1/8 Expediente N.º: EXP202402580 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de diciembre de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A. con NIF ***NIF.1, en adelante la parte reclamada como propietario de la ***ESTABLECIMIENTO.1. El motivo en el que se basa la reclamación es que se ha publicado en el perfil de Instagram ***ESTABLECIMIENTO.1, un video en el que la parte reclamante figuran dentro del citado comercio, sin que hayan dado su consentimiento para esa “exposición pública”. Junto al escrito, se aporta: - La dirección URL donde se encontraba el video alojado: ***URL.1 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al titular del comercio para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 26/02/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 18/03/2024 se recibe en esta Agencia escrito de respuesta por quien dice ser hija del propietario y encargada del comercio, adjuntando: - Copia de la primera página de denuncia ante la Policía Nacional de fecha 10/03/2024. Imágenes que muestran el rango de captación de las cámaras del interior del comercio y que por los ángulos permiten determinar, sin ninguna duda, que el video fue captado por las cámaras de seguridad del establecimiento. TERCERO: Con fecha 20 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se tuvo conocimiento de los siguientes extremos: 1.- Con fecha 08/02/2024 se han obtenido por parte de esta Agencia las siguientes evidencias: - Captura de pantalla de la plataforma INSTAGRAM en la URL denunciada donde consta un fotograma de un video y la fecha 18/12/2023. Consta asimismo el nombre de perfil “***ESTABLECIMIENTO.1” y el texto “Qué tristeza, impotencia, falta de respeto y rabia que no valoren el trabajo. ESTOS JÓVENES ASIDUOS A NUESTRA TIENDA YA CLIENTES, de los primeros porque luego de venir de fiesta venían a comprar algo para comer. PERO CUÁL HA SIDO NUESTRA SORPRESA QUE NOS COMPRABAN 1 y nos ROBABAN 5. SÍ SEÑORES NOS HEMOS DADO CUENTA y esto lo llevan haciendo desde hace mucho tiempo, porque hemos hecho seguimiento de nuestras cámaras. […] Decepcionante que unos jóvenes te roben y entre todos se rían y se lo tomen como algo NORMAL. NO HAY EMPATÍA hacia nadie el RESPETO hacia el trabajo estos jóvenes NO LO CONOCEN. POR UNA CHOCOLATINA Y UNOS BOLLOS SE[…]” - Vídeo completo donde constan dentro del propio video las fechas de 15/12/2023 y 18/12/2023 y constan distintas personas que parecen estar sustrayendo bienes del comercio. 2.- Con fecha 07/10/2024 se comprueba que: - En la URL ***URL.1 no consta ningún contenido y en el mismo perfil de INSTAGRAM de “***ESTABLECIMIENTO.1” ahora no consta el vídeo denunciado. - En el servicio Google Maps, en la calle ***DIRECCIÓN.1 existe una pastelería que se llama “***ESTABLECIMIENTO.1”. 3.- Con fecha 23/10/2024 se comprueba en www.axesor.es que: - A.A.A. consta como autónomo y tiene como domicilio la calle ***DIRECCIÓN.1. Además, tiene como código CNAE la descripción de “comercio al por menor de pan […]” QUINTO: Con fecha 13 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 SEXTO: La notificación del citado acuerdo de inicio, que se practicó conforme a las normas establecidas en la LPACAP, fue recogida en fecha 19/12/2024 como consta en el acuse de recibo que obra en el expediente. SEPTIMO: En fecha 02/01/2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: - - Que aporta copia de Sentencia condenatoria de fecha 1 de octubre de 2024 del Juzgado de Instrucción Nº XX de Madrid, por la que se condena a lo reclamados como autores responsables de un delito leve contra el patrimonio, de hurto continuado previsto y penado en el artículo 234.2 del Código Penal. Que reconoce la publicación del video en Instagram, en su momento, si bien “no lo hizo con maldad para ellos, solo par que se den cuenta y no lo vuelvan hacer…madrugamos para trabajar y que un grupo a los que atendemos con el mejor de los gustos y descubrir que te roban en tu propia cara y se rían como si no fuera nada, llena de rabia e impotencia…” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Que de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada, mediante su sistema de vigilancia, recoge las imágenes de aquellas personas que acceden a su comercio. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. SEGUNDO: Que las imágenes en las que se podía comprobar como estos “clientes” robaban varios productos en el interior del comercio, fueron publicadas por la parte reclamada en la red social INSTAGRAM; habiendo sido dicha publicación reconocida por el mismo. Hay que indicar que los hechos objeto de publicación relativos a la parte reclamada han sido declarados probados por Sentencia condenatoria del Juzgado N.º XX de Madrid, de fecha 01/10/2024, (el video consta en Autos): “UNICO.- Que entre los días 15 y 18 de diciembre de 2023, B.B.B., C.C.C., D.D.D., E.E.E. y F.F.F., clientes habituales del establecimiento de ***ESTABLECIMIENTO.1, sita en ***DIRECCIÓN.1, cuando se aproximaban al mostrador para comprar empanada, aprovechaban la distracción de G.G.G., para coger productos que se encontraban en el expositor allí instalado, consistente en chucherías, bollería y similares, abandonando el lugar sin abonar su importe, dichos productos tenían un valor total de 34,80€.” FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones previas El RGPD tiene por objeto garantizar el derecho a la protección de los datos de las personas físicas. El artículo 4.1 del RGPD entiende por “datos personales”:“ toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”. El artículo 4.2 del RGPD define el “tratamiento”, como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” El artículo 4.7 del RGPD define:” responsable del tratamiento” o “responsable”: la persona física o jurídica, Autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de tratamientos de datos personales: por un lado, la grabación en video de los clientes o potenciales clientes que se encuentren dentro del comercio, puesto que la imagen es un dato personal, y, por otro lado, la publicación de las imágenes captadas en la red social. La imagen física de una persona es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El titular del establecimiento realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Contestación a alegaciones La parte reclamada ha reconocido el hecho de haber publicado en la red social INSTAGRAM, las imágenes de la cámara de vigilancia de su comercio. Si bien, es necesario destacar que el hecho de que los “clientes” estuviesen cometiendo un delito, no implicaría la posibilidad de vulnerar el derecho a la protección de datos, por cuanto no hay base de legitimación para ello. Pudiendo haber aportado el video, como se hizo, en el Orden Jurisdiccional Penal y/o a las Fuerzas y Cuerpos de Seguridad del Estado. El pretendido efecto disuasorio que alega el reclamado, no puede servir como legitimación. V Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " Asimismo el Considerando 40 del RGPD, dispone que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” En el presente caso, las imágenes captadas por las cámaras de videovigilancia del interior del comercio fueron posteriormente publicadas en el perfil de Instagram de este. La captación de imágenes es un tratamiento de datos personales que contaría con una base de legitimación y una finalidad concretos, que no son extensibles al tratamiento posterior realizado en este caso: la publicación de dichas imágenes en una red social. Por tanto, para que la publicación de los vídeos fuera lícita, sería necesario que se hubiera realizado sobre alguna de las bases de legitimación previstas por el artículo 6.1 del RGPD. Los cuatro reclamantes que entraron en el comercio y cuyas imágenes fueron captadas, manifiestan que no dieron su consentimiento para que dichas imágenes fuesen publicadas en el perfil de Instagram de la ***ESTABLECIMIENTO.1. En el supuesto que se analiza no se observa la concurrencia de ninguno de los otros supuestos legitimadores previstos en el mencionado artículo. Por tanto, el tratamiento no sería lícito por no tener el consentimiento ni disponer de ninguna otra base de legitimación. En consecuencia, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A. por vulneración del artículo transcrito anteriormente y todo ello sin perjuicio de que, con carácter previo a la apertura de este procedimiento de apercibimiento, el vídeo objeto de la reclamación no figure en la red social de la parte reclamada, donde fue publicado, habiendo sido eliminado, al menos, a 7 de octubre de 2024. VI Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VII Propuesta de apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo anteriormente mencionados procede dirigir a A.A.A. un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A., con NIF 51497601A, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es