para evitar grabar en exceso, se observa que tienen máscara de privacidad en las zonas periféricas. A tenor de los hechos expuestos, cuya realidad está acreditada en la documentación que obra en el expediente, se concluye lo siguiente: En el presente caso, vistas las circunstancias que concurren, cabe afirmar que el tratamiento de datos ha sido adecuado y pertinente respecto a la finalidad perseguida (principio de minimización de datos). Se toma en consideración para ello la orientación de las cámaras, con máscaras de privacidad incluida y el uso del videoportero, lo que permite comprobar que sigue los parámetros habituales en contratos de videovigilancia cuya finalidad es garantizar la seguridad de personas, bienes o instalaciones. El reclamado no necesitaba contar con el consentimiento de la reclamante para instalar un sistema de videovigilancia en su local, pues el fundamento jurídico del tratamiento de datos que se efectúa a través de la video vigilancia no radica en el consentimiento de los afectados. Habida cuenta de que la finalidad de la actividad de video vigilancia es garantizar la seguridad de las personas, bienes e instalaciones, a través de ella se cumple una misión de interés público. Por tanto, la base jurídica del tratamiento de datos que se realiza a través de las cámaras de video vigilancia instaladas en el local comercial de la comunidad reclamante está expresamente contemplada en el aparatado
- e)del artículo 6.1. del RGPD: “el tratamiento es necesario para el cumplimiento de una misión realizada en interés público,”. A la luz de la exposición precedente, en la actuación del reclamado no se aprecian indicios de vulneración de la normativa reguladora del derecho a la protección de datos de carácter personal, debiendo por ello acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es