1/20 Procedimiento Nº PS/00032/2016 RESOLUCIÓN: R/01561/2016 En el procedimiento sancionador PS/00032/2016, instruido por la Agencia Española de Protección de Datos a la entidad SAGUESHAUSE21, S.L.., vista la denuncia presentada por la GENERALITAT DE CATALUNYA, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 21 de abril de 2015 tiene entrada en esta Agencia escrito de la Autoridad Catalana de Protección de Datos de la Generalitat de Catalunya, (en adelante el denunciante), comunicando una posible infracción a la normativa de protección de datos de carácter personal en relación con el tratamiento de las imágenes procedentes de las cámaras de videovigilancia instaladas en el establecimiento denominado "PUSSY CAT" , ubicado en F.F.F. de Barcelona, cuyo titular es la entidad SAGUESHAUSE21, S.L. (en adelante el denunciado) Adjunto a dicho escrito figura Acta de Inspección levantada con fecha 3 de marzo de 2015 por los Mossos d,Esquadra de la Unidad Regional de Policía Administrativa de Barcelona, Dirección General de la Policía del Departamento de Interior de La Generalitat de Catalunya, en la que consta que, como resultado de la inspección practicada en el mencionado establecimiento con esa misma fecha, los agentes actuantes comprobaron que el local disponía “de un sistema de grabación de imágenes digital; las imágenes según el titular quedan registradas en un disco duro durante 3 meses. En el local no se observa ningún letrero visible según modelo oficial que informe a los clientes de la grabación de las imágenes y de la correspondiente comunicación e inscripción al Registro General de la Agencia Española de Protección de Datos” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia con fechas 30 de junio y 2 de septiembre de 2015 se solicita información a la entidad SAGUESHAUSE21, S.L.., teniendo entrada en esta Agencia con fecha 23 de septiembre de 2015 escrito del denunciado manifestando que: 1. El responsable del local es SAGUESHAUSE21 S.L. con NIF B******. Adjunta copia de tarjeta de identificación fiscal. 2. La persona que realizó toda la instalación de las cámaras es A.A.A. . Se adjunta contrato de trabajo. 3. Las causas por las cuales se instalaron las cámaras de videovigilancia fueron por medidas de seguridad y control de la actividad que se realiza en el local. 4. Se aporta foto de cartel con indicación del responsable en lo que parece la puerta de entrada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 5. El número de cámaras de videovigilancia instaladas en el local es de 20, las cuales no disponen ni de zoom, ni posibilidad de movimiento. Se aporta croquis de situación de las cámaras que refleja la siguiente ubicación de las mismas: 1. Cámara pasillo escalera, capta puerta de habitación 7 2. Cámara 1 pasillo 2, capta puerta de habitación 4 3. Cámara 4 pasillo 2, capta puerta de habitación 6 4. Cámara 3 pasillo 2, capta puerta de habitación 5 En planta baja: 5. Cámara 2 pasillo 2, capta vestuario 6. Cámara pasillo 2 general, capta pasillo 7. Cámara entrada, capta mostrador (camera 03) 8. Cámara enfoque pista, capta pista y barra (camera 07) 9. Cámara barra 2, capta barra y sala (camera 08) 10. Cámara pasillo, capta pasillo y mesas de clientes 11. Cámara barra, capta barra (camera 01) 12. Cámara pista, capta pista y mesas de clientes (camera 06) 13. Cámara pista 2, capta pista y mesas de clientes (camera 05) 14. Cámara puerta, capta puerta de entrada desde el interior (camera 02) En planta sótano: 15. Cámara planta baja pasillo 3, capta puerta de habitación 3 16. Cámara planta baja pasillo 2, capta puerta de habitación 2 17. Cámara planta baja pasillo, capta puerta de habitación 1 18. 2 Cámaras sala de espera, captan pasillo y hall, respectivamente 19. Cámara recepción (antes WC, ahora recepción), capta mostrador con monitores 6. El único monitor se encuentra en C/ E.E.E., dónde hay instalada una oficina. 7. Las personas que acceden al sistema de videovigilancia son A.A.A. y G.G.G., este último administrador único de la empresa. 8. El sistema utilizado es detección de movimiento grabado en disco duro en el propio local, las personas que acceden al sistema son las citadas en el punto anterior, el tiempo de conservación de las imágenes son de uno a tres meses aproximadamente, y transcurrido el tiempo se reutiliza o bien se elimina utilizando una aplicación informática y formateo de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 9. Entre otra documentación, adjuntan modelo clausula informativa a disposición de los interesados con la información prevista en el artículo 5.1 de la LOPD, acreditación de haber inscrito en el Registro General de Protección de Datos un fichero de Videovigilancia con código nº ***CÓD.1, del que es responsable SAGUESHAUSE 21 S.L., cuya finalidad es almacenar las grabaciones de videovigilancia del sistema de seguridad propio de la empresa. y. TERCERO: Con fecha 27 de enero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la sociedad SAGUESHAUSE21, S.L.., por presunta infracción de los apartados 1 y 5 del artículo 4 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), en su relación con lo dispuesto en el artículo 4.1 y 2 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras en lo que respecta al artículo 4.1 de la LOPD, así como en su relación con el artículo 6 de la mencionada Instrucción en lo que respecta al artículo 4.5 de la LOPD. La infracción a lo dispuesto en los apartados 1 y 5 del artículo 4 de la LOPD está tipificada como grave en el artículo 44.3.
- c)de dicha norma, pudiendo ser sancionada cada una, con multa de 40-001 a 300.000 € , de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, con fecha 23 de febrero de 2016 se registra de entrada escrito de alegaciones de la representación de SAGUESHAUSE21, S.L.., según acredito con fecha 26 de febrero de 2016 solicitando a el archivo del procedimiento o, subsidiariamente, la imposición de la sanción mínima prevista para las infracciones leves con fundamento en lo siguiente: Respecto de la primera infracción imputada se afirma que: “la dependencia a la que mi representada denomina VESTUARIO no se destina a tal uso desde hace ya tiempo (antes de la instalación de las cámaras sí lo era, y así ha perdurado su denominación comúnmente entre los responsables y empleados de mi representada), sino que se trata del COMERDOR que los empleados usan sí así lo desean, tal y como mi representada expresamente reseña y especifica en la documentación que ya fue aportada a requerimiento de la Agencia a la que me dirijo en fase de actuaciones previas. Consta en el documento denominado ”pasillo 2-cámara 2” tanto la foto de la cámara en cuestión, como la foto de lo que ésta capta, y un plano/croquis de situación en el que consta consignado literalmente que dicha habitación “NO ES VESTUARIO.ES DONDE SE COME”, copia de todo lo cual se acompaña al presente escrito de DOCUMENTO NUMERO DOS. Se aprecia claramente en la fotografía de lo que la cámara capta una mesa con sillas tumbadas encima, y unas repisas con botellas. No haya armario ropero o taquilla alguna, ni perchas o cuelgarropas, ni ducha o lavabo. No se trata, pues, de un vestuario y así quedo manifestado or mi representada en la documentación aportada.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 - Respecto de la segunda infracción imputada se afirma que: Las imágenes se han mantenido y mantienen desde el inicio de la instalación de las cámaras por un plazo de un mes. No obstante lo cual, debido al desconocimiento del exacto funcionamiento del sistema de mantenimiento de imágenes, en el momento de la inspección el titular cometió el error de manifestar que lel plazo referido era de entre un mes y tres meses. Por ello, reconoce voluntariamente su responsabilidad a los efectos previstos en los artículos 8 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto y artículo 45.5 de la LOPD. - Se recalca que se trata del primer procedimiento sancionador que se incoa a la empresa, que se ha acreditado la nula existencia de intencionalidad, que la supuesta infracción no es debida a una falta de diligencia exigible a la empresa y que durante las actuaciones previas de inspección y en las alegaciones ha actuado diligentemente. En el caso de no acordarse el archivo del procedimiento se proponía la práctica de los medios de prueba que se reseñan en el siguiente Antecedente de Hecho. QUINTO: Con fecha 26 de febrero de 2016, la Instructora del Procedimiento acuerda iniciar periodo de práctica de pruebas, según lo dispuesto en el artículo 17.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, en adelante REPEPOS, en cuyo marco se acuerda dar por reproducidos a efectos probatorios la denuncia interpuesta por la GENERALITAT DE CATALUNYA y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante SAGUESHAUSE21, S.L.., el Informe de actuaciones previas de Inspección que forman parte del expediente E/03846/2015, las alegaciones de la entidad imputada al acuerdo de inicio PS/00032/2016 y la documentación que a ellas acompaña. Asimismo, en relación con las pruebas cuya práctica se solicitaba en el escrito de alegaciones se comunicó lo siguiente: Se aceptó la documental consistente en que se tengan por reproducidos los documentos que acompañan al escrito de alegaciones y que ya obraban en el expediente administrativo. Se denegó la consistente en que la Inspección de la AEPD acudiese al local sito en c/ B.B.B. a fin de comprobar in situ:
- a)Que el llamado “vestuario” no es tal, sino que se trata de una dependencia destinada a comedor, y que no se ha variado su mobiliario ni distribución acorde con la fotografía que se ha acompañado de Documento nº dos al escrito de alegaciones (y que ya forma parte del expediente administrativo) y
- b)Que las cámaras de videovigilancia mantienen (y han mantenido desde su instalación) las imágenes captadas por el plazo de un mes. Se observaba que el artículo 17.2 del REPEPOS establece que el órgano instructor podrá rechazar, de forma motivada, aquellas pruebas cuya práctica no estime procedentes en los términos previstos en el artículo 137.4 de la de la Ley de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. En razón de lo que se declaraba la improcedencia de la práctica de las pruebas propuestas reseñadas en el punto 3.2 por resultar innecesarias una vez contrastadas las alegaciones formuladas con los concretos elementos de prueba obrantes en el procedimiento, en particular la denuncia y la fotografía de la imagen correspondiente a la cámara 2, pasillo. Lo que se comunicaba sin perjuicio de que por parte de esa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 entidad se aportarse cualquier documentación que resultase de interés para la defensa de sus derechos. Igualmente, se solicitaba aportación de la siguiente información y o documentación:
- a)Aclaración de la causa por la que no se ha modificado la nomenclatura de la cámara denominada vestuario cuando con posterioridad a la instalación del sistema de videovigilancia ya no se daba tal utilidad a esa dependencia;
- b)Acreditación mediante cualquier medio de prueba válido en derecho de que dicha habitación se utiliza como comedor, justificando si tienen acceso al mismo los clientes por ser público o sólo se utiliza por el personal del establecimiento. SEXTO: Con fecha 15 de marzo de 2016 se registra de entrada escrito de la representación de SAGUESHAUSE21, S.L.. poniendo de manifiesto que no se modificó la nomenclatura de la cámara denominada vestuario porque tiempo antes de su instalación se destinaba a dicha finalidad, y después del cambio de uso e instalación de la cámara la dependencia continuó identificándose por los responsables y el personal como “vestuario”. Aportan fotografía que muestra que ya se ha procedido a modificar la nomenclatura de la cámara en cuestión, identificándose bajo la leyenda “comedor”. Se aportan trece declaraciones suscritas por trece trabajadores de la empresa en las que reconocen que dicha habitación se utiliza como comedor, teniendo acceso a la misma los trabajadores que lo desean, pero no el público, acompañadas de informe de vida laboral acreditativo de que las personas firmantes son trabajadores de la empresa. SÉPTIMO: Con fecha 27 de mayo de 2016 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos: - se sancionase a SAGUESHAUSE21, S.L.. con multa de 10.000 € (Diez mil euros) por la infracción del artículo 4.1 de la LOPD en su relación con lo dispuesto en los apartados 1 y 2 del artículo 4 de la Instrucción 1/2006, tipificada como grave en el artículo 44.3.
- c)de dicha norma, de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. - Se acordase el archivo de las actuaciones seguidas frente a SAGUESHAUSE21, S.L.. por posible infracción del artículo 4.5 de la LOPD en su relación con lo previsto en el artículo 6 de la reseñada Instrucción 1/2006. OCTAVO: Con fecha 22 de junio se registra de entrada en esta Agencia escrito de alegaciones de SAGUESHAUSE21, S.L.. manifestando su disconformidad con la infracción imputada en la propuesta de resolución, toda vez que ha quedado acreditado que la dependencia denominada VESTUARIO “no se destina ni se ha destinado desde la instalación de las cámaras a tal uso en ningún caso sino que se trata del COMEDOR que los empleados usan si así lo desean CONOCIENDO EN TODO MOMENT LA EXISTENCIA DE DICHA CÁMARA.” Reiteran que en la documentación aportada en fase de actuaciones previas, en el documento denominado “pasillo 2-cámara 2” consta la foto de la cámara en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 cuestión, la foto de lo que ésta capta y un plano/croquis de situación en el que figura consignado literalmente que dicha habitación “ no es vestuario. Es donde se come.” Con arreglo a lo cual solicitan se acuerde el sobreseimiento y archivo definitivo del procedimiento en atención a que muchas de las circunstancias atenuantes alegadas a los efectos de la graduación de la cuantía de la sanción, las cuales se reiteran, no han sido tomadas en consideración en la propuesta de resolución. Subsidiariamente, solicitan la imposición de una sanción por el importe mínimo de los previstos para las infracciones leves, ya que la cantidad propuesta se considera excesiva atendidas todas las circunstancias concurrentes que recalca son: se trata del primer procedimiento sancionador que se incoa a la empresa, ha quedado acreditada la inexistencia de intencionalidad, no se ha obtenido beneficio alguno a raíz de la comisión de la supuesta infracción, la cual no es debida a una falta de diligencia exigible y que durante la fase de actuaciones previas y en las alegaciones ha actuado diligentemente. HECHOS PROBADOS PRIMERO: Con fecha 3 de marzo de 2015 agentes del Cuerpo por los Mossos d,Esquadra de la Unidad Regional de Policía Administrativa de Barcelona, Dirección General de la Policía del Departamento de Interior de La Generalidad de Cataluña, realizaron una inspección en el establecimiento con denominación comercial "PUSSY CAT" , ubicado en F.F.F. , de Barcelona, cuyo titular es la entidad SAGUESHAUSE21, S.L., con motivo de la cual levantaron Acta de Inspección en la que, entre otros hechos, se refleja lo siguiente: (folios 2, 3, 7 y 8) “También se observa que el local dispone de un sistema de grabación de imágenes digital; las imágenes según el titular quedan registradas en un disco duro durante 3 meses. En el local no se observa ningún letrero visible según modelo oficial que informe a los clientes de la grabación de las imágenes y de la correspondiente comunicación e inscripción al Registro General de la Agencia Española de Protección de Datos” SEGUNDO: La entidad SAGUESHAUSE21, S.L.. es responsable del citado sistema de videovigilancia, constando inscrito a su nombre en el Registro General de Protección de Datos de la AEPD el fichero denominado “Videovigilancia”, cuya finalidad es almacenar las grabaciones de vigeoviglancia del sistema de seguridad de la empresa. ( folios 31, 96 y 97) TERCERO: Con fecha 23 de septiembre de 2015 se registra de entrada en esta Agencia escrito de la mercantil SAGUESHAUSE21, S.L.." en el que se informa lo que sigue respecto del sistema de videovigilancia instalado en el local "PUSSY CAT: (folios 24 y 32 al 92) - El sistema de videovigilancia cuenta con veinte cámaras situadas en diferentes dependencias del establecimiento y un monitor situado en la oficina del local. - Las cámaras de videovigilancia no tienen zoom ni posibilidad de movimiento, - El sistema utilizado es detección de movimiento grabado en disco duro en el propio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 local. El tiempo de conservación aproximadamente. de las imágenes - La instalación de las cámaras de videovigilancia, y control de la actividad que se realiza en el local. es de uno a tres meses responde a medidas de seguridad - Entre la documentación aportada figura: copia del cartel expuesto avisando de la existencia de zona videovigilada y con identificación de la entidad responsable del tratamiento (folio 31); copia del impreso o cláusula informativa puesta a disposición de los interesados en los que se detalla la información prevista en el artículo 5.1 de la LOPD. (folio 96); croquis con la ubicación de cada una de las cámaras de videovigilancia, fotografías de dichas cámaras asociadas a su situación y denominación y fotografías con las imágenes captadas por cada cámara en las que aparece impresa su denominación (folios 32 al 89); fotografías que recogen las imágenes que se visualizan a través del monitor (folios 90 al 93) - La fotografía presentada como correspondiente a la imagen recogida por la cámara 2, pasillo 2, identifica la zona captada como “vestuario” (folio 45). En el croquis de situación aportado correspondiente a dicha cámara 2, ubicada en la planta baja del local, no aparece ninguna anotación manual sobre el uso dado a ese espacio. (folio 46) CUARTO: Con fecha 18 de febrero de 2016 la entidad responsable del reseñado sistema de videovigilancia alega que la dependencia captada por la cámara 2, pasillo 2, no se utiliza como “vestuario” desde antes de la instalación del sistema de videovigilancia, sino que se usa como comedor por los empleados, aunque éstos y los responsables del local han seguido identificándola por el nombre común correspondiente a su uso anterior . (folio 371) QUINTO: Con fecha 11 de marzo de 2016 la entidad responsable del reseñado sistema de videovigilancia afirma haber modificado la nomenclatura de cámara 2, pasillo 2, aportando fotografía de la zona videovigilada mediante dicho dispositivo, la cual aparece denominada como “comedor” (folios 398 y 402) SEXTO: Con fecha 11 de marzo de 2016 la entidad responsable del reseñado sistema de videovigilancia aporta un total de trece declaraciones suscritas el 4 de marzo de 2016 por otros tantos empleados de la sociedad SAGUESHAUSE21, S.L.., en las que éstos manifiestan y reconocen expresamente: (folios 403 al 441) “Que la dependencia de la empresa SAGUESHAUSE21, S.L.. que se muestra en la fotografía adjunta se destina única y exclusivamente para uso como COMEDOR de aquellos empleados que así lo desean. Que en ningún caso se usa dicha dependencia como vestuario. Que sólo tienen acceso a dicha dependencia los empleados de la empresa, en ningún caso los clientes” Cada una de las declaraciones va acompañada de una fotografía con la imagen captada por la referida cámara el día 3 de marzo de 2016 bajo la leyenda “comedor”, así como de un croquis que identifica la zona en la que se ubica la cámara 2 como de “comedor”. Estos documentos están firmados por los declarantes, todos ellos empleados de la reseñada sociedad según acredita el “Informe de Vida Laboral de un Código C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 Cuenta Cotización” de la Tesorería General de la Seguridad Social de fecha 9 de marzo de 2016, correspondiente a la empresa SAGUESHAUSE21, S.L.. (folios 442 al 445) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Hay que señalar con carácter previo al estudio de las infracciones imputadas que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación El artículo 5.1.
- f)del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante RDLOPD, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 En este mismo sentido se pronuncia el artículo 2.
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal. Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (en lo sucesivo Instrucción 1/2006), en su artículo 1.1 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” De acuerdo con los preceptos transcritos, la cámara de videovigilancia reproduce la imagen de los afectados por este tipo de tratamientos y, a efectos de la LOPD, la imagen de una persona constituye un dato de carácter personal, toda vez que la información que capta concierne a personas y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. En relación con esta cuestión , en la Sentencia de la Audiencia Nacional de 10 de febrero de 2011, expresaba: “En el caso de autos, atendidos los amplios términos del concepto de tratamiento de datos contenido en la LOPD, cabe sostener que la captación de la imagen de una persona y su grabación por el sistema de videovigilancia instalado y conservación durante un periodo de 7 días, como se ha constatado por los Inspectores de la AEPD en la inspección realizada (...) constituye una operación o procedimiento técnico de recogida de datos, que al realizarse de forma automatizada (no manual), C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 dado que el sistema de videovigilancia instalado es automatizado, tiene la consideración de tratamiento de datos de carácter personal en el sentido de la LOPD y está sometido a la misma.” III La vigente LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros (artículo 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.
- d)de la misma. Este precepto incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al citado artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. El artículo 5.1.
- q)del RDLOPD considera como tal a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Así, de conformidad con las definiciones recogidas en la normativa de protección de datos expuesta, la entidad SAGUESHAUSE21, S.L.. es responsable del tratamiento de las imágenes que incluyan datos de carácter personal que se recojan por las cámaras de videovigilancia instaladas en el establecimiento denominado "PUSSY CAT" , ya que dicha sociedad en su condición de titular del citado local es la que ha decidido y decide sobre la finalidad, contenido y uso del citado tratamiento, y, por tanto, está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD. IV En el Acuerdo de Inicio del presente procedimiento sancionador, a la vista de los hechos puestos de manifiesto en el Acta de Inspección levantada, el día 3 de marzo de 2015, por los Mossos d,Esquadra en el local de referencia se imputaba a la reseñada mercantil la presunta infracción de los apartados 1 y 5 del artículo 4 de la LOPD en su relación con los apartados 1 y 2 del artículo 4 y artículo 6, respectivamente, de la Instrucción 1/2006, de 8 de noviembre, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. Si bien a la vista de las alegaciones formuladas por la entidad imputada en contestación a dicho acuerdo, del análisis de los hechos, se estima que : En lo que respecta a la posible comisión de la infracción del artículo 4.5 de la LOPD en su relación con lo dispuesto en el artículo 6 de la menciona Instrucción 1/2006, derivada del supuesto mantenimiento de las imágenes grabadas a través del sistema de videovigilancia instalado en el local titularidad de la empresa imputada por un plazo superior a un mes, resulta que aunque dicha imputación tenía su origen en las manifestaciones efectuadas por el Administrador de la entidad en el momento de la realización de la inspección policial en el local "PUSSY CAT", no consta que las mismas fueran verificadas por los efectivos actuantes comprobando el tiempo real C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 de permanencia de las imágenes captadas por dicho sistema en el disco duro en el que se almacenaban. De tal modo que al negarse por la entidad imputada que las imágenes grabadas se mantuvieran por tres meses en el fichero de videovigilancia (disco duro), esta Agencia no cuenta con elementos fácticos, a excepción de las manifestaciones recogidas en el Acta de referencia que, posteriormente, han sido negadas, de las que se desprenda que el mantenimiento de las imágenes excediese en ese momento del plazo fijado por la normativa que resulta de aplicación. Se ha de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJ-PAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, en relación con el principio de presunción de inocencia, lo que establece el artículo 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de “presunción de inocencia” impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de “cargo” acreditativa de los hechos que motivan esta imputación, y en aplicación del principio “in dubio pro reo”, que obliga en caso de duda, respecto de un hecho concreto y determinante, a resolver del modo más favorable para el denunciado, en especial cuando el órgano sancionador no cuenta con pruebas concretas que permitan probar la conducta supuestamente infractora del presunto causante de la misma. En consecuencia, no existiendo elementos de juicio en este supuesto que permitan probar a la AEPD que los datos mantenidos (imágenes) en el fichero de videovigilancia no vengan cancelándose por la mercantil SAGUESHAUSE21, S.L.. en el plazo de un mes desde su captación, conforme a lo dispuesto en el artículo 4.5 de la LOPD en su relación con el artículo 6 de la Instrucción 1/2006, de 8 de noviembre, procede archivar las actuaciones seguidas en este procedimiento en relación con esa imputación concreta. Sin embargo, en lo referente a la posible comisión de la infracción del artículo 4.1 de la LOPD en su relación con lo dispuesto en los apartados 1 y 2 del 4 de la menciona Instrucción 1/2006, esta Agencia considera que se cuentan con suficientes elementos de prueba para continuar la tramitación del expediente por el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 de datos de carácter personal excesivo y no pertinente de las imágenes de videovigilancia recogidas por la cámara que esa empresa ha identificado en las fotografías y croquis aportados como cámara 2, pasillo 2, situada en la planta baja del establecimiento ubicado en la c/ F.F.F. de Barcelona . La aportación por esa empresa de las declaraciones de trece empleados durante el período de pruebas acordado en el expediente no modifica dicha imputación, toda vez que aunque esa sala no se utilice como “vestuario”, tal y como se desprendía de la documentación presentada al contestar el requerimiento de información realizado por esta Agencia en las actuaciones previas de inspección, sino como “comedor”, como se justifica a través de dichos testimonios, la captación gráfica de las imágenes procedentes de esa cámara de videovigilancia y su almacenamiento continúa suponiendo la vulneración del mismo principio contenido en el artículo 4.1 de la LOPD en su relación con los apartados 1 y 2 del artículo 4 de la Instrucción 1/2006, de 8 de noviembre de esta Agencia, ya que vulnera , conforme se razonará en los siguientes Fundamentos de Derecho. A tenor de lo cual conviene señalar que en el croquis de situación aportado por esa empresa durante las actuaciones previas de inspección referente a la cámara 2, pasillo 2, objeto de estudio, no figuraban las anotaciones manuales que aparecen en el croquis adjuntado al escrito de alegaciones al acuerdo de inicio registrado de entrada en esta Agencia el 23 de febrero de 2016. En relación con este particular, se ha comprobado que en el croquis aportado por SAGUESHAUSE21,S.L. con fecha 23 de septiembre de 2013 no consta consignado que dicha dependencia “NO ES VESTUARIO. ES DONDE SE COME.”. También se ha verificado que las fotografías de la sala denominada “vestuario” y de la cámara aportadas en ambas fechas son idénticas (folios 44, 45, 381 y 382). Sin embargo no ocurre lo mismo con los croquis aportados, ya que mientras en el documento presentado durante las actuaciones previas de inspección únicamente se reseña la anotación manual de “cámara 2”, en el adjuntado al escrito de alegaciones aparecen las anotaciones “habitación vestuario” con la observación “No es vestuario, es donde se come”. Estas observaciones no estaban registradas en el documento presentado con anterioridad, conforme se visualiza y corroboran los folios 46 y 383 del procedimiento constituidos por dichos croquis. V En el presente supuesto, dada la especialidad de la materia, se trata de dilucidar si el tratamiento de las imágenes efectuado por la entidad denunciada a través de la mencionada cámara 2, pasillo 2, de videovigilancia cumple los requisitos establecidos en la normativa de protección de datos en su relación con las exigencias recogidas, a su vez, en la Instrucción 1/2006 de la AEPD. Conforme a lo expuesto en el anterior Fundamento de Derecho, en este procedimiento sancionador se imputa a la entidad SAGUESHAUSE21, S.L.., en su condición de responsable del tratamiento efectuado con el sistema de videovigilancia instalado en el local de su titularidad y como responsable del fichero resultante del almacenamiento de las imágenes captadas por las cámaras del sistema, una infracción del artículo 4.1 de la LOPD, cuyo tenor literal es el que sigue: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido” Dicho precepto establece que los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, de acuerdo con una serie de criterios, que se resumen en el principio de proporcionalidad. El citado artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente y no excesivo en relación con el fin perseguido. Únicamente pueden ser sometidos a tratamiento aquellos datos que sean estrictamente necesarios para la finalidad perseguida. Por otra parte, el cumplimiento del principio de proporcionalidad no sólo debe producirse en el ámbito de la recogida de los datos, sino asimismo de respetarse en el posterior tratamiento que se realice de los mismos. Este criterio se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, aparece también reflejado en el Convenio 108, cuyo artículo 5
- c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. El mencionado precepto de la LOPD debe ponerse en correlación con lo previsto en el apartado 2 del mismo artículo 4 citado, según el cual: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.”. Las finalidades a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. A su vez, el principio de proporcionalidad en materia de videovigilancia también aparece recogido en los apartados 1y 2 del artículo 4 de la Instrucción 1/2006, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras en su artículo 4, cuyo contenido establece que: “1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. “ Precepto del que también se desprende que el cumplimiento del principio de proporcionalidad, está íntimamente ligado a la finalidad perseguida con la instalación de un sistema de videovigilancia, que en todo caso deberá ser legítima y proporcionada. De lo expuesto se deduce que la normativa anteriormente expuesta ( artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 4.1 de la LOPD y los apartados 1 y 2 del artículo 4 de la reseñada Instrucción 1/2006 de LA AEPD) resulta aplicable al supuesto de hecho que se discute, en concreto, en lo relativo al tratamiento de datos de carácter personal derivado de la captación, visualización y grabación de imágenes recogidas a través de la cámara 2, pasillo 2, del sistema de videovigilancia instalado en el establecimiento “PUSSY CAT”, concretamente en la dependencia de la planta baja que, según la representación de la entidad SAGUESHAUSE21, S.L.., se utiliza como “comedor” y no como “vestuario” desde antes de la colocación de dicho sistema. Uso que, por otra parte, trece empleados de esa empresa han corroborado mediante declaración testifical aportada durante el período de práctica de pruebas acordado en el procedimiento. A mayor abundamiento, téngase en cuenta que la STC 254/1993, de 20 de julio, señaló que “el derecho fundamental a la protección de datos persigue, en suma, garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino; o dicho de otro modo, el derecho a la intimidad permite excluir ciertos datos de una persona del conocimiento ajeno; mientras que el derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos (..)”. Así, el tratamiento de datos consistente en la recogida, transmisión, visualización, grabación, conservación y cancelación de las imágenes captadas a través de la cámara de videovigilancia situada en un espacio destinado a comedor de los empleados del mencionado establecimiento, se lleva a cabo por la denunciada sin tener en cuenta que debe existir una relación de proporcionalidad entre la finalidad perseguida por el sistema del que deriva el tratamiento realizado , en este supuesto de “seguridad y control de la actividad que se realiza en el local” (folio 24) conforme lo indicado por la denunciada durante las actuaciones previas de inspección, y el tipo de datos de carácter personal que se recogen desde esa cámara situada en una dependencia utilizada por los empleados del local única y exclusivamente como comedor, según declaraciones de trece de los mismos que confirman el uso alegado por la empresa denunciada . Esta interpretación resulta acorde con la exposición de motivos de la Instrucción 1/2006 de la Agencia Española de Protección de Datos, en la que también se hace referencia a la proporcionalidad en la instalación de estos sistemas en los siguientes términos: “En relación con la instalación de sistemas de videocámaras, será necesario ponderar los bienes jurídicos protegidos. Por tanto, toda instalación deberá respetar el principio de proporcionalidad, lo que en definitiva supone, siempre que resulte posible, adoptar otros medios menos intrusivos a la intimidad de las personas, con el fin de prevenir interferencias injustificadas en los derechos y libertades fundamentales. En consecuencia, el uso de cámaras o videocámaras no debe suponer el medio inicial para llevar a cabo funciones de vigilancia por lo que, desde un punto de vista objetivo, la utilización de estos sistemas debe ser proporcional al fin perseguido, que en todo caso deberá ser legítimo. (…) Asimismo la proporcionalidad es un elemento fundamental en todos los ámbitos en los que se instalen sistemas de videovigilancia, dado que son numerosos los supuestos en los que la vulneración del mencionado principio puede llegar a generar situaciones abusivas, tales como la instalación de sistemas de vigilancia en espacios comunes, o aseos del lugar de trabajo. Por todo ello se trata de evitar la vigilancia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 omnipresente, con el fin de impedir la vulnerabilidad de la persona.” A su vez, la letra
- a)del artículo 5.1 de la LOPD menciona específicamente que debe informarse de las finalidades de la recogida de los datos, las cuales, según el artículo 4.1 de la misma norma deben ser “determinadas, explícitas y legítimas”. La entidad SAGUESHAUSE21, S.L.., responsable del tratamiento analizado, debe tener en cuenta la relación de proporcionalidad entre la finalidad perseguida y el modo en el que se tratan los datos, a fin de garantizar el cumplimiento de los principios de proporcionalidad y finalidad previstos por los apartados 1 y 2 del mencionado artículo 4 de la LOPD, siendo obligación del responsable del tratamiento adecuar el uso de los datos personales de modo que el impacto en los derechos de los afectados sea el mínimo posible. En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente el tratamiento de datos de carácter personal efectuado con la captación de imágenes en el interior del comedor de los empleados de la entidad denunciada, puede cumplir el requisito de proporcionalidad, toda vez que la cámara 2 instalada en el interior del comedor capta imágenes de una zona de descanso del personal, lo que supone un tratamiento de datos de carácter personal que conculca la intimidad de los empleados. A mayor abundamiento, en el caso que nos ocupa, se considera que la finalidad de seguridad que se persigue con la instalación del reseñado sistema de videovigilancia en razón de la actividad que se desarrolla en el local (Bar Musical con servicios de naturaleza sexual, según consta en el Acta de Inspección de fecha 03/03/2015), se consigue sin necesidad de captar imágenes de personas identificadas o identificables en el comedor del local, lugar en el que dichos empleados no están desempeñando su actividad laboral sino realizando actividades de naturaleza privada. Tampoco estamos ante un tratamiento que pudiera responder a la habilitación legal que confiere al empresario el artículo 20.3 del Estatuto de los Trabajadores, que establece que: “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad.”. Esta facultad, que ha de producirse en todo caso dentro del debido respeto a la dignidad del trabajador, como expresamente nos recuerda la normativa laboral (arts. 4.2. y 20.3 LET), no resulta de aplicación al supuesto analizado, ya que la cámara de videovigilancia objeto de estudio no está instalada en una dependencia en la que se desarrolla la actividad de Bar Musical con servicios de naturaleza sexual. Además, la adopción de las medidas a las que se refiere el mencionado precepto se encuentran plenamente sometidas a la LOPD y a la Instrucción 1/2006, debiendo respetar de modo riguroso el principio de proporcionalidad, adoptándose esta medida cuando no exista otra más idónea y limitándose a los usos estrictamente necesarios captando imágenes en los espacios indispensables para satisfacer las finalidades de control laboral. En este caso, la conducta de la entidad denunciada, responsable del tratamiento de datos de carácter personal efectuado a través de las cámaras de videovigilancia instaladas en el local de su titularidad, ha vulnerado un principio básico del derecho fundamental a la protección de datos, en concreto el principio de calidad de los datos en lo que se refiere al uso proporcional y pertinente de los mismos, al haber decidido la captación de datos de carácter personal (imágenes de los trabajadores) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 mediante la cámara de videovigilancia instalada en el comedor del establecimiento, lugar en el que los trabajadores realizan su descanso, lo que afecta a su intimidad. A la vista de lo anterior, en el caso analizado se ha producido un tratamiento excesivo, no pertinente e inadecuado de datos de carácter personal en relación con la finalidad a la que respondía la instalación del sistema de videovigilancia en el que se integra la cámara 2, pasillo 2, de la plata baja del local. Por lo tanto, dicho tratamiento ha supuesto una vulneración del principio de calidad de los datos en lo que se refiere al uso proporcional de los mismos. VI El artículo 44.3.
- c)de la LOPD considera infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” En este caso, la conducta de la entidad denunciada vulnera el citado principio de calidad de datos, toda vez que en el presente procedimiento ha quedado acreditado que se produce un tratamiento excesivo, no pertinente e inadecuado de los datos de carácter personal de los empleados de la entidad SAGUESHAUSE21, S.L.. que utilizan el comedor del establecimiento “PUSSY CAT” cuando a través de la cámara de videovigilancia instalada en dicha dependencia por la mencionada mercantil, titular del reseñado local y responsable de dicho tratamiento, son captadas, transmitidas, visualizadas y grabadas sus imágenes. Todo ello a pesar de que la recogida de dichas imágenes con datos personales en una zona exclusiva de descanso, y, por lo tanto, ajena al espacio en que los empleados que usan el comedor desarrollan su actividad laboral, no resulta necesaria para las finalidades de seguridad y control asociadas al tipo de actividad que se realiza en el local, ni responde, tampoco, a la intervención mínima exigible para este tipo de tratamientos de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, conducta que , a título de culpa, encuentra su tipificación en el artículo 44.3.
- c)de la LOPD. VII El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La aplicación del artículo 45.5 de la LOPD <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC)”, SAN 21/01/2014, incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto y en el resto de supuestos examinados en el citado artículo. En el presente caso, si bien ha quedado probada la responsabilidad de SAGUESHAUSE21, S.L.. en la comisión de la infracción imputada, se aprecia la concurrencia de una cualificada disminución de la culpabilidad de la citada entidad por concurrir el supuesto
- a)del artículo 45.5 de la LOPD, procediendo, en consecuencia, imponer una multa cuyo importe se encuentre entre la escala de 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (artículo 45.1 LOPD). Así, se estima que que cabe aplicar esta minoración cualificada de la sanción por concurrir en forma significativa varios de los criterios enunciados en el apartado 4 del artículo 45, en concreto los supuestos c),
- e)y h). De esta forma, se tiene en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 cuenta que la complejidad de las normas que regulan el tratamiento de datos personales a través de sistemas de videovigilancia requieren una especial cualificación técnica, lo que lleva a apreciar que no puede obviarse que la conducta infractora se realizó por una persona jurídica no habituada al tratamiento de datos personales. Asimismo, no hay constancia de que a raíz de la comisión de la infracción la entidad imputada haya obtenido beneficios, máxime cuando el tratamiento de datos personales objeto de análisis no está ligado al desarrollo de la actividad del infractor, no existiendo tampoco pruebas en el procedimiento de que como consecuencia de dicho tratamiento se hayan causado perjuicios a terceras personas distintas de los empleados objeto de videovigilancia en el comedor del establecimiento en cuestión. A su vez, ya en el rango de las multas descritas para las infracciones leves a la LOPD, y a los efectos de la ponderación de la sanción concreta a imponer en este caso, se considera que actúa como atenuante el criterio
- d)del artículo 45.4, toda vez que no consta que el tratamiento objeto de estudio haya afectado al volumen de negocio o actividad del infractor. Paralelamente, se entiende operan como agravantes los supuestos a),
- b)y
- f)del mencionado artículo 45.4. Así, nos encontramos frente a una infracción continuada, toda vez que dicho tratamiento excesivo viene efectuándose, según manifestaciones de la entidad responsable del mismo desde el momento en que se instaló el sistema de videovigilancia en el local “PUSSY CAT” (folio 371) hasta la actualidad. Esta falta de regularización de la situación, que supone un tratamiento que afecta a todos los empleados de la empresa que utilizan esa dependencia con la finalidad indicada, se evidencia de las alegaciones a la propuesta de resolución de fecha 17 de junio de 2016, en las que se reitera que la dependencia de la planta baja en que estaba situada la cámara 2, pasillo 2, “se trata del COMEDOR que los empleados usan si así lo desean CONOCIENDO EN TODO MOMENTBO LA EXISTENCIA DE DICHA CÁMARA.”, uso que coincide con el declarado el 4 de marzo de 2016, por trece trabajadores del local. Todo lo cual lleva a considerar que aunque no haya existido intencionalidad en la conducta infractora, la empresa imputada podría haber actuado de un modo distinto no instalando una cámara de videovigilancia en una zona en la que las personas captadas por la misma desarrollan actividades de naturaleza privada. Además, una vez conocida la imputación de la infracción, podría haberse retirado la misma de esa dependencia ante la naturaleza intrusiva del tratamiento que se estaba llevando a cabo, y cuya ilicitud no varía aunque los empleados sean conocedores de que su imagen está siendo captada y grabada por la cámara 2, pasillo 2. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En consecuencia, con arreglo a los criterios de graduación de las sanciones previstos en el artículo 45.4 y .5 de la LOPD y de conformidad con el principio de proporcionalidad contemplado en el artículo 131.3 de la LRJ-PAC, se estima como adecuada a la gravedad de los hechos constitutivos de la infracción analizada imponer una multa de 10.000 euros la entidad SAGUESHAUSE21, S.L.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SAGUESHAUSE21, S.L.., por una infracción del artículo 4.1 de la LOPD en su relación con lo dispuesto en los apartados 1 y 2 del artículo 4 de la Instrucción 1/2006, tipificada como grave en el artículo 44.3.
- c)de la LOPD, una multa de 10.000 € (Diez mil euros), de conformidad con lo establecido en los artículos 45.1, 4 y 5 de la citada LOPD. SEGUNDO: ACORDAR el ARCHIVO de las actuaciones seguidas frente a SAGUESHAUSE21, S.L. por posible infracción del artículo 4.5 de la LOPD en su relación con lo previsto en el artículo 6 de la reseñada Instrucción 1/2006. TERCERO: NOTIFICAR la presente resolución a GENERALITAT DE CATALUNYA. SAGUESHAUSE21, S.L.., y a CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es