E-07911-2020

1/8  Procedimiento Nº: E/07911/2020 - RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante), tiene entrada con fecha 12 de abril de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra HISPANO EUROPEA DE COMERCIO E INDUSTRIA, S.L., con NIF B28894079 (en adelante, el reclamado o HECISA). Los motivos en que basa la reclamación son, en síntesis, los siguientes: En la empresa existe desde hace años un sistema de videovigilancia instalado y mantenido por la empresa de seguridad COESEGUR. Dicho sistema fue dado de alta ante la AEPD con la finalidad de seguridad de las instalaciones. Entre los meses de septiembre a octubre de 2019, se sometió a videovigilancia para control laboral, a dos trabajadores y el que suscribe, empleando para ello el sistema de cámaras de seguridad de la empresa. La empresa en momento alguno notificó a ninguno de los trabajadores su intención de realizar dicha videovigilancia ni que ésta iba a realizarse para control laboral. Además, dichas grabaciones fueron almacenadas en el servidor de la empresa en una carpeta de acceso público y mantenidas al menos hasta diciembre de 2019. Con anterioridad a los hechos citados, la trabajadora B.B.B. puso en conocimiento de la empresa, por escrito en varias ocasiones, que estaba siendo sometida a acoso laboral, sin que la empresa respondiera. El que suscribe puso en conocimiento de estos hechos a la Inspección de Trabajo el pasado 23 de diciembre de 2019. Documentación relevante aportada por el reclamante: - Dos vídeos de los guardados en el servidor de la empresa a los que se les ha reducido la calidad para respetar el límite de archivo de la AEPD - Un vídeo de captura de pantalla con la ruta de acceso a los archivos, el listado de los documentos contenidos en dicha carpeta. - Denuncia ante Inspección Laboral. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/03741/2020, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se recibió contestación alguna. TERCERO: Con fecha 1 de octubre de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: Con fecha de 11 de octubre de 2020, se recibe en esta Agencia ampliación de la reclamación adjuntando algunos documentos remitidos por la reclamada a los trabajadores citados en la reclamación, no relevantes en el ámbito competencial de esta Agencia que reflejan, según recogen estos documentos, una enconada y persistente relación encontrada entre el reclamante y su esposa, y la reclamada, que terminó con el despido disciplinario de aquellos por presuntas irregularidades. En estos documentos se ha encontrado de interés para esta Agencia que en el párrafo 6 de la página 7 de 18 del documento “Amonestaciones y despidos” consta: “La dirección de la empresa ha logrado recuperar las grabaciones de video, donde se observa cómo lleva a cabo esas labores de impresión masiva de documentos, en compañía de su esposo A.A.A., el día 9/10/2019, una vez concluida la jornada laboral del resto de trabajadores de HECISA, fecha inmediatamente anterior a causar baja por IT en la empresa, documentación que el día 10 ya había salido de la empresa.” En este sentido, el reclamante sostiene que se han estado conservando las grabaciones del sistema de videovigilancia por tiempo indefinido y superior a 30 días. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Con fecha de 18 de diciembre de 2021, se recibe en esta Agencia escrito de alegaciones manifestando que todos los trabajadores de la empresa han tenido conocimiento de la contratación e instalación del sistema de videovigilancia en el centro de trabajo y más la esposa del reclamante que fue la apoderada de HECISA encargada de contratar, instalar y acceder al servicio de videovigilancia instalado en la empresa por parte de la empresa COESSEGUR S.A. desde su contratación, en fecha 24 de marzo de 2010. Toda la plantilla fue informada de forma individualizada en su momento por la esposa del reclamante, como responsable no sólo de su contratación, sino de la implantación en la empresa. Existen carteles de zona videovigilada indicando el responsable del tratamiento. Y adjuntan, entre otros, los siguientes documentos: - Registro de actividad del tratamiento indicando entre otros aspectos el responsable del tratamiento, que la categoría de datos se limita a imagen, la finalidad del tratamiento es garantizar la seguridad de personas, bienes e instalaciones, dentro de las instalaciones de la Empresa siendo las personas autorizadas para su visualización C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 el Administrador y los apoderados de la Empresa. Respecto al sistema de almacenamiento y tiempo de conservación de las grabaciones, la reclamada responde indeterminadamente señalando que “se cumplen íntegramente los protocolos fijados legalmente” y en la documentación aportada en la reclamación tampoco se han encontrado evidencias de que se hayan conservado por un tiempo indebido. El sistema de videovigilancia ha estado siendo utilizado para una finalidad diferente a la definida e informada inicialmente a los trabajadores, y descrita en el registro de actividad del tratamiento, lo que se comprueba a partir de los siguientes documentos: Video aportado por el reclamante “Acceso_a_grabaciones_20191210_151619.mp4” Este este video se realiza capturando la pantalla de un ordenador personal que se conecta remotamente al ordenador con la IP ***IP.1 y se navega hasta la carpeta “BuzonGeneral/BuzonInformatica/Configuracion13.11.2019/Mis documentos/Mis vídeos/CONTROL FICHAJES” En esta carpeta se encuentran otras subcarpetas con los nombres “ENTRADAS”, “SALIDAS” y “COMIDAS”. En estas subcarpetas se encuentran ficheros de imágenes en formato “bmp” cuyos nombres de fichero tienen el formato día y hora seguido de las iniciales del reclamante y su esposa. Hay que destacar que no constan imágenes de todos los trabajadores, sino únicamente del reclamante y de su esposa. Video aportado por el reclamante “A.A.A..mp4” Video del momento de la salida de su esposa coincidente en fecha y hora con imágenes de ésta en la carpeta mencionada anteriormente: “BuzonGeneral/BuzonInformatica/Configuracion13.11.2019/Mis documentos/Mis vídeos/CONTROL FICHAJES/SALIDAS”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La reclamación se concreta en el uso de las imágenes grabadas por la entidad reclamada para la seguridad de las personas, bienes y servicios, para el despido de los reC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 clamantes; así como su mantenimiento más allá del plazo establecido. El Tribunal Supremo en su sentencia 77/2017 de 31 de enero 2017, en un supuesto similar al reclamado, recoge lo ya señalado por el Tribunal Constitucional en una sentencia de 2016, señalando lo siguiente: “Aplicando la doctrina expuesta al tratamiento de datos obtenidos por la instalación de cámaras de videovigilancia en el lugar de trabajo, que es el problema planteado en el presente recurso de amparo, debemos concluir que el empresario no necesita el consentimiento expreso del trabajador para el tratamiento de las imágenes que han sido obtenidas a través de las cámaras instaladas en la empresa con la finalidad de seguridad o control laboral, ya que se trata de una medida dirigida a controlar el cumplimiento de la relación laboral y es conforme con el art. 20.3 TRLET, que establece que “el empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana”. Si la dispensa del consentimiento prevista en el art. 6 LOPD se refiere a los datos necesarios para el mantenimiento y el cumplimiento de la relación laboral, la excepción abarca sin duda el tratamiento de datos personales obtenidos por el empresario para velar por el cumplimiento de las obligaciones derivadas del contrato de trabajo. El consentimiento se entiende implícito en la propia aceptación del contrato que implica reconocimiento del poder de dirección del empresario. En definitiva, la exigencia de finalidad legítima en el tratamiento de datos prevista en el art. 4.1 LOPD viene dada, en el ámbito de la videovigilancia laboral, por las facultades de control empresarial que reconoce el art. 20.3 TRLET, siempre que esas facultades se ejerzan dentro de su ámbito legal y no lesionen los derechos fundamentales del trabajador. Por ello, como hemos señalado, aunque no se requiere el consentimiento expreso de los trabajadores para adoptar esta medida de vigilancia que implica el tratamiento de datos, persiste el deber de información del art. 5 LOPD. Sin perjuicio de las eventuales sanciones legales que pudieran derivar, para que el incumplimiento de este deber por parte del empresario implique una vulneración del art. 18.4 CE exige valorar la observancia o no del principio de proporcionalidad. Debe ponderarse así el derecho a la protección de datos y las eventuales limitaciones al mismo justificadas en el cumplimiento de las obligaciones laborales y las correlativas facultades empresariales de vigilancia y control reconocidas en el art. 20.3 TRLET, en conexión con los arts. 33 y 38 CE. En efecto, la relevancia constitucional de la ausencia o deficiencia de información en los supuestos de videovigilancia laboral exige la consiguiente ponderación en cada caso de los derechos y bienes constitucionales en conflicto; a saber, por un lado, el derecho a la protección de datos del trabajador y, por otro, el poder de dirección empresarial imprescindible para la buena marcha de la organización productiva, que es reflejo de los derechos constitucionales reconocidos en los arts. 33 y 38 CE y que, como se ha visto, en lo que ahora interesa se concreta en la previsión legal ex art. 20.3 TRLET que expresamente faculta al empresario a adoptar medidas de vigilancia y control para verificar el cumplimiento por los trabajadores de sus obligaciones laborales (SSTC 186/2000, de 10 de julio, FJ 5; 170/2013, de 7 de octubre, FJ 3). Esta facultad general de control prevista en la ley legitima el control empresarial del cumplimiento por los trabajadores de sus tareas profesionales (STC 170/2013, de 7 de octuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 bre; STEDH de 12 de enero de 2016, caso Barbulescu v.Rumania), sin perjuicio de que serán las circunstancias de cada caso las que finalmente determinen si dicha fiscalización llevada a cabo por la empresa ha generado o no la vulneración del derecho fundamental en juego. Obviamente, el sometimiento de la falta o insuficiencia de información al reiterado juicio de proporcionalidad requerirá determinar en cada supuesto, con carácter previo, si se ha producido o no la indicada omisión de la información debida. Pues bien, centrándonos ya en el presente caso, la recurrente en amparo considera vulnerado el art. 18.4 CE porque no había sido informada previamente de la instalación de cámaras de videovigilancia en el puesto de trabajo. Como señala la sentencia recurrida, las cámaras de videovigilancia instaladas en la tienda donde prestaba sus servicios la recurrente en amparo captaron su imagen apropiándose de dinero y realizando, para ocultar dicha apropiación, operaciones falsas de devoluciones de venta de prendas. Ante estos hechos la trabajadora fue despedida. Según consta en los hechos probados de las resoluciones recurridas, la cámara estaba situada en el lugar donde se desarrollaba la prestación laboral, enfocando directamente a la caja, y en el escaparate del establecimiento, en un lugar visible, se colocó el distintivo informativo exigido por la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras. La necesidad de adecuar la videovigilancia a las exigencias del derecho fundamental a la protección de datos ha llevado a la Agencia Española de Protección de Datos, en ejercicio de la competencia que le atribuye el art. 37.1

1. c)Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, a dictar la citada Instrucción para adecuar los tratamientos de imágenes con fines de vigilancia a los principios de dicha Ley Orgánica y garantizar los derechos de las personas cuyas imágenes son tratadas por medio de tales procedimientos. Esta Instrucción, en su art. 3, exige a los responsables que cuenten con sistemas de videovigilancia cumplir con el deber de información previsto en el art. 5 Ley Orgánica 15/1999, y a tal fin deberán “colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados” y “tener a disposición de los/las interesados impresos en los que se detalle la información prevista en el art. 5.1 de la Ley Orgánica 15/1999”. El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción, según el cual, el distintivo deberá incluir una referencia a la Ley Orgánica 15/1999, de protección de datos, una mención a la finalidad para la se tratan los datos (“Zona videovigilada”) y una mención expresa a la identificación del responsable ante quien puedan ejercitarse los derechos a los que se refieren los arts. 15 y siguientes de la Ley Orgánica 15/1999. Como hemos señalado, en cumplimiento de esta obligación, la empresa colocó el correspondiente distintivo en el escaparate de la tienda donde prestaba sus servicios la recurrente en amparo, por lo que ésta podía conocer la existencia de las cámaras y la finalidad para la que habían sido instaladas. Se ha cumplido en este caso con la obligación de información previa pues basta a estos efectos con el cumplimiento de los requisitos específicos de información a través del distintivo, de acuerdo con la Instrucción 1/2006. El trabajador conocía que en la empresa se había instalado un sistema de control por videovigilancia, sin que haya que especificar, más allá de la mera vigilancia, la finalidad exacta que se le ha asignado a ese control. Lo importante será C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 determinar si el dato obtenido se ha utilizado para la finalidad de control de la relación laboral o para una finalidad ajena al cumplimiento del contrato, porque sólo si la finalidad del tratamiento de datos no guarda relación directa con el mantenimiento, desarrollo o control de la relación contractual el empresario estaría obligado a solicitar el consentimiento de los trabajadores afectados. En este caso, el sistema de videovigilancia captó la apropiación de efectivo de la caja de la tienda por parte de la recurrente que por este motivo fue despedida disciplinariamente. Por tanto, el dato recogido fue utilizado para el control de la relación laboral. No hay que olvidar que las cámaras fueron instaladas por la empresa ante las sospechas de que algún trabajador de la tienda se estaba apropiando de dinero de la caja. En consecuencia, teniendo la trabajadora información previa de la instalación de las cámaras de videovigilancia a través del correspondiente distintivo informativo, y habiendo sido tratadas las imágenes captadas para el control de la relación laboral, no puede entenderse vulnerado el art. 18.4 CE. Por ello, el control que debe realizar este Tribunal de las resoluciones judiciales recurridas en amparo ha de recaer, precisamente en enjuiciar si, como exige la doctrina reiterada de este Tribunal, el órgano jurisdiccional ha ponderado adecuadamente que la instalación y empleo de medios de captación y grabación de imágenes por la empresa ha respetado el derecho a la intimidad personal de la solicitante de amparo, de conformidad, nuevamente, con las exigencias del principio de proporcionalidad (SSTC 186/2000, de 10 de julio, FJ 6, y 98/2000, de 10 de abril, FJ 8). En efecto, de conformidad con la doctrina de este Tribunal, la constitucionalidad de cualquier medida restrictiva de derechos fundamentales viene determinada por la estricta observancia del principio de proporcionalidad. A los efectos que aquí importan, basta con recordar que para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres requisitos o condiciones siguientes: si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto) ( SSTC 66/1995, de 8 de mayo, FJ 5; 55/1996, de 28 de marzo, FFJJ 6, 7, 8 y 9; 207/1996, de 16 de diciembre, FJ 4 e), y 37/1998, de 17 de febrero, FJ 8). Del razonamiento contenido en las Sentencias recurridas se desprende que, en el caso que nos ocupa, la medida de instalación de cámaras de seguridad que controlaban la zona de caja donde la demandante de amparo desempeñaba su actividad laboral era una medida justificada (ya que existían razonables sospechas de que alguno de los trabajadores que prestaban servicios en dicha caja se estaba apropiando de dinero); idónea para la finalidad pretendida por la empresa (verificar si algunos de los trabajadores cometía efectivamente las irregularidades sospechadas y en tal caso adoptar las medidas disciplinarias correspondientes); necesaria (ya que la grabación serviría de prueba de tales irregularidades); y equilibrada (pues la grabación de imágenes se limitó a la zona de la caja), por lo que debe descartarse que se haya producido lesión alguna del derecho a la intimidad personal consagrado en el art. 18.1 CE.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 III Si bien la Sentencia se dicta cuando estaba vigente la Ley Orgánica 15/1999, y no había entrado en vigor el RGPD, el supuesto objeto de reclamación es asimilable a la normativa actual. El artículo 89 de la LOPDGDD establece lo siguiente en relación con el derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo: “1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica. 2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. 3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley.” Pues bien, en el supuesto objeto de reclamación, la reclamada había puesto carteles informativos sobre la instalación de cámaras de videovigilancia y había informado de ello a los trabajadores. El uso reclamado es consecuencia del despido del reclamante y su pareja que habían sido grabados cometiendo actos ilícitos en la relación laboral que mantenían. La medida era proporcional, adecuada y necesaria para acreditar dicha actuación. Tampoco se ha acreditado que se conserven las grabaciones más tiempo del establecido legalmente, un mes de conformidad con el artículo 22 de la LOPDGDD, salvo las que se han conservado para la acreditación de actuaciones que dieron lugar a los despidos de los trabajadores. Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 ble del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
2. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es