1/6 Procedimiento Nº: PS/00022/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos ante CALVADOS 14, S.L., en virtud de reclamación presentada por Dña. A.A.A. (en adelante, la reclamante) y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 18 de septiembre de 2018 tiene entrada en esta Agencia escrito de Dña. A.A.A. (en adelante la reclamante) comunicando la posible infracción del RGPD, motivada por el tratamiento de datos realizado a través de la instalación de cámaras de videovigilancia no señalizadas filmando a las personas que pasan por la calle Ample 24-29 (Barcelona), cuyo titular es CALVADOS 14, S.L. con NIF B66616137 (en adelante el reclamado). Se aporta prueba documental (fotografía) que acredita la instalación de la cámara de videovigilancia. SEGUNDO: CALVADOS 14, S.L. fue requerido por esta Agencia en fechas 5 y 16 de noviembre de 2018 para que acreditara en el expediente de referencia E/07002/2018 que la cámara denunciada se ajustaba a la legalidad vigente, acreditando tal extremo ante este organismo, sin que pronunciamiento alguno al respecto se haya realizado. TERCERO: Con fecha 29 de enero de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.
- c)del RGPD, tipificada en el art. 83.5 apartado
- b)del RGPD y calificada de muy grave en el art. 72.1.
- c)de la LOPDGDD, siendo notificado por el servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada el 9 de febrero de 2019. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 18 de septiembre de 2018, la reclamante manifiesta que se han instalado cámaras de videovigilancia no señalizadas filmando a las personas que pasan por la calle Ample 24-29 (Barcelona), cuyo titular es CALVADOS 14, S.L. sin que se notificasen ninguna de las dos solicitudes. SEGUNDO: CALVADOS 14, S.L. no ha respondido al requerimiento de información de la Agencia Española de Protección de Datos, ni ha presentado alegaciones al acuerdo de inicio del presente procedimiento, pese al traslado reiterado del requerimiento realizado por esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 5 del RGPD, que señala que: “Los datos personales serán tratados: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). El artículo 6.1 del RGPD (Licitud del tratamiento) establece los supuestos concretos bajo los cuales se considera lícito el tratamiento de los datos personales de los interesados. El tratamiento de imágenes en lugares públicos sólo puede ser realizado -en su caso y previo el cumplimiento de los requisitos legalmente exigibles-, por las Fuerzas y Cuerpos de Seguridad, a menos que opere la excepción establecida en el artículo 4.3 de la Instrucción 1/2006, de 8 de noviembre, de esta Agencia, que establece: “las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida”. Cabe indicar que los particulares pueden instalar cámaras de videovigilancia, pero las mismas no pueden estar orientadas hacia la vía pública y/o espacio privativo de terceros, afectando a la intimidad de los mismos sin causa justificada. III El artículo 22 de la LOPDGDD. Tratamientos con fines de videovigilancia, dispone que: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
- c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. 6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica. 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo. 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica”. IV Los hechos se concretan en la constatación por parte de la reclamante de la instalación de una cámara de videovigilancia instalada en la calle Ample 24-29 (Barcelona) sin causa justificada, pudiendo obtener imágenes de la vía pública. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 La Videovigilancia permite captación de imágenes, pero su uso afecta a las personas identificadas o identificables, por lo tanto, constituyen dato de carácter personal. El artículo 5.1 RGPD dispone lo siguiente: “Los datos personales serán:
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). La obtención de imágenes de espacio público por parte de los particulares está prohibido, al ser una competencia exclusiva de las Fuerzas y Cuerpos de Seguridad. Por tanto, no se puede instalar una cámara de las características citadas, con probable orientación hacia la vía pública, al estar prohibido por nuestro Ordenamiento jurídico. En caso de que el sistema esté operativo, esto es, obtenga imágenes, se debe tener en cuenta la lectura del artículo 13 RGPD. “Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: -la identidad y los datos de contacto del responsable y, en su caso, de su representante; - los datos de contacto del delegado de protección de datos, en su caso; - los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; (…)”. Por consiguiente, el responsable debe colocar en zona visible un cartel homologado dónde se indique al menos el responsable del fichero ante el que poder ejercitar los derechos reconocidos en el RGPD. V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; El artículo 83.1 del RGPD dispone lo siguiente: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias”. La parte denunciada deberá acreditar que la cámara en cuestión no obtiene imágenes de espacio público, aportando impresión de pantalla con fecha y hora que acredita lo expuesto o bien que ha procedido a corregir la situación descrita, de manera que se ajusta a la legalidad vigente. En el caso, de que la cámara obtenga imágenes deberá proceder a colocar en zona visible un cartel homologado en dónde se pueda observar el responsable ante el que ejercitar en su caso los derechos reconocidos en el RGPD. Igualmente, hay que recordar que la persistencia de una actitud entorpecedora a las labores de este organismo puede ser valorada a la hora de imponer una sanción pecuniaria acorde a la conducta denunciada. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- PROCEDER a APERCIBIR a CALVADOS 14, S.L., por la infracción del artículo 5.1.
- c)del RGPD, en conexión con el artículo 6 del citado texto normativo, tipificada en el art. 83.5 apartado
- a)del RGPD ordenando que proceda en virtud de lo establecido en el artículo 58.2 letra
- d)RGPD: -Reorientación de la cámara hacia zona privativa de su titularidad, aportando en su caso impresión de pantalla de lo que se observa con el sistema en cuestión, así como fotografía (fecha y hora) que acredite la reorientación exigida. -Colocación en su caso en zona visible de cartel homologado en dónde se indique el responsable del fichero. 2.- NOTIFICAR la presente resolución al CALVADOS 14, S.L. y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
- c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es