PS-00018-2023

1/7  Expediente N.º: EXP202300361 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10 de octubre de 2022, por la Directora de la Agencia Española de Protección de Datos se dictó resolución en el procedimiento sancionador del expediente número EXP202204455, seguido contra A.A.A. (en adelante, la parte reclamada). En dicha resolución, además de sancionar con la imposición de dos multas, se ordenó la adopción de las medidas necesarias para que cese la conducta o se corrijan los efectos de las infracciones cometidas. En concreto, en el Punto Tercero de la parte dispositiva se acordó lo siguiente: TERCERO: REQUERIR a A.A.A. para que, en el plazo de un mes contado desde la notificación de la presente resolución, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VIII de esta resolución, y justifique ante esta Agencia Española de Protección de Datos la atención del presente requerimiento. De acuerdo con lo indicado en el citado Fundamento de Derecho VIII de la Resolución, este requerimiento incluye los extremos siguientes:

1. a)Suprimir la captación de sonidos por el sistema de videovigilancia objeto de las actuaciones.
2. b)El cumplimiento del deber de informar, en relación con el citado sistema de videovigilancia, facilitando a los trabajadores la información que exige el RGPD y completando la información que se ofrece mediante el cartel informativo instalado en el establecimiento, cuya ubicación deberá variarse para que sea fácilmente visible. SEGUNDO: La resolución del procedimiento sancionador fue notificada fehacientemente en fecha 16 de octubre de 2022 a la parte reclamada, concediéndole el plazo de un mes para la adopción de las medidas impuestas, tal como consta acreditado en el expediente. TERCERO: Tras el transcurso del plazo indicado sin que en esta Agencia se hubiera recibido escrito alguno sobre las medidas implementadas por la parte reclamada, se procedió a requerirles nuevamente para que, en el plazo de diez días hábiles, acreditaran ante esta Agencia haber adoptado las medidas correctoras oportunas, en atención a lo acordado en la citada Resolución. Este requerimiento fue recogido por el responsable con fecha 22 de noviembre de 2022, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 CUARTO: Con fecha 02 de diciembre de 2022, se registraron de entrada en esta Agencia, con los números REGAGE22e00055586620 y REGAGE22e00055587675, sendos escritos presentados por la parte reclamada, mediante los que aporta copia del contrato suscrito con una entidad externa con el objeto de implementar políticas técnicas y organizativas apropiadas para aplicar las medias de seguridad que establece la normativa de protección de datos personales. Sin embargo, nada se indica en dichos escritos sobre el cumplimiento de lo señalado en la resolución de 10 de octubre de 2022, en relación con la supresión de la captación de sonido por el sistema de videovigilancia y sobre el cumplimiento del deber de informar. En consecuencia, se le volvió a enviar un requerimiento para la justificación, en el plazo de quince días hábiles, del cumplimiento de las medidas indicadas. Este requerimiento fue recogido por el responsable con fecha 14 de diciembre de 2022, como consta en el acuse de recibo que obra en el expediente. QUINTO: Con fecha 29 de diciembre de 2022, se registró de entrada en esta Agencia, con número REGAGE22e00060084163, escrito mediante el que la parte reclamada manifiesta que se ha cumplido escrupulosamente con la normativa relativa a protección de datos personales. Asimismo, afirma que nunca ha existido captación de sonido del sistema de vigilancia y que en todo momento se ha cumplido con lo requerido respecto al deber de información y los carteles informativos. Alega también que todo lo anterior se hubiera acreditado si se hubiera girado la oportuna visita de inspección requerida en múltiples ocasiones. SEXTO: Contra la citada resolución, en que se requiere la adopción de medidas, no cabe ningún recurso ordinario en vía administrativa por el transcurso de los plazos establecidos para ello. Por otra parte, el 11 de enero de 2023 se registró en esta Agencia, con número de entrada REGAGE23e00002009810, oficio de la Audiencia Nacional reclamando el expediente administrativo EXP202204455 acompañado de copia del recurso contencioso-administrativo interpuesto. Esta Agencia constata que en dicho recurso no se ha solicitado suspensión cautelar de la resolución recurrida, por lo que no resulta de aplicación lo dispuesto en el artículo 90.3 de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. SÉPTIMO: Con fecha 25 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). OCTAVO: El citado acuerdo de inicio fue recogido por la parte reclamada con fecha 26 de enero de 2023, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 NOVENO: Con fecha 10 de febrero de 2023 y número de registro de entrada REGAGE23e00008909541, la parte reclamada presenta escrito de alegaciones al acuerdo de inicio en el que de nuevo manifiesta que los requerimientos de esta Agencia han sido atendidos y que ha cumplido escrupulosamente con la normativa relativa a protección de datos personales. Además, reitera que nunca ha existido captación de sonido del sistema de videovigilancia y que en todo momento se ha cumplido con lo requerido respecto al deber de información y los carteles informativos. Insiste en que todo esto se hubiera podido comprobar con una rutinaria visita de inspección por parte de la Agencia. DÉCIMO: Con fecha 6 de marzo de 2023 se formuló propuesta de resolución, en la que se proponía que por la Directora de esta Agencia se impusiera a la parte reclamada, por una infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD, una multa de 400 euros, ordenándose de nuevo que acreditara, en el plazo de diez días hábiles, haber procedido al cumplimiento de las medidas impuestas en la resolución del expediente EXP202204455. HECHOS PROBADOS PRIMERO: La resolución del procedimiento sancionador y los requerimientos para el cumplimiento de las medidas impuestas en la misma indicados en los antecedentes primero a cuarto fueron notificados, con arreglo a lo dispuesto en la LPACAP. Dicha resolución devino firme y ejecutiva por el transcurso de los plazos previstos para la interposición de los recursos en ella indicados. SEGUNDO: La parte reclamada no ha remitido respuesta alguna a esta Agencia que acredite el cumplimiento de las medidas impuestas. TERCERO: La notificación del acuerdo de inicio del presente procedimiento sancionador fue recogida por la parte reclamada con fecha 26 de enero de 2023. CUARTO: La parte reclamada ha presentado alegaciones al acuerdo de inicio de este procedimiento sancionador según se recoge en el antecedente noveno. QUINTO: La notificación de la propuesta de resolución fue recogida por la parte reclamada el 6 de marzo de 2023. SEXTO: La parte reclamada no ha presentado alegaciones a la propuesta de resolución de este procedimiento sancionador. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al Acuerdo de inicio En respuesta a las alegaciones al acuerdo de inicio del presente expediente presentadas por la parte reclamada, en reiteración de lo puesto de manifiesto en el antecedente quinto, se debe señalar lo siguiente. La parte reclamada no ha acreditado ante esta Agencia en ninguna de sus contestaciones el cumplimiento de las medidas impuestas en la resolución, esto es, la supresión de la captación de sonidos por el sistema de videovigilancia objeto de las actuaciones y el cumplimiento del deber de informar, en relación con el citado sistema de videovigilancia, facilitando a los trabajadores la información que exige el RGPD y completando la información que se ofrece mediante el cartel informativo instalado en el establecimiento, cuya ubicación deberá variarse para que sea fácilmente visible. Los medios de comprobación del cumplimiento no son de libre disposición del responsable, en este caso disponiendo que se le realice una inspección presencial, sino que, dentro de los poderes que el RGPD otorga a las autoridades de control, son estas las que optarán por el que resulte más procedente en cada caso, pudiendo requerirse el envío de los documentos y datos necesarios. En este caso, es el sancionado quien debe remitir justificación del cumplimiento de las medidas impuestas en la resolución, como así se indica expresamente en la orden incumplida reproducida en el antecedente tercero. Es por ello que la negativa a acreditar la adaptación a la normativa remitiendo la documentación que así lo justifique, incluso tras habérsele reiterado en múltiples ocasiones, supone el incumplimiento de una resolución plenamente ejecutiva. III Obligación incumplida De conformidad con las evidencias de las que se dispone, se considera que la parte reclamada ha incumplido la resolución de la Agencia Española de Protección de Datos con relación a las medidas que se le impusieron. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 58.2.
3. d)del RGPD, que dispone lo siguiente: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7
4. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” IV Tipificación y calificación de la infracción Esta infracción se tipifica en el artículo 83.6 del RGPD, que estipula lo siguiente: “El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “
5. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” V Sanción imputada La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En consecuencia, se deberá graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
6. k)del citado artículo 83.2 del RGPD. Se aprecia que no resulta de aplicación ningún atenuante ni agravante. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 58.2 del RGPD tipificada en el artículo 83.6 del RGPD. La sanción que corresponde imponer es de multa administrativa por importe de 400,00 euros. VI Adopción de medidas Esta Agencia acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
7. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Se advierte que no atender a los requerimientos de este organismo este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD, una multa de 400,00 euros (CUATROCIENTOS euros). SEGUNDO: REQUERIR a A.A.A., con NIF ***NIF.1, para que en el plazo de 10 días hábiles a contar desde la notificación de esta Resolución acredite a la Agencia la adopción de las medidas ordenadas en la resolución del procedimiento sancionador del expediente número EXP202204455, esto es, que acredite haber procedido a la supresión de la captación de sonidos por el sistema de videovigilancia objeto de las actuaciones y el cumplimiento del deber de informar, en relación con el citado sistema de videovigilancia, facilitando a los trabajadores la información que exige el RGPD y completando la información que se ofrece mediante el cartel informativo instalado en el establecimiento, cuya ubicación deberá variarse para que sea fácilmente visible. TERCERO: NOTIFICAR la presente resolución a A.A.A.. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
8. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
9. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es