1/5 Expediente N.º: EXP202500203 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de diciembre de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a quien identifica como A.A.A. con NIF ***NIF.1. Los hechos que se pone en conocimiento de esta autoridad se plasman de la siguiente manera: La Autoridad Catalana de Protección de Datos (ACPD) remite denuncia efectuada por la parte reclamante en la que se manifiesta la existencia de unas fotografías de su persona, menor de edad, junto a unas amigas en la vía pública, pegadas en un portal, constatando los agentes actuantes la existencia de una cámara de videovigilancia en el portal orientada a la vía pública. Aporta denuncia de la parte reclamante, actuaciones realizadas por los agentes actuantes al respecto y fotografías de las fotografías objeto de denuncia (Anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a A.A.A., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 24/01/2025 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 9 de marzo de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 3 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 5.1
- c)RGPD, tipificada en el artículo 83.5 RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida por la reclamada en fecha 04/11/25 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 05/12/25 se recibe escrito de la reclamada en dónde manifiesta lo siguiente: “retirada voluntaria y definitiva de las cámaras de video-vigilancia que instalé en (…) s/n y, que tras revisar la normativa vigente, he comprobado que no cumplían con los requisitos legales establecidos en la normativa de protección de datos (…) y que ha procedido a eliminar todas las imágenes registradas, sin conservar copia alguna”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha de entrada 09/12/24 por medio de la cual se traslada reclamación de la ACPD (Cataluña) acerca “de la existencia de fotografías pegadas en un portal” que pudiera haber sido obtenida de un sistema de video-vigilancia instalado en un portal del inmueble. Segundo. Consta acreditado la existencia de un sistema de video-vigilancia operativo sin adaptarse a la normativa vigente, que afecta a espacio público. Tercero. Consta acreditado el tratamiento de datos de terceros sin causa justificada, almacenándose dichas imágenes (datos) por parte de la reclamada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. De conformidad con las pruebas aportadas se infiere que la reclamada puede ser la responsable del sistema instalado, debiendo acreditar la legalidad del sistema instalado. IV En el presente caso, se procede a examinar la reclamación remitida por la Autoridad de Protección de Datos (Cataluña) en relación al <tratamiento de datos> efectuado presuntamente por sistema de grabación de imágenes de la reclamada, sin causa justificada para ello afectando a espacio público. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 Los hechos se concretan en la determinación de si el sistema de videovigilancia se excede en la grabación y tratamiento de imágenes (datos personales) fuera de los límites legalmente establecidos, afectando a vía pública. El art. 5.1
- c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumpla con todos los requisitos exigidos por la normativa en vigor. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. En todo caso, las cámaras deben estar orientadas hacia el espacio particular, evitando intimidar a vecinos colindantes con este tipo de dispositivos, así como controlar zonas de tránsito de los mismos sin causa justificada. Tampoco con este tipo de dispositivos se puede obtener imágen (
- es)de espacio público, al ser esta competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado, en los términos de la actual LO 4/1997, 4 agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos. Conviene recordar que aun el caso de tratarse de una cámara “simulada” la misma debe estar orientada preferentemente hacia espacio privativo, dado que se considera que este tipo de dispositivos pueden afectar a la intimidad de terceros, que se ven intimidados por la misma en la creencia de ser objeto de grabación permanente. Por parte de los particulares no se puede instalar aparatos de obtención de imágenes de espacio público y/o tránsito de terceros, fuera de los casos permitidos en la normativa. VI Conclusión En el presente caso, se ha acreditado al reconocerlo la propia reclamada la instalación de un sistema de video-vigilancia operativo mal orientado hacia espacio público, que trataba datos de terceros sin causa justificada. La reclamada declara haber retirado el sistema y haber procedido a la eliminación de cualquier imagen obtenida con el mismo, si bien es una manera manifestación sin que respaldo probatorio alguno haya aportado a tal efecto. Se recuerda la obligación de cumplir con los requisitos marcados legalmente a la hora de instalar sistemas de video-vigilancia, así como que las imágenes obtenidas de los sistema(s), se han de poner a disposición de la autoridad competente en los casos estipulados legalmente, no realizando en su caso un uso espurio de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 No obstante, se da por válida la mera declaración responsable, teniendo en cuenta que en caso de nueva reclamación al respecto, podrá dar lugar a la apertura de nuevo procedimiento administrativo, con valoración de imposición de multa económica. Dada la retirada del sistema de cámara (
- s)de su actual lugar de emplazamiento no cabe imponer medida correctiva alguna, al haber actuado la reclamada tras traslado de la notificación del Acuerdo de inicio. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A. con NIF ***NIF.1., por una infracción del artículo 5.1
- c)tipificada en el artículo 83.5 RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1403-230126 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es