← España

PA-00026-2024

1/17  Expediente N.º: EXP202409214 (PA/00026/2024) RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13 de junio de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A. con NIF ***NIF.1 (en adelante, A.A.A.). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: La parte reclamante manifiesta que la parte reclamada es responsable de una cámara de videovigilancia instalada en una ventana de su vivienda y orientada a la vía pública. Declara que esta cámara tiene por finalidad controlar el aparcamiento de vehículos que se realiza en el exterior y difundir las imágenes que capta de los vehículos en el chat que tienen las personas del pueblo. Junto al escrito, se aporta: ─ Captura de pantalla de un mensaje presuntamente enviado por la parte reclamada a un grupo de WhatsApp. El mensaje incluye una imagen seguida de un texto. La imagen, en la que se aprecian varios vehículos estacionados en paralelo junto a la acera, permite visualizar la matrícula de uno de ellos (propiedad de la parte reclamante) en la parte delantera. Debajo de la imagen el texto dice: “Agradecería que igual que se respetan las 2 plazas de aparcamiento de las casas esquineras se respetase la mía también, es cuestión de tener un poquito de empatía y como ya lo he comentado en varias ocasiones lo expongo por aquí para que hagamos un poquito de consciencia. Gracias”. ─ Fotografía que muestra la fachada de una vivienda en la que se destaca una de sus ventanas. Desde el interior de esa ventana, es visible una cámara orientada hacia el exterior como si estuviera grabando lo que sucede en la vía pública delante de la vivienda. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a A.A.A., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/17 Común de las Administraciones Públicas (en adelante, LPACAP), fue entregada en fecha 28/08/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 16/09/2024 se recibió en esta Agencia escrito de respuesta indicando que la cámara objeto de esta reclamación era una cámara antigua que no funcionaba y que se utilizaba con fines disuasorios. Añadía que la citada cámara había sido sustituida por un sistema de videovigilancia instalado con fines de seguridad y compuesto de tres cámaras que cubrían las fachadas de su vivienda. Aportaba imágenes del campo de visión de las tres cámaras. En la imagen con el pie de foto “Cámara entrada” se apreciaba que la cámara estaba orientada a la entrada de la propiedad captando una porción grande de la vía pública, pudiendo observarse, en su campo de visión, la acera frente a la vivienda en toda su anchura y los coches aparcados junto a ella. En la imagen con el pie de foto “Cámara lateral” se visualizaba la parte exterior lateral de la vivienda y una porción mínima de la vía pública de las inmediaciones. En la imagen con el pie de foto “Cámara trasera” se visualizaba la parte exterior trasera de la vivienda. Esta cámara podría estar captando espacio privativo de tercero ya que se apreciaba, tras la valla delimitadora, de un lado, lo que podría ser una parte del espacio exterior de otra vivienda y, del otro lado, un terreno. Aportaba, también: ─ Imágenes de dos carteles informativos de zona videovigilada colocados en la fachada de la vivienda en las que se apreciaba dónde estaban ubicadas las cámaras, pero no se apreciaba el texto informativo de los mismos. ─ Imagen de una cámara de seguridad doméstica. En el pie de foto se indicaba “cámara fuera de funcionamiento que fue retirada con la instalación de las otras”. ─ Imagen que recogía el período de conservación de las imágenes (por un espacio de tiempo algo inferior a un mes) y el sistema de grabación. Se grababa en bucle sobrescribiendo las grabaciones anteriores cuando el almacenamiento no era suficiente. ─ Copia del albarán de la empresa que realizó la instalación del sistema de videovigilancia. En relación con la imagen difundida a través de un chat de grupo de WhatsApp, la parte reclamada manifestó que la misma no se obtuvo con la cámara de la ventana (ya retirada) sino con su teléfono móvil. Afirmó que desconocía que no se podían compartir imágenes en las que se apreciara la matrícula de un coche. En su descargo indicó que el chat privado fue creado por los regidores del pueblo (chat denominado “***CHAT.1” e integrado por 61 miembros). Añadió que había eliminado la imagen de su dispositivo, pero que no pudo eliminarla del chat por lo que se puso en contacto con los administradores del mismo (aportó copia de los mensajes) que tampoco pudieron borrarla. Por último, aportó copia de las comunicaciones que había remitido a WhatsApp, por su canal de contacto y por email, para tratar de eliminar la imagen del chat de grupo sin que hubiera recibido respuesta de la aplicación de mensajería instantánea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/17 TERCERO: Con fecha 13 de septiembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 19 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción de: ─ artículo 5.1.

  1. c)del RGPD tipificada en el artículo 83.5.
  2. a)del mismo Reglamento, ─ artículo 6.1 del RGPD tipificada en el artículo 83.5.
  3. a)del mismo Reglamento y ─ artículo 13 del RGPD tipificada en el artículo 83.5.
  4. b)del mismo Reglamento QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la LPACAP, fue recogida en fecha 20/03/2025 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 25 de marzo de 2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: “En primer lugar, y como ya expuse en el anterior informe, las cámaras de seguridad instaladas en mi vivienda están única y exclusivamente destinadas a la seguridad. (…) A parte de las cámaras, instalé (…) y un sistema de alarma conectada con la Policía a través de la empresa ADT Alarmas. (…) Respecto a las cámaras del sistema de vigilancia de mi domicilio he procedido a llamar al técnico para su reorientación. Las cámaras implicadas son la “Cámara entrada” y “Cámara trasera”. (…) Cámara entrada reorientada captando lo mínimo posible la vía pública. Cámara trasera reorientada y con aplicación de máscaras. En cuanto a los carteles se han cumplimentado con la información solicitada. (…) Con relación al mensaje de Whatsapp con la fotografía realizada desde mi teléfono móvil y que puse en el grupo privado del pueblo sin intencionalidad ninguna (…), con el desconocimiento de no poder compartirla (práctica habitual en el grupo cuando hay vehículos que por diferentes motivos molestan) ya procedí a su eliminación. (…) Las imágenes de estas cámaras no han sido compartidas en ningún lugar y sólo se facilitarán a los Cuerpos de Seguridad del Estado en caso de que lo precisasen.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/17 Para acreditar lo manifestado en su escrito de alegaciones aporta: ─ Imagen capturada por la “Cámara entrada” el día 21 de marzo de 2025. El pie de imagen indica: “Cámara entrada reorientada captando lo mínimo posible de la vía pública vinculada”. ─ Imagen capturada por la “Cámara trasera” el día 22 de marzo de 2025. El pie de imagen indica: “Cámara trasera reorientada y con aplicación de máscaras”. ─ Imágenes, de 24 de marzo de 2025, de los carteles informativos de zona videovigilada, colocados en la fachada de su vivienda en los que se recoge: “En cumplimiento del artículo 12 del Reglamento (UE) 2016/679, de protección de datos LE INFORMAMOS QUE PUEDA ESTAR SIENDO VIGILADO POR VIDEOCAMARAS PUEDE EJERCER SUS DERECHOS PREVISTOS EN LOS ARTÍCULOS 15 A 22 DEL REGLAMENTO (UE) 2016-679 ANTE EL RESPONSABLE: A.A.A., ***DIRECCIÓN.1 ***CHAT.1 MÁS INFORMACIÓN SOBRE EL TRATAMIENTO DE SUS DATOS PERSONALES: ***URL.1 FINALIDAD DEL TRATAMIENTO: SEGURIDAD DE LAS PERSONAS, BIENES Y PROPIEDAD PRIVADA. INTERESADOS: PERSONAS QUE ACCEDAN O INTENTAN ACCEDER A LA PROPIEDAD PRIVADA. DESTINATARIOS: FUERZAS Y CUERPOS DE SEGURIDAD DEL ESTADO. PLAZO DE CONSERVACIÓN: INFERIOR A 30 DÍAS DESDE SU CAPTACIÓN.” ─ Captura de pantalla de un dispositivo correspondiente a un fragmento de conversación del grupo de WhatsApp ***CHAT.1 en la que se visualiza la leyenda “Eliminaste este mensaje”, referida a un mensaje enviado el 24 de mayo de 2024. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: A.A.A. es responsable de un sistema de videovigilancia instalado en el exterior de su vivienda con fines de seguridad. El sistema consta de tres cámaras, “Cámara entrada”, “Cámara lateral” y “Cámara trasera”, susceptibles de captar imágenes de la vía pública, así como de terreros y viviendas colindantes. SEGUNDO: La parte reclamante y A.A.A. forman parte del grupo de mensajería instantánea de WhatsApp denominado “***CHAT.1”, el cual reúne a vecinos de la localidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/17 TERCERO: Del análisis de la documentación aportada por A.A.A., en su escrito de respuesta al traslado de la reclamación de 16/09/2024, en concreto, de las imágenes que muestran el campo de visión de las cámaras instaladas en el exterior de su vivienda, se constata que dos de ellas - la “Cámara entrada” y la “Cámara trasera” -, estaban orientadas de forma tal que captaban de manera desproporcionada imágenes de la vía pública, así como del entorno exterior de una vivienda ajena y de un terreno colindante. CUARTO: Las imágenes de los carteles informativos de zona videovigilada, aportadas por A.A.A., en su escrito de respuesta al traslado de la reclamación de 16/09/2024, no acreditaban que la información mínima exigida por la normativa en materia de protección de datos fuera accesible, clara y visible para los afectados. QUINTO: El 24 de mayo de 2024 la parte reclamada compartió en un grupo de WhatsApp una imagen, tomada con su teléfono móvil, en la que se aprecian varios vehículos estacionados en paralelo junto a la acera y se visualiza la matrícula de uno de ellos (propiedad de la parte reclamante) en la parte delantera. A.A.A. no contaba para ello con el consentimiento de quien reclama. SEXTO: El 25 de marzo de 2025, junto con las alegaciones al acuerdo de inicio y, por tanto, durante la tramitación de este procedimiento de apercibimiento, A.A.A. aporta imágenes en las que consta la reorientación de la “Cámara entrada” y de la “Cámara trasera”, así como la instalación de máscaras de privacidad en esta última. Se acompañan, también, nuevas imágenes, de fecha 24 de marzo de 2025, de los carteles informativos de zona videovigilada colocados en la fachada de su vivienda y una captura de pantalla de un dispositivo correspondiente a un fragmento de conversación del grupo de WhatsApp “***CHAT.1” en la que se visualiza la leyenda “Eliminaste este mensaje”, referida a un mensaje enviado el 24 de mayo de 2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/17 Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones previas Ha de comenzarse indicando que, de acuerdo con el art. 4.1 RGPD, se entiende por «datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2. del RGPD define el tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Las imágenes de una persona física son un dato de carácter personal y su captación por un sistema de cámaras o videocámaras constituye un tratamiento de datos personales que está sujeto a la normativa de protección de datos, salvo que se trate de un tratamiento exceptuado, como el realizado en el ejercicio de actividades exclusivamente personales o domésticas. Lo mismo resulta de aplicación a las imágenes tomadas por un particular con su teléfono móvil. Tal y como ha quedado acreditado, A.A.A. es responsable del sistema de videovigilancia instalado en su vivienda, así como del tratamiento de las imágenes tomadas con su teléfono móvil. Por lo tanto, nos encontramos ante un tratamiento de datos de carácter personal del que es responsable la parte reclamada y que ha de cumplir con los requisitos que establece la normativa de protección de datos al respecto. IV Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento Procede, en primer lugar, atender las alegaciones efectuadas por la parte reclamada tras la notificación del acuerdo de inicio. Con carácter previo, conviene precisar que el escrito de alegaciones presentado por A.A.A., en fecha 25 de marzo de 2025, se limita, por una parte, a justificar la finalidad del sistema de videovigilancia instalado en relación con el tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/17 personales objeto de análisis, y, por otra, a exponer las actuaciones llevadas a cabo para el cumplimiento de las medidas correctivas propuestas en el acuerdo de inicio de este procedimiento. Con respecto a la captación desproporcionada de imágenes por el sistema de videovigilancia, A.A.A. aporta imágenes en las que se puede comprobar que las cámaras identificadas como “Cámara entrada” y “Cámara trasera” han sido reorientadas, instalándose, además, en la última,máscaras de privacidad. Estas modificaciones permiten constatar que la captación de imágenes resulta ahora proporcional, limitándose exclusivamente a la porción mínima de la vía pública que resulta necesaria para controlar el acceso a la vivienda y, en el caso de la “Cámara trasera”, a la porción mínima imprescindible de los terrenos o inmuebles colindantes. En cuanto a la obligación de informar mediante carteles visibles sobre la existencia de sistemas de videovigilancia y el correspondiente tratamiento de datos personales, A.A.A. aporta nuevas imágenes de fecha 24 de marzo de 2025. Las nuevas imágenes aportadas permiten visualizar claramente el contenido de la información relativa a la existencia del tratamiento y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD. Además, se aprecia superpuesto, sobre la parte inferior del cartel informativo anterior – cuya imagen fue aportada, previamente, en el escrito de respuesta al traslado de la reclamación –, un nuevo texto en el que se identifica al responsable del tratamiento y su dirección, la finalidad del tratamiento, los interesados, los destinatarios, el plazo de conservación y una referencia a donde obtener más información sobre el tratamiento que incorpora la dirección electrónica de acceso a la publicación oficial en el BOE del RGPD. A este respecto, conviene precisar que el enlace al BOE solo lleva al texto legal del RGPD, pero no proporciona información específica sobre el tratamiento concreto realizado por el responsable. Así las cosas, de conformidad con lo establecido en el Fundamento de Derecho X del acuerdo de inicio de este procedimiento y atendiendo a la medida propuesta al efecto, en las nuevas imágenes aportadas por A.A.A. se observa que el cartel recoge en la actualidad la información básica exigida por la normativa en materia de protección de datos personales, aunque la forma de proporcionar la información adicional no garantiza un acceso claro y comprensible para los interesados, por lo que se recomienda su revisión a fin de lograr una adecuación plena a la normativa aplicable. En lo concerniente al mensaje compartido en el grupo de WhatsApp “***CHAT.1”, la parte reclamada afirma que ya procedió a su eliminación aportando al efecto imagen correspondiente a una captura de pantalla en la que se constata la eliminación de un mensaje compartido en el citado grupo de WhatsApp el 24 de mayo de 2024. Con carácter general, en lo que afecta al presente procedimiento sancionador, cabe concluir que las alegaciones formuladas no desvirtúan los hechos probados ni los fundamentos jurídicos expuestos en el acuerdo de inicio. En particular, con relación al cumplimiento de las medidas correctivas propuestas en el acuerdo de inicio, y sin perjuicio de valorar positivamente las actuaciones llevadas a cabo por la demandada, debe señalarse que resulta exigible el cumplimiento íntegro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/17 de las mismas en los términos establecidos en la normativa en materia de protección de datos. V Obligación incumplida. Minimización de datos La letra
  5. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  6. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que “las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones”. El tratamiento de datos personales está sometido a los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
  7. c)del RGPD transcrito anteriormente. Este principio implica que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad previa autorización gubernativa. En algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/17 En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y, en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. Tampoco pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. En el presente caso, la documentación aportada al expediente, acredita que la parte denunciada ha instalado cámaras que, por su ubicación y orientación, captaban imágenes de vía pública de forma no proporcional ya que el ángulo de visión de la “Cámara entrada” permitía cubrir completamente la acera frente a la vivienda y los vehículos aparcados en ella. Por su parte, la “Cámara trasera” captaba espacio privativo de terceros ya que se apreciaba en su campo de visión, tras las vallas delimitadoras, una porción del espacio exterior de otra vivienda y, del otro lado, un terreno. Una vez iniciado el presente procedimiento de apercibimiento, la parte reclamada procedió a la reorientación de dichas cámaras y a la instalación de máscaras de privacidad en la “Cámara trasera” de tal modo que la captación de imágenes resulta ahora proporcional y ajustada a la normativa en materia de protección de datos personales. Sin embargo, ello no es óbice para considerar consumada la indicada infracción. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 5.1.
  8. c)del RGPD transcrito anteriormente. VI Tipificación de la infracción del artículo 5.1.
  9. c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/17 Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VII Apercibimiento por infracción del artículo 5.1.
  12. c)del RGPD Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  13. b)del artículo 58 “Poderes” lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  14. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento. En el presente caso, atendidas las circunstancias concurrentes, se estima que por la infracción cometida procede dirigir un apercibimiento a A.A.A.. VIII Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  15. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  16. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/17
  17. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  18. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  19. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  20. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  21. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones." El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. En el presente caso, de la documentación aportada al expediente, queda acreditado que la parte reclamada compartió en un grupo de WhatsApp una imagen, tomada con su teléfono móvil, en la que se pueden apreciar varios turismos estacionados junto a la acera siendo la matrícula de uno de ellos visible en la parte delantera, y ello sin contar con el consentimiento del titular del vehículo (la parte reclamante) para poder difundir estos datos a través de la aplicación citada. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 6.1 del RGPD transcrito anteriormente. IX Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/17 "
  22. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  23. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." X Apercibimiento por infracción del artículo 6.1 del RGPD Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  24. b)del artículo 58 “Poderes” lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  25. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento. En el presente caso, atendidas las circunstancias concurrentes, se estima que por la infracción cometida procede dirigir un apercibimiento a A.A.A.. XI Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/17
  26. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  27. b)los datos de contacto del delegado de protección de datos, en su caso;
  28. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  29. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  30. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  31. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  32. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  33. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  34. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  35. d)el derecho a presentar una reclamación ante una autoridad de control;
  36. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  37. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD, en su apartado 4, establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/17 “ 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento.” Según ha quedado expuesto, en caso de instalación de dispositivos de videovigilancia, conforme a lo dispuesto en el artículo 22 de la LOPDGDD, el deber de información se entenderá cumplido mediante la colocación de un dispositivo o cartel informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. Se trata de un sistema de “información por capas”. La primera capa (el mencionado cartel informativo) ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales (segunda capa). Esta segunda información debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc., colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. En el presente caso, las imágenes de los carteles de zona videovigilada de que se disponían en la fecha del acuerdo de inicio del presente procedimiento no permitían acreditar que la información mínima exigida fuera accesible, clara y visible para los afectados. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 13 del RGPD transcrito anteriormente. XII Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  38. b)los derechos de los interesados a tenor de los artículos 12 a 22;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/17 A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  39. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." XIII Apercibimiento por infracción del artículo 13 del RGPD Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  40. b)del artículo 58 “Poderes” lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  41. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento. En el presente caso, atendidas las circunstancias concurrentes, se estima que por la infracción cometida procede dirigir un apercibimiento a A.A.A.. XIV Adopción de medidas Como ya se señalaba en el acuerdo de inicio de este procedimiento de apercibimiento, de acuerdo con lo establecido en el artículo 58.2.
  42. d)del RGPD, cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos. En consecuencia, se requiere a A.A.A. para que, en el plazo de un mes a contar desde que sea firme esta resolución de este procedimiento de apercibimiento, se notifique y acredite a esta Agencia la adopción de la siguiente medida: ─ Haber colocado los correspondientes carteles informativos que recojan toda la información requerida en el artículo 22.4 de la LOPDGDD, indicando dónde obtener C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/17 de forma efectiva más información sobre el tratamiento de los datos personales y aportando fotografías con fecha y hora en las que se aprecie de forma clara la información que contiene el cartel o carteles. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A., con NIF ***NIF.1, por una infracción de: ─ ─ ─ Artículo 5.1.
  43. c)del RGPD, tipificada en el artículo 83.5.
  44. a)del mismo Reglamento. Artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  45. a)del mismo Reglamento. Artículo 13 del RGPD, tipificada en el artículo 83.5.
  46. b)del mismo Reglamento. SEGUNDO: ORDENAR a A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
  47. d)del RGPD, en el plazo de un mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la siguiente medida: ─ Haber colocado los correspondientes carteles informativos que recojan toda la información requerida en el artículo 22.4 de la LOPDGDD, indicando dónde obtener de forma efectiva más información sobre el tratamiento de los datos personales y aportando fotografías con fecha y hora en las que se aprecie de forma clara la información que contiene el cartel o carteles. TERCERO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/17 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  48. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.