E-04831-2020

1/6  Procedimiento Nº: E/04831/2020 935-240719 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VIGILANT, S.A., con CIF.: A30085401 (en adelante, “la entidad reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la persona reclamante”), por presunta vulneración de la normativa de protección de datos, y atendiendo a los siguientes: HECHOS PRIMERO: Con fecha 30/10/19, la persona reclamante remitió a esta Agencia escrito, indicando en el mismo, entre otras, que: “En la tarde del día 30/10/2019 he tenido que acceder al interior del ***ESTABLECIMIENTO.1 denominado "B.B.B." ubicado en Sucina, Murcia, cuyos viales son públicos. El ***ESTABLECIMIENTO.1 tiene un solo punto de acceso donde hay ubicado un control en el que hay personal de seguridad privada contratada por la comunidad de propietarios, el cual solicita la identificación y procede a anotar los datos personales de todas las personas NO residentes, a lo cual yo me he negado por tratarse de un entorno de suelo urbano de carácter público, cuyo acceso está garantizado por el derecho a la libre circulación dentro de dichos espacios establecido en el ordenamiento jurídico. Dado que si no me identificaba no me dejaban acceder, me he visto obligado a facilitar mis datos personales, los cuales han procedido a apuntar en una libreta, contra mi voluntad, ya que no les he dado permiso para que los anotaran, pero ellos lo han hecho de igual modo. No me han facilitado información sobre el tratamiento que hacen de dichos datos personales y me han negado mi derecho a que dichos datos sean eliminados. Requiero de la agencia española de protección de datos una investigación sobre el trato que realiza dicha empresa de los datos recabados en ese registro de entrada, y de si la confección y el tratamiento de los datos que figuran en dichos listados se ajusta a la ley española de protección de datos”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 11/12/19, se dirige requerimiento informativo a la entidad VILIGANT, SA. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el requerimiento enviado a la entidad reclamada, el día 11/12/19 a través del servicio de notificaciones NOTIFIC@, fue recibido en destino el día 11/12/

1. TERCERO: Con fecha 05/06/20, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por el reclamante, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 CUARTO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD). Así, con fecha 09/06/20 y número de referencia E/04831/20, se dirigió escrito de requerimiento de información a la entidad VIGILANT, SA. QUINTO: Con fecha 19/06/20, la entidad VIGILANT, S.A. remite a esta Agencia la siguiente información y manifestaciones: “
2. Que recoge los siguientes datos en relación con el control de accesos de la urbanización B.B.B. ubicada en Sucina (Murcia): Fecha; Nombre; Pasaporte/DNI; Nacionalidad; Fecha de nacimiento; Matrícula, marca, modelo y color del vehículo; Dirección del apartamento; Nombre del vigilante; Observaciones y aporta copia de sus ficheros donde se muestran los datos mencionados para la fecha desde el 16/05/20 hasta el 14/06/20 con un total de 52 registros.
3. Que los datos no se conservan más de 30 días.
4. Que aportan los documentos que se disponen para los visitantes. - Documento con logotipo de VIGILANT donde consta el texto “INFORMACIÓN CONTROL DE ACCESOS” y exclusivamente información sobre los epígrafes siguientes: Responsable donde consta COMUNIDAD DE PROPIETARIOS DEL “B.B.B.”; Encargado del Tratamiento donde consta VIGILANT, S.A.; Finalidad Legitimación donde consta “RGPD 6.1.f el tratamiento es necesario para la satisfacción de intereses legítimos[…] para cumplir con: el art. 32.1.b de la Ley 5/2014 de 4 de abril de Seguridad Privada”; Destinatarios y Derechos
5. Se aporta contrato firmado, fechado 12 de junio de 2018 donde se manifiesta: - Normativa Este documento incorpora la firma electrónica reconocida de acuerdo a la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza y del Reglamento UE 910/2014 del Parlamento Europeo y del Consejo de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior firmado. - Que el responsable del tratamiento es COMUNIDAD GENERAL DE PROPIETARIOS ***COMUNIDAD PROPIETARIOS B.B.B. - Que el encargado del tratamiento es GRUPO VIGILANT. - Que el tratamiento consistirá, entre otros, en el CONTROL DE ACCESOS y consta: “Uso de los datos personales: Datos de Contacto, Documentación E imágenes de vigilancia para la realización de las labores de: - Un sistema de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 control de accesos permite tener el control y registro de las personas o vehículos que tienen permitido el acceso a recintos restringidos- […]” - Que la duración del contrato es desde el 07/06/17 al 30/06/
6. - “El responsable del tratamiento no conservará datos de carácter personal relativos a los tratamientos del encargado salvo que sea estrictamente necesario para la prestación del servicio, y solo durante el tiempo estrictamente necesario para su prestación.” SEXTO: A la vista de los hechos expuestos en la información facilitada por la entidad VIGILANT, SA. y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD). Así, con fecha 26/11/20 y 09/12/20, se dirigió sendos escritos de requerimiento de información a la entidad, ***COMUNIDAD DE PROPIETARIOS B.B.B.. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el requerimiento enviado a la entidad reclamada, el día 26/11/20 a través del servicio de notificaciones NOTIFIC@, fue rechazada en destino con fecha 07/12/
7. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada, el día 09/12/20, a través del servicio de SICER, fue notificado en destino con fecha 17/12/20, siendo la receptora: C.C.C.. ***NIF.
8. SÉPTIMO: Con fecha 21/12/20, la entidad VIGILANT, S.A. remite a esta Agencia la siguiente información y manifestaciones:
9. Se aporta fotografía de hoja informativa relativa al Control de Accesos con exclusivamente los siguientes campos informativos; Responsable donde consta COMUNIDAD DE PROPIETARIOS ***COMUNIDAD DE PROPIETARIOS B.B.B., Encargado donde consta VIGILANT, S.A., Finalidad, Legitimación donde consta “RGPD 6.1.f el tratamiento es necesario para la satisfacción de intereses legítimos […] para cumplir con: el art. 32.1.b de la Ley 5/2014 de 4 de abril de Seguridad Privada”, Destinatarios, Derechos.
10. Se aporta fotografía de la garita de entrada donde consta la hoja informativa anterior colocada en cristalera. OCTAVO: Con fecha 31/12/20, la Comunidad General del Complejo Inmobiliario Privado Hacienda Riquelme remite a esta Agencia escrito informativo, en el que indica: “Que en fecha 17 de diciembre de 2020 dicha Comunidad recibió requerimiento de información de la Agencia de Protección de Datos con número de referencia, E/04831/2020; en el que se requería información sobre cómo se proporciona información a la empresa que presta el servicio de Seguridad en el Complejo, VIGILANT S.A. (C.I.F. A-30085401), para el control de acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 II. Por lo que ha podido conocer la Comunidad dicha información ya ha sido proporcionada por la empresa VIGILANT S.A., que es objeto de la comprobación”. FUNDAMENTOS DE DERECHO I Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. II El artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. En el presente caso, se constata que la empresa de seguridad VIGILANT, SA, tiene contrato en vigor con la comunidad de propietarios ***COMUNIDAD DE PROPIETARIOS B.B.B. para, entre otras, el control de acceso a la comunidad. También se ha constatado que, cuando alguien accede al complejo, se le solicita que se identifique y se le proporciona la información necesaria, acorde con lo estipulado en la legislación vigente: por lo que la actuación realizada por la entidad reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos. SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR el presente acuerdo a la entidad VIGILANT, S.A., y a D. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es