1/5 Procedimiento Nº: PS/00011/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27 de septiembre de 2019, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra FRUTAS DELICIOSAS ILYAS, S.L. con NIF B99469819 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia instalado en ***DIRECCIÓN.1, existiendo indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos que fundamentan la reclamación son que en la fachada de la frutería hay una cámara de videovigilancia sin cartel que indique la misma y presuntamente grabando imágenes de la calle. No hay tampoco ningún cartel informativo para ejercitar derechos. Junto a la reclamación aporta una fotografía en la que aparece una cámara en la fachada del establecimiento que, por su ubicación, podría estar captando imágenes de la vía pública. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), siendo recepcionado con fecha 21 de julio de 2020. El reclamado contestó aportando copia del Informe de Adecuación al Reglamento General de Protección de Datos elaborado por la empresa instaladora de las cámaras. En dicho Informe, en el Anexo G, consta que en el establecimiento hay varias cámaras instaladas, y se indica la existencia de una cámara simulada en el exterior. No obstante, no aporta fotografía alguna que permita comprobar que dispone de cartel informativo de la existencia de dichas cámaras. TERCERO: Con fecha 15 de enero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Con fecha 09 de febrero de 2021 se reciben en esta Agencia alegaciones al acuerdo de inicio formuladas por el reclamado en las que pone de manifiesto que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 dispone de cartel informativo, y que es de antes de que entrara en vigor la nueva normativa, aportando fotografía del mismo. Asimismo, comunica que, dado que la cámara que se encontraba en la fachada era simulada, ha procedido a su retirada al tener conocimiento del procedimiento sancionador instruido por esta Agencia, para evitar confusiones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Instalación de una cámara en la fachada exterior del local del reclamado sito en ***DIRECCIÓN.1. SEGUNDO: El responsable de los dispositivos es FRUTAS DELICIOSAS ILYAS, S.L. con NIF B99469819. TERCERO: El reclamado declara en el escrito de alegaciones al acuerdo de inicio que la cámara exterior es simulada, y que, además, cuenta con un cartel informativo de la existencia de cámaras conforme lo que disponía la normativa de protección de datos anterior, antes de que entrase en vigor la actual, aportando fotografías en la que se ve el citado cartel. No obstante, dado que la cámara era simulada, ha procedido a retirarla, para evitar confusiones. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 13 del RGPD, que señala que “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Esta infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tales: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)los derechos de los interesados a tenor de los artículos 12 a 22; […].” III En el presente caso, corresponde analizar la presunta ilicitud de la falta de cartel informativo de la existencia de zona videovigilancia por una cámara colocada en el inmueble sito en ***DIRECCIÓN.1. Los hechos probados ponen de manifiesto que existía un cartel informativo de la existencia de una cámara de videovigilancia en el exterior del inmueble. Asimismo, de acuerdo con las alegaciones del reclamado en su contestación al acuerdo de inicio de este procedimiento, dado que la cámara era simulada, ha procedido a retirarla para evitar confusiones. IV De acuerdo con lo expuesto, cabe concluir que el reclamado dispone de cartel informativo de la existencia de cámaras, de manera que no cabe hablar de conducta infractora en el ámbito del marco de la normativa reguladora de protección de datos, motivo por el cual se procede al Archivo del presente procedimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO del presente procedimiento al no quedar acreditada infracción administrativa alguna. SEGUNDO: NOTIFICAR la presente resolución a FRUTAS DELICIOSAS ILYAS, S.L. con NIF B99469819. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es