1/7 Procedimiento Nº: E/02434/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por D. G. DE LA GUARDIA CIVIL - PUESTO DE BECERREA (*en adelante, el reclamante) tiene entrada con fecha 9 de julio de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el gerente del establecimiento CLUB TRITÓN don A.A.A., (en adelante, el reclamado). Los motivos en que basa la reclamación son de manera sucinta los siguientes: “Con ocasión de instruirse Atestado policial con número de Diligencias 20184448- **- como primera actuación se requirió mediante la remisión de Oficio Policial la solicitud del bloqueo de las imágenes de videograbación de la madrigada 05-06 noviembre del 2018 (…) por ser estas determinantes para el esclarecimiento de los hechos, pues se observa al presunto autor perpetrando el Delito dentro del establecimiento” “Por la disposición del artículo 32 LOPDGDD, el responsable del fichero tiene la obligación de bloquear los datos de carácter personal incursos en la comisión de un hecho delictivo a disposición de la Autoridad Judicial y Fuerzas y Cuerpos de Seguridad del Estado cuando le sean requeridas, hecho que sucedió el día 08/11/ mediante Oficio que se adjunta a la correspondiente infracción (…)” Junto a la reclamación aporta prueba documental (Doc nº1.Oficio 08/11/18) solicitando imágenes de video-grabación y tickets de caja. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: -Consta identificado como principal responsable del sistema de video-vigilancia: Don A.A.A.. -No existen datos personales asociados a terceros, al haber sido borrados automáticamente por el sistema instalado. -Los hechos acontecen según manifestación policial en el denominado Club Tritón (Complejo Hostelero Rio Chamoso). -Existe causa judicial en el juzgado de Becerrea, si bien no se aporta indicación del número de Diligencias Previas, ni del titular del Juzgado ante el que se esté instruyendo la causa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 -No consta acreditado el momento exacto en que la entidad denunciada tuvo conocimiento del mandato policial, al solo aportar copia del oficio con el requerimiento, pero no la prueba fehaciente del envío/recepción por la parte responsable del tratamiento. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Como cuestión previa, señalar que la Denuncia remitida por la Guardia Civil tiene entrada en esta Agencia en fecha 09/07/2019. El artículo 65 apartado 2º LOPDGDD (LO 3/2018, 5 diciembre) dispone: “La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción”. Por su parte, el apartado 5º del artículo 65 LOPDGDD dispone: “La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos”. Cabe indicar que la cuestión presentada, de cierta “complejidad”, debió ser inadmitida inicialmente al considerar que los hechos descritos ab initio tienen acomodo en conductas propias de otras ramas del derecho en concreto del Derecho Penal: Delito Desobediencia (art. 556 CP) o inclusive un Delito de daños informáticos (artículo 264.1 CPenal) si se constatase un borrado intencionado del disco duro (soporte) dónde se conservaron las imágenes. Es necesario reseñar la heterogeneidad de las reclamaciones presentas en este organismo, con conductas cuyos márgenes en Derecho, no son siempre fáciles de esclarecer o que incluso carecen de una respuesta automática debido a la novedoso de la cuestión que se expone. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 III En el presente caso, se procede a examinar la Denunciada de fecha 09/07/19 trasladada por la Guardia Civil (Puesto Becerrea) por medio de la cual se solicita la apertura de procedimiento sancionador contra el establecimiento hostelero Rio Chamoso (Club Tritón) por la presunta infracción del artículo 72
- n)LOPDGDD. “El incumplimiento de la obligación de bloqueo de los datos establecida en el artículo 32 de esta ley orgánica cuando la misma sea exigible”. Los hechos son descritos en la denuncia remitida en los siguientes términos “Que con ocasión de la tramitación de Atestado policial por presunto Delito de hurto, estafa y usurpación de identidad se requiere la aportación de imágenes obtenidas por el sistema de cámaras del que dispone el establecimiento” (folio nº 1). Los hechos según valoración previa de la fuerza actuante pudieran constituir una infracción administrativa contraria a la vigente Ley Orgánica, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, al no haber efectuado el bloqueo requerido en Oficio policial de fecha 08/11/18. Como cuestión previa es necesario analizar si la conducta descrita constituye una infracción en los términos que se trasladan. El artículo 22 apartado 3º de la LOPDGG (LO 3/2018) dispone lo siguiente: 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica” (*el subrayado pertenece a este organismo). Por tanto, en materia de tratamientos concretos, como sería el caso de las imágenes obtenidas a través de los sistemas de video-vigilancia, no se da el supuesto objeto de denuncia: incumplimiento bloqueo de los datos. El citado artículo 22.3 LOPDGDD, hay que ponerlo en conexión con lo establecido en el artículo 32 LOPDGG, “Bloqueo de datos”. “1. El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión. 2. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos. 3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior. 4. Cuando para el cumplimiento de esta obligación, la configuración del sistema de información no permita el bloqueo o se requiera una adaptación que implique un esfuerzo desproporcionado, se procederá a un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no manipulación de los datos durante el mismo. 5. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, dentro del ámbito de sus respectivas competencias, podrán fijar excepciones a la obligación de bloqueo establecida en este artículo, en los supuestos en que, atendida la naturaleza de los datos o el hecho de que se refieran a un número particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera generar un riesgo elevado para los derechos de los afectados, así como en aquellos casos en los que la conservación de los datos bloqueados pudiera implicar un coste desproporcionado para el responsable del tratamiento (…)”. Antes de nada, comenzaremos por recordar que, en el ámbito sancionador, al igual que en el ámbito penal, rigen una serie de principios básicos que garantizan el respeto a los derechos fundamentales de la persona sancionada, y en particular la vigencia de su derecho fundamental a la presunción de inocencia (art. 24.2 C.E.). Entre estos principios, cabe destacar el llamado “principio de tipicidad”, desarrollado en el artículo 27 de la Ley 40/2015, de Régimen Jurídico de las Administraciones Públicas. Artículo 27. Principio de tipicidad. 1. Sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley, sin perjuicio de lo dispuesto para la Administración Local en el Título XI de la Ley 7/1985, de 2 de abril. Las infracciones administrativas se clasificarán por la Ley en leves, graves y muy graves. 2. Únicamente por la comisión de infracciones administrativas podrán imponerse sanciones que, en todo caso, estarán delimitadas por la Ley. 3. Las disposiciones reglamentarias de desarrollo podrán introducir especificaciones o graduaciones al cuadro de las infracciones o sanciones establecidas legalmente que, sin constituir nuevas infracciones o sanciones, ni alterar la naturaleza o límites de las que la Ley contempla, contribuyan a la más correcta identificación de las conductas o a la más precisa determinación de las sanciones correspondientes. 4. Las normas definidoras de infracciones y sanciones no serán susceptibles de aplicación analógica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 En definitiva, este principio implica, en primer lugar, que las leyes sancionadoras únicamente pueden aplicarse a aquellas conductas que reúnan todos los elementos del tipo descrito, es decir, que una conducta se puede definir como “típica” cuando existe una identidad u homogeneidad entre el hecho cometido y las circunstancias que se describen en la norma. La prohibición de la analogía, por su parte, implica que no se puede imponer una sanción por un hecho que no encaje en la literalidad del tipo de la infracción, aunque guarde con él algún tipo de similitud o proximidad conceptual. De manera que la obligación de “bloqueo” en materia de imágenes obtenidas a través de sistemas de video-vigilancia es una de las excepciones determinadas por el Legislador, de manera que no cabría imputar al denunciado una infracción administrativa en los términos del art. 72n) LOPDGDD. IV Es necesario analizar la conducta descrita en la Denuncia presentada a esta Agencia, que se plasma en el propio cuerpo de la misma: “Con ocasión de instruirse Atestado policial con número de Diligencias 20184448- **- como primera actuación se requirió mediante la remisión de Oficio Policial la solicitud del bloqueo de las imágenes de videograbación de la madrigada 05-06 noviembre del 2018 (…) por ser estas determinantes para el esclarecimiento de los hechos, pues se observa al presunto autor perpetrando el Delito dentro del establecimiento” El requerimiento es cumplido por el que identifican como A.A.A. (Gerente del establecimiento) el cual envía un CD-Rom conteniendo unas imágenes que a la postre no se correspondían con las requeridas por las Fuerzas y Cuerpos de seguridad del Estado. Posteriormente, las mismas imágenes son requeridas bajo mandato judicial de la titular del Juzgado de Becerrea, desplazándose la Policía judicial para obtener las mismas, con el resultado de que estas fueron destruidas “al grabar solamente un periodo de 11 días y que no es posible recuperarlas pues se exceden del periodo programado”. El artículo 4 LO 2/1986 13 marzo, de Fuerzas y Cuerpos de Seguridad dispone lo siguiente: “Todos tienen el deber de prestar a las Fuerzas y Cuerpos de Seguridad el auxilio necesario en la investigación y persecución de los delitos en los términos previstos legalmente”. La falta de colaboración a las Fuerzas y Cuerpos de Seguridad del Estado, tiene acomodo inicialmente en el Delito de Desobediencia a la Autoridad –art. 556 Código Penal LO 10/1995--. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 “Serán castigados con la pena de prisión de tres meses a un año o multa de seis a dieciocho meses, los que, sin estar comprendidos en el artículo 550, resistieren o desobedecieren gravemente a la autoridad o sus agentes en el ejercicio de sus funciones, o al personal de seguridad privada, debidamente identificado, que desarrolle actividades de seguridad privada en cooperación y bajo el mando de las Fuerzas y Cuerpos de Seguridad”. Con los delitos que castigan estas desobediencias, se trata de proteger, fundamentalmente el orden público, entendido como orden público constitucional, que se define como la tranquilidad o normalidad en el ejercicio de los derechos fundamentales y libertades públicas, más que el tradicional principio de autoridad entendido como la que la ciudadanía deposita en las instituciones para el ejercicio adecuado de las funciones que desempeñan al servicio de una sociedad democrática, (vgr. STS 108/2015 de 10 de noviembre 2015. La desobediencia consiste en no hacer lo que se ordena, incumplir una orden o un mandato. Por tanto, los “hechos” que se nos trasmiten encuentran acomodo en una presunta conducta delictiva, existiendo a mayor abundamiento causa judicial sub iudice en Juzgado sin determinar en la localidad de Becerrea. De manera que será este el que deba entrar a valorar en su caso la conducta descrita, así como la intencionalidad (si la hubo) en la falta de diligencia a la hora de conservar y entregar las imágenes que les fueron solicitadas por las Fuerzas y Cuerpos de Seguridad del Estado. En término generales, el principio non bis in idem, consiste en la prohibición de que un mismo hecho resulte sancionado más de una vez, es decir, supone que no se imponga duplicidad de sanciones en los casos en que se desprenda identidad de sujeto, hecho y fundamento sin que haya una supremacía especial, como por ejemplo que se sancione a una persona dos veces por los mismos hechos en la jurisdicción administrativa y la penal. Según la STC 77/1983, de 3 de octubre, las consecuencias prácticas del principio que estamos analizando son “En estos casos, el Tribunal Constitucional declara la imposibilidad de que los órganos de la Administración lleven a cabo actuaciones o procedimientos sancionadores si los hechos pueden ser también constitutivo de delito o falta según las normas penales”. V De acuerdo con lo expuesto, cabe concluir que no existe como tal una obligación de bloqueo en el caso de las imágenes obtenidas a través del sistema, ni el Legislador obliga a que las mismas se tengan que conservar necesariamente por el plazo de un mes, careciendo este organismo de un mayor conocimiento de las circunstancias que dieron lugar a la eliminación de las imágenes (vgr. intencionalidad o simple error humano), motivos todos ellos que aconsejan ordenar el Archivo del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante por D. G. DE LA GUARDIA CIVIL - PUESTO DE BECERREA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es