PS-00019-2020

1/7  Procedimiento Nº: PS/00019/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de septiembre de 2019, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra B.B.B. con NIE ***NIE.1 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia situado en ***DIRECCIÓN.1) ***LOCALIDAD.1, (MÁLAGA), respecto al que existen indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos. Los motivos que fundamentan la reclamación son los siguientes: “[…] 2) Que el Sr. B.B.B. propietario de la vivienda nº 6 ha instalado unas cámaras de video vigilancia que se encuentra enfocadas en dirección a mi vivienda. 3) Que no sólo se me ha negado el acceso para verificar si se están captando indebidamente imágenes de mi propiedad o de mi persona, sino que las cámaras carecen de señalización alguna advirtiendo de su existencia. […]”. El reclamante adjunta ficha catastral de su propiedad (Documento nº1), copia de escritura de compra de dicha propiedad (Documento nº 2), burofax remitido al reclamado el día 03/09/2019 (Documento nº 3), respuesta por email de este último de fecha 05/09/2019 (Documento nº 4) y reportaje fotográfico (Documento nº 5). SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), siendo notificada el 28 de octubre de2019. No consta en el expediente electrónico la contestación enviada por el reclamado. De acuerdo con lo manifestado por este en el escrito de alegaciones, la contestación al traslado se realizó a través de un correo electrónico. TERCERO: La reclamación fue admitida a trámite mediante resolución de 30 de diciembre de 2019. CUARTO: Con fecha 11 de marzo de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción de los artículos 5.1.

1. c)y 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en el artículo 83.5 de la citada norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 QUINTO: Notificado el acuerdo de inicio, el día 1 de julio de 2020 tuvo entrada en el registro de la Agencia Española de Protección de Datos escrito de alegaciones presentado por el reclamado en el que manifestaba, de manera fundamental, que: “[…] mi sistema está conectado a una empresa en ***PAÍS.1 con lo cual dificulto a todas aquellas personas que quieran ponerse en contacto para averiguar si se ha vulnerado su imagen personal. Por lo demás esa empresa extranjera opera igual que una local. El tratamiento de las imágenes es la misma. Solo se guardan las imágenes cuando la alarma salta para podérselas ofrecerlas a la policía. […] las cámaras están conectadas a una empresa privada de seguridad en ***PAÍS.1. El sistema me permite activar y desactivar las cámaras por lo tanto en mi ausencia la cámara exterior está desconectada y solo activadas las interiores. […] […] solo he actuado en mi propia protección […] debido a que unos ladrones habían penetrado en mi casa mientras dormía he montado todo este sistema. […] Al intentar enviarles esta carta por correo electrónico nos hemos ([…] secretaria de nuestra Comunidad de Propietarios) percatado que en esa dirección no aceptan correspondencia alguna, lo que yo, desde ***PAÍS.1, al no estar familiarizado con el idioma español, no me di cuenta de que mi primer escrito a la Agencia […] no fue recibida.” SEXTO: Con fecha 5 de agosto de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por reproducidos, a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, así como las alegaciones presentadas por el reclamado. SÉPTIMO: Con fecha 13 de octubre de 2020 se formuló propuesta de resolución, proponiendo la imposición al reclamado de una sanción de apercibimiento, por una infracción del artículo 5.1.
2. c)del RGPD, tipificada en el artículo 83.5 de la misma norma. La notificación de esta propuesta se realizó el día 26 de octubre de 2020, sin el que el reclamado haya presentado alegaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: El reclamado ha instalado un sistema de videovigilancia en la vivienda situada en ***DIRECCIÓN.1, ***LOCALIDAD.1, (MÁLAGA). SEGUNDO: De las fotografías aportadas por el reclamante se observa la existencia de dos cámaras orientadas hacia el exterior: en la puerta de acceso de la vivienda y en la celosía del garaje, sin cartel informativo y cuyo alcance sería de varios metros según manifiesta el reclamado en la contestación de 5 de septiembre de 2019 al burofax enviado por la reclamante. No se observa cartel informativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 TERCERO: El reclamado declaró en su escrito de alegaciones al acuerdo de inicio que dispone de un sistema de videovigilancia compuesto por cámaras tanto interiores como por otras enfocando hacia el exterior por motivos de seguridad, que el sistema se encuentra conectado a una empresa de seguridad en ***PAÍS.1 y que las cámaras exteriores se encontraban desconectadas en su ausencia. CUARTO: En las alegaciones el reclamado hace referencia a la existencia del cargo de secretario de la comunidad de propietarios. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II En la propuesta de resolución se imputa al reclamado la comisión de una infracción por vulneración del artículo 5.1.
3. c)del RGPD, que señala que los datos personales serán «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).» Esta infracción se tipifica en el artículo 83.5 del RGPD: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
4. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
5. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].” A efectos del plazo de prescripción de la infracción, la misma se considera muy grave y prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7
6. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. […]” III Los hechos probados en el presente procedimiento ponen de manifiesto que el reclamado ha instalado un sistema de videovigilancia en el que las dos cámaras orientadas hacia el exterior, al tener un alcance de varios metros, captarían desproporcionadamente los viales o espacios entre viviendas de la urbanización. El reclamante manifiesta asimismo que el sistema de videovigilancia carece de cartel informativo y en las imágenes aportadas no se observa su existencia, tal y señaló de en el acuerdo de inicio del presente procedimiento. La instalación de las referidas cámaras orientadas hacia el exterior no queda amparada en la exclusión recogida en el artículo 22.5 de la LOPDGDD por cuanto que la captación de imágenes que vayan más allá —espacial y temporalmente— de la comprobación acerca de la identidad de las personas que intentan acceder a un domicilio en un momento determinado, excede de la consideración de tratamiento “efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas” del artículo 2.2.
7. c)del RGPD. Por otro lado, aun cuando la finalidad del tratamiento de datos llevado a cabo con el sistema de vigilancia fuera garantizar la seguridad de la vivienda y del espacio privativo del reclamado —y por tanto pudiera hacerse valer esta base legitimadora—, la toma de imágenes debería reducirse al mencionado espacio privativo, su acceso, perímetro o ambos, debiendo limitarse la captación de espacios adyacentes al mínimo y sin que en ningún caso pueda alcanzar a viviendas vecinas ni a los viales de tránsito. Además, y aun cuando no se haya recogido en la propuesta de resolución una infracción en este sentido, es necesario señalar que el artículo 13 del RGPD —en cumplimiento del deber de información recogido en el precedente artículo 12 del mismo texto legal— regula la información que ha de proporcionarse cuando los datos personales se obtengan del interesado, situación que se produce en los supuestos en que se captan imágenes por un sistema de videovigilancia. En este sentido, el artículo 22.4 de la LOPDGDD establece que “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. Por tanto, para que el tratamiento llevado a cabo por el sistema de videovigilancia instalado sea acorde con lo dispuesto en la normativa de protección de datos, deberá colocarse un cartel informativo que al menos informe del tratamiento que se realiza, la identidad del responsable y la posibilidad y modo de ejercer los derechos reconocidos en los artículos 15 a 22 del RGPD; sin menoscabo de que se deba mantener a disposición de los afectados el resto de la información estipulada por el artículo 13 del RGPD. Se señala, por otra parte, que los particulares que utilizan este tipo de dispositivos son responsables de que estos se ajustan a la legalidad vigente, debiendo cumplir, cuando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 el inmueble se encuentra bajo el régimen de comunidad de propietarios, con las exigencias establecidas en la Ley 49/1960, de 21 de julio, sobre propiedad horizontal (LPH). Así, la instalación de un sistema de videovigilancia por un particular requerirá de autorización de la junta de la comunidad de propietarios tanto cuando se proyecte su ubicación en una zona común como cuando, aun instalado en una zona de uso privativo, se oriente a zonas comunes circundantes y capte —respetando en todo caso el principio de minimización de datos— tangencialmente zonas comunes. Por último, se informa de que el acceso a las imágenes por cuenta de terceros distintos del responsable del tratamiento debe estar regulado por la existencia de un contrato y de que aquellos sistemas que estén conectados con una central receptora de alarma o un centro de control deberán cumplir con lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y demás normativa aplicable. IV Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
8. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
9. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” V En el presente caso, al decidir la sanción que corresponde imponer, se han tenido en cuenta, en especial, los siguientes elementos:  Que se trata de un particular cuya actividad principal no está vincula con el tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7  Que no se aprecia reincidencia, por no constar la comisión, en el término de un año, de más de una infracción de la misma naturaleza. Por todo ello, se considera que la sanción que correspondería imponer es de apercibimiento, de acuerdo con lo establecido en el artículo 58.2
10. b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. Por otra parte, de acuerdo con lo establecido en el citado artículo 58.2
11. d)del RGPD, según el cual cada autoridad de control podrá «ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado […]”, el responsable deberá acreditar, en el plazo de dos