PA-00010-2023

1/16  Expediente N.º: EXP202305139 Procedimiento Apercibimiento Nº PA/00010/2023 - RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 1 de abril de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante denuncia que la parte reclamada es su vecina, habiendo colocado en su vivienda de la ***DIRECCION.1, un sistema de videovigilancia con 3 cámaras en movimiento que, por su ubicación y orientación, son susceptibles de captar imágenes de zonas ajenas a la vivienda de la parte reclamada, incluidas las de su vivienda particular, sin su autorización. Junto a la reclamación se aportan 4 fotografías en las que únicamente se visualiza la ubicación de las cámaras en el tejado de una casa, desconociéndose cuál es su campo de visión. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis y aporte cierta documentación y datos a esta Agencia sobre su sistema de videovigilancia en el plazo de un mes, a los efectos de comprobar si éste se adecúa a los requisitos previstos en la normativa de protección de datos. Entre otros documentos e información, se solicita que se aporten fotografías del monitor o cámara donde se visualice el campo de visión donde graban las cámaras, así como el plazo de conservación de las grabaciones, identificación del responsable, y fotos del cartel informativo de área de videovigilancia con los datos exigidos por los Arts. 12 a 14 del RGPD. TERCERO: Con fecha de 2 de junio de 2023, la parte reclamada presenta escrito de alegaciones a través de representante, indicando, resumidamente lo siguiente: - Aporta contrato suscrito con PROSEGUR para gestionar el sistema. Aporta foto en la que se visualizan dos carteles informativos: uno informando del sistema de alarma con PROSEGUR, y el que advierte de la existencia del sistema de videovigilancia al que se refiere el requerimiento, que no identifica al responsable del tratamiento, ni expone dónde obtener la información adicional o cómo ejercer los derechos previstos en el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 - Se aportan fotografías de diversas cámaras instaladas por la propiedad, sin aportar las captaciones que realizan las mismas. CUARTO: No aportando toda la información requerida, se requiere de nuevo de información a la parte reclamada con fecha de 5 de junio de 2023, con el siguiente texto: "- Indique el número de cámaras que tiene el sistema de vigilancia, aportando las fotografías de todos estos dispositivos, así como fotografías del monitor, pantalla de móvil o sistema equivalente, que utiliza para la visión de las imágenes, en las que se aprecie las zonas que quedan dentro del campo de visión de las cámaras. Las cámaras no deben, en ningún caso, grabar ni permitir la visión de terrenos colindantes que no sean de su propiedad, ni del interior de las viviendas o de cualquier otro espacio privado o reservado, ni tampoco de la vía pública, salvo de la porción de vía pública mínimamente necesaria para la finalidad de seguridad que se pretende. Conviene saber que a veces basta con reorientar el aparato para que su campo de visión se modifique y capte exclusivamente su propiedad; otras veces no se puede reubicar la cámara y entonces se pueden introducir máscaras de privacidad que oculten o velen los espacios que las cámaras no pueden captar. - Si las cámaras captan vía pública, aunque sea mínimamente, también deberá aportar fotografías del cartel o carteles que avisen de la existencia de una zona videovigilada, en las que se aprecie de forma clara la información que contiene el cartel (responsable: B.B.B. y dirección de la misma), así como la ubicación de éste". QUINTO: Con fecha de 26 de junio, se aporta nuevo escrito de alegaciones contestando al requerimiento, en el que: - Se indica que posee cuatro cámaras: tres exteriores y una interior, y que las exteriores son fijas, pero que se activan con el movimiento, permaneciendo en suspenso durante los periodos de inactividad en su campo de visión. Que la Guardia Civil ha acudido en diversas ocasiones, verificando la licitud del sistema, si bien ello no se acredita. Aporta fotografías de las captaciones. SEXTO: Con fecha 1 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, admitió a trámite la reclamación presentada por la parte reclamante. SÉPTIMO. Con fecha de 3 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 5.1.

1. c)del RGPD, tipificada en el Artículo 83.5
2. a)del RGPD, y la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5
3. b)del RGPD. OCTAVO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 recogida en fecha 07/11/2023, como consta en el acuse de recibo que obra en el expediente. NOVENO: En fecha 22 de noviembre de 2023 se recibe escrito de Rubén Barrios Iglesias, en el que presenta alegaciones, solicita traslado de la reclamación completa, y práctica de prueba en nombre de la parte reclamada sin acreditar su representación. DÉCIMO: Con fecha de 15 de enero de 2024 se remite a la parte reclamada copia completa de la reclamación, con sus fotografías adjuntas. UNDÉCIMO: Con fecha de 15 de enero de 2024 se requiere de acreditación de representación a Rubén Barrios Iglesias, informándole de que la copia se ha remitido a la parte reclamada. DUODÉCIMO : Con fecha de 30 de enero de 2024, se presenta escrito aportando poder notarial de designación del Sr. Barrios Iglesias como representante legal para actuar en nombre de la parte reclamada, por lo que se tiene por acreditada la representación, acusando recibo de las alegaciones y solicitud de prueba formuladas por éste con fecha de 22 de noviembre de 2023. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Que a fecha de la reclamación interpuesta por la parte reclamante -vecina del edificio colindante a la vivienda particular de la reclamada-, la parte reclamada tenía instaladas cuatro cámaras en su vivienda: tres exteriores y una interior, que son fijas, pero que se activan con el movimiento, permaneciendo en suspenso durante los periodos de inactividad en su campo de visión. De las fotografías aportadas por la propia reclamada se desprende que las cámaras exteriores están captando terrenos ajenos externos a su propiedad, dado que se vislumbra claramente que existen vallas y se puede apreciar el terreno externo a las mismas. A fecha de esta resolución, la parte reclamada no ha acreditado que haya reparado esta situación. SEGUNDO: Que a fecha de la reclamación interpuesta, la parte reclamada había colocado en su fachada un cartel que advierte del sistema de alarma por la empresa PROSEGUR pero el cartel que advertía de la existencia un sistema de videovigilancia operativo estaba incompleto, puesto que no estaban cumplimentados ni la identidad del responsable, ni la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD ni dónde obtener más información sobre el tratamiento de los datos personales, al objeto de hacer efectivo el derecho del interesado al contenido de la denominada “segunda capa” de información sobre el tratamiento de estas grabaciones. Con fecha posterior al acuerdo de inicio de este procedimiento, la reclamada ha subsanado esta infracción, colocando a través de PROSEGUR el pertinente cartel informativo que contiene toda la información exigida en la normativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 FUNDAMENTOS DE DERECHO I Competencia y Normativa Aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligaciones en materia de videovigilancia La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. El artículo 12.1 del RGPD indica que quien lleve a cabo un tratamiento de datos personales, como es la captación de imágenes mediante un sistema de videovigilancia, deberá suministrar a los interesados la información indicada en los artículos 13 y 14 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Con la finalidad de que el deber de información previsto en el artículo 12 del RGPD se cumpla de manera concisa y comprensible para el afectado, el citado artículo 22 de la LOPDGDD prevé en relación con la videovigilancia un sistema de "información por capas". En este sentido, la primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc., colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. No es necesario especificar la ubicación precisa del equipo de videovigilancia. Este deber de información se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso de que el espacio videovigilado disponga de varios accesos deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos. Esta información debe suministrarse por adelantado -considerando 39 del RGPD-. El objetivo es que quede claro el contexto de la vigilancia. El tratamiento de datos personales está sometido al resto de los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
4. c)del RGPD que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados". Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad previa autorización gubernativa. En algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y, en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. Tampoco pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Asimismo, resulta desproporcionado captar imágenes en espacios privados, tales como vestuarios, taquillas o zonas de descanso de trabajadores. Así mismo, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos específicos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- Se deberá cumplir con el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD. En tal sentido, el prevé en relación con la videovigilancia un sistema de “información por capas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 La primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. Esta información se contendrá en un dispositivo colocado en un lugar suficientemente visible y debe suministrarse por adelantado. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc…, colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. 4.- El tratamiento de las imágenes mediante la instalación de sistemas de cámaras o videocámaras deberá ser lícito y ajustarse al principio de proporcionalidad y al de minimización de datos, en los términos ya señalados. 5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 6.- El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. 7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación de impacto en la protección de datos, para detectar los derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas. 8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de cámaras con fines de seguridad, siempre que exista riesgo para los derechos y libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de 72 horas. Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos. 9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16  la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”),  la Guía sobre el uso de videocámaras para seguridad y otras finalidades,  la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. III Contestación de las alegaciones Analizando los antecedentes obrantes en el presente expediente, ha quedado acreditado que la reclamada ha incurrido en dos incumplimientos de la normativa aplicable a los sistemas de videovigilancia que supondrían la comisión de dos diferentes infracciones administrativas: - En primer lugar, por estar captando imágenes excesivas ajenas al territorio de su propiedad, puesto que en las fotografías aportadas por la propia reclamada en las que se refleja cual es el campo de visión de las cámaras exteriores, se observa que se están captando terrenos ajenos externos a su propiedad, dado que se vislumbra claramente que existen vallas y se puede apreciar el terreno externo a las mismas, más allá de lo permitido. Por tanto, la captación no sería proporcional y acorde a la normativa expuesta, concurriendo un posible incumplimiento del artículo. 5.1.
5. c)por vulnerar el principio de minimización de datos, puesto que los monitores deben captar imágenes que se limiten al espacio interior hasta la valla, y la parte de la vía pública estrictamente necesaria para captar la entrada. - Y en segundo lugar, por disponer de un dispositivo de videovigilancia sin cumplir con el deber de información exigido por la normativa por cuanto que el cartel informativo que fue colocado en su fachada -por encargo de la reclamada- no contenía los datos exigidos por los artículos 12 del RGPD y 22 de la LOPDGDD, puesto que pese a indicarse con letreros los apartados de identidad del responsable, y vías para ejercitar sus derechos, y obtener información adicional, el reclamado no los había rellenado o completado con los datos necesarios, hallándose en blanco. Falta de información que se mantuvo, al menos, desde la interposición de la reclamación, el 1/04/23, hasta que la reclamada reparó este incumplimiento, cumpliendo con lo indicado en el acuerdo de inicio de este procedimiento, tal y como ha sido acreditado mediante las fotografías aportadas en el documento 2 de su escrito de alegaciones de 22 de noviembre de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 Las alegaciones presentadas y la documentación adjunta no pueden ser estimadas, por los siguientes motivos: 1. Respecto a la certificación por PROSEGUR ALARMAS, S.L de la instalación de un sistema de alarma que incluía la instalación de las cámaras de videovigilancia aportada como Documento 1. Cabe señalar que, de acuerdo con la certificación aportada, la contratación de un sistema de seguridad implicó la mera instalación de una alarma y cámaras de videovigilancia, con la entrega de carteles informativos, que la parte reclamada debía cumplimentar, por ser éste el único responsable del tratamiento de datos personales que se produce al realizar grabaciones de acuerdo con lo dispuesto en el artículo 4.7 del RGPD, y no la empresa instaladora. Siendo la reclamada la única responsable del tratamiento, solo a ésta le competía vigilar que los carteles contuviesen la información basada en el sistema de doble capa informativa, siendo además la única que podía proporcionar estos datos relativos a la identidad del responsable, y las vías para ejercer sus derechos de acceso, rectificación, supresión…etc, así como dónde obtener más información sobre el tratamiento de los datos personales. 2. Sobre la renovación de los carteles informativos por la empresa instaladora, cabe indicar que se considera reparada la infracción respecto de la falta de información suficiente, pero que esta reparación es una obligación del responsable de todo tratamiento que podrá impedir que este incurra en nuevas infracciones administrativas con reincidencia en el futuro, pero no exime de la comisión de la infracción a la que se refiere el presente procedimiento, que se considera ya consumada. 3. Sobre el carácter excesivo de las imágenes captadas, no se aportan motivos suficientes que permitan considerar que la infracción del artículo 5.1.
6. c)del RGPD no se ha cometido. En primer lugar, se aduce pero no se acredita por la reclamada que las cámaras se activan con el movimiento cuando este se produce en el interior de su propiedad, pero ello no coincide con las imágenes del campo de visión de las cámaras exteriores que fueron aportados por la misma al expediente, en los que se aprecia claramente la valla y el terreno colindante, que excede de la propiedad de la reclamante. A mayor abundamiento, no se acredita haber reparado esta situación en la actualidad, mediante la aportación de nuevas imágenes del campo de visión que permitan observar que se han redirigido las mismas o se han colocado máscaras de privacidad para evitar captar zonas de la vía pública o de propiedad ajena, por lo que la infracción persiste en la actualidad, pareciendo entender la reclamada que tiene derecho a realizar estas grabaciones del terreno ajeno al suyo, para protegerse de los presuntos “ataques” que recibe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 por parte de sus vecinos, a los que acredita haber denunciado en diversas ocasiones por diversos delitos de daños a su propiedad y persona. Así pues, la reclamada se refiere a la reclamante, en los siguientes términos: “Esta parte pone en conocimiento del organismo al que me dirijo la manifiesta enemistad existente entre las partes, cuyas propiedades colindan. La parte reclamante, con afán de dinamitar la tranquilidad de sus vecinos en el hogar, arroja objetos punzantes, piedras y restos de comida al terreno propiedad de la dicente, motivo por el que esta parte decidió en su momento instalar el sistema de videovigilancia. A modo ilustrativo se adjunta como Documento nº 3 diligencia de inicio por denuncia de 04/04/2023 de los hechos expuestos ante la Guardia Civil. Pero lo cierto es que para determinar si la reclamada incurrió en una infracción del artículo 5.1.
7. c)del RGPD es indiferente cuál sea la relación que mantiene con la reclamante, y sus previos conflictos-denuncias, que deben resolverse por vías ajenas a la competencia de esta Agencia. Mediante los documentos 3 y 4 se aportan dos atestados de la Guardia Civil, en los que se denuncian los daños producidos en su propiedad: (
8. i)el 4-08-21, y el 4-10-21, habiéndose en la segunda de estas fechas personado la benemérita en su propiedad para constatar esos daños mediante una diligencia de inspección ocular, lo que no consta realizado en la primera ocasión; y (
9. ii)el 2-4-23, en la que se denuncia al cuñado de la reclamada, que parece ser su vecino y tener una relación conyugal con la reclamante, manteniendo que éste estuvo lanzando huevos, tejas, y otros objetos a su propiedad, impactando uno de ellos con su vehículo, y produciendo daños, sin que se acompañe diligencia de inspección ocular por los agentes. De las denuncias presentadas -cuya admisión a trámite se desconoce- puede inducirse a priori que la finalidad de instalación del sistema de videovigilancia que persigue la reclamada es preservar la seguridad de su vivienda y bienes situados en su propiedad e identificar a los responsables que presuntamente atentan contra la misma. En base a ello, se entiende que su instalación estaba inicialmente justificada, siendo lícita de acuerdo con lo previsto en el artículo 6 del RGPD, siempre y cuando el sistema hubiera cumplido también con los principios y requisitos establecidos en materia de protección de datos y videovigilancia, lo que no aconteció, pues como se analizará más adelante, la reclamada acabó incumpliendo el Principio de minimización de datos, al realizar una captación excesiva de imágenes que no eran necesarias ni adecuadas para poder proteger esta seguridad. Siendo comprensible la preocupación de la reclamada, debe aclararse que el haber sido víctima de daños anteriores y la concurrencia de un elevado riesgo de su repetición no es excusa para instalar un sistema que incumpla con la normativa de protección de datos, en los términos expuestos, puesto que podría haber colocado el campo de visión de las cámaras para dirigirlo a su propiedad y las vallas, sin grabar imágenes del terreno ajeno a la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 Esta autoridad no puede entrar a valorar las infracciones penales denunciadas ni tenerlas en cuenta, salvo que consten como hechos probados en sentencia firme, siempre que éstos sean relevantes para la determinación de las infracciones y sanciones objeto de este procedimiento. No son sino las autoridades policiales, y/o las autoridades judiciales, las que deberán entrar a valorar quienes fueron los presuntos responsables, y enjuiciar la intención de la reclamante a la que se refiere el reclamado, en su caso. No es este procedimiento sancionador el foro adecuado para valorar la intención de los reclamantes/denunciantes, limitándose su objeto a valorar los hechos probados que constan en las reclamaciones o denuncias, y analizar si concurre responsabilidad administrativa por incumplir la normativa de protección de datos personales. Por último, mantiene la parte reclamada que la parte reclamante ha instalado recientemente cámaras apuntando a su propiedad, lo que no puede eximirle de la responsabilidad propia por estar captando imágenes excesivas, puesto que en caso de ser cierta esta acusación, la misma debería ser objeto de un nuevo procedimiento independiente contra los responsables de instalar este sistema, siempre que se acreditase que el campo de visión está captando imágenes excesivas, sea del terreno privativo de la reclamada, o de la vía pública. IV Sobre la desestimación de la prueba propuesta En su escrito de alegaciones, la parte reclamada solicita copia de la reclamación -que le ha sido remitida el pasado 15 de enero de 2023-, y la práctica de una prueba, en los siguientes términos expresados en el apartado tercero de su escrito de alegaciones: “La Guardia Civil ha acudido en diversas ocasiones a la vivienda verificando la licitud del sistema. Por ello, solicitamos se requiera a la Guardia Civil de Cuntis los atestados de junio de 2022 y noviembre de 2022 redactados tras la visita de los agentes”. Al respecto del acuerdo de prueba, cabe aplicar lo previsto en el artículo 77 de la Ley 39/2015, de 1 de octubre, sobre Procedimiento Administrativo Común, que establece lo siguiente: “Artículo 77. Medios y período de prueba. 1. Los hechos relevantes para la decisión de un procedimiento podrán acreditarse por cualquier medio de prueba admisible en Derecho, cuya valoración se realizará de acuerdo con los criterios establecidos en la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil. 2. Cuando la Administración no tenga por ciertos los hechos alegados por los interesados o la naturaleza del procedimiento lo exija, el instructor del mismo acordará la apertura de un período de prueba por un plazo no superior a treinta días ni inferior a diez, a fin de que puedan practicarse cuantas juzgue pertinentes. Asimismo, cuando lo considere necesario, el instructor, a petición de los interesados, podrá decidir la apertura de un período extraordinario de prueba por un plazo no superior a diez días. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 3. El instructor del procedimiento sólo podrá rechazar las pruebas propuestas por los interesados cuando sean manifiestamente improcedentes o innecesarias, mediante resolución motivada. 3 bis. Cuando el interesado alegue discriminación y aporte indicios fundados sobre su existencia, corresponderá a la persona a quien se impute la situación discriminatoria la aportación de una justificación objetiva y razonable, suficientemente probada, de las medidas adoptadas y de su proporcionalidad. A los efectos de lo dispuesto en el párrafo anterior, el órgano administrativo podrá recabar informe de los organismos públicos competentes en materia de igualdad. 4. En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien. 5. Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario. 6. Cuando la prueba consista en la emisión de un informe de un órgano administrativo, organismo público o Entidad de derecho público, se entenderá que éste tiene carácter preceptivo. 7. Cuando la valoración de las pruebas practicadas pueda constituir el fundamento básico de la decisión que se adopte en el procedimiento, por ser pieza imprescindible para la correcta evaluación de los hechos, deberá incluirse en la propuesta de resolución”. En el presente supuesto, la prueba solicitada por la reclamada -además de ser de imposible realización, puesto que su práctica requería mayor detalle sobre la fecha exacta de los atestados a requerir a la guardia civil- debe inadmitirse por ser innecesaria e improcedente para acreditar los hechos que se imputan. Innecesaria porque consta ya acreditado que, a fecha de la reclamación, el cartel informativo del sistema de videovigilancia estaba incompleto, y el campo de visión de las cámaras exteriores estaba captando vía exterior a la vivienda de la reclamada, lo que se deduce de las propias fotografías que aportó la reclamada el 26 de junio de 2023 al contestar al traslado realizado por esta Agencia. Cabe destacar, a su vez, que los atestados cuyo requerimiento se solicita no se han aportado por la propia parte reclamada, que debería tener copia de las mismas, de la misma forma que las obtuvo con ocasión de las dos denuncias que se han aportado como documentos 3 y 4, respecto a las que incluso se ha llegado a acompañar copia de una diligencia de inspección ocular realizada por los agentes de la Guardia Civil cuando interpuso denuncia el 4-10-21. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 Y además de innecesaria, cabe desestimar la práctica de esta prueba por ser improcedente, puesto que incluso en el caso de que ser cierto que la guardia civil acudió al domicilio de la parte reclamada, tras la denuncia de la parte reclamante, en junio y noviembre de 2022, comprobando que el sistema de videovigilancia no captaba imágenes excesivas y disponía de los carteles informativos correctamente cumplimentados, ello hubiera servido únicamente para acreditar la conformidad a derecho del sistema en una fecha y hora concreta, anterior a los hechos denunciados que se tramitan en este expediente, y datan de 1-4-23. V Tipificación y calificación de la infracción De lo expuesto en el Fundamento de Derecho anterior, cabe concluir que, de conformidad con las evidencias de las que se dispone, se considera que la parte reclamada ha cometido las siguientes infracciones de la normativa vigente en materia de protección de datos y sistemas de videovigilancia: 1. Infracción del principio de minimización de datos previsto en el artículo 5.1.
10. c)del RGPD, que dispone que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados". Que no ha sido reparada hasta el momento. 2. Infracción de los deberes de información de los datos previstos en el artículo 13 del RGPD, de acuerdo con lo previsto en el artículo 22 de LOPDGDD. Que ha sido reparada con posterioridad al acuerdo de inicio del mismo. A efectos del plazo de prescripción de las infracciones, las dos infracciones imputadas prescriben a los tres años, conforme al artículo 72 de la LOPDGDD, que dispone que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679(…).
12. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica(…)”. VI Apercibimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, esta Agencia, actuando como autoridad de control, dispone de la potestad de apercibimiento, de acuerdo con lo previsto en el citado Reglamento, que dispone en el apartado 2.
13. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
14. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por su parte, el considerando 148 del RGPD indica: “A fin de reforzar la aplicación de las normas del presente Reglamento, cualquier infracción de este debe ser castigada con sanciones, incluidas multas administrativas, con carácter adicional a medidas adecuadas impuestas por la autoridad de control en virtud del presente Reglamento, o en sustitución de estas. En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante. La imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías.” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, atendidas las circunstancias que concurren en el presente procedimiento y siguiendo el criterio interpretativo sobre la justificación del apercibimiento introducido por el Considerando 148 del RGPD antes transcrito, según el cual cuando la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física podrá imponerse en lugar de la sanción de multa un apercibimiento, se estima que por la infracción del artículo infringido procede dirigir un apercibimiento. Se advierte, no obstante, que en el caso de persistir en la comisión de las infracciones cometidas, podrá iniciarse procedimiento sancionador con la agravante de reincidencia, en el que podrá acordarse la imposición de una sanción de multa. VII Adopción de medidas Considerando las infracciones declaradas, de acuerdo con lo previsto en el artículo 58.2 del RGPD, procede imponer la siguiente medida al responsable para que ajuste su sistema de videovigilancia a la legalidad vigente: Acreditación de haber procedido a la retirada, modificación o reorientación de todas las cámaras exteriores instaladas en su propiedad, de tal manera que el visionado de las imágenes que se observan evidencie que no se captan zonas de la vía pública, o privadas, aportando en su caso fotos del campo de visión de las mismas en el plazo de 1 mes desde la notificación de la presente resolución. Cabe en este sentido y resulta muy útil/aconsejable, la colocación de máscaras de privacidad en las cámaras exteriores que enfoquen terreno ajeno a la propiedad de la parte reclamada, dado que éstas permiten ocultar del visionado las partes cuyas imágenes no deben ser captadas. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos, RESUELVE PRIMERO: DESESTIMAR LA PROPOSICIÓN DE PRUEBA formulada el 22 de noviembre de 2023, por ser improcedente e innecesaria, por los motivos previstos en el Fundamento de Derecho IV de esta Resolución. SEGUNDO: DIRIGIR UN APERCIBIMIENTO a B.B.B., con NIF ***NIF.1: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 - Por la presunta infracción del artículo 5.1.
15. c)del RGPD, tipificada en el artículo 83.5.
16. a)del RGPD. - Por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
17. b)del RGPD. CUARTO: ORDENAR a B.B.B., con NIF ***NIF.1, en virtud del artículo 58.2.
18. d)del RGPD, para que en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la medida indicada en el Fundamento de Derecho VII. QUINTO: NOTIFICAR la presente resolución a B.B.B., con NIF ***NIF.1. SEXTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
19. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1363-210423 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es