← España

PS-00026-2020

1/9  Procedimiento Nº: PS/00026/2020 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de octubre de 2019, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por D. G. DE LA GUARDIA CIVIL PUESTO PRINCIPAL DE ***LOCALIDAD.1 (en lo sucesivo, el reclamante), mediante el que formula tres denuncias contra A.A.A. con NIF ***NIF.1 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia instalado en ***DIRECCIÓN.1 ***LOCALIDAD.2 (A CORUÑA), existiendo indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal (Denuncia 1810/19); por la recogida de datos de carácter personal para una finalidad distinta sin contar con el consentimiento del afectado (Denuncia 1811/19); y por vulneración del deber de confidencialidad establecido en el artículo 5 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) (Denuncia 1812/19). Los motivos que fundamentan la reclamación y, en su caso, los documentos aportados por el reclamante son los siguientes: «En la tarde del 19 de octubre actual, personal de esta Unidad, tuvo conocimiento de que se estaban difundiendo varias fotografías de componentes de esta Unidad, a través de la red social, INSTAGRAM. Dichas fotografías se correspondían con una actuación llevada a cabo por los agentes ***AGENTE.1 y ***AGENTE.2, en la mañana del día 12 de los corrientes, con motivo de un altercado que se había producido en el ***DIRECCIÓN.1, del término municipal de ***LOCALIDAD.2 (A Coruña), delante de la casa de A.A.A. (***NIF.1). Dichos Agentes no dieron consentimiento a la grabación y posterior publicación de las imágenes, siendo perfectamente visibles en dichas fotografías sus rostros así como un vehículo policial. Las fotografías son compatibles con las imágenes que se extraen de la vivienda ubicada en dicho lugar, y residencia de A.A.A. toda vez que la posición y altura desde la que se observa a los Agentes con las cámaras que se ubican en las columnas que delimitan los accesos peatonal y de vehículos del cierre perimetral de la finca que da acceso a dicha vivienda. A la vista de las mencionadas imágenes, se comisionó a los Agentes ***AGENTE.3 y ***AGENTE.2 de esta Unidad, en la tarde del día 19 de octubre, hasta la vivienda de referencia, observándose un cartel informativo de la existencia de sistema de videovigilancia, así como la ubicación de varias cámaras. Teniendo en cuenta la orientación de las cámaras, así como el hecho de haber sido grabados los Agentes actuantes las mismas estarían orientadas hacia la VÍA PÚBLICA y en consecuencia captando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 un lugar/espacio público […] Se adjunta captura de pantalla de los fotogramas colgados por A.A.A. en su perfil de Instagram ***USUARIO.1 pudiendo observarse en dicho pantallazo que a día 19 de los corrientes, tenía 1130 seguidores […] Esta difusión podría afectar, tanto la seguridad personal y laboral de los agentes actuantes, confirmándose que dichas fotografías, fueron extraídas del sistema de videovigilancia que existen en la vivienda número ***NÚMERO.1, al ser compatibles por la ubicación de las cámaras con la posición donde se hallaban los Agentes, así como darse la circunstancia de que el perfil de usuario ***USUARIO.1 se trata del morador de la vivienda. En dichas fotografías, se observa directamente en la misma DOS AGENTES DE LA GUARDIA CIVIL […], ASÍ COMO UN VEHÍCULO además de otras personas en la vía pública […] Sobreimpresionadas en estas imágenes se podía leer la frase #...***FRASE.1# seguida de varios emoticonos con cara de risa. […] La finca está cerrada perimetralmente y en el portal de ENTRADA existe un CARTEL INFORMATIVO de ZONA VIDEOVIGILADA, con distintivo de la empresa de seguridad SEGURIDAD A1, y como responsable del fichero […] SISTEMAS DE SEGURIDAD A1. ***RESPONSABLE.1 […] Se adjunta captura de pantalla de los fotogramas colgados en el perfil de Instagram ***USUARIO.1, así como fotografías realizadas a la vivienda del sistema de videovigilancia y del cartel informativo. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). El resultado de esta actuación se describe a continuación. El citado traslado se devolvió por “ausente reparto” el día 03/01/2020, reiterándose en fecha 09/01/2020, reiteración nuevamente devuelta por “ausente reparto” el día 24/01/2020. TERCERO: La reclamación fue admitida a trámite mediante resolución de la Directora de la Agencia Española de Protección de datos de 31 de enero de 2020. CUARTO: Con fecha 8 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción de los artículos 5.1.

  1. c)del RGPD y 13 del RGPD, tipificadas en el artículo 83.5 del RGPD. QUINTO: Notificado formalmente el acuerdo de inicio, el reclamado no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
  2. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Las Actas-Denuncias número 1810/19, 1811/19 y 1812/19 levantadas por la D.G. Guardia Civil – Puesto Principal de Milladoiro-Ames reflejan que el día 19 de octubre de 2019 se publicaron en la red social Instagram unas fotografías de la actuación de agentes pertenecientes al cuerpo de la Guardia Civil en ***DIRECCIÓN.1 ***LOCALIDAD.2 (A CORUÑA) en la cuenta del usuario ***USUARIO.1, identificándose al reclamado como titular de la cuenta. SEGUNDO: En las fotografías aportadas de manera adjunta a las actas-denuncia se observa que, en la dirección indicada en el hecho precedente, vivienda del reclamado, se ha instalado un sistema de videovigilancia dos de cuyas cámaras se encuentran colocadas en los postes de acceso al inmueble. TERCERO: En las fotografías aportadas de manera adjunta a las actas-denuncia se puede observar gran parte del eje longitudinal de la calle, así como todo el ancho de la acera y calzada, incluyendo los coches aparcados y que transitan por la misma, y por el ángulo de captación, se corresponderían con las imágenes captadas por las cámaras descritas en el hecho probado segundo. CUARTO: El cartel informativo colocado en la vivienda únicamente informa de que se trata de una zona videovigilada y no se adecúa a los dispuesto en el RGPD. QUINTO: Se considera que la cuenta ***USUARIO.1 es de carácter privado. SEXTO: El reclamado no ha presentado alegaciones en el presente procedimiento. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de dos infracciones por vulneración de los artículos 5.1.
  3. c)y 13 del RGPD. El artículo 5.1.
  4. c)del RGPD, relativo a los principios del tratamiento, dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).” Este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 artículo consagra el principio de minimización de datos en el tratamiento de los datos personales. Supone que dicho tratamiento sea ajustado y proporcional a la finalidad a la que se dirige, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. El artículo 13 del RGPD dispone: «1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  5. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  6. b)los datos de contacto del delegado de protección de datos, en su caso;
  7. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  8. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  9. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  10. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  11. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  12. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9
  13. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  14. d)el derecho a presentar una reclamación ante una autoridad de control;
  15. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  16. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.» En el caso de tratamientos de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, el deber de información puede cumplirse mediante la colocación, en las zonas videovigiladas, de un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, y sirviéndose de impresos en los que se detalle la información prevista, que el responsable deberá poner a disposición de los interesados. Las infracciones se tipifican en el artículo 83.5 del RGPD, que dispone lo siguiente: «Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  17. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  18. b)los derechos de los interesados a tenor de los artículos 12 a 22; […]». C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 A efectos del plazo de prescripción de las infracciones, la referida al artículo 5.1. del RGPD se considera muy grave y prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: «En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  19. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. Por su parte, el artículo 74 de la citada LOPDGDD dispone: «Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  20. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679 […]». C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 III En el presente caso corresponde analizar la presunta ilicitud de la instalación, de un sistema de videovigilancia compuesto por dos cámaras y ubicado en los postes del acceso al inmueble del reclamado situado en ***DIRECCIÓN.1 ***LOCALIDAD.2 (A CORUÑA). Los hechos probados en el presente procedimiento sancionador ponen de manifiesto que las cámaras instaladas en el acceso al inmueble situado en el párrafo anterior captan de manera desproporcionada vía pública. Respecto a esta cuestión, el artículo 22 de la LOPDGDD, relativo a tratamientos con fines de videovigilancia, dispone que, con la finalidad de garantizar la seguridad de personas y bienes, podrán captarse imágenes de vía pública «en la medida en que resulte imprescindible», en correspondencia con el principio de minimización de datos establecido en el artículo 5.1.
  21. c)del RGPD. Teniendo en cuenta lo anterior, en el supuesto de que se trate de garantizar la seguridad de una zona de acceso a un bien o su perímetro, la zona de vía pública captada habrá de reducirse al mínimo. En el caso objeto del presente procedimiento esto significa que, para garantizar la seguridad del acceso a la vivienda, las imágenes pueden alcanzar a una parte o porción de la acera en el mínimo del eje longitudinal que corresponda al acceso o perímetro, pero no se considera proporcionado captar ni la totalidad del ancho de acera ni la calzada. Una captación extensiva conllevaría que los transeúntes y automovilistas vean afectado de manera excesiva su derecho a la protección de la imagen física. Abundando en esta cuestión, se informa de que la facultad de captar imágenes en vía pública está atribuida, con carácter general, a las Fuerzas y Cuerpos de Seguridad de conformidad con lo dispuesto en la Ley Orgánica 4/1997 por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos y su normativa de desarrollo. En lo que referente al cumplimiento del deber de información recogido en el artículo 12 del RGPD, el artículo 13 del mismo texto legal dispone la información que ha de proporcionarse cuando los datos personales se obtengan del interesado, situación que se produce en los supuestos de captación de imagen por un sistema de videovigilancia. En este sentido, el artículo 22.4 de la LOPGDD establece que «El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información». Por tanto, un cartel que únicamente informa acerca de la existencia de una zona videovigilada no cumple con la obligación de facilitar la información mínima, debiendo incluirse, además, la identidad del responsable y la posibilidad y modo de ejercer los derechos reconocidos en los artículos 15 a 22 del RGPD; sin menoscabo de que además se deba mantener a disposición de los afectados el resto de información estipulada por el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Por último, se informa de que el acceso a las imágenes por cuenta de terceros distintos del responsable del tratamiento debe estar regulado por la existencia de un contrato y de que aquellos sistemas que estén conectados con una central receptora de alarma o un centro de control deberán cumplir con lo previsto en la Ley 5/2014 de 4 de abril de Seguridad Privada y demás normativa aplicable. No se considera a efectos de infracción de la normativa de protección de datos la publicación de las imágenes en la cuenta de la red social. IV En el presente caso, al decidir la sanción que corresponde imponer, se han tenido en cuenta, en especial, los siguientes elementos.  Que se trata de un particular cuya actividad principal no está vincula con el tratamiento de datos personales.  Que no se aprecia reincidencia, por no constar la comisión, en el término de un año, de más de una infracción de la misma naturaleza. Por todo ello, se considera que la sanción que correspondería imponer es de APERCIBIMIENTO, de acuerdo con lo establecido en el artículo 58.2
  22. b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con NIF ***NIF.1, por sendas infracciones de los artículos 5.1.
  23. c)y 13 del RGPD, tipificadas en el artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO. Asimismo, en el plazo de UN MES desde la notificación del presente acto, deberá acreditar lo siguiente:  Que ha procedido a la retirada de las cámaras colocadas en los postes del acceso al inmueble o bien a su reorientación reduciendo el ángulo de captación. En el caso de que se trate de cámaras orientables, con “zoom” o ambos, deberá acreditar que cuentan con máscaras de privacidad.  Que ha procedido a completar la información ofrecida en el cartel informativo (deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD), ubicando este dispositivo en lugar suficientemente visible. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9  Que mantiene a disposición de los afectados el resto de la información a la que se refiere el RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. e INFORMAR del resultado de las actuaciones a D. G. DE LA GUARDIA CIVIL - PUESTO PRINCIPAL DE ***LOCALIDAD.1 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  24. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.