1/17 Expediente N.º: EXP202307678 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de mayo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra A.A.A. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes La parte reclamante manifiesta que es vecina de finca colindante con la vivienda de la parte reclamada y que este cuenta con un sistema de videovigilancia con cámaras dirigidas a la vivienda de la parte reclamante. Junto a la reclamación se aporta imágenes de ubicación de las cámaras reclamadas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En respuesta al traslado, el 23 de junio de 2023 se remite por el reclamado lo siguiente: “Declaro que tengo dos cámaras fijas (sin movimiento) en mi propiedad, orientadas exclusivamente a mi propiedad, nunca a la vía pública ni a ninguna propiedad ajena. Dichas cámaras las instalé hace más o menos cinco años y no hacen fotografías ni videos. Simplemente las tengo a modo disuasorio y como medida de seguridad para mi familia. Aporto fotografías de dónde tengo las cámaras instaladas, y si en algún momento necesitan comprobarlo personalmente, no tengo ningún problema en que lo hagan.” El 14 de agosto de 2023, la AEPD requiere al reclamado que aclare si las cámaras funcionan o no, por lo que deberá aclarar esta circunstancia. En el caso de que las cámaras no estén en funcionamiento o sean ficticias, deberá aportar el modelo de declaración responsable que se adjunta debidamente cumplimentado y firmado (debiendo incluir su número de NIF). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 En respuesta al traslado, el 30 de agosto de 2023, se remite por el reclamado lo siguiente: “Las cámaras de videovigilancia de mi propiedad, sí funcionan pero no hacen ni vídeos ni fotografías. Están instaladas dentro de mi propiedad, en modo fijo y orientadas a mi propiedad, nunca a la propiedad de otro vecino, y vuelvo a decir que pueden comprobarlo cuando lo estimen oportuno”. TERCERO: Con fecha 30 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 23 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción de los 5.1.
- c)y 13 del RGPD, tipificadas en el Artículo 83.5 del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 7 de enero de 2025 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 22 de enero de 2025 se recibe escrito de alegaciones de la parte reclamada en el que, se recogen las siguientes consideraciones: “PRIMERA: CÁMARAS ENFOCADAS EXCLUSIVAMENTE A Ml PROPIEDAD PRIVADA Las cámaras de videovigilancia que tengo instaladas en mi chalé son dos cámaras fijas Marca Garza: - Una colocada dentro del espacio de portal de mi casa (entre mi verja y la puerta de entrada) que enfoca exclusivamente la puerta de entrada de la casa con un cartel informativo anunciando la videovigilancia de mi propia casa con fines de seguridad del inmueble y sus moradores. -Otra colocada en otra fachada interior-trasera de mi propiedad que enfoca exclusivamente a mi jardín Ambas cámaras están orientadas exclusivamente a mi propiedad es decir no se dirigen a espacios ni lugares de tránsito público ni a propiedad de terceros ni vecinos de tal manera que ninguna persona puede ver afectada su intimidad o puede sentirse intimidada por la presencia de mis cámaras. Así mismo, tal y como ya les comuniqué en sendos escritos presentados por mí en fechas 23 de Junio y 30 de Agosto de 2023, las referidas cámaras no graban imágenes ni sonidos ni realizan video ni fotografías únicamente permiten ver u observar en tiempo real las zonas a las que están enfocadas que son zonas exclusivamente privativas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 Se aportan como Documento nº 1 varias fotografías de mi casa y del emplazamiento de ambas cámaras y del cartel anunciante y como Documento nº 2 las imágenes de los lugares que captan, siendo éstos únicamente mi jardín privado y la puerta de entrada a mi vivienda. SEGUNDA: MOTIVOS DE SEGURIDAD DE Ml FAMILIA Y DE Ml VIVIENDA Habida cuenta que soy una persona de avanzada edad y con patología cardiaca severa y que vivo en una casa situada en una urbanización ubicada en una zona de poco tránsito y alejada del casco urbano, considero una necesidad la colocación de cámaras de vigilancia en mi casa con un fin disuasorio de posibles malhechores y como medida de seguridad de la vivienda. Mis cámaras se ciñen a la protección de mi inmueble y de mi familia y no afectan a terceros, enfocan mi espacio privado. La colocación o presencia de este tipo de dispositivos es común y habitual en el resto de las casas de la Urbanización ***B.B.B.. La gran mayoría de vecinos por obvias razones de seguridad personal y familiar, tienen colocados estos dispositivos de vigilancia, cuyo uso se ha ido incrementando paulatinamente a medida que más vecinos las iban colocando en sus propiedades, de tal modo que el vecino que no las colocaba percibía su vivienda más desprotegida en comparación con el resto de casas que sí disponían de esa medida de seguridad. TERCERA: AUSENCIA DE IMÁGENES GRABADAS – Como ya se ha indicado reiteradamente, mis cámaras no graban vídeos ni realizan fotogramas, sino que únicamente me permiten ver y controlar zonas de mi propiedad en tiempo real. Nunca he captado imágenes de ningún tercero ni de propiedad ajena ni de la vía pública, de tal modo que no puedo conservar lo que no tengo ni, mucho menos hacer ningún tratamiento de imágenes inexistentes. Para preservar la seguridad de mi casa y de mi familia no tengo necesidad ni interés en invadir visualmente ninguna propiedad ajena. CUARTA: - NECESIDAD DE COLABORACIÓN DE LAS FUERZAS Y CUERPOS DE SEGURIDAD DE LA LOCALIDADTal y como ya les manifesté en mis escritos de 2023 y habida cuenta que, les he aportado y agotado cuantas explicaciones y documentación gráfica puedo recabar para demostrar la legalidad de las dos cámaras de seguridad que tengo instaladas en mi domicilio y que he realizado y expuesto cuantas actuaciones puedo realizar al respecto ruego que la Agencia de Protección de Datos solicite la colaboración policial para que se desplace la autoridad al lugar y constaten oficialmente: 1- La situación y emplazamiento de mis cámaras en mis fachadas y el campo de enfoque/visión de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 2 -La presencia de cámaras emplazamiento y enfoque de las cámaras de la vecina reclamante. 3-La existencia de cámaras en el resto de la Urbanización El Acantilado Cerdigo. QUINTA: -RENCILLAS VECINALES Considero importante informar que la vecina colindante denunciante mantiene una fuerte rivalidad con mi familia con existencia incluso, de pleitos judiciales entre ambos, por si pudiera estar instrumentalizando este organismo por motivos personales. Desconozco qué imágenes envió para la presentación de la denuncia ya que, hasta ahora no me han sido facilitadas de modo que no puedo comprobar si pertenecen a mi propiedad y mis cámaras y de qué fecha datan. Esa vecina conoce perfectamente mis datos en caso de querer ejercitar los derechos de cancelación, rectificación etc., derechos que, por otra parte, no han sido afectados por mi parte puesto que mis cámaras enfocan EXCLUSIVAMENTE mi propiedad SEXTA: - CUMPLIMIENTO DE LA LEGALIDAD VIGENTE – Reseñar que mi actuación para preservar la seguridad de mi familia y de mi morada ha estado siempre presidida por el respeto a la legalidad vigente en materia de protección de datos de terceros datos personales que no tengo ningún interés en conocer ni tratar ni manejar. Les reitero mi absoluta disposición y colaboración para cumplir cuantas normas o requisitos sean preceptivos para conjugar la protección de mi vivienda con el derecho a la protección de datos de terceros.” Aporta imágenes de 14 de enero de 2025, sobre las dos cámaras que integran el sistema de videovigilancia. Una cámara colocada entre la verja y la puerta de entrada, y otra en la fachada interior-trasera. La primera enfoca la puerta de entrada de la casa y la segunda el jardín, con un cartel informativo anunciando la existencia de las cámaras. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamada remite fotografías de su sistema de videovigilancia integrado por dos cámaras, una colocada entre la verja y la puerta de entrada, y otra en la fachada interior-trasera. SEGUNDO: La parte reclamada remite fotografía mostrando el cartel informativo de su sistema de videovigilancia, el cual es incompleto al no indicar los datos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 responsable y desactualizado al utilizar la LO 15/1999 de protección de datos, en lugar del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio y respuesta La parte denunciada en respuesta al acuerdo de inicio ha indicado que las cámaras no graban imágenes ni sonidos ni realizan video ni fotografías únicamente permiten ver u observar en tiempo real las zonas a las que están enfocadas que son zonas exclusivamente privativas, aportando fotografías sobre el emplazamiento de las cámaras enfocadas hacia el jardín privado y el acceso a la vivienda, aportando imágenes del campo de visión, así como del cartel informativo En respuesta a esta primera afirmación hay que señalar que no hace falta que se graben las imágenes para que haya un tratamiento de datos personales. En relación al enfoque de las cámaras, la parte denunciante aporta imágenes que por su elevación y enfoque, permiten además de captar el patio privado de la parte denunciada, observar también el patio privado de su vecina o parte denunciante, lo cual vulnera la privacidad de su vecina. Además el cartel informando de la existencia de un sistema de videovigilancia no es adecuado porque en primer lugar hace alusión a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, la cual actualmente está derogada, ya que la que rige es el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 En segundo lugar, dicho cartel no indica ante quien puede ejercerse los derechos, ya que en el cuadro habilitado para ello se indica: “finalidad: seguridad del inmueble y de sus moradores”, espacio dedicado para indicar los datos del responsable del sistema de videovigilancia, en este caso los datos de la entidad a quien la parte reclamada tenga contratados los servicios de gestión de su sistema de videovigilancia, o en su defecto, los datos de la denunciada. En el escrito remitido por la parte reclamada en respuesta al acuerdo de inicio se afirma que las cámaras son para la protección de su vivienda y su familia, no afectando a terceros. En respuesta a ello la AEPD ha de indicar que las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. Tampoco pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Otra afirmación que la parte reclamada consiste en que las cámaras no graban vídeos ni realizan fotogramas, sino que únicamente le permiten ver y controlar zonas de su propiedad en tiempo real. En respuesta a ello ha de señalarse que, la visualización ya es un tratamiento de datos personales. Otra afirmación de la parte reclamada es que la denunciante tiene pleitos judiciales con ella, y que la denunciante, al ser su vecina conoce perfectamente los datos personales de la parte denunciada, en caso de querer ejercitar sus derechos. En este sentido señalar que el cartel ha de contener la normativa actual en materia de protección de datos e indicar quien es el responsable del sistema de videovigilancia, para poder considerar que dicho cartel es conforme a la normativa de protección de datos, y sin embargo no se indica quien es el responsable ni la normativa vigente. Finalmente, la parte reclamada afirma que la razón de ser de las cámaras es preservar la seguridad de su familia y de su casa dentro de la legalidad vigente en materia de protección de datos de terceros datos personales. En respuesta a ello, señalar que en virtud del principio de minimización de datos del artículo 5 del RGPD, en materia de videovigilancia significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de estos. III La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales, indicando: “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. IV Obligaciones en materia de videovigilancia De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios”, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- El tratamiento de las imágenes mediante la instalación de sistemas de cámaras o videocámaras deberá ser lícito y ajustarse al principio de proporcionalidad y al de minimización de datos, en los términos ya señalados. 4.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 5.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), la Guía sobre el uso de videocámaras para seguridad y otras finalidades, la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. V Obligación del artículo 5.1
- c)del RGPD El artículo 5.1
- c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 El tratamiento de datos personales está sometido al resto de los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
- c)del RGPD que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad previa autorización gubernativa. En algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y, en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. Tampoco pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 En el presente caso, de la documentación aportada al expediente, cabe deducir que la parte denunciada ha instalado cámaras cuyo campo de visión incluye parte de la propiedad de la parte reclamante. VI Infracción administrativa del artículo 5.1
- c)del RGPD De conformidad con las evidencias de las que se dispone, se considera que los hechos expuestos vulneran lo establecido en el Artículo 5.1.
- c)del RGPD, por lo que podrían suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…).” VII Apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo 5.1
- c)del RGPD procede dirigir a la parte reclamada un apercibimiento. VIII Obligación de artículo 13 RGPD El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
- f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." En relación con los tratamientos con fines de videovigilancia, el artículo 22 de la LOPDGDD indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
- c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. 6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica. 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo. 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.” En este caso concreto, la parte reclamada es responsable de un sistema de videovigilancia, con cámaras dirigidas a la vivienda de la parte reclamante, sin que el mismo se encuentre debidamente señalizado al ser el contenido de los preceptivos carteles informativos de zona videovigilada incompletos, e indicarse una normativa no vigente, ya que no se indica quien es el responsable del tratamiento ni ante qué órgano procede ejercer sus derechos. IX Infracción administrativa del artículo 13 del RGPD De conformidad con las evidencias de las que se dispone, se considera que la parte reclamada ha podido tratar datos personales de la parte reclamante sin atenerse a las estipulaciones del artículo 13 del RGPD, transcrito en el Fundamento anterior. El artículo 83.5
- b)dispone que “las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)(…)
- b)los derechos de los interesados a tenor de los artículos 12 a 22;” (…)”. A los efectos del plazo de prescripción de las infracciones, el artículo 72.1
- h)de la LOPDGDD califica de muy grave “La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. El plazo de prescripción de las infracciones muy graves previsto en la LOPDGDD es de tres años. X Apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo 13 del RGPD procede dirigir a la parte reclamada un apercibimiento. XI Adopción de medidas Confirmadas las infracciones de los artículos 5.1
- c)y 13 del RGPD, se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Se requiere al responsable para que en el plazo un mes a contar desde que se notifique la resolución de ese procedimiento de apercibimiento, se notifique a esta Agencia la adopción de las siguientes medidas: - Acreditar la retirada o reorientación de las cámaras propiedad de la parte reclamada porque se encontrarían dichas cámaras enfocadas hacia la propiedad de la parte reclamante, cumpliendo el principio de minimización de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 datos personales, establecido en el artículo 5.1.
- c)del RGPD, al que se hace referencia en el Fundamento de Derecho V. - Acreditar que se ofrece la información establecida en el artículo 13 del RGPD, al que se hace referencia en Fundamento de Derecho VIII. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo de apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A., con NIF ***NIF.1 por las infracciones de los artículos 5.1.
- c)y 13 del RGPD, tipificadas en el artículo 83.5 del RGPD. SEGUNDO: ORDENAR a A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de un mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de - La retirada o reorientación de las cámaras propiedad de la parte reclamada porque se encontrarían dichas cámaras enfocadas hacia la propiedad de la parte reclamante, cumpliendo el principio de minimización de datos personales, establecido en el artículo 5.1.
- c)del RGPD, al que se hace referencia en el Fundamento de Derecho V. - Acreditar que se ofrece la información establecida en el artículo 13 del RGPD, al que se hace referencia en Fundamento de Derecho VIII. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es