1/21 Expediente N.º: EXP202407405 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: El 5 de mayo de 2024 la Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir posibles infracciones imputables a A.A.A. con NIF ***NIF.1 (en adelante, la parte reclamada.). Los hechos puestos en conocimiento de esta autoridad son: La parte reclamante manifiesta que es vecino del inmueble de la parte reclamada en un edificio situado en la ***DIRECCIÓN.1. El edificio se compone de dos viviendas distribuidas en dos plantas. La vivienda de la planta baja es propiedad de la parte reclamante y la vivienda de la primera planta es propiedad de la parte reclamada y su cónyuge. La parte reclamada ha instalado en el descansillo de la primera planta, junto a la puerta de entrada a su domicilio, una alarma que cuenta con cámara de videovigilancia, sin autorización ni consentimiento de la parte reclamante y, en consecuencia, sin acuerdo de la comunidad de propietarios. Señala que el sistema de videovigilancia carece del preceptivo cartel informativo y que se orienta hacia zonas o elementos comunes. Además, señala que la cámara fue inicialmente instalada por la parte reclamante en otra zona común, el vestíbulo de la planta baja, y que, a raíz de un procedimiento judicial, fue retirada de su ubicación inicial e instalada en el lugar actual. Asimismo, afirma que ha solicitado el derecho de acceso a las imágenes captadas por la cámara, mediante burofax, en dos ocasiones, sin que haya recibido respuesta. Junto a la reclamación aporta: - Una fotografía en la que se observa la ubicación de la cámara en el descansillo de la primera planta, junto a la puerta de entrada del domicilio de la parte reclamada, orientada hacia la escalera. - Un vídeo en el que se observa la ubicación de la cámara de videovigilancia. Así como que el sistema de alarma que tiene incorporado se activa tan pronto como la parte reclamante accede al descansillo anterior de la escalera del primer piso. - Demanda judicial contra la parte reclamada, en la que se denuncia, entre otros asuntos, la instalación de un sistema de alarma con videocámara por la parte reclamante; contestación a la demanda; auto de 25 de septiembre de 2023 por la que se reconoce el allanamiento parcial de la ahora reclamada respecto a la retirada de la cámara del vestíbulo de la planta baja, donde se encontraba en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 - un primer momento; demanda de ejecución del mismo; y auto de ejecución de 16 de febrero de 2024. Nota simple de registro de la propiedad situada en el piso primero de la ***DIRECCIÓN.1 por la que se identifica a la parte reclamada como propietaria del 50% de la misma y a B.B.B. como propietaria del otro 50%. - Acta de la Junta General Extraordinaria de la comunidad de propietarios del edificio de la ***DIRECCIÓN.1 celebrada del 12 de marzo de 2021 en el que se incluye un requerimiento para la desinstalación de la cámara. - Burofax remitido por la parte reclamante a la parte reclamada y a su cónyuge de fecha 2 de noviembre de 2023, por la que ejercitaba el derecho de acceso a las imágenes captadas por la cámara de videovigilancia. En el mismo se identifica el modelo de la cámara, con fotografías, como (...). Se incluye una descripción del dispositivo de acuerdo en la página web de esta entidad que señala “detecta movimiento en zonas interiores y toma una secuencia de fotos que se envían a nuestra Central Receptora de Alarmas, donde verificamos la activación. Con ***APLICACIÓN.1 puedes solicitar fotos de lo que ocurre en tu instalación en cualquier momento”. En la mencionada solicitud de derecho de acceso, ejercitada conforme al artículo 15 del RGPD, se identificaba a la parte reclamada como responsable del tratamiento y se peticionaba “que se le facilite gratuitamente el derecho de acceso por ese responsable en el plazo de un mes a contar desde la recepción de la solicitud y que se remita a la dirección arriba indicada la siguiente información: o Copia de mis datos personales que son objeto de tratamiento por ese responsable. o Los fines del tratamiento, así como las categorías de datos personales que se traten. o Los destinatarios o categorías de destinatarios a los que se han comunicado mis datos personales, o serán comunicados, incluyendo, en su caso, destinatarios en terceros u organizaciones internacionales. o Información sobre las garantías adecuadas relativas a la transferencia de mis datos aun tercer país o a una organización internacional, en su caso. o El plazo previsto de conservación, o de no ser posible, los criterios para determinar este plazo. o Si existen decisiones automatizadas, incluyendo la elaboración de perfiles, información significativa sobre la lógica aplicada, así como la importancia y consecuencias previstas de dicho tratamiento. o Si mis datos personales no se han obtenido directamente de mí, la información disponible sobre su origen. o La existencia del derecho a solicitar la rectificación, supresión o limitación del tratamiento de mis datos personales, o a oponerme a dicho tratamiento. o El derecho a presentar una reclamación ante una autoridad de control”. - Burofax de 4 páginas de contestación de 17 de noviembre de 2023 remitido por la cónyuge de la parte reclamada a la parte reclamante en el que manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 “en cuanto al burofax presentado el 2 de noviembre de 2023 y recibido el 9 de noviembre. Su actitud en la que siempre esgrime pretendidos derechos, pero nunca está dispuesto a cumplir con sus obligaciones, nos exige efectuar una serie de puntualizaciones”. A continuación, se reconoce, entre otros: que la cámara se encuentra instalada en la entrada de su domicilio por razones de seguridad; que previamente estaba instalada en el vestíbulo de la entrada de la vivienda, en la planta baja; que la parte reclamante, en tanto que propietario de los pisos bajos, no tiene por qué acudir al vestíbulo donde se encuentra la cámara ni a la escalera de acceso a la primera planta, “por lo que le es indiferente si entra un desconocido en dichas dependencias”. Asimismo, se solicita a la parte reclamante que proceda a asumir determinados costes de mantenimiento de las zonas comunes; se le indica que “no puede ejercitar su derecho de vuelo y sobre edificar sobre la cubierta del edificio, sin nuestro conocimiento. Por tanto, no entendemos las razones por las que subió a nuestro rellano, dadas las conflictivas relaciones existentes”. La única referencia al derecho de acceso ejercitado se contiene en un párrafo que se reproduce a continuación: “Está ejercitando una pretensión que por ahora no podemos atender, por carecer de los medios técnicos para ello. No obstante, tiene todas las garantías de ***EMPRESA.1, y si lo desea le podemos poner en contacto con dicha compañía, para que pueda ejercitar los derechos que le correspondan”. - Burofax de 21 de diciembre de 2023 por el que la parte reclamante reitera la solicitud de derecho de acceso efectuada en el burofax de 2 de noviembre de 2023. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, el 21 de mayo de 2024, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 29 de mayo de 2024 como consta en el acuse de recibo que obra en el expediente. No se recibió respuesta a este escrito de traslado. TERCERO: Con fecha 5 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 20 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 reclamada, por las presuntas infracciones de los artículos 5.1 c), 13 y 15 del RGPD, tipificadas respectivamente en los artículos 83.5.a), 83.5.
- b)y 83.5.
- b)del RGPD. QUINTO: La notificación del citado acuerdo de inicio, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se produjo el 14 de enero de 2025, como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 21 de enero de 2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: - En la primera de las alegaciones, bajo el título “De la propiedad del inmueble”, la parte reclamada asegura que la parte reclamante no es vecino del inmueble ubicado en la la ***DIRECCIÓN.1. Asegura que “la finca de la ***DIRECCIÓN.1, (…), la tiene arrendada como vivienda a un tercero. (…) El denunciante es propietario (ni vecino ni inquilino) (…)”. A continuación, realiza una serie de puntualizaciones sobre el inmueble y la cronología por la que la parte reclamante adquirió la mencionada propiedad junto con un supuesto derecho de sobre edificación y explicaciones sobre el conflicto existente entre las partes. De manera resumida, señala: (…) “Todo el inmueble de la ***DIRECCIÓN.1, (…) anteriormente pertenecía a la familia ***C.C.C. (…). (…) En el vestíbulo de la puerta de acceso al piso primero de la ***DIRECCIÓN.1, se hallan instalados los cuartos de contadores de (…) (…). (…) Los anteriores propietarios le vendieron al hoy denunciante un derecho de sobreedificación en la finca de la ***DIRECCIÓN.1, por el que podría edificar una segunda planta. Para ello constituyeron una comunidad de propietarios afectando el vestíbulo y la escalera del inmueble sito en la ***DIRECCIÓN.1, (…), ya que la finca de la finca de la ***DIRECCIÓN.1, (…), no tiene acceso directo al cuarto de contadores de suministros que se hallan en dicho vestíbulo (…)”. (…) El derecho que le vendieron está prescrito, por transcurso de los 30 años, a pesar de ello; pretendía edificar afectando su proyecto a mi propiedad y sin obtener el preceptivo consentimiento mío y de mi esposa. De este simple hecho, surge todo el problema. Este individuo conoce (…) y va enviando continuamente burofaxs, presentando demandas, denuncias ante cualquier estamento, hasta presentó un anteproyecto de sobreedificación ante el organismo de urbanismo del ***AYUNTAMIENTO.1 (…) (…). (…) (…). Hasta fechas recientes, a finales de diciembre de 2024 (…) ha enviado un burofax para hacerse cargo de los gastos proponiendo una fórmula con unas condiciones que no resultan aceptables”. - En su segunda alegación, llamada “Del sistema de alarma” señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 “(…) En cuanto al sistema de alarma, como ya se indicó en nuestros escritos, desconocemos cómo funciona la normativa en cuanto a la instalación de sistemas de alarma y nuestro proceder siempre ha obedecido y se ha regido por los principios de buena fe. Por ello, aportamos la última revisión efectuada como DOCUMENTO ANEXO NÚMERO CUATRO.
- a)(…), hemos optado por prescindir de los servicios de ***EMPRESA.1. Procediendo a la desinstalación de la alarma, aunque (…). Con ello, evito de paso unos gastos periódicos y las constantes complicaciones con el denunciante. (…) En cuanto al sistema de alarma haremos una sinopsis de lo ocurrido: o Inicialmente el sistema de alarma se instaló en el vestíbulo, con el fin de dar seguridad a las partes, ya que en más de una ocasión mi familiar al acceder al inmueble se encontraba la puerta abierta. Los únicos que tenían la llave son las partes interesadas. A petición del hoy denunciante en la Junta de Comunidad de Propietarios de 12 de marzo de 2021, se traslada la alarma al descansillo de la primera planta y se deja un mecanismo en el vestíbulo para poder apagar la alarma en el caso de que esta saltase por cualquier motivo. Debo recalcar que el denunciante, dado que no puede sobreedificar, no tiene ningún motivo para acceder al rellano del primer piso. Y si quisiese acceder al techo de la finca la única vía de acceso la tiene a través de mi vivienda. Se adjunta fotos del aparato para desconectar la alarma, que estaba en la entrada del vestíbulo y se colocó a instancias del denunciante para que pudiese desconectar cuando ésta saltase; la cámara colocada en el rellano del primer piso y como queda la pared tras su retirada, como DOCUMENTOS ANEXOS NÚMEROS CINCO SEIS Y SIETE. o En cuanto a las presuntas imágenes, al denunciante se la indicado que podía dirigirse a ***EMPRESA.1 y solicitarlas. No obstante, al preguntar a la citada empresa sobre las grabaciones nos indican que como no hemos efectuado una serie de instalaciones en nuestro domicilio, las grabaciones solo se dan cuando se accede a la vivienda y se trata de imágenes de confort (grabaciones por eventos) que en nuestro caso quedaban guardados exclusivamente en la compañía de seguridad, nosotros no podíamos acceder libremente a estas imágenes, salvo que nos fuesen remitidas por ***EMPRESA.1. o En concreto, el sistema de seguridad instalado es un detector de movimiento, no una cámara de videovigilancia no está grabando las 24 horas, sino que cuando la alarma está activada, al detectar movimiento o actividad no autorizada, el sensor toma una ráfaga de imágenes que se envían a la central receptora de alarmas de ***EMPRESA.1. Estas imágenes se eliminan en un plazo máximo de 30 días, salvo que se tengan que ceder a terceros cualificados (policía, juzgados, etc..) por ilícitos penales. o En el hecho primero, párrafo tercero, in fine, vuelve a faltar a la verdad al decir que la cámara instalada carece del preceptivo cartel informativo. Se adjunta fotografía del cartel colocado en la entrada de la fachada del inmueble como DOCUMENTO ANEXO NÚMERO OCHO. o En el hecho primero cuarto párrafo, vuelve a faltar a la verdad. La retirada de la cámara de vigilancia del vestíbulo se efectuó dando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 o o o - cumplimiento al acta de la Comunidad de Propietarios de 12 de marzo de 2021, no por la presentación de su demanda judicial. Se adjunta mi contestación a la demanda (…) en el Juzgado (…). En cuanto a la demanda, el denunciante pedía la retirada de la cámara de vigilancia de vestíbulo, no del piso primero, hecho que ya se había llevado a efecto antes de la presentación de la demanda. Pero la pregunta es: ¿hasta qué punto podía exigir la retirada de la alarma instalada en el rellano del piso primero? Cuando en su propia demanda la misma referida anteriormente la del Juzgado (…) en su suplico pide que se declare en su punto 3 (…) textualmente “la ilegalidad de la instalación del sistema de alarma instalado en el vestíbulo de la comunidad” (…) Otra cuestión es si el denunciante pretende o pretendía que no exista la cámara para efectuar actividades contrarias a derecho. En cuanto a los diferentes burofax emitidos por el denunciante, hay tal cantidad de ellos, por los más diversos motivos y multitud de asuntos a examinar que resulta muy difícil a esta parte delimitar las peticiones que pueden tener cierta transcendencia jurídica, de los que son simples asuntos sin importancia”. Por último, concluye: “Volvemos a reiterar que hemos retirado la alarma por un problema (…), pero sobre todo por el cansancio que nos producen los constantes conflictos con este vecino”. Junto a su escrito de alegaciones presenta: - Primera página de una demanda presentada por la parte reclamante en la figura que su domicilio se encuentra en ***DIRECCIÓN.1. Primera página de una escritura de poder para pleitos de noviembre de 2021 en la que se señala que el domicilio de la parte reclamante es ***DIRECCIÓN.1. Información registral con referencia ***REFERENCIA.1 expedida por Registro de la Propiedad de ***LOCALIDAD.1 el 29 de agosto de 2022. Proyecto de ampliación de una vivienda en un edificio plurifamiliar elaborado por un arquitecto. Fotografía sin fechar de un interruptor situado en la puerta de acceso a una vivienda. Fotografía de la alarma que incluye una cámara ubicada en la parte exterior de una puerta de acceso a una vivienda. Fotografía por la que se muestra el espacio en el que anteriormente se encontraba la cámara, sin que esta figure. Fotografía de la entrada exterior a un inmueble en el que figura un cartel informativo que indica “Vigilante. Intervención inmediata 24h. ***EMPRESA.1”. Parte de servicio (ampliación/revisión) de 16 de enero de 2025 de ***EMPRESA.1 dirigido a la parte reclamada en el que figuran entre otros, los siguientes aspectos: “Datos de instalación: A.A.A.. (…) Nº de cliente: (...) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 (…) Dirección: ***DIRECCIÓN.1 (…) Fecha: 16/01/2025 (…) Resumen de los servicios ampliados. Elementos y Servicios. Protección avanzada: Detectores de Acceso. Cantidad:1. (…) Descripción de los trabajos: o Reubicación de elementos: (…). Cantidad: 1. o Reubicación elementos: (…). o Sustitución de elementos: (…). o Sustitución de elemento: (…). o Sustitución de elemento: (…). o Ampliación: (…). Cantidad: 1. Precio unidad: 139,00 euros. o Sustitución de elemento: (…). Cantidad: 2. Precio unidad: 20,50 euros. (…) Observaciones: Reubico foto escalera a dormitorio y lector de llaves por LOPD. Sustituyo llave negra. Cambio pilas a todo. Revisión completa ok. Amplío pack 2 shock sensor con coste 139 euros más IVA y aumento cuota mensual 2 euros más IVA”. (…) Elementos del sistema, dispositivos instalados y marca: o Marca: (…) o Modelo alarma: (…) o Grado de seguridad: (…) o Tipo de dispositivo: Detector foto volumétrico. (...). Nº de dispositivos: 3 Detector magnético. (...). Nº de dispositivos: 1 Detector inhibición SIGFOX. (...). Nº de dispositivos: 1 Lector de llaves. (...). Nº de dispositivos:1 Sirena interior/exterior. (...). Nº de dispositivos: 1 (…) Observaciones y recomendaciones adicionales: Reubico foto escalera a dormitorio y lector de llaves por LOPD. Sustituyo llave negra. Cambio pilas a todo. Revisión completa ok. Amplío pack 2 shock sensor con coste 139 euros más IVA y aumento cuota mensual 2 euros más IVA”. Al fin del documento figuran la firma del técnico y la firma del cliente A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 PRIMERO: Hasta el 16 de enero de 2025, el vestíbulo de la primera planta de la ***DIRECCIÓN.1 cuenta con un sistema de vigilancia con captación de imágenes ubicado en una zona común y orientado hacia elementos comunes, sin que exista acuerdo de la comunidad de propietarios. SEGUNDO: El sistema de vigilancia consiste en una alarma con un fotodetector de movimiento de la marca (...), cuyo sensor toma una ráfaga de imágenes cuando detecta movimiento, que se envían a la central receptora de alarmas de ***EMPRESA.1. TERCERO: El sistema de vigilancia con captación de imagen no cuenta con un cartel informativo en el que se mencione al responsable del tratamiento, ni la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD. CUARTO: El responsable del tratamiento es A.A.A. con NIF ***NIF.1, parte reclamada. QUINTO: El 2 de noviembre de 2023 la parte reclamante ejercita ante A.A.A. derecho de acceso en los términos previstos por el artículo 15 del RGPD a través de un burofax. SEXTO: El 17 de noviembre, en contestación al burofax de la parte reclamante, A.A.A. le confirma la captación de imágenes, pero no facilita el derecho de acceso, señalando que el sistema de vigilancia cuenta con las garantías de la empresa instaladora, con quien la parte reclamante puede ponerse en contacto para ejercitar los derechos que le correspondan. SÉPTIMO: El 21 de diciembre de 2023, reitera su solicitud de derecho de acceso, sin recibir respuesta. OCTAVO: El 21 de enero de 2025, junto con las alegaciones al acuerdo de inicio y, por tanto, durante la tramitación de este procedimiento de apercibimiento, A.A.A. acredita la retirada del sistema de vigilancia de las zonas comunes en fecha de 16 de enero de 2025 y su reubicación en el interior del domicilio de la parte reclamada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Contestación a las alegaciones Procede, en primer lugar, atender las alegaciones efectuadas por la parte reclamada tras la notificación del acuerdo de inicio. Respecto a la primera alegación, puntualiza la parte reclamada que la parte reclamante es propietaria del inmueble en el que se ubica el sistema de vigilancia con captación de imágenes, pero que no es este su domicilio. Al respecto conviene señalar que, conforme al artículo 77 del RGPD tiene derecho a presentar una reclamación ante la autoridad de control “todo interesado (…) si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento”. Además, los sistemas de videovigilancia o los sistemas de vigilancia con captación de imágenes suponen el tratamiento de datos de carácter personal en la medida en que la imagen de una persona lo es, puesto que responde a la definición provista por el artículo 4.1 del RGPD, que lo define como “toda información sobre una persona física identificada o identificable”. Así, que la parte reclamante sea propietaria, vecina o visitante del bien inmueble, no es significativo desde la perspectiva de la protección de datos, siempre que los datos personales que le conciernen se vean afectados por un tratamiento. Por otra parte, la parte reclamada reconoce, tanto en la primera alegación como a lo largo de su escrito, que el inmueble situado en la ***DIRECCIÓN.1 se ha constituido como comunidad de propietarios de acuerdo con la Ley 49/1960, de 21 de julio, de Propiedad Horizontal. La instalación de un sistema de videovigilancia o de vigilancia con captación de imágenes en zonas comunes requiere de previo acuerdo de la comunidad propietarios tal y como se deriva de los artículos 6 y 17.3 de la mencionada ley. La comunidad de propietarios en este caso está conformada por la parte reclamante y la parte reclamada, en tanto que propietarios de las viviendas que integran el inmueble. Respecto al resto de consideraciones efectuadas por la parte reclamada en su primera alegación, es preciso indicar que no corresponde a esta Agencia pronunciarse ni dirimir sobre cuestiones que exceden del ámbito de la protección de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 y que deben solventarse, en su caso, ante los órganos administrativos o jurisdiccionales competentes. En lo referente a la segunda alegación, denominada “Del sistema de alarma” señala, en primer lugar, la parte reclamada, que desconoce la normativa en cuanto a la instalación de datos personales de sistemas de alarma y que su actuación siempre ha respondido a la buena fe. Al respecto, se significa que tal y como indica el Código Civil en su artículo 6, “la ignorancia de las leyes no excusa de su cumplimiento”. Por tanto, a la vista de la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, y en el ejercicio de las competencias de esta Agencia, se ha procedido a la apertura del presente procedimiento de apercibimiento, previsto en el artículo 64.3 de la LOPDGDD. Asegura que, ha optado por prescindir de los servicios de ***EMPRESA.1. No obstante, entre la documentación que adjunta, figura un informe de revisión de esta empresa de 16 de enero de 2025 firmado por la parte reclamada, que contradice esta afirmación. De acuerdo con el mencionado informe, se realizó una revisión completa del sistema de vigilancia, se reubicó el fotosensor y el lector de llaves de la escalera al dormitorio para cumplir con la LOPDGDD y, además, se amplió el “pack 2 shock sensor con coste 139 euros más IVA y aumento cuota mensual 2 euros más IVA”. De lo anterior, no se desprende que se haya resuelto el contrato existente con la empresa instaladora, sino que, en el marco de este, se ha procedido a la reubicación del fotodetector, que ha pasado a situarse en el interior del domicilio de la parte reclamada, en lugar de en la zona común del inmueble en la que se encontraba. Confirma la parte reclamada que, ante las solicitudes del derecho de acceso efectuadas por la parte reclamante le derivó a la empresa instaladora del sistema de vigilancia con captación de imágenes puesto que las imágenes quedaban “guardadas exclusivamente en la compañía de seguridad” y que no podía acceder a estas imágenes “libremente”, salvo que “nos fuesen remitidas por ***EMPRESA.1”. En contestación a estas aseveraciones, se significa que el artículo 4.7 del RGPD define “«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento;(…)” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada realiza, entre otros tratamientos, la recogida y conservación de datos personales y es quien determina los fines y medios de ese tratamiento. En este sentido, las Directrices 7/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD establecen: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” (subrayado de la AEPD). Por tanto, en este supuesto, la parte reclamada es responsable del tratamiento sin que la contratación de un servicio de videovigilancia externo o la instalación de las cámaras por un tercero pueda eximirle del cumplimiento de la legislación de protección de datos. En este caso, ***EMPRESA.1 actúa como encargado del tratamiento de acuerdo con la definición determinada por el artículo 4.8 del RGPD. Así, entre las obligaciones del responsable del tratamiento se encuentra atender las solicitudes de derecho de acceso, tal y como prevé el artículo 15 del RGPD, en los términos previstos por el artículo 12.3 del RGPD. A este respecto, las alegaciones de la reclamada sobre que la dificultad para atender los diferentes burofaxes remitidos por la parte reclamante, no se estiman suficientes para justificar el incumplimiento de los preceptuado por el Reglamento. Los artículos 12.4 y 12.5 del RGPD establecen los supuestos en los que el responsable puede negarse a atender una solicitud, siendo aun así preceptivo remitir adecuada comunicación al interesado. Estos aspectos también se desarrollan en el artículo 12 de la LOPDGDD. En cuanto a la alegación relativa a que el sistema establecido no es un sistema de videovigilancia puesto que solo se activa al detectar movimiento, se precisa que, tal y como señala la propia parte reclamada, el sistema con el que cuenta consiste en la captación de imágenes a través de un fotodetector. Esto supone que el sistema capta imágenes (ráfagas de fotografías) al detectar movimiento, por lo que realiza igualmente un tratamiento de datos personales que está sujeto, en consecuencia, a las mismas normas que un sistema de videovigilancia que grabe 24 horas. En lo referente a la afirmación de que sí contaba con un cartel informativo, se indica que, de conformidad con los artículos 13 del RGPD y 22 de la LOPDGDD el distintivo de zona videovigilada deberá informar acerca de la existencia del tratamiento (videovigilancia); la identidad del responsable del tratamiento o del sistema de videovigilancia; la posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales, como mínimo. De acuerdo con la fotografía facilitada por la parte reclamada el cartel informativo de su sistema de vigilancia con captación de imágenes únicamente cuenta con la siguiente información: “Vigilante. Intervención inmediata 24h. ***EMPRESA.1”. En consecuencia, queda acreditado que el dispositivo informativo no cumple con los requisitos establecidos por la normativa vigente dado que no especifica la identidad del responsable del tratamiento, la posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22 o el lugar al que dirigirse para obtener más información sobre el tratamiento de los datos personales. Por último, concluye la parte reclamada en su escrito de alegaciones que “volvemos a reiterar que hemos retirado la alarma por un problema (…), pero sobre todo por el cansancio que nos producen los constantes conflictos con este vecino”. Al respecto se reitera lo señalado anteriormente sobre la contradicción entre la afirmación efectuada y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 la documentación acreditativa aportada. Es decir, de acuerdo con la documentación aportada, la parte reclamante ha procedido a la retirada de la cámara y a su reubicación en el interior de su domicilio, pero no a prescindir de los servicios de la entidad instaladora. En cualquier caso, conviene destacar que no es hasta el 21 de enero de 2025 que la parte reclamada acredita la retirada de la cámara. Asimismo, esa reubicación o retirada se produce, de acuerdo con la documentación aportada, el 16 de enero de 2025, esto es, con posterioridad a la apertura del presente procedimiento de apercibimiento y con posterioridad a la notificación del acuerdo de inicio efectuada el 14 de enero de 2025. En consecuencia, los hechos que motivaron la apertura del procedimiento de apercibimiento han tenido lugar y la infracción se ha producido, aun cuando no proceda la adopción de medidas correctivas para estos aspectos en tanto que ya han sido adoptadas por el responsable del tratamiento. IV La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Las imágenes captadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. La parte reclamada realiza un tratamiento de datos personales en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Es por tanto pertinente analizar si el tratamiento de datos personales llevado a cabo a través del sistema de vigilancia de la parte reclamada es acorde con lo establecido en el RGPD. V Normativa sobre protección de datos El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. El artículo 12.1 del RGPD indica que quien lleve a cabo un tratamiento de datos personales, como es la captación de imágenes mediante un sistema de videovigilancia, deberá suministrar a los interesados la información indicada en los artículos 13 y 14 del RGPD. Con la finalidad de que el deber de información previsto en el artículo 12 del RGPD se cumpla de manera concisa y comprensible para el afectado, el citado artículo 22 de la LOPDGDD prevé en relación con la videovigilancia un sistema de "información por capas". En este sentido, la primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc., colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. No es necesario especificar la ubicación precisa del equipo de videovigilancia. Este deber de información se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso de que el espacio videovigilado disponga de varios accesos deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos. Esta información debe suministrarse por adelantado -considerando 39 del RGPD-. El objetivo es que quede claro el contexto de la vigilancia. El tratamiento de datos personales está sometido al resto de los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
- c)del RGPD que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados". Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad previa autorización gubernativa. La captación de imágenes en zonas o elementos comunes de comunidades de propietarios requiere el acuerdo de la junta de propietarios en los términos previstos en la Ley 49/1960, de 21 de julio, sobre propiedad horizontal (en adelante LPH). Cumplido este requisito, la comunidad de propietarios como responsable del tratamiento, estará sujeta a las restantes obligaciones impuestas por la normativa de protección de datos. Las cámaras sólo podrán captar las zonas comunes de la comunidad, no siendo factible la grabación de imágenes de la vía pública, a excepción de una franja mínima de los accesos al inmueble. Tampoco se podrá realizar la captación de imágenes de terreros y viviendas colindantes o de cualquier otro espacio ajeno. En este último caso, si se usan cámaras orientables y/o con zoom, será necesaria la instalación de máscaras de privacidad para evitar esta grabación. Tal y como se ha indicado en contestación a las alegaciones, la contratación de un servicio de videovigilancia externo o la instalación de las cámaras por un tercero no exime a la comunidad del cumplimiento de la legislación de protección de datos. VI Obligaciones en materia de videovigilancia Asimismo, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente (artículo 22 de la LOPDGDD) debe cumplir los requisitos específicos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- Se deberá cumplir con el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD. En tal sentido, se prevé en relación con la videovigilancia un sistema de “información por capas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 La primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. Esta información se contendrá en un dispositivo colocado en un lugar suficientemente visible y debe suministrarse por adelantado. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc…, colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. 4.- El tratamiento de las imágenes mediante la instalación de sistemas de cámaras o videocámaras deberá ser lícito y ajustarse al principio de proporcionalidad y al de minimización de datos, en los términos ya señalados. 5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 6.- El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. 7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación de impacto en la protección de datos, para detectar los derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas. 8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de cámaras con fines de seguridad, siempre que exista riesgo para los derechos y libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de 72 horas. Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos. 9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), la Guía sobre el uso de videocámaras para seguridad y otras finalidades, la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). En el presente caso, la parte reclamada reconoce contar con un sistema de vigilancia instalado en una zona común. El sistema realiza captación de imágenes de elementos comunes (en particular la escalera de acceso a la planta en la que se encuentra su domicilio, así como el vestíbulo de la primera planta), a través de un fotodetector que, cuando percibe movimiento de terceros (sean vecinos, propietarios o visitantes del edificio), efectúa ráfagas de fotografías. Todo ello supone una captación excesiva de datos personales, en la medida en que la cámara no se encuentra orientada hacia la puerta de entrada del domicilio de la parte reclamada, sino hacia las zonas comunes del inmueble. Por otra parte, de acuerdo con la imagen aportada por la propia parte reclamada el 21 de enero de 2025, el cartel informativo sobre captación de imágenes no se adecúa a lo exigido por la normativa vigente. En este sentido, no informa sobre la identidad del responsable o la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD, incumpliendo lo previsto en el artículo 13 del RGPD sobre el deber de suministrar información a los interesados en el momento en que se obtengan sus datos que, además, en relación con la videovigilancia, el artículo 22 de la LOPDGDD prevé a través de un sistema de “información por capas”. El 21 de enero de 2025 la parte reclamada acredita, a través de un informe de revisión de la empresa instaladora del servicio, que el 16 de enero de 2025 se ha procedido a la retirada del sistema de vigilancia de la zona común en la que se encontraba, así como su reubicación en el interior de su domicilio. No obstante, la retirada del fotodetector se ha producido una vez iniciado este procedimiento de apercibimiento y tras la notificación del acuerdo de inicio el 14 de enero de 2025. En consecuencia, cabe determinar que las infracciones han tenido lugar, aun cuando no proceda la adopción de medidas correctivas para estos aspectos. VII Derechos de las personas en materia de protección de datos personales Por otro lado, la parte reclamante ha ejercitado ante la parte reclamada su derecho de acceso respecto a las imágenes captadas por el sistema de videovigilancia de este último. En este sentido, conviene señalar que los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. VIII Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21 posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. En el supuesto aquí analizado, consta solicitud de ejercicio del derecho de acceso, así como reiteración de esta, sin que la contestación facilitada a la parte reclamante el 17 de noviembre de 2023 pueda ser considerada, atendiendo a la literalidad de la misma, la preceptiva comunicación prevista por el artículo 12.3 en relación con el artículo 15 del RGPD. En esa comunicación, el responsable del tratamiento, esto es, la parte reclamada, se refiere, en primer lugar, a “pretendidos derechos” de la parte reclamante y omite sus obligaciones como responsable redirigiendo a la parte reclamante a la empresa instaladora de cámara para que ejercite ante esta “los derechos que le correspondan”. Además, no consta respuesta alguna a la reiteración de la solicitud de derecho de acceso efectuada el 21 de diciembre de 2023. En su escrito de contestación de alegaciones de 21 de enero de 2025, la parte reclamada en lo relativo a las solicitudes derecho de acceso efectuadas por la parte reclamante únicamente confirma que se le ha indicado a la parte reclamante que puede dirigirse a ***EMPRESA.1. Asimismo, señala que únicamente tendría acceso a las imágenes si estas le fueran remitidas por la mencionada empresa. Además, manifiesta que “(…) En cuanto a los diferentes burofaxes emitidos por el denunciante, hay tal cantidad de ellos, por los más diversos motivos y multitud de asuntos a examinar, que resulta difícil a esta parte delimitar las peticiones que pueden tener cierta transcendencia jurídica, de los que son simples asuntos sin importancia (…)". De lo anterior se concluye que las solicitudes de derecho de acceso de la parte reclamante no han sido atendidas o denegadas de manera motivada por el responsable del tratamiento en los términos exigidos por la normativa vigente. IX Tipificación y calificación de las infracciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 Atendiendo a lo anterior y de conformidad con las evidencias de las que se dispone, se considera que la parte reclamada ha cometido las siguientes infracciones de la normativa vigente en materia de protección de datos: - Infracción del principio de minimización de datos previsto en el artículo 5.1.
- c)del RGP, que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.” - Infracción de los deberes de información de los datos previstos en el artículo 13 del RGPD, de acuerdo con lo previsto en el artículo 22 de la LOPDGDD. - Infracción del deber de atención del ejercicio del derecho de acceso establecido en el artículo 15 del RGPD. El artículo 83.5 del RGPD dispone que “las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción de las infracciones, las tres infracciones imputadas prescriben a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular las siguientes: (…)
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679 (…)
- b)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica (…)”
- k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 (…). X Apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” En el presente caso, atendidas las circunstancias que concurren, se considera que por cada una de las infracciones de los artículos infringido procede dirigir un apercibimiento. XI Medidas correctivas Al haberse confirmado las infracciones, puede acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2 del RGPD, según el cual cada autoridad de control podrá tanto:
- c)“ordenar al responsable o al encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento”; En el presente caso, se requiere al responsable para que, en el plazo de un mes, notifique a esta Agencia la adopción de las siguientes medidas: - Acredite haber remitido a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Se advierte que no atender las órdenes de adopción de medidas impuestas por este organismo en esta resolución podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A., con NIF ***NIF.1: - Por la infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 - Por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
- b)del RGPD. Por la infracción del artículo 15 del RGPD, tipificada en el artículo 83.5.
- b)del RGPD. SEGUNDO: ORDENAR a A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de un mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido a la remisión a la parte reclamante de certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. TERCERO: NOTIFICAR la presente resolución a A.A.A., con NIF ***NIF.1. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es