1/7 Expediente Nº: E/02638/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante EL AYUNTAMIENTO DE IBI en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de febrero de 2015 tiene entrada en esta Agencia escrito de D. A.A.A. (en adelante el denunciante) comunicando posible infracción a la Ley Orgánica 15/1999 motivada por pantalla de visualización ubicada a la entrada de las instalaciones de la PISCINA MUNICIPAL DE IBI – 03440 IBI (ALICANTE), cuyo titular es la entidad AYUNTAMIENTO DE IBI (en adelante el denunciado) instaladas El denunciante manifiesta que la piscina municipal gestionada por el Ayuntamiento de Ibi, a la que se accede mediante una tarjeta de socio con fotografía que se aproxima a un torno con lector ubicado a la entrada, tenía una pantalla ubicada tras el mostrador de entrada, visible únicamente al personal de recepción, donde se proyectaban la foto de las tres últimas personas en acceder al recinto. Posteriormente se ha instalado, siendo éste el objeto de la denuncia, una pantalla nueva en la pared de las instalaciones que es visible para cualquier persona que acceda al recinto. En un primer momento aparecía la foto junto con el nombre completo de la persona y la hora de acceso, pero tras quejas, se ha dejado únicamente la foto de las tres últimas personas que acceden al recinto durante un periodo indeterminado.. Aporta reportaje fotográfico con la ubicación anterior y actual del monitor de visualización tras los tornos de acceso a las instalaciones de la piscina. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fechas 28 de abril, 2 de junio y 21 de octubre de 2015 se solicita información al responsable del establecimiento y con fechas 21 de agosto, 4 de septiembre y 21 de octubre mediante diligencia telefónica, teniendo entrada en esta Agencia con fechas 20 de mayo y 28 de octubre escritos del responsable del Área de Deportes del ayuntamiento en los que manifiesta: 1. El responsable de la instalación es el Ayuntamiento de Ibi.. 2. Las cámaras fueron instaladas por la empresa constructora de la instalación INTERSA LEVANTE y son cámaras de video mediante reproducción VHS. Posteriormente el antiguo Gerente de Deportes instaló dos cámaras más, una en la recepción de la Piscina (con formato digital) que enfocan directamente a la caja de caudales y la administrativa encargada del cobro de tasas y otra en la cubierta de la instalación que mira al cielo. 3. La instalación de las cámaras de video y reproductor/grabador formato VHS fueron instaladas en su día para dotar a la instalación de un sistema de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 videovigilancia. La instalación de las cámaras digitales posteriormente fue con fines disuasorios y de protección al personal que maneja fondos en el cobro de tasas. 4. En el Polideportivo Municipal no está funcionando ningún sistema de videograbación, hay colocadas cámaras de seguridad por motivos disuasorios, que en su mayoría son únicamente carcasas. Por lo que no existe ningún monitor que visualice las imágenes. 5. Existe un monitor que reproduce las fotos de los usuarios una vez que pasan su carnet por los tornos de accesos, en dicho monitor únicamente aparece la foto que se le realiza al usuario cuando se da de alta en la instalación deportiva (mediante webcam). Se instaló este monitor por motivos de control de la instalación, ya que algunos usuarios se permutaban el carnet entre ellos realizando únicamente un único pago. 6. Aporta fotografías de las cámaras, monitor tras el torno y videograbador: 1. cámara recepción piscina: ubicada en recepción a la entrada de la instalación 2. cámara pasillo pies secos: ubicada tras pasar los tornos y antes de los vestuarios. Es una carcasa. 3. carcasa pasillo de pies húmedos. 4. carcasa en acceso a rampa a sótano a sala de productos químicos 5. monitor que visualiza de la foto del carnet al acceder al sistema de control de acceso situado 6. monitor y videograbador VHS. 7. Aporta modelo de ficha de inscripción en la Piscina Municipal con cláusula de protección de datos. 8. Las cámaras no están conectadas a ningún monitor ni grabador. 9. En relación al sistema de control de accesos mediante tornos, se desconoce si se ha solicitado la inscripción del fichero en el Registro General de Protección de Datos. Actualmente el Ayuntamiento de Ibi ha contratado a una empresa especializada para su regulación. Mediante una diligencia de inspección se ha comprobado la inscripción en el Registro General de Protección de Datos de dos ficheros cuyo responsable es AYUNTAMIENTO DE IBI: Fichero DEPORTES con nº ***CÓD.1 y cuya finalidad es “Datos Referentes a la gestión de la Concejalía de Deportes del Ayuntamiento de Ibi”. Fichero VIDEOVIGILANCIA con nº ***CÓD.2 y cuya finalidad es “Grabación y tratamiento de imágenes para facilitar información a todos los procedimientos en materia de seguridad interior y exterior de las personas que acceden y transitan por las dependencias de los diferentes edificios y espacios públicos protegidos y sus proximidades, asegurando el perímetro de seguridad y estancias de atención al público”. 10. El tiempo de visualización de la foto mediante el sistema de control de acceso es de un minuto, una vez transcurrido dicho tiempo la foto desaparece de la pantalla. Aporta impresión de pantalla de la configuración del programa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 gestión y control de accesos configurado para la visualización de un minuto. 11. Aporta fotografía de la situación de la pantalla que reproduce la fotografía del usuario en relación al sistema de control de accesos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente expediente, D. A.A.A. comunica posible infracción a la Ley Orgánica 15/1999 motivada por la existencia de una pantalla de visualización ubicada a la entrada de las instalaciones de la PISCINA MUNICIPAL DE IBI (ALICANTE), cuyo titular es la entidad AYUNTAMIENTO DE IBI. El denunciante manifiesta que la piscina municipal gestionada por el Ayuntamiento de Ibi, a la que se accede mediante una tarjeta de socio con fotografía que se aproxima a un torno con lector ubicado a la entrada, tiene una pantalla en la pared de las instalaciones que es visible para cualquier persona que acceda al recinto, visualizándose la imagen de las tres últimas personas que acceden al mismo. A este respecto La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) en el artículo 2.1 así como el artículo 2 del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD, establecen como ámbito de aplicación de la misma “los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Es el artículo 3 de la LOPD se definen los distintos conceptos incluidos en el ámbito de aplicación, así define Dato Personal como ”Cualquier información concerniente a personas físicas identificadas o identificables” , Fichero como “Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso” y Tratamiento como “Operaciones y procedimientos técnicos de carácter automatizado o no que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Estas definiciones han sido matizadas y ampliadas en el Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD, así el artículo 5, entre otras, define Dato de Carácter Personal como “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”, Fichero como “Todo conjunto organizado de datos de carácter personal, que permita el acceso a los datos con arreglo a criterios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso” y Tratamiento de datos como “Cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, las fotografías han de considerarse un dato personal y por tanto son susceptibles de tratamiento, en los términos del artículo 3.
- c)de la LOPD. Pues bien, una vez sentadas estas bases cabe decir que, solicitada información al Ayuntamiento denunciado respecto al sistema de control de accesos mediante tornos manifiestan que existe un monitor que reproduce las fotos de los usuarios una vez que pasan su carnet por los tornos de accesos, en dicho monitor únicamente aparece la foto que se realiza al usuario cuando se da de alta en la instalación deportiva (mediante webcam). Se instaló este monitor por motivos de control de la instalación dado que algunos usuarios se permutaban el carnet entre ellos realizando únicamente un pago. El tiempo de visualización de la fotografía de la persona que accede al recinto en la pantalla instalada al efecto es de un minuto. Una vez trascurrido dicho tiempo la foto desaparece de la pantalla. A este respecto se aporta por el Ayuntamiento fotografía de la configuración del programa informático de gestión y control de accesos en la que figura configurado un minuto. Respecto al carácter adecuado y proporcional del sistema de visualización de la fotografía en la pantalla, el artículo 4, Calidad de los datos, de la LOPD, dispone, en su apartado 1, lo siguiente: 1. “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. A este respecto cabe decir que, la Sentencia de la Sala de lo Contencioso Administrativo, Sección Primera de la Audiencia Nacional de fecha 25 de octubre de 2013 respecto al recurso contencioso administrativo nº 367/2012 interpuesto contra la resolución dictada por esta Agencia, estimando el mismo, recogía en su Fundamento de Derecho IV, respecto a un supuesto que aun cuando no es el mismo caso, se asemeja bastante al aquí contemplado, respecto a la existencia de un monitor en la puerta de entrada al establecimiento que emite en tiempo real las imágenes captadas por el mismo, siendo las mismas visibles por el público en general, lo siguiente: “Sentado lo anterior, y tomando en consideración que las imágenes difundidas en el monitor de puerta, en tiempo real, se circunscriben a la de las personas que acceden a través de dicha puerta a la tienda, el hecho de que dichas imágenes sean visibles no sólo por la propia persona que accede al establecimiento, sino también por los empleados y clientes de la estación de servicio que tengan en su ángulo de mira el citado monitor situado a la entrada de la tienda, carece de la relevancia que parece otorgarle la resolución impugnada, pues no se aprecia la diferencia que existe en que esas terceras personas puedan ver directamente la puerta o el monitor que muestra las imágenes captadas por la cámara que enfoca a dicha puerta. La finalidad de la instalación es garantizar la seguridad de las personas y bienes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 en las citadas estaciones de Servicio, y la captación de imágenes destinadas al control de acceso a la tienda y su visualización, en los términos y circunstancias expuestas, no puede considerarse desproporcionado ni excesivo en relación con la finalidad de seguridad pretendida, que se acrecienta al verse que las cámaras instaladas funcionan, sin menoscabo al derecho de protección de datos”. En el caso que nos ocupa, las imágenes no son captadas y proyectadas en el monitor a la entrada del recinto mediante una cámara de seguridad sino que lo que se proyecta en la pantalla es la foto de los usuarios una vez que pasan su carnet por los tornos de accesos, manteniéndose dicha fotografía durante 1 minuto. El hecho de que dicha fotografía sea visible para las personas que se encuentran en el mismo no es un hecho diferente de si se viera a ese usuario directamente, por lo que no se aprecia en el presente caso que se vulnere el principio de calidad de datos, en lo que se refiere al uso proporcional de los mismos de conformidad con el artículo 4.1 de la LOPD. El tratamiento de los datos en los términos expuestos, no constituiría un tratamiento de datos excesivos en relación con la finalidad de control de acceso pretendida. Por otro lado, en la propia ficha de datos personales que firman los usuarios de las instalaciones se recoge una cláusula informativa en el que se informa a los usuarios que sus datos personales se incorporan a un fichero propiedad de Piscina Cubierta, autorizando a esta instalación al tratamiento de los datos personales para el mantenimiento y gestión de la oferta deportiva…, estableciendo el responsable ante el que ejercer los derechos de acceso, rectificación, cancelación y oposición. Asimismo, el artículo 26.1 de la LOPD, recoge lo siguiente: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos” El reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, recoge en el apartado
- q)del artículo 5, en el que señala lo siguiente: “
- q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. El responsable del fichero es, en suma, quien debe garantizar el derecho fundamental de protección de datos personales de todas las personas cuyos datos almacena. Por ello, va a estar obligado a llevar a cabo una serie de actuaciones dirigidas a la protección de los datos, a su integridad y a su seguridad. El responsable debe notificar su fichero a la Agencia Española de Protección de Datos, que dispondrá inscribirlo en el Registro General de Protección de Datos. La notificación de inscripción del fichero facilitará que terceros puedan conocer que se está produciendo un tratamiento con una finalidad determinada y los afectados tendrán la oportunidad de ejercitar sus derechos ante el responsable. Además este es el criterio que se hace constar en la Instrucción 1/2006 , al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 señalar en su artículo 7 que “1-La persona o entidad que prevea la creación de ficheros de videovigilancia deberá notificarlo previamente a la Agencia Española de Protección de Datos, para su inscripción en el Registro General de la misma. Tratándose de ficheros de titularidad pública deberá estarse a lo establecido en el artículo 20 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal. 2.-A estos efectos, no se considerará fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real.” El artículo 20.1 de la LOPD, establece que la creación, modificación o supresión de ficheros de las Administraciones Públicas sólo podrán hacerse por medio de disposición general publicada en el Boletín Oficial del Estado o Diario Oficial correspondiente. Por su parte el artículo 53.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, determina que cuando la disposición se refiera a los órganos de la Administración General del Estado o a las entidades u organismos vinculados o dependientes de la misma, deberá revestir la forma de orden ministerial o resolución del titular de la entidad u organismo correspondiente. Pues bien, consta la Disposición general de creación de ficheros publicada en el Boletín 118 de fecha 27/05/2005 y la inscripción en el Registro General de la Agencia Española de Protección de Datos del fichero denominado “Deportes”, cuya finalidad es la gestión de los datos referentes a la gestión de la Concejalía de Deportes del Ayuntamiento de IBI, en cuya estructura de datos del fichero citado se incluye datos de carácter identificativo: NIF/DNI; Nº SS/Mutualidad; Nombre y apellidos, dirección, imagen/voz y teléfono. A la vista de todo lo expuesto se procede al archivo del presente expediente de actuaciones precias al no apreciarse vulneración a la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a AYUNTAMIENTO DE IBI y a D. A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es