← España

E-02900-2018

1/11 Expediente Nº: E/02900/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE ALCALÁ DE HENARES en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Fecha de entrada de la denuncia: 16 de mayo de 2018 Denunciante: A.A.A. Denuncia a: AYUNTAMIENTO DE ALCALÁ DE HENARES Por los siguientes hechos según manifestaciones del denunciante: Instalación de cámaras de videovigilancia en el edificio de titularidad municipal conocido como “Casa de la Entrevista”, sin haber informado a los trabajadores ni a sus representantes de la finalidad de la instalación y sin que existan carteles informativos que señalicen la zona videovigilada ni impresos disponibles para los interesados en los que se detalle la información prevista en la LOPD. Y, entre otra, anexa la siguiente documentación:  Comunicación interna, como Secretario General de la Sección Sindical CGT del Ayuntamiento de Alcalá de Henares remitida al Alcalde-Presidente solicitando información detallada sobre la instalación de videovigilancia realizada en el edificio de titularidad municipal conocido como “Casa de la Entrevista”.  Reportaje fotográfico de las cámaras instaladas, aunque por la calidad del sistema de escaneo, no se distinguen con claridad los dispositivos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 7 de junio de 2018 y número de salida ***REG.1 se solicita información Ayuntamiento de Alcalá de Henares en relación a la instalación de videovigilancia denunciada, teniendo entrada en esta Agencia con fecha 12 de julio de 2018 y número de registro ***REG.2 escrito de respuesta de la Asesoría Jurídica de dicho Ayuntamiento en el que se manifiesta: 1. El responsable del sistema de videovigilancia instalado en la “Casa de la Entrevista” es el AYUNTAMIENTO DE ALCALÁ DE HENARES. 2. La instalación la realizó la mercantil PROSEGUR ALARMAS ESPAÑA, S.L., que figura inscrita con número 4124 en el Registro de Empresas de Seguridad de la Dirección General de la Policía y que resultó adjudicataria del concurso realizado por el Ayuntamiento en el año 2013. Manifiestan que, además del mantenimiento, la empresa es la encargada de verificar los saltos de alarma de una relación de edificios municipales y como consecuencia de este acceso a las imágenes registradas por el sistema han suscrito un contrato de encargo de tratamiento de conformidad con el art. 28 del Reglamento (UE) 2016/679 y del que aportan copia junto con el pliego original de condiciones técnicas para la contratación del servicios de seguridad y un proyecto de instalación y presupuesto del CCTV que incluye las instalaciones de la “Casa de la Entrevista” fechado en marzo de 2018. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 3. Respecto a las causas por las que se instalaron las cámaras, en el escrito de respuesta se refiere que vino motivado por el traslado del “Punto de Información Turística” a la dependencias de la “Casa de la Entrevista” siendo la finalidad de la instalación garantizar la seguridad de las personas, bienes e instalaciones. 4. En relación al procedimiento seguido para informar a los trabajadores municipales y sus representantes de la finalidad del sistema de videovigilancia instalado refieren que, en la actualidad no hay trabajadores municipales destinados de forma permanente en esas dependencias municipales, siendo prestado el servicio de información turística por el empresa ESATUR XXI, S.L. con una prórroga del contrato del que se aporta copia junto con el pliego de prescripciones técnicas para la contratación, desarrollándose en la actualidad, según se indica, un nuevo proceso de licitación del Servicio de Información Turística del Ayuntamiento de Alcalá de Henares. Manifiestan que, de forma excepcional, pueden acudir a las dependencias diferentes trabajadores municipales encargados de los servicios de limpieza, mantenimiento o montaje y desmontaje de exposiciones, habiendo informado verbalmente de la existencia de las cámaras a las personas que más habitualmente acceden a la sala de exposiciones. No obstante, manifiestan que se ha procedido a informar a los empleados, a través de la publicación en el Portal del Empleado, de la existencia y finalidad del sistema de videovigilancia instalado por el Ayuntamiento. En el documento que se adjunta y que da respuesta a los puntos contemplados en el art. 13 del Reglamento (UE) 2016/679, General de Protección de Datos, se informa de los diferentes tratamientos que el Ayuntamiento de Alcalá de Henares realiza de los datos personales de sus empleados y entre los que se incluye un tratamiento de Videovigilancia con la finalidad de preservar la seguridad en las instalaciones o dependencias y recogiendo expresamente que el tratamiento de los datos no es utilizado para el control laboral, matizando que, ante la comisión de ilícitos o actos no éticos, las imágenes serán conservadas para su puesta a disposición ante las autoridades competentes. 5. En relación a la información facilitada sobre la existencia de las cámaras se aporta fotografías del cartel situado en la puerta de entrada a la “Casa de la Entrevista”, que responden al modelo de cartel de zona videovigilada al que se refiere la Instrucción 1/2006 de esta Agencia, y en el que se identifica al Ayuntamiento de Alcalá de Henares como responsable además de indicar la dirección en la que los interesados pueden ejercer sus derechos en materia de protección de datos. Se adjunta además una muestra del modelo de cartel actualizado a la nueva normativa en el que se observa, además de la información arriba referida de identificación del responsable y dirección para que los interesados ejerzan sus derechos, la finalidad del tratamiento realizado, así como las cesiones previstas y la legitimación del tratamiento, observándose que se apoyan en el artículo 6.1.e del Reglamento relativo “al cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable”. Se aporta copia del impreso informativo que, según el artículo 3.b de la Instrucción 1/2006 de esta Agencia, debe estar a disposición de los interesados si lo solicitan y que muestra la información ampliada conforme a la nueva normativa y en el que, sin embargo, legitima el tratamiento de las imágenes en los intereses legítimos del responsable de garantizar la seguridad de las personas, bienes e instalaciones. Según indican, este formulario se le entrega a toda persona que así lo demande. 6. Respecto a las características de la instalación, manifiestan que esta se compone de cuatro cámaras tal y como se aprecia en el detalle del proyecto técnico de la empresa instaladora, dos de las cuales se hallan en la sala de exposiciones, otra en el hall o recepción de la Oficina de Turismo y una última en el almacén, no contando la instalación con cámaras exteriores en la actualidad. Según refieren, ninguna de las cámaras dispone de zoom ni de posibilidad de movimiento por medios electrónicos, siendo necesario su posicionamiento manual si se desea cambiar la dirección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 enfoque de alguna de ellas. Según se aprecia en las fotografías aportadas con fecha 20 y 25 de julio de 2018 y números de registro ***REG.3 y ***REG.4 a raíz de una solicitud realizada por teléfono al asesor jurídico del Ayuntamiento de Alcalá de Henares incorporada mediante Diligencia a las actuaciones de inspección, las imágenes registradas por las cámaras se circunscriben al espacio de la sala de exposiciones, a la entrada a las dependencias de la Oficina de Turismo y a una estancia identificada como almacén. 7. El sistema de videovigilancia cuenta con un monitor donde se visualizan las imágenes captadas por las cámaras. La monitorización es realizada por la empresa ESATUR XXI, S.L., que es la encargada del control y atención de la “Casa de la Entrevista”. Según se indica, el personal de esta empresa está sólo autorizado al visionado del monitor, debiendo comunicar cualquier incidencia que se detecte a la Concejalía de Cultura, Universidad, Turismo y Festejos para que esta, a su vez, le dé traslado al Delegado de Protección de Datos del Ayuntamiento de Alcalá de Henares. Para regular este servicio y en cumplimiento del art. 28 del Reglamento General de Protección de Datos, se ha procedido a la firma de un contrato de acceso a datos por terceros del que se aporta copia y en el que se contempla como objeto del mismo, tal y como queda recogido en la estipulación “PRIMERA. – Objeto del encargo del tratamiento” la prestación, entre otros, de un servicio orientado a garantizar la seguridad de las personas, bienes e instalaciones que se encuentran en el edificio. En esa misma estipulación queda expresamente recogido que el personal de la empresa sólo tendrá acceso al visionado de las imágenes debiendo comunicar al responsable del Ayuntamiento, según se contempla en la estipulación “TERCERA. – De los datos de carácter personal a tratar por el Encargado” cualquier incidencia acaecida para que este inicie las actuaciones pertinentes. 8. El sistema graba las imágenes de forma continua y se almacenan durante un mes en un disco duro, salvo que se tuviera que realizar un visionado ante la sospecha de una actividad delictiva. De comprobarse esta circunstancia, se realizará un salvado del registro de la imagen para poder ponerla a disposición de los Cuerpos y Fuerzas de Seguridad, Juzgados y Tribunales. Manifiestan que el fichero de tratamiento relativo a la videovigilancia no se llegó a inscribir en el Registro General de Protección de Datos al suprimir esta obligación el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos) y tratarse la instalación, según contrato, de marzo de 2018. Dado el escaso tiempo disponible para poder cumplir con garantías con todos los trámites de inscripción de un fichero de titularidad pública en el Registro General de Protección de Datos entre la instalación de las cámaras y la plena aplicación del Reglamento, manifiestan que, tras consulta telefónica con esta Agencia, se les aconsejó incluir este tratamiento en el Registro de Actividades de Tratamiento del Ayuntamiento, aportando copia del relativo a “Videovigilancia edificios y dependencias municipales” y en el que se consigna toda la información relativa a la identificación y datos de contacto del responsable y el delegado de protección de datos, la descripción, la finalidad del tratamiento y el plazo de conservación de los datos, la categoría de los datos tratados, el origen de los mismos y las comunicaciones previstas que sobre estos puedan realizarse, así como la identificación de los procedimientos y las medidas de seguridad aplicables junto con las identificación de las sociedades con las que se ha contratado un encargo del tratamiento de los datos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 plena aplicación desde el 25 de mayo de 2018, reconoce a cada autoridad de control, es competente para iniciar este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con el artículo 12.2, apartados

  1. i)y
  2. j)del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos (en adelante, RD 428/1993). En idéntico sentido se pronunciaba el artículo 37.
  3. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En primer lugar procede situar el contexto normativo en materia de videovigilancia. Así, el artículo 1 de la LOPD, aplicable en el momento de los hechos denunciados, dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 1 del Reglamento (UE) 2016/679 (RGPD), que es de plena aplicación desde el 25 de mayo de 2018 y que ha derogado a la citada LOPD, en idéntico sentido al artículo 1 de la LOPD, recoge en sus puntos 1 y 2: “1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales”. En cuanto al ámbito de aplicación de la LOPD, el artículo 2.1 de la misma señalaba: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”, definiéndose el concepto de dato de carácter personal en el apartado
  4. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD definía en su letra
  5. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A este respecto, en cuanto al ámbito de aplicación material, el artículo 2.1 del Reglamento Europeo 2016/679 señala: “El presente Reglamento se aplica al tratamiento local o parcialmente automatizado de datos personales, así como el tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”, definiéndose el concepto de datos personales en el punto 1 del artículo 4 del Reglamento 2016/679, como “toda información sobre una persona física identificada o identificable (<<el interesado>>); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 El artículo 5.1.
  6. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aplicable en el momento de los hechos denunciados, que ha quedado derogada por el RGPD, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, resultando de aplicación -al no contradecir las disposiciones del referido Reglamento Europeo-, en su artículo 1.1, dispone lo siguiente: “1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición del RGPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal. De acuerdo con los preceptos transcritos, la cámara reproduce la imagen de los afectados por este tipo de tratamientos y, a efectos del RGPD, la imagen de una persona constituye un dato de carácter personal, toda vez que la información que capta concierne a personas que las hacen identificadas o identificables y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. III En el presente caso D. A.A.A. denuncia la instalación de cámaras de videovigilancia en el edificio de titularidad municipal del AYUNTAMIENTO DE ALCALÁ DE HENARES, conocido como “Casa de la Entrevista”, sin haber informado a los trabajadores ni a sus representantes de la finalidad de la instalación y sin que existan carteles informativos que señalicen la zona videovigilada ni impresos disponibles para los interesados en los que se detalle la información prevista en la LOPD. En primer lugar, deben realizarse una serie de consideraciones respecto a la captación de imágenes en el entorno laboral. Debe plantearse si es necesario el consentimiento inequívoco de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 trabajadores cuando se instalan cámaras de videovigilancia en el centro de trabajo, al amparo del artículo 6.1 de la LOPD. Así, el consentimiento, elemento base en el tratamiento de los datos, entraña cierta complejidad, especialmente cuando nos referimos al ámbito laboral, dado que resulta de difícil cumplimiento que en ese ámbito concurran los requisitos legalmente previstos para considerar que se ha obtenido libremente el consentimiento. El artículo 3
  7. h)de la LOPD lo define como “Toda manifestación de voluntad libre, inequívoca, específica e informada mediante la que el interesado consienta el tratamiento de datos personales que el conciernen”. Del concepto de consentimiento se desprende la necesaria concurrencia para que el mismo pueda ser considerado conforme a derecho de los cuatro requisitos enumerados en dicho precepto. Un adecuado análisis del concepto exigirá poner de manifiesto cuál es la interpretación que ha de darse a estas cuatro notas características del consentimiento, tal y como la misma ha indicado en numerosas Resoluciones de la AEPD, siguiendo a tal efecto los criterios sentados en las diversas recomendaciones emitidas por el Comité de Ministros del Consejo de Europa en relación con la materia que nos ocupa. A la luz de dichas recomendaciones, el consentimiento habrá de ser:
  8. a)Libre, lo que supone que el mismo deberá haber sido obtenido sin la intervención de vicio alguno del consentimiento en los términos regulados por el Código Civil.
  9. b)Específico, es decir referido a un determinado tratamiento o serie de tratamientos concretos y en el ámbito de las finalidades determinadas, explícitas y legítimas del responsable del tratamiento, tal.
  10. c)Informado, es decir que el afectado conozca con anterioridad al tratamiento la existencia del mismo y las finalidades para las que el mismo se produce. Precisamente la normativa de protección de datos impone el deber de informar a los interesados de una serie de extremos que en el mismo se contienen.
  11. d)Inequívoco, lo que implica que no resulta admisible deducir el consentimiento de los meros actos realizados por el afectado (consentimiento presunto), siendo preciso que exista expresamente una acción u omisión que implique la existencia del consentimiento. Todo tratamiento de datos personales ha de estar legitimado por alguna de las causas del art. 6 LOPD. Pues bien, la captación y grabación de las imágenes de los empleados del centro con un fin de control laboral aparece amparado por el art. 6 LOPD, al existir una habilitación legal para el control laboral pretendido que es de carácter imperativo para “las partes de un contrato… de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento”. En el ámbito laboral, el Ordenamiento el Ordenamiento Jurídico Español, regula el aprobado por Real Decreto Legislativo 2/2015 de 23 de octubre, los poderes de Dirección del empresario y es en ése articulado donde hallamos la oportuna legitimación. El artículo 20.3 del Estatuto de los Trabajadores (ET), aprobado por Real Decreto Legislativo 2/2015 de 23 de octubre, dispone que “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad”. En este sentido, el artículo 20.3 ET en relación con el art. 6 LOPD legitimaría, en principio, a la empleadora para tratar las imágenes de los trabajadores en el ámbito laboral con carácter general. Y así lo ha venido reiterando la jurisprudencia en lo que a empleados públicos se refiere amparado en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 el art. 6.2 LOPD, como en Sentencia de la Sala Tercera del Tribunal Supremo de 2 de julio de 2007 (Rec. 5017/2003) que señala que el control del cumplimiento del horario de trabajo a que vienen obligados los empleados públicos es inherente a la relación que une a estos con la Administración en cuestión, y no es necesario obtener previamente su consentimiento ya que el artículo 6.2 de la Ley Orgánica 15/1999 lo excluye en estos casos. Asimismo, la Sentencia de la misma Sala de 2 de julio de 2007(Rec. 5017/2003) indica: "Desde luego, la finalidad perseguida mediante su utilización es plenamente legítima: el control del cumplimiento del horario de trabajo al que vienen obligados los empleados públicos. Y, en tanto esa obligación es inherente a la relación que une a estos con la Administración Autonómica, no es necesario obtener previamente su consentimiento ya que el artículo 6.2 de la Ley Orgánica 15/1999 lo excluye en estos casos". Ahora bien, esta legitimación no es absoluta y exige que el empresario informe de dicho tratamiento a los trabajadores (cumpliendo así con el deber de informar previsto tanto en el artículo 10 de la Directiva 95/46/CE como en el artículo 5 de la LOPD.). Es necesario en este punto diferenciar si la instalación de la cámara en el centro de trabajo es como medida de vigilancia y control del empresario, para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales o si es una medida de seguridad para proteger la instalación y sus empleados. En el primer caso, es decir cuando el objetivo de la instalación de las cámaras va dirigido al cumplimiento por los trabajadores de sus deberes laborales, sería necesario por parte del empresario, garantizar el derecho de información en la recogida de las imágenes, mediante información a los trabajadores del alcance específico que se va a dar a las mismas para el control laboral. En el segundo caso, es decir cuando la finalidad es de vigilancia y protección de las instalaciones y personal de la empresa, el tratamiento de las imágenes por parte del responsable, obliga a que se cumpla con el deber de informar a los afectados, previsto en el artículo 12 del RGPD 2016/679, de 27 de abril de 2016, en los términos referidos tanto en el citado artículo, como en los artículos 13 y 14 de dicha norma, resultando de aplicación -al no contradecir las disposiciones del referido Reglamento-, el modo previsto en el artículo 3 de la citada Instrucción 1/2006. Dicho deber de información se recogía en el artículo 5.1 de la LOPD (aplicable en el momento de los hechos denunciados). En concreto se deberá: 1 Colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados. De acuerdo con lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679, de 27 de abril de 2016, en el distintivo informativo anteriormente citado deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. 1 Mantener a disposición de los afectados la información a la que se refiere el citado Reglamento (UE) 2016/679, de 27 de abril de 2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 En el caso que nos ocupa, respecto de la información facilitada sobre la existencia de cámaras, el Ayuntamiento aporta fotografías del cartel situado en la puerta de entrada a la “Casa de la Entrevista”, que responden al modelo de cartel de zona videovigilada al que se refiere la Instrucción 1/2006 de esta Agencia, y en el que se identifica al Ayuntamiento de Alcalá de Henares como responsable además de indicar la dirección en la que los interesados pueden ejercer sus derechos en materia de protección de datos. Se adjunta además una muestra del modelo de cartel actualizado a la nueva normativa en el que se observa, además de la información arriba referida de identificación del responsable y dirección para que los interesados ejerzan sus derechos, la finalidad del tratamiento realizado, así como las cesiones previstas y la legitimación del tratamiento. Asimismo, se aporta copia del impreso informativo que, según el artículo 3.b de la Instrucción 1/2006 de esta Agencia, debe estar a disposición de los interesados si lo solicitan y que muestra la información ampliada conforme a la nueva normativa y en el que, sin embargo, legitima el tratamiento de las imágenes en los intereses legítimos del responsable de garantizar la seguridad de las personas, bienes e instalaciones. Según indican, este formulario se le entrega a toda persona que así lo demande. En relación al procedimiento seguido para informar a los trabajadores municipales y sus representantes de la finalidad del sistema de videovigilancia instalado refieren que, en la actualidad no hay trabajadores municipales destinados de forma permanente en esas dependencias municipales, siendo prestado el servicio de información turística por el empresa ESATUR XXI, S.L. No obstante, manifiestan que se ha procedido a informar a los empleados, a través de la publicación en el Portal del Empleado, de la existencia y finalidad del sistema de videovigilancia instalado por el Ayuntamiento. En el documento que se adjunta y que da respuesta a los puntos contemplados en el art. 13 del Reglamento (UE) 2016/679, General de Protección de Datos, se informa de los diferentes tratamientos que el Ayuntamiento de Alcalá de Henares realiza de los datos personales de sus empleados y entre los que se incluye un tratamiento de Videovigilancia con la finalidad de preservar la seguridad en las instalaciones o dependencias y recogiendo expresamente que el tratamiento de los datos no es utilizado para el control laboral, matizando que, ante la comisión de ilícitos o actos no éticos, las imágenes serán conservadas para su puesta a disposición ante las autoridades competentes. Por tanto, la finalidad por las que se instalaron las cámaras, según documentación aportada, vino motivado por el traslado del “Punto de Información Turística” a la dependencias de la “Casa de la Entrevista” siendo la finalidad de la instalación garantizar la seguridad de las personas, bienes e instalaciones. No obstante, manifiestan que se ha procedido a informar a los empleados, a través de la publicación en el Portal del Empleado, de la existencia y finalidad del sistema de videovigilancia instalado por el Ayuntamiento. En el documento que se adjunta y que da respuesta a los puntos contemplados en el art. 13 del Reglamento (UE) 2016/679, General de Protección de Datos, se informa de los diferentes tratamientos que el Ayuntamiento de Alcalá de Henares realiza de los datos personales de sus empleados y entre los que se incluye un tratamiento de Videovigilancia con la finalidad de preservar la seguridad en las instalaciones o dependencias y recogiendo expresamente que el tratamiento de los datos no es utilizado para el control laboral, matizando que, ante la comisión de ilícitos o actos no éticos, las imágenes serán conservadas para su puesta a disposición ante las autoridades competentes. Por lo tanto, el Ayuntamiento cumple el deber de información, informando tanto a sus trabajadores como a las personas que pudieran ser captados por el sistema de videovigilancia, de la existencia y finalidad del mismo, que es la seguridad de las instalaciones y personas, sin que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 aporten pruebas por el denunciante que acrediten que se utilicen para otra finalidad que no sea la seguridad. IV Por otro lado, respecto al sistema de monitorización y grabación, la instalación la realizó la mercantil PROSEGUR ALARMAS ESPAÑA, S.L., que figura inscrita con número 4124 en el Registro de Empresas de Seguridad de la Dirección General de la Policía y que resultó adjudicataria del concurso realizado por el Ayuntamiento en el año 2013. Manifiestan que, además del mantenimiento, la empresa es la encargada de verificar los saltos de alarma de una relación de edificios municipales y como consecuencia de este acceso a las imágenes registradas por el sistema han suscrito un contrato de encargo de tratamiento de conformidad con el art. 28 del Reglamento (UE) 2016/679 y del que aportan copia junto con el pliego original de condiciones técnicas para la contratación del servicios de seguridad y un proyecto de instalación y presupuesto del CCTV que incluye las instalaciones de la “Casa de la Entrevista” fechado en marzo de 2018. El sistema de videovigilancia cuenta con un monitor donde se visualizan las imágenes captadas por las cámaras. La monitorización es realizada por la empresa ESATUR XXI, S.L., que es la encargada del control y atención de la “Casa de la Entrevista”. Según se indica, el personal de esta empresa está sólo autorizado al visionado del monitor, debiendo comunicar cualquier incidencia que se detecte a la Concejalía de Cultura, Universidad, Turismo y Festejos para que esta, a su vez, le dé traslado al Delegado de Protección de Datos del Ayuntamiento de Alcalá de Henares. Para regular este servicio y en cumplimiento del art. 28 del Reglamento General de Protección de Datos, se ha procedido a la firma de un contrato de acceso a datos por terceros del que se aporta copia y en el que se contempla como objeto del mismo, tal y como queda recogido en la estipulación “PRIMERA. – Objeto del encargo del tratamiento” la prestación, entre otros, de un servicio orientado a garantizar la seguridad de las personas, bienes e instalaciones que se encuentran en el edificio. En esa misma estipulación queda expresamente recogido que el personal de la empresa sólo tendrá acceso al visionado de las imágenes debiendo comunicar al responsable del Ayuntamiento, según se contempla en la estipulación “TERCERA. – De los datos de carácter personal a tratar por el Encargado” cualquier incidencia acaecida para que este inicie las actuaciones pertinentes. El sistema graba las imágenes de forma continua y se almacenan durante un mes en un disco duro, salvo que se tuviera que realizar un visionado ante la sospecha de una actividad delictiva. De comprobarse esta circunstancia, se realizará un salvado del registro de la imagen para poder ponerla a disposición de los Cuerpos y Fuerzas de Seguridad, Juzgados y Tribunales. Manifiestan que el fichero de tratamiento relativo a la videovigilancia no se llegó a inscribir en el Registro General de Protección de Datos al suprimir esta obligación el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos) y tratarse la instalación, según contrato, de marzo de 2018. Dado el escaso tiempo disponible para poder cumplir con garantías con todos los trámites de inscripción de un fichero de titularidad pública en el Registro General de Protección de Datos entre la instalación de las cámaras y la plena aplicación del Reglamento, manifiestan que, tras consulta telefónica con esta Agencia, se les aconsejó incluir este tratamiento en el Registro de Actividades de Tratamiento del Ayuntamiento, aportando copia del relativo a “Videovigilancia edificios y dependencias municipales” y en el que se consigna toda la información relativa a la identificación y datos de contacto del responsable y el delegado de protección de datos, la descripción, la finalidad del tratamiento y el plazo de conservación de los datos, la categoría de los datos tratados, el origen de los mismos y las comunicaciones previstas que sobre estos puedan realizarse, así como la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 identificación de los procedimientos y las medidas de seguridad aplicables junto con las identificación de las sociedades con las que se ha contratado un encargo del tratamiento de los datos. A este respecto cabe establecer la vigencia de lo dispuesto en el Reglamento 2016/679/UE (RGPD), que es de plena aplicación desde el pasado 25 de mayo de 2018. Con el RGPD desaparece la obligación de notificar la inscripción de ficheros, tanto de responsables públicos o privados, en el Registro de Ficheros de la AEPD, o registro de la autoridad autonómica competente, sin perjuicio de la obligación de implementar el Registro de Actividades de Tratamiento, como así ha realizado el citado Ayuntamiento, según documentación aportada. V Por último señalar, que la pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Además hay que tener en cuenta que la finalidad del tratamiento debe presidir el mismo, de tal forma que no es aceptable que se traten datos excesivos en relación con la misma. El artículo 4.1 y 2 de la LOPD, garantizaba, en idéntico sentido el cumplimiento del principio de proporcionalidad en todo tratamiento de datos personales. A este respecto, cabe la aplicación de lo dispuesto en el artículo 4 de la Instrucción 1/2006, ya que no se opone a lo establecido en el RGPD, donde hace mención al principio de minimización de datos en los siguientes términos: - Las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. .- Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. .- Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida. Precisamente la redacción del artículo 4 de la Instrucción 1/2006, no viene sino a recoger el principio de minimización del artículo 5.1.
  12. c)del Reglamento 2016/979/UE. En el caso que nos ocupa, el sistema denunciado consta de cuatro cámaras tal y como se aprecia en el detalle del proyecto técnico de la empresa instaladora, dos de las cuales se hallan en la sala de exposiciones, otra en el hall o recepción de la Oficina de Turismo y una última en el almacén, no contando la instalación con cámaras exteriores en la actualidad. Según refieren, ninguna de las cámaras dispone de zoom ni de posibilidad de movimiento por medios electrónicos, siendo necesario su posicionamiento manual si se desea cambiar la dirección de enfoque de alguna de ellas. Según se aprecia en las fotografías aportadas con fecha 20 y 25 de julio de 2018, a raíz de una solicitud realizada por la Inspección de esta Agencia, las imágenes registradas por las cámaras se circunscriben al espacio de la sala de exposiciones, a la entrada a las dependencias de la Oficina de Turismo y a una estancia identificada como almacén. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Por lo tanto, a la vista de lo aportado, las imágenes captadas no infringirían el principio previsto en el artículo 5.1
  13. c)del Reglamento 2016/979/UE, cuando se habla de que los datos de carácter personal serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Así las citadas cámaras, realizaría un tratamiento proporcional de las imágenes, en relación con el ámbito y las finalidades que podrían justificar su recogida. Por tanto, siguiendo el criterio establecido por la normativa precedente, no puede considerarse, en el presente caso, que la instalación de las videocámaras en los términos expuestos vulnere los principios de calidad, proporcionalidad y finalidad del tratamiento. A la vista de lo expuesto, se procede al archivo del presente expediente de actuaciones previas al no apreciarse vulneración a la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a AYUNTAMIENTO DE ALCALÁ DE HENARES y a D. A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, vigente en el momento de los hechos denunciados, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.