E-04293-2020

1/10  Procedimiento Nº: E/04293/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 9 de octubre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra SERVICIO EXTREMEÑO DE SALUD, con NIF S0611001I (en adelante, el reclamado). Los motivos en que basa la reclamación son de manera sucinta los siguientes: “interpongo DENUNCIA para la protección de datos personales por la vulneración continua y permanente del derecho fundamental a la protección de datos (art. 18 CE) en grabaciones obtenidas mediante video-vigilancia” “De conformidad con el art. 64.1 LOPD, en este escrito de denuncia en la falta de atención de solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 Reglamento UE 2016/679, que son los ya aludidos de vulneración al acceso, información, conservación y tratamiento de datos personales (…) “En el Hospital comarcal de Llerena no se dispone de Delegado de protección de datos (art. 34.1 LOPD). Junto a la reclamación aporta la siguiente documentación adjunta: Bloque Documental Primero -Doc.1 Escrito de 9 de agosto de 2018 dirigido a la Gerencia Área con asunto cámaras en el exterior del recinto hospitalario y móviles corporativos. -Doc. nº 2. Escrito de 3 de mayo de 2019 dirigido a la Gerencia del área de Salud (Llerena Zafra) con asunto: Retirada Video-vigilancia y exigencia responsabilidad de su uso. -Doc. nº 3 Escrito de 3 junio 2019 dirigido al Director Gerente del SES como representante legal del organismo público (…) con asunto: Denuncia Video-vigilancia y exigencia responsabilidad de su uso. -Doc. nº 4 Escrito de 3 de julio dirigido a la Gerencia de Llerena (Zafra). -Doc. nº 5. Escrito de 5 de septiembre de 2019, intimidando la cesación del sistema de video-vigilancia y exigencia de responsabilidad administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 -Doc. nº 6 Fotografías actuales de las placas informativas expuestas en el hospital (Llerenas) de forma aleatoria, en algunas de las entradas al mismo (no en todas las existentes). Bloque Documental Segundo -Doc. nº 7 Escrito Contestación de la Gerente Área Salud Llerena (Zafra), de fecha 17 de junio de 2019, con asunto: Cámaras de video-vigilancia y móviles corporativos. -Doc. nº 8. Escrito de Don B.B.B. de 9 de agosto de 2019 dirigido al Juzgado de Primera Instancia e Instrucción de Llerena aportando prueba videográfica al procedimiento penal nº 36/2018, sobre Delitos leves, como responsable de seguridad del hospital (Llerena). Bloque Documental Tercero -Doc. nº 9. Solicitud Información pública (…) referente al contrato de Segurex en el hospital Llerena (Zafra). -Doc. nº 11 Recurso Reposición frente anterior Resolución dirigida el 12/08/19 al Consejo transparencia y Buen Gobierno (folios nº 38-40). Bloque Documental Cuarto -Doc. nº 12. Escrito de la Empresa de Vigilancia SEGUREX al denunciante informando sobre consulta efectuada sobre la video-vigilancia del Hospital del SES Llerena. -Doc. nº 13. Solicitud de Información remitida a SEGUREX el 24/09/19 mediante burofax y Acuse de Recibo burofax (folios nº 42 y 43). -Doc. nº 14. Escrito remitido a SEGUREX el 23/09719 y acuse de recibo correo certificado urgente. Bloque Documental Quinto -Doc. nº 15. Denuncia de D. C.C.C. por ***ASUNTO.1. -Doc. nº 16. Sentencia 27/2019, 22 de abril, de la AP Sección nº 1 (Badajoz). -Doc. nº 17 Sentencia nº 60/2018, 8 de enero, Juzgado Primera Instancia e Instrucción nº 1 de Llerena (folios nº 62-64). Bloque Documental Sexto -Doc. nº 18. Acuerdo Inicio Expediente Disciplinario 6718/SES de fecha 12/06/2019 (folios nº 65-66) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 -Doc. nº 19 Documentación iniciadora del referido Expediente disciplinario aportado por el Sr. C.C.C. y remitido a la Gerencia del Área de Salud a la Secretaría General el 28705/2018. -Doc. nº 21 Escrito de Don C.C.C. reiterando Denuncia en Expediente disciplinario sobreseído por la Secretaría General del SES con aportación nuevamente de datos obtenidos de una forma ilícita e insistiendo en la utilización del sistema de video-vigilancia de forma particular. SEGUNDO: En fecha 04/11/19 se procede al TRASLADO de la reclamación a la entidad denunciada para que manifestara en derecho lo que estimara oportuno. TERCERO: En fecha 20/07/20 se recibe contestación del requerimiento por parte de la reclamada Servicio Extremeño salud. CUARTO: En fecha 15/10/20 se recibe en esta Agencia escrito de alegaciones de la denunciada argumentando lo siguiente: “En este sentido y en respuesta al requerimiento, adjunto el Informe de la Gerencia del Área de Salud de Llerena-Zafra con el fin de proceder a atender a la solicitud formulada por la AEPD” Se adjunta caratula Sentencia Juzgado Primera Instancia e Instrucción nº 1 (Llerena). -Copia Sentencia Juzgado Contencioso-Administrativo nº 2 (Mérida) Sentencia nº 45/2020. -Sentencia TSJ Extremadura (Sala C-A) Sentencia número 00063/2020. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso se procede a analizar la reclamación de fecha 09/10/19 por medio de la cual se traslada como hecho principal el siguiente: “interpongo DENUNCIA para la protección de datos personales por la vulneración continua y permanente del derecho fundamental a la protección de datos (art. 18 CE) en grabaciones obtenidas mediante video-vigilancia” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 Al margen de otras consideraciones narradas en el escrito de denuncia, la misma se concreta en el hecho “se debieron borrar las imágenes mucho tiempo antes y, sin embargo, mantenía los Archivos ilegalmente” (folio nº 2 Escrito Denuncia). Los hechos en origen traen causa de algún tipo de “altercado” entre trabajadores del Centro Servicio Extremeño de Salud, lo que motivo la utilización de las cámaras del centro para constatar los mismos. El citado altercado terminó en un Juicio sobre Delitos leves con nº de referencia XX/2018 (Juzgado Instrucción nº 1 Llerena) dictándose Sentencia absolutoria, la cual fue confirmada en Sentencia en vía de apelación por la Audiencia Provincial (Badajoz). La finalidad que en el proceso penal se persigue con la actividad probatoria, es “formar la íntima convicción del Tribunal acerca de la existencia o no del hecho punible y de la participación del autor, con todas sus circunstancias, tal y como aconteció en la realidad histórica anterior al proceso”, es decir, la búsqueda y fijación de la verdad material. Los hechos acontecidos en sede judicial penal no van a ser objeto de análisis por este organismo, pues es el Juez Instructor al que le corresponde valorar “libremente” las pruebas aportadas, valorando inclusive una hipotética vulneración de derechos fundamentales en relación, a las mismas. La normativa en vigor en el momento de producirse los hechos objeto de denuncia es el actual REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). Como primera cuestión, cabe indicar que la entidad denunciada acredita disponer de cartel informativo (

1. s)en zona visible indicando que se trata de una zona video-vigilada (escrito fecha 12/12/19). Se recomienda, no obstante, que el mismo se adecue a la normativa en vigor (de no haberlo efectuado a día de la fecha), procediendo a efectuar el cambio de la cartelería, indicando los aspectos recogidos en la normativa vigente. El artículo 22 apartado 4º de la LOPDGDD (LO 3/2018, 5 diciembre) dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento”. En el momento de producirse los “hechos” (8 agosto 2018) estaba todavía vigente la anterior LOPD (LO 15/99, 13 diciembre), que fue objeto de derogación por la actual LOPDGDD (LO 3/2018, 5 diciembre) que entró en vigor el día siguiente de su publicación en el B.O.E (DF 16ª de la citada Ley). De manera que la cartelería era la adecuada a la normativa vigente en el momento de producirse los hechos. Por tanto, se ha de desestimar esta primera pretensión de la parte denunciada, puesto que en los carteles aportados al presente procedimiento se permite constatar el responsable del tratamiento de los datos, ante el que ejercitar en su caso los derechos reconocidos legalmente. Se plantea, igualmente, la cuestión de la preceptiva autorización gubernativa en la instalación exterior de las Cámaras de seguridad. Un sistema de videovigilancia es, por definición, una estructura de captación de imágenes, e incluso sonido, en un espacio concreto, cuyas imágenes puedan ser visualizadas, grabadas y/o reproducidas. Por ello, la instalación de estos sistemas no debe ser algo arbitrario o casual, sino que debe responder a fines concretos y justificados. Se debe matizar que una cosa son cámaras instaladas por motivos de seguridad que normalmente se circunscriben al exterior (vgr. protección recinto) y otra cuestión son las cámaras internas que pueden ser utilizadas, por el empleador para velar por su interés legítimo, esto es, controlar el grado de cumplimiento de las tareas encomendadas a los trabajadores. El nuevo artículo 89 apartado 1º “in fine” LOPDGDD (LO 3/2018) contempla: “En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica” El artículo 1 de la Ley 5/2014, de 4 de abril, de Seguridad Privada, dispone lo siguiente: “Esta ley tiene por objeto regular la realización y la prestación por personas privadas, físicas o jurídicas, de actividades y servicios de seguridad privada que, desarrollados por éstos, son contratados, voluntaria u obligatoriamente, por personas físicas o jurídicas, públicas o privadas, para la protección de personas y bienes. Igualmente regula las investigaciones privadas que se efectúen sobre aquéllas o éstos”. La finalidad de este servicio de vigilancia no es otro que “
2. a)satisfacer las necesidades legítimas de seguridad (…) velando por la indemnidad o privacidad de las personas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 bienes cuya seguridad o investigación se les encomiende frente a posibles vulneraciones de derechos (…)”. La normativa invocada por la parte reclamante, génesis de la controversia inicial (Doc. nº 1 Anexo parte Reclamante) “en concreto la LO 4/97 debe contar con la preceptiva autorización gubernativa” no es aplicable en el presente caso. En el artículo 1 de la LO 4/97, 4 de agosto se limita su objeto a la “utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos, abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana (…)”. La entidad denunciada—Servicio Extremeño Salud—no está sujeto a la normativa invocada, al no tener la naturaleza de Fuerzas y Cuerpos de Seguridad del Estado (vgr. como sería el caso si habláramos de Comisarías del CNP a modo de ejemplo), sino a la Ley 5/2014, 4 abril de Seguridad Privada. En este caso, la denunciada contrató los servicios de una empresa de seguridad privada Segurex 06 S.L (encargada del tratamiento), mientras que el Servicio Extremeño Salud sería el responsable del tratamiento, tratamiento de imágenes (datos personales) sujetos a la normativa en vigor en materia de protección de datos. Por tanto, la instalación de las cámaras de video-vigilancia se ajusta a lo dispuesto en la Ley 5/2014, de Seguridad Privada y en el reglamento de desarrollo recogido en el RD 2364/1994, 9 de diciembre, por el que se aprueba el Reglamento de Seguridad Privada. Cuestión esta, en todo caso, al margen de la competencia de esta Agencia, que no tienen como cometido entrar a enjuiciar la legalidad de las decisiones adoptadas en el ejercicio de sus atribuciones por el Director Gerente del Servicio Extremeño Salud, siendo revisables por los órganos de la jurisdicción contenciosa administrativa (vgr. Ley 29/98, 13 julio) De manera que procede, igualmente, desestimar la pretensión de la parte recurrente por los motivos expuestos. III Como segunda cuestión, se considera que existe un uso “abusivo, lesivo e ilícito” en los datos obtenidos mediante video-vigilancia. El actual artículo 22 apartado 3º de la LOPDGDD (LO 3/2018) dispone lo siguiente: “Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación”. El artículo 16 apartado 3º LOPD (LO 15/99) en vigor en el momento de producirse los hechos disponía: “La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas”. Las mismas fueron cedidas a requerimiento del Juzgado de Instrucción por parte del Jefe de Personal Subalterno (Área de Salud Llerena-Zafra) como principal responsable de la seguridad del edificio. A mayor abundamiento se recuerda el deber de colaboración con la Administración de Justicia recogido en el artículo 141 apartados b), c),
3. d)y
4. e)Ley 40/2015 (1 octubre) “Deber de colaboración entre las Administraciones Públicas”. La cuestión planteada, nuevamente se entronca en una cuestión de licitud (ilicitud) de la prueba aportada en sede judicial, cuestión que como se ha dicho ha sido objeto de enjuiciamiento en sede judicial penal sin que pueda este organismo entrar en una revaloración de la misma. A los efectos de la legitimación para comunicar este tipo de datos a la Autoridad judicial competente se aplicaría el cumplimiento de una obligación legal en base a lo recogido en el artículo 236 quáter de la LOPJ (LO 6/1985, 1 julio). A mayor abundamiento, el art. 6.º1
5. f)RGPD establece que el tratamiento será legítimo “
6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño”. No existen en este caso dudas de compatibilidad entre la finalidad del sistema de video-vigilancia (la seguridad) con la conservación de los datos para garantizar su comunicación a la autoridad judicial por un hecho con apariencia delictiva (sin más consideraciones por este organismo), cumpliéndose así con el mandato del artículo 11.1 de la LOPD 15/99 (vigente en el momento de cometerse los hechos. El artículo 20.3 ET dispone: “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad”. Bastará por tanto con disponer de cartel (
7. es)informativo en zona visible indicando que se trata de una zona video-vigilada para cumplir con el deber de información, no estando las mismas instaladas en zonas oscuras (reservadas) o siendo cámaras espías, sino bien visibles, hasta el punto de captar el altercado producido entre los trabajadores del Centro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 En la Sentencia del TC 39/2016, 3 marzo