E-09292-2018

1/8 Expediente Nº: E/09292/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad EZKERRALDEA MEATZALDEA BUS S.A. en virtud de denuncia presentada por ELA SINDICATO CONFEDERACIÓN EUSKAL LANGILEEN ALKARTASUNA ELA-STV y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 1/08/2018 tuvo entrada en esta Agencia escrito de D.A.A.A. (reclamante) ***PUESTO.1 de ELA SINDICATO CONFEDERACIÓN EUSKAL LANGILEEN ALKARTASUNA ELA-STV (en lo sucesivo el reclamante) frente a EZKERRALDEA MEATZALDEA BUS S.A. (reclamada), indicando: “En la empresa EZKERRALDEA MEATZALDEA BUS, servicio de Bizkaibus de la Diputación Foral de Bizkaia, se han instalado cámaras sin que a la representación sindical se le comunique el procedimiento de visionado de la misma, y sin que tengamos conocimiento (se ha solicitado) de las personas que hacen uso de esa grabaciones y del área que se graba. Hemos solicitado a la Agencia Vasca de Protección de datos se tomen las medidas para que se facilite dicha información y se aclare el uso de estas grabaciones y quien tiene acceso a la misma, y se deriva a esta Agencia Estatal”. Se adjunta: 1) Copia de escrito que el Sindicato dirige a en el que indica que el 26/04/2018 se les informó que se va a poner en marcha el 16/05/2018 un sistema de videovigilancia para mejorar la seguridad en la conducción de autobuses. Indica el Sindicato que desconoce qué departamento es el encargado de la custodia y control de las imágenes y ese hecho supone “indefensión por los trabajadores” y que las imágenes se están “visionando de forma continua y en tiempo real desde distintos departamentos de la empresa” y por tanto no se tratan almacenadas encriptadas, manifestando que las imágenes se visionan en todo momento y que el uso para el control laboral atenta a la libertad de los trabajadores, y que la “falta de encriptado de las imágenes, desconociendo su uso y control atenta directamente contra el derecho a la intimidad tanto de trabajadores como usuarios” Exige cuantas medidas sean necesarias para el correcto uso del sistema. El escrito aparece firmado el 6/06/2018 y se ignora la modalidad de envío, dirigido supuestamente a la reclamada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 2) Aporta asimismo impreso informativo a efectos del artículo 5 de la LOPD del uso del sistema de videocámara de la reclamada. 3) Aporta copia de escrito de 26/04/2018 en el que la reclamada comunica a la representación laboral de los trabajadores la instalación y puesta en funcionamiento el 16/05/2018 de un sistema de videovigilancia para mejorar la seguridad del personal de conducción y de los clientes en los autobuses que prestan servicios regulares de transporte de la concesión de BIZKAIABUS. El comunicado informa del sistema, con cuatro cámaras por autobús que recogen la totalidad de las zonas y que no enfoca directamente la zona de conducción del conductor, aportando imágenes. La petición para la visualización del interior del vehículo la genera el conductor mediante activación del pisón de emergencia. Se informa de que la finalidad es la seguridad y el control empresarial de los trabajadores en el cumplimiento y desarrollo de sus obligaciones y deberes laborales en aplicación del estatuto de los trabajadores y que en el interior de los vehículos se exponen carteles informativos de zona videovigilada. El documento aparece firmado en nombre de varios sindicatos el 4/05/2018. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió el 5/10/2018 a la realización del traslado de la reclamación al responsable del tratamiento o de su Delegado de Protección de Datos, con el siguiente contenido: De conformidad con art. 9.4 del Real Decreto-ley 5/2018 (BOE 30 de julio de 2018) le traslado la reclamación presentada por ELA SINDICATO CONFEDERACIÓN EUSKAL LANGILEEN ALKARTASUNA ELA-STV para que analice dicha reclamación y le comunique al reclamante la decisión que adopte al respecto. Asimismo, en el plazo de un mes desde la recepción de este escrito deberá remitir a esta Agencia la siguiente información: 1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. 4. Cualquier otra que considere relevante.” Con fecha 5/11/2018, la reclamada informa:

1. a)Adjuntan copia de la comunicación dirigida al reclamante y acreditación de que lo ha recibido el 2/11/2018. El escrito según indica va a dar respuesta a la petición de procedimiento de visionado de imágenes captadas en el sistema de los autobuses y el personal con acceso a las grabaciones así como área que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 es objeto de grabación y ofrece similar información a la que se dio a CCOO y LAB. También le indica que en la intranet y en tablones de anuncios se informó de manera gráfica con capturas de pantallas de las imágenes que se visualizan en el centro de recepción de imágenes.
2. b)No se ha recibido escrito de petición del derecho de acceso y no se puede considerar como tal el de la pretensión de obtener información sobre el procedimiento de visionado de imágenes y personas que hacen uso de las grabaciones ya reas que se graban.
3. c)En cuanto a la instalación del sistema, se puso en marcha el 16/05/2018, y se informó previamente a los trabajadores y a su representación laboral a través de comunicaciones escritas de 26/04/2018, colocación en el interior de los autobuses del cartel de zona videovigilada y puesta a disposición de los interesados de los impresos informativos en los autobuses y en oficinas. Esa información circuló a través de la intranet de la empresa y en los tablones de anuncios. Adjuntan un documento titulado “comunicación” “cámaras en los autobuses” de 16/05 a “retirada 31” en el que informa que “adicionalmente a la información trasladada al personal de conducción, representamos a continuación una captura de pantalla de las imágenes que se visualizan en el SAE de las cámaras instaladas en los autobuses”. Se aprecia que existen imágenes de distintas partes del bus, sin que se enfoque directamente al conductor. Aporta impreso informativo sobre el artículo 5 de la LOPD informando de la finalidad entre al que se encuentra el control empresarial de las obligaciones de los trabajadores y la seguridad interior del vehículo.
4. d)La finalidad el sistema es la de preservar la seguridad de las operaciones, y una obligación contractual asumida en el marco del contrato administrativo suscrito con la diputación foral de Bizkaia.
5. e)Las cámaras se colocan de forma que impida captar directamente la imagen del conductor, poniéndose de manifiesto a los empleados que las cámaras no enfocan directamente al puesto de conducción. El sistema capta imágenes durante el servicio y almacena las misas durante 5 días. La petición de visualización del interior del vehículo la genera el conductor mediante “activación el pistón de emergencia” “El Inspector de sala determina si es importante la grabación y la marca para bajarla al sistema central en formato HD. En estos casos las imágenes se conservan en BD durante 30 días”.
6. f)Aporta como documento 6, captura de la imagen captada en el interior del autobús, que es visionado por personal del sistema de ayuda a la explotación.
7. g)Manifiestan que adicionalmente aportan copia del contrato de14/03/2018 encargado de tratamiento con ETRA NORTE SA, para servicios de ayuda a la explotación incluyendo el mantenimiento y soporte del sistema manual de instalación y funcionamiento del sistema y una copia del registro de actividades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 del tratamiento en el que figura como base del tratamiento el artículo 6.1.
8. c)y el 6.1.
9. f)del RGPD.
10. h)Aporta un documento de 26/04/2018 entregado a varios representantes sindicales entre los que no se halla el reclamante. En el mismo se informa de la puesta en marcha del sistema de videovigilancia desde el 16/05/2018 “que servirá para mejorar la seguridad del personal de conducción y de los clientes en los autobuses que prestan servicios regulares de transporte de la concesión BIZKAIABUS” “para investigar incidentes de seguridad, circunstancias anómalas en el curso del servicio”, e “indirectamente y de forma excepcional en el caso de ser detectadas conductas ilícitas, ilegales o contrarias a las normas de seguridad de la empresa, las imágenes podrán ser objeto de tratamiento con fines de control empresarial de los trabajadores en el cumplimiento y desarrollo de sus obligaciones y deberes laborales” ”El sistema consiste en equipar el pupitre del billetaje de un disco duro y un software específico para la grabación de imagen “consta de cuatro cámaras que graban el interior del bus excepto al parte del conductor”. Se añade que las imágenes se almacenan por cinco días, las grabaciones son encriptadas y no se pueden visualizar sin el software correspondiente. Se informa de la sede ante al que ejercitar los derechos. El documento aparece firmado por as representaciones de CCOO y LAB. TERCERO: Con fecha 8/11/2018 se dicta acuerdo de admisión a trámite de la reclamación que es comunicada a ELA SINDICATO CONFEDERACION EUSKAL LANGILEEN ALKARTASUNA ELA -STV FUNDAMENTOS DE DERECHO I Es competente para resolver la directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
11. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En cuanto a la pretensión de la reclamante de que se le comunique por al responsable del tratamiento, EZKERRALDEA MEATZALDEA BUS, servicio de Bizkaibus de la Diputación Foral de Bizkaia, el procedimiento de visionado del sistema de videovigilancia, las personas y departamento que hacen uso de esa grabaciones, el área que se graba., se debe indicar que dicha petición no forma parte propiamente del derecho de acceso a los datos personales que son tratados por la reclamada que se señala en el artículo 14 del RGPD. Con independencia de que se haya recibido por la reclamada, no formaría parte del mismo, por lo que no se entiende impedido o no atendido III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 El artículo 22 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), indica: 1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. …3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. ,,,8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.” artículo 89:”1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica. 2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley.” El consentimiento del afectado es, por tanto, el elemento definidor del sistema de protección de datos de carácter personal. La LOPD establece el principio general de que el tratamiento de los datos personales se realizará con el consentimiento de sus titulares salvo que exista habilitación legal para que los datos puedan ser tratados sin dicho consentimiento. En este sentido, conforme señala la STC 292/2000, de 30/11, FJ 16, "es el legislador quien debe determinar cuándo concurre ese bien o derecho que justifica la restricción del derecho a la protección de datos personales y en qué circunstancias puede limitarse y, además, es el quien debe hacerlo mediante reglas precisas que hagan previsible al interesado la imposición de tal limitación y sus consecuencias”. De este modo, el art. 6.1 LOPD prevé que «el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El propio art. 6 LOPD, en su apartado 2, enumera una serie de supuestos en los que resulta posible tratar y ceder datos sin recabar el consentimiento del afectado; en concreto, «… cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento…” De acuerdo con la información proporcionada por la reclamada, existe obligación contractual de instalar el sistema de videovigilancia en los autobuses. exigida por la Administración Pública con la que ha contratado. Además, para el tratamiento de datos obtenidos por la instalación de cámaras de videovigilancia en el lugar de trabajo, en este caso interior del autobús, el empresario no necesita el consentimiento expreso del trabajador para el tratamiento de las imágenes que puedan ser obtenidas a través de las cámaras instaladas, en este caso autobús, en un caso con la finalidad de control laboral, ya que se trata de una medida dirigida a controlar el cumplimiento de la relación laboral y es conforme con el art. 20.3 del texto refundido de la Ley del estatuto de los trabajadores, que establece que «el empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana». Si la dispensa del consentimiento prevista en el anterior art. 6 LOPD se refiere a los datos necesarios para el mantenimiento y el cumplimiento de la relación laboral, la excepción abarca sin duda el tratamiento de datos personales obtenidos por el empresario para velar por el cumplimiento de las obligaciones derivadas del contrato de trabajo. Como contrapartida, el empresario también debe informar claramente a los trabajadores de que se ha instalado un dispositivo de visualización en los vehículos de la empresa que conducen, y que sus movimientos están siendo registrados, si bien en este caso no se monitoriza directamente el puesto de conductor. Los empleados han C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 sido suficientemente informados de los fines del sistema. También figura el cartel informativo en el interior del vehículo. En cuanto a la base legitima del resto de imágenes que se captan por el resto de las cámaras del autobús, la seguridad de los usuarios y del vehículo, existe un interés legítimo, articulo 6.1.
12. f)del RGPD. El artículo 22 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD) indica:” Tratamientos con fines de videovigilancia 1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior… 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información.” El artículo 12.1 del RGPD señala: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14” El RGPD enumera las categorías de información que deben facilitarse a un interesado en relación con el tratamiento de sus datos personales en los casos en los que se recaban del mismo (artículo 13) o se obtienen de otra fuente (artículo 14). El 12.7 del RGPD indica: “La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto” Para que no se contenga toda la información en el aviso de tratamiento de datos, se puede efectuar en capas. El diseño y la disposición de la primera capa de la declaración o aviso de privacidad deben ser tales que el interesado tenga una visión clara de la información disponible sobre el tratamiento de sus datos personales, dónde y cómo puede encontrar dicha información detallada dentro de la capas de la declaración o aviso de privacidad. Se recomienda que la primera capa o modalidad insertada en el icono de advertencia de área videovigilada contenga la información más importante, los detalles del propósito del tratamiento, la identidad del responsable y una descripción de los derechos del interesado, base jurídica del tratamiento e identificación del responsable del tratamiento y forma de contacto. La importancia de proporcionar esta información por adelantado surge, en particular, del considerando 39 del RGPD, no siendo necesario especificar la ubicación precisa del equipo de vigilancia; sin embargo, deberá quedar bien claro el contexto de la vigilancia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al interesado, sea una hoja informativa en una recepción, cajero, etc. o colocada en un espacio público visible, o referirse a una dirección web con el resto de elementos del artículo 13 del RGPD. De acuerdo con el objeto de la reclamación, no se aprecian circunstancias de incumplimiento de la normativa, debiendo dejar adoptar las denominaciones previas de LOPD en carteles, a adaptarse al nuevo RGPD y el modelo de gestión y cumplimiento que se halla en vigor. Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a EZKERRALDEA MEATZALDEA BUS S.A. y ELA SINDICATO CONFEDERACIÓN EUSKAL LANGILEEN ALKARTASUNA ELA-STV. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es